Acuerdo de tratamiento de datos

Esta página es una traducción. Si difiere de la versión en inglés, prevalece la versión en inglés. Leer la versión en inglés

Qué cubre

Este acuerdo se aplica entre Personade y tú, el cliente. Tú eres el responsable del tratamiento de los datos personales de tu espacio de trabajo: las personas de tus listas y de tus campañas, las conversaciones que tienen contigo, la cuenta de LinkedIn que conectas y, si contratas el video personalizado, la persona que graba. Nosotros somos tu encargado del tratamiento.

Forma parte de nuestros Términos y condiciones de uso y se aplica automáticamente desde el momento en que creas un espacio de trabajo. No tienes que firmar nada. Si tu equipo legal o de privacidad necesita una copia, es esta página: puedes enviarles el enlace.

No cubre los datos que tenemos sobre ti como cliente nuestro, como tu nombre, tus datos de acceso y tus facturas. Para esos datos, el responsable del tratamiento somos nosotros y se aplica nuestra política de privacidad.

Términos que usamos

• Datos personales: información sobre una persona viva.
• Tratamiento: cualquier operación realizada con ellos, incluidas su recogida, su almacenamiento, su envío y su supresión.
• Responsable del tratamiento: quien decide para qué y cómo se usan los datos. Para los datos de tu espacio de trabajo, eres tú.
• Encargado del tratamiento: quien hace el trabajo siguiendo las instrucciones del responsable. Somos nosotros.
• Subencargado: una empresa a la que recurrimos para ayudarnos a hacerlo.
• Normativa de protección de datos: el UK GDPR, el RGPD de la UE y cualquier otra ley de privacidad que se aplique a ti o a nosotros.

Quién es responsable de qué

Tú eres el responsable del tratamiento. Tú decides quién entra en una lista, qué dice una secuencia y cuándo se ejecuta. Eres responsable de tener una base jurídica para contactar a cada persona, de atender sus oposiciones y de los mensajes que envías. Cada mensaje sale de tu propia cuenta de LinkedIn y tú eres su remitente. Nada de eso podemos hacerlo por ti.

Nosotros somos el encargado del tratamiento. Usamos los datos de tu espacio de trabajo solo para ejecutar tus campañas, encontrar y enriquecer tus prospectos, sincronizar las conversaciones de tus campañas y hacer los videos que encargas. No los usamos para entrenar modelos, para crear un producto o una base de datos propia, para hacer marketing dirigido a nadie ni para ningún fin propio. No vendemos datos personales y nunca lo haremos.

Si alguna vez tenemos que tratar tus datos por motivos propios, por ejemplo para cumplir una ley, pasamos a ser responsables del tratamiento para ese fin concreto y te lo diremos.

Tus instrucciones

Conectar una cuenta de LinkedIn, importar una lista, crear una secuencia, fijar tus límites y tu horario laboral, lanzar una campaña, escribir una respuesta en la bandeja de entrada y, en el caso del video, enviarnos tu grabación y aprobar las muestras son instrucciones tuyas para nosotros. El Anexo 1 recoge lo que abarcan esas instrucciones. Cualquier cosa fuera de ese alcance requiere una instrucción tuya por escrito, y podemos rechazarla.

Si creemos que una instrucción infringe la normativa de protección de datos, te lo diremos, y podemos pausarla en lugar de ejecutarla.

Lo que no haremos

No usaremos tus listas ni tus conversaciones para nada que no sea tu espacio de trabajo: ni para entrenar modelos, ni para crear nuestra propia base de datos, ni para contactar nosotros a nadie que figure en ellas, y nunca para venderlas.

No leeremos ni guardaremos ninguna parte de tu bandeja de entrada de LinkedIn más allá de las conversaciones que iniciaron tus campañas. No publicaremos, comentaremos ni cambiaremos nada en tu perfil. No subiremos tus límites por encima de los máximos que impone el producto, lo pida quien lo pida.

En el caso del video, no usaremos un modelo de voz para los videos de nadie más, solo crearemos uno a partir de una grabación hecha con el consentimiento por escrito de quien habla, y lo eliminamos cuando se nos pide.

