Legal y confianza

Contrato de encargo del tratamiento

En vigor desde 2026-10-19 · versión 2.0

Esta es una traducción del texto original en inglés. En caso de discrepancia entre las versiones lingüísticas, prevalece la versión en inglés.

Texto estándar para Free y los Planes de Pago, aceptado junto con las condiciones del servicio. Los clientes Corporate pueden negociar un DPA aparte.

1. Partes y ámbito

Este Contrato de Encargo del Tratamiento (DPA) se celebra entre el cliente que aceptó las condiciones del servicio (el Responsable) y Thalius AI AB, número de organización 559528-5635, NIF-IVA SE559528563501, Slipgatan 5, 117 39 Estocolmo, Suecia (el Encargado). Se aplica cuando el Encargado trata datos personales por cuenta del Responsable al prestar el servicio Thalius Hippocampus (el Servicio), y cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Si este DPA y las condiciones del servicio entran en conflicto en materia de protección de datos, prevalece este DPA.

2. Detalles del tratamiento

En un chat público, el Responsable es el responsable del tratamiento de las preguntas y respuestas de los visitantes. El Encargado conserva direcciones de red convertidas en hash para prevenir abusos como responsable del tratamiento por cuenta propia, según se describe en su aviso de privacidad.

3. Obligaciones del Encargado

El Encargado:

1. trata los datos personales únicamente siguiendo las instrucciones documentadas del Responsable: las condiciones, este DPA y la configuración del Servicio por parte del Responsable. Si una instrucción parece infringir la legislación de protección de datos, el Encargado lo comunica;
2. garantiza que todas las personas con acceso a los datos están sujetas a un deber de confidencialidad;
3. aplica las medidas técnicas y organizativas del Anexo 1;
4. recurre a subencargados únicamente según lo previsto en la sección 5;
5. ayuda al Responsable a atender las solicitudes de los interesados, principalmente mediante las funciones propias del Servicio de descarga, rectificación y supresión, y mediante la exportación previa solicitud;
6. ayuda al Responsable en materia de seguridad, notificación de violaciones de la seguridad de los datos personales, evaluaciones de impacto y consulta previa, teniendo en cuenta la naturaleza del tratamiento;
7. suprime o devuelve los datos personales al finalizar el Servicio según lo previsto en la sección 10;
8. facilita la información necesaria para demostrar el cumplimiento y permite auditorías según lo previsto en la sección 8.

El acceso del personal a los registros de conversaciones con fines de soporte, prevención de abusos y seguridad constituye una instrucción del Responsable en virtud de este DPA; cada uno de esos accesos queda registrado.

El Encargado no utiliza los datos personales del Cliente para entrenar modelos de IA ni los vende.

4. Obligaciones del Responsable

El Responsable es responsable de disponer de una base jurídica para los datos que sube o importa, de informar a los interesados, de configurar el acceso dentro de su espacio de trabajo, de las aplicaciones que conectan sus usuarios y de los chats públicos que publica, y de no subir datos que no pueda tratar.

5. Subencargados

• El Responsable otorga una autorización general para los subencargados enumerados en la página de subencargados.
• El Encargado anuncia los subencargados nuevos o sustitutos en esa página, y por correo electrónico a los propietarios del espacio de trabajo, al menos 30 días antes de que sean de aplicación.
• El Responsable puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no se encuentra una solución, el Responsable puede poner fin al Servicio afectado y recibir el reembolso de las cuotas pagadas por adelantado correspondientes a los meses completos no utilizados.
• El Encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y sigue siendo responsable del cumplimiento de dichas obligaciones por parte de estos.

6. Transferencias internacionales

Los documentos y la estructura de conocimiento se almacenan en la UE (Finlandia). Cuando un subencargado trata datos personales fuera de la UE/EEE, la transferencia se basa en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para los proveedores certificados) o en las Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión, Módulo 3), respaldadas por una evaluación del riesgo de la transferencia. Los clientes Corporate pueden exigir inferencia alojada en la UE o alojada por el cliente para que no se produzca ninguna transferencia.

7. Violaciones de la seguridad de los datos personales

El Encargado notifica al Responsable sin dilación indebida, y a más tardar 72 horas después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Responsable. La notificación incluye lo que se sabe sobre la naturaleza de la violación, las categorías y el número aproximado de afectados, las consecuencias probables y las medidas adoptadas o propuestas. La información adicional se facilita a medida que está disponible.

8. Auditorías

El Encargado pone a disposición, previa solicitud, su documentación de seguridad, la lista de subencargados y los resultados de cualquier evaluación de terceros. Si no bastan, el Responsable puede auditar, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, una vez al año con 30 días de preaviso, a su propio coste y de una manera que no comprometa los datos de otros clientes.