Confidencialidad

Solo tienen acceso las personas que lo necesitan para prestar el servicio, y cada una se autentica de forma individual. Todas las personas con acceso están sujetas a un deber de confidencialidad que se mantiene después de su salida.

No comunicamos tus datos a nadie más, salvo en los términos del Anexo 3 o cuando la ley lo exija. Cuando la ley lo exija, te lo diremos, salvo que se nos prohíba hacerlo.

Seguridad

Mantenemos las medidas técnicas y organizativas apropiadas, recogidas en el Anexo 2. La seguridad cambia con el tiempo, así que podemos mejorar esas medidas, pero no reduciremos el nivel general de protección.

Subencargados

Aceptas que podamos recurrir a los subencargados descritos en el Anexo 3. Cada uno está sujeto a un contrato por escrito con cláusulas de protección de datos al menos tan estrictas como estas. Si un subencargado falla, respondemos nosotros ante ti, no él.

Si queremos añadir o sustituir uno, actualizaremos el Anexo 3 y lo comunicaremos a los clientes con al menos 30 días de antelación. Si te opones de forma razonable por motivos de protección de datos dentro de esos 30 días, intentaremos encontrar una solución. Si no podemos, puedes cancelar la parte afectada del servicio y te reembolsaremos la parte no utilizada de lo que hayas pagado.

Cuando alguien pregunta por sus datos

Una persona a la que contactaste puede pedir ver sus datos, rectificarlos, suprimirlos u oponerse a que se usen. Esas solicitudes te corresponden a ti, porque eres el responsable del tratamiento. El producto te da una lista de no contactar, la detención de la secuencia cuando alguien responde y la eliminación prospecto a prospecto para que puedas atenderlas.

Si por error nos llega una, no la responderemos en tu nombre. Te la haremos llegar sin dilación indebida y te ayudaremos a responderla.

Si alguien nos pide directamente que retiremos una página de video creada sobre él, te lo diremos y la retiraremos.

Si algo sale mal

Si descubrimos una violación de la seguridad de los datos personales que afecte a tus datos, incluido cualquier uso no autorizado de una sesión de LinkedIn guardada, te lo diremos sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tengamos conocimiento de ella.

Te diremos qué ha pasado, qué categorías de datos y aproximadamente cuántas personas se ven afectadas, las consecuencias probables y qué estamos haciendo al respecto. Si al principio no tenemos toda esa información, te enviaremos la que tengamos y la completaremos después.

No notificaremos a tu autoridad de control ni a las personas afectadas en tu nombre. Esa decisión es tuya, y tu propio plazo de notificación empieza a contar desde que te lo decimos.

Eliminación

Sesión de LinkedIn. Se elimina cuando desconectas la cuenta, siete días después de que termine tu suscripción o tres días después de una prueba que nunca se pagó. La contraseña y cualquier código de verificación se eliminan como máximo treinta minutos después de que los introduzcas.

Todo lo demás. Tus listas, campañas, conversaciones, grabaciones, videos y modelos de voz se eliminan cuando eliminas tu espacio de trabajo desde la app, y se borran de las copias de seguridad a medida que estas se renuevan, en un plazo de 30 días a partir de ese momento. Puedes eliminar prospectos concretos y sus conversaciones en cualquier momento. Si cancelas pero mantienes tu cuenta, los datos se conservan para que, si vuelves a suscribirte, los recuperes; pídenoslo y los eliminamos antes.

A petición. Si nos pides que eliminemos una parte o la totalidad de los datos, o que antes te los devolvamos, lo haremos en un plazo de 30 días desde la solicitud. Puedes descargar una copia de los datos de tu espacio de trabajo desde la app en cualquier momento. Solo conservamos lo que una ley nos obliga a conservar, y solo durante el tiempo que esa ley exige.

Registros y auditorías

Llevamos un registro de lo que tratamos por cuenta tuya y lo pondremos a tu disposición si lo pides.

Si tu autoridad de control exige una auditoría, o tienes un motivo fundado para creer que no se están cumpliendo estos términos, colaboraremos en una auditoría razonable. La auditoría se hará una vez al año, salvo que la ley o un incidente exijan más, con un preaviso razonable, en horario laboral y sin perjudicar a otros clientes. Cada parte asume sus propios costes.

Envío de datos fuera del Reino Unido y la UE

Nuestros servidores de aplicación y nuestra base de datos están en el Reino Unido. Algunos de nuestros subencargados están fuera del Reino Unido y del EEE, entre otros en Estados Unidos. El Anexo 3 indica a qué categorías se aplica.

Cuando transferimos tus datos fuera del Reino Unido o del EEE, nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea y, para los datos del Reino Unido, en el UK International Data Transfer Addendum, o en la certificación del destinatario al amparo de una decisión de adecuación. Esas cláusulas se incorporan a este acuerdo, con Personade como exportador o importador de datos según el caso, y este acuerdo aporta los datos que exigen sus anexos.

Responsabilidad

La responsabilidad de cada parte en virtud de este acuerdo está sujeta a los límites de nuestros Términos y condiciones de uso.

Duración

Este acuerdo se aplica mientras tratemos datos personales por cuenta tuya. Las obligaciones que deban sobrevivir a él siguen vigentes, incluidas la confidencialidad y la eliminación.

Si los documentos discrepan

Si este acuerdo y nuestros Términos y condiciones de uso se contradicen en algo relativo a los datos personales, prevalece este acuerdo.

Anexo 1. Qué tratamos

Para qué: para ejecutar tus campañas de prospección desde tu cuenta de LinkedIn, encontrar y enriquecer a las personas a las que quieres llegar, mostrarte las conversaciones que resultan y, cuando se encarga, producir y entregar un video personalizado para cada persona de una lista. Todo siguiendo tus instrucciones.

De quién son los datos: de las personas de tus listas y de tus campañas; del titular de cada cuenta de LinkedIn que conectas; y, en el caso del video, de la persona que graba.

Sobre las personas que contactas:

• Lo que importas: nombre, titular, cargo, empresa, ubicación, URL del perfil de LinkedIn, foto y cualquier columna de un CSV o campo que añadas.
• Su perfil público de LinkedIn, leído desde tu cuenta cuando un paso lo abre: extracto, experiencia, formación, aptitudes, número de seguidores y de contactos, y publicaciones recientes cuando un paso interactúa con una. La página de LinkedIn de su empresa, leída una vez por empresa.
• Los datos de contacto que LinkedIn te muestra una vez conectados: correo electrónico, teléfono, sitios web y otros campos de su sección de información de contacto.
• Las direcciones de correo encontradas o estimadas con Find email, guardadas por separado e identificadas como tales.
• Las conversaciones que iniciaron tus campañas: mensajes en ambos sentidos, marcas de tiempo y archivos adjuntos. Nada del resto de tu bandeja de entrada.
• El historial de la campaña: paso alcanzado, fechas de invitación, aceptación y respuesta, etiquetas, tus notas y si está en la lista de no contactar.
• Si usas Suggested leads: hasta 25 perfiles públicos que devuelve un proveedor de búsqueda de prospectos para el perfil de comprador que aprobaste.

Sobre la cuenta de LinkedIn que conectas: su dirección de correo electrónico; su contraseña y cualquier código de verificación, durante treinta minutos como máximo; las cookies de la sesión iniciada, cifradas; los datos de acceso de la dirección residencial fija que se le asigna, cifrados; la pantalla, el idioma, el sistema operativo y la zona horaria del equipo desde el que te conectaste; y el nombre, el titular y la foto de la cuenta.

Para el video personalizado: la grabación hecha por la persona que aparece en cámara; el modelo de voz creado a partir de ella con su consentimiento por escrito, y el registro del consentimiento (momento, texto y, cuando está disponible, dirección IP); el guion de cada persona y el video y la página generados; y la analítica de visualización de cada página (abierta, reproducida, hasta dónde, clic en el botón). No se guarda la dirección IP, el navegador ni la ubicación de ningún espectador.

Lo que no tratamos: tu bandeja de correo, tu CRM y las partes de tu bandeja de entrada de LinkedIn que no tienen nada que ver con tus campañas. No enviamos correos electrónicos en tu nombre.