9. Responsabilidad

La responsabilidad en virtud de este DPA sigue las limitaciones de las condiciones del servicio, salvo cuando el RGPD no las permita.

10. Supresión y devolución

• El Responsable puede descargar sus documentos y carpetas, y suprimir documentos, en cualquier momento. Suprimir un documento fuente suprime todo lo derivado de él en el vault, el índice y el grafo. Suprimir un espacio de trabajo suprime sus documentos y todo lo derivado de ellos.
• Los registros de los chats públicos se suprimen o anonimizan al cabo de 30 días.
• El Responsable debe exportar lo que necesite antes de que finalice el Servicio: documentos y carpetas, o una exportación completa de un espacio de trabajo por parte de su propietario, en la aplicación; o una exportación completa previa solicitud a [email protected], entregada en un plazo de 30 días. No se ofrece exportación tras la terminación.
• Al finalizar el Servicio, el Encargado suprime los datos personales del Responsable de los sistemas activos en un plazo de 30 días y de las copias de seguridad en un plazo de 90 días, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.
• Previa solicitud, el Encargado confirma la supresión por escrito.
• Un contrato Corporate puede fijar plazos distintos de los previstos en esta sección.

11. Legislación aplicable

Este DPA se rige por el Derecho sueco, y las controversias se resuelven según lo previsto en las condiciones del servicio.

Anexo 1 — Medidas técnicas y organizativas

Cifrado

• Cada documento se cifra con su propia clave (XChaCha20-Poly1305), vinculada a la identidad del espacio de trabajo y del documento y envuelta en un servicio de gestión de claves en la nube. La clave raíz nunca sale del KMS.
• La capa de almacenamiento contiene únicamente texto cifrado. El descifrado se realiza dentro del vault de documentos, por petición.
• TLS protege todos los datos en tránsito.

Aislamiento de espacios de trabajo y control de acceso

• La identidad del espacio de trabajo se vincula a cada operación de cifrado, de modo que los datos no pueden descifrarse bajo otro espacio de trabajo.
• Los permisos se aplican dentro de la capa de recuperación, de modo que los resultados que un usuario no puede leer se filtran antes del ranking.
• Permisos por carpeta y documento, grupos y herencia, y aislamiento por usuario dentro de un espacio de trabajo compartido.
• Inicio de sesión mediante enlace por correo electrónico, contraseña o una cuenta de Google, Microsoft, Apple o GitHub a través de Google Cloud Identity Platform en Free y los Planes de Pago; inicio de sesión único SAML/OIDC en Corporate. Las sesiones se verifican criptográficamente en el borde de la aplicación.
• Las aplicaciones conectadas a través del servidor MCP o de claves de API reciben tokens de alcance limitado que actúan dentro de los permisos del usuario que las conecta y que el usuario puede revocar en cualquier momento.
• Los tokens de los servicios de terceros conectados se almacenan cifrados y se suprimen cuando se desconecta el servicio.

Registro y supervisión

• Las operaciones del vault relevantes para la seguridad se registran en secuencia, con supervisión de huecos.
• Cada respuesta se resuelve en un rango de bytes de una fuente identificada, de modo que el acceso puede rastrearse a nivel de pasaje.
• El acceso del personal a los registros de conversaciones queda registrado.

Acceso de los operadores

• Los operadores de infraestructura no pueden eludir la autorización.
• El acceso a los datos de los clientes se limita a lo estrictamente necesario, para el soporte que el cliente solicita, la prevención de abusos o la seguridad.

Minimización hacia los proveedores de modelos

• Los proveedores de modelos reciben solo los fragmentos necesarios para una petición, de forma transitoria, y no tienen forma de descifrar los datos almacenados.

Resiliencia y supresión

• Los datos derivados pueden reconstruirse a partir de los documentos fuente. La supresión se propaga en cascada desde los documentos fuente a todo lo derivado de ellos, y desde un espacio de trabajo a todos sus datos.
• Las copias de seguridad se conservan durante 90 días como máximo.

Medidas organizativas

• Compromisos de confidencialidad del personal y de los contratistas, un procedimiento documentado de respuesta a incidentes y diligencia debida sobre los subencargados.

Puntos abiertos conocidos

• Aún no se ha encargado una revisión de seguridad por un tercero.
• La capa de conocimiento derivado está pasando a quedar bajo el mismo perímetro de cifrado que los documentos fuente.
• Los registros de conversaciones aún no están confinados a la UE.

Anexo 2 — Subencargados

La lista actual, con la fase, la región y los datos que trata cada uno, está en la página de subencargados y forma parte de este DPA.