Categorías especiales de datos: no se necesita ninguna, y tus listas no deberían contener ninguna. La información de contacto leída de LinkedIn puede incluir una fecha de cumpleaños si la persona la publicó; guardamos lo que muestra LinkedIn y no deberías usarla. El modelo de voz es un dato personal de quien habla, creado con su consentimiento, usado solo para tus videos y nunca para identificar a nadie.

Durante cuánto tiempo: mientras exista tu espacio de trabajo y, después, según lo indicado más arriba en Eliminación.

Anexo 2. Medidas de seguridad

• Cifrado en tránsito con TLS en todas las conexiones.
• Cifrado en reposo de la base de datos, los archivos guardados y los videos.
• Las cookies de sesión de LinkedIn, los datos de acceso a los proxies y todos los tokens de terceros se cifran además con AES-256-GCM con una clave que solo se guarda en nuestros servidores, y nunca se incluyen en nada que se envíe a un navegador.
• Las contraseñas y los códigos de verificación de LinkedIn solo se conservan para el inicio de sesión y se borran como máximo treinta minutos después de introducirlos.
• Cada cuenta de LinkedIn conectada funciona a través de una única dirección residencial fija, siempre la misma, que ninguna otra cuenta de Personade usa al mismo tiempo, en una sesión de navegador aislada para cada cuenta.
• Solo se guardan las conversaciones con prospectos de las campañas; el resto del contenido de la bandeja de entrada se descarta en memoria.
• El acceso a los datos de producción está limitado a las personas que lo necesitan, y se autentica de forma individual.
• Los videos generados se sirven desde URL imposibles de adivinar, excluidas de los buscadores, y se eliminan junto con el resto de tus datos.
• Los cambios en producción se revisan antes de publicarse.
• Las copias de seguridad están cifradas y quedan cubiertas por las condiciones de eliminación indicadas arriba.
• Todas las personas que trabajan en Personade están sujetas a obligaciones de confidencialidad por escrito.

Actualmente no tenemos la certificación SOC 2 ni la ISO 27001. Preferimos decirlo claramente antes que dar a entender lo contrario, y actualizaremos esta página si eso cambia.

Anexo 3. Subencargados

Recurrimos a un número reducido de subencargados para prestar el servicio, que cubren:

• alojamiento de la aplicación (Reino Unido)
• los servidores que ejecutan las sesiones del navegador de LinkedIn (Reino Unido)
• base de datos (Reino Unido)
• almacenamiento de archivos, adjuntos y videos
• direcciones de proxy residenciales, por las que pasa el tráfico de tu cuenta de LinkedIn; el proveedor ve el tráfico, no tus datos guardados
• un proveedor de búsqueda de prospectos, que recibe el perfil de comprador que apruebas y devuelve perfiles públicos de LinkedIn; nunca recibe tus listas ni tus conversaciones
• un proveedor de modelos de IA, que recibe el texto de la página de inicio de tu empresa para redactar tu perfil de comprador y, en el caso del video, el nombre de pila, la empresa y el cargo de un prospecto para escribir y comprobar la frase que se dice
• creación de modelos de voz y síntesis de voz, que reciben la grabación y las palabras que dice cada video; y generación de video, que recibe las imágenes grabadas y el video terminado (solo en los encargos de video)
• correo transaccional, que recibe tu propia dirección de correo electrónico para avisos y resúmenes y nunca nada sobre tus prospectos
• facturación, que no recibe nada sobre tus prospectos
• analítica de producto, que recibe eventos sobre cómo usas la app y nunca el contenido de un prospecto, un mensaje o un video

Algunos de ellos están en Estados Unidos. Ningún subencargado recibe sobre una persona de tu lista más de lo que figura en el Anexo 1, y los proveedores que se encargan de la voz y de la generación de video solo reciben los campos que dice el guion.

La lista actual con sus nombres, incluidas la función y la ubicación de cada uno, está disponible si la pides. Escribe a privacy@personade.com y te la enviaremos. La facilitamos a los clientes y a sus asesores de protección de datos, y pedimos que no se publique.

Cada subencargado está sujeto a un contrato por escrito con cláusulas de protección de datos al menos tan estrictas como estas. Si añadimos o sustituimos uno, lo comunicaremos a los clientes con al menos 30 días de antelación, y tienes derecho a oponerte como se indica más arriba.