Este Contrato de encargo del tratamiento (DPA) forma parte del contrato entre una empresa, una entidad del sector público u otro cliente organizativo (el Cliente) y František Mráz, IČO 07961731, que opera bajo el nombre DIRI AI (el Encargado), cuando DIRI AI trata Datos Personales del Cliente por cuenta de este.
1. Definiciones y funciones
Legislación de Protección de Datos Aplicable significa el RGPD, la normativa checa de protección de datos y cualquier otra ley de privacidad que sea aplicable al tratamiento de que se trate. Datos Personales del Cliente significa los datos personales incluidos en el Contenido del Cliente que DIRI AI trata únicamente conforme a instrucciones documentadas del Cliente. Incidente de Seguridad tiene el significado que se le atribuye en la sección 8.
El Cliente actúa como responsable o como encargado del tratamiento, según corresponda. DIRI AI actúa como encargado o como subencargado del tratamiento respecto de los Datos Personales del Cliente. DIRI AI sigue siendo responsable del tratamiento independiente por cuenta propia en lo relativo a la cuenta, la facturación, la prevención del fraude, el cumplimiento legal y la administración de la seguridad que se describen en la Política de privacidad.
2. Ámbito y duración
DIRI AI tratará los Datos Personales del Cliente únicamente para prestar, proteger, soportar y eliminar el servicio, tal como se describe en el Anexo 1 y en las instrucciones documentadas. Este DPA entra en vigor con el contrato de servicio y continúa hasta que los Datos Personales del Cliente se eliminen o se devuelvan, sin perjuicio de la conservación lícita.
El contrato de servicio, la configuración, las solicitudes de soporte y el uso lícito de las funciones documentadas del producto constituyen instrucciones. Una instrucción que exceda del servicio estándar puede requerir un cambio por escrito, una tarifa o una revisión técnica. DIRI AI informará sin demora al Cliente si, en su opinión razonable, una instrucción infringe la Legislación de Protección de Datos Aplicable, y podrá suspender el tratamiento afectado mientras las partes resuelven la cuestión.
3. Obligaciones del Encargado
DIRI AI:
- tratará los Datos Personales del Cliente únicamente conforme a instrucciones documentadas, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa; cuando esté permitido, informará al Cliente antes de dicho tratamiento;
- garantizará que las personas autorizadas para tratarlos estén sujetas a un deber de confidencialidad;
- aplicará y mantendrá las medidas adecuadas al riesgo que se describen en el Anexo 2;
- asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en materia de derechos de los interesados, seguridad, evaluaciones de violaciones de la seguridad, evaluaciones de impacto relativas a la protección de datos (EIPD) y consultas a las autoridades de control;
- mantendrá los registros y la información necesarios para demostrar el cumplimiento del artículo 28 del RGPD;
- notificará al Cliente si recibe un requerimiento vinculante de una autoridad relativo a Datos Personales del Cliente, salvo que la ley prohíba la notificación; y
- no venderá los Datos Personales del Cliente, no los utilizará para publicidad de terceros, no realizará identificación biométrica ni reconocimiento de emociones, ni entrenará con ellos un modelo de propósito general sin un acuerdo escrito independiente y una base jurídica lícita.
4. Obligaciones del Cliente
El Cliente es responsable de la licitud, la lealtad y la exactitud de sus instrucciones y de los Datos Personales del Cliente. Debe:
- proporcionar los avisos exigidos y establecer una base jurídica válida;
- configurar el acceso, la conservación y los roles de forma proporcionada;
- evitar datos de categorías especiales, datos sobre infracciones penales, datos de tarjetas de pago, credenciales, datos de salud o datos secretos de clientes reales que no sean necesarios;
- cumplir las obligaciones de consulta a empleados y trabajadores, las normas de supervisión, los deberes frente a sindicatos o comités de empresa y la supervisión humana;
- responder a los interesados y completar cualquier EIPD que sea exigible; y
- asegurarse de que sus instrucciones no utilicen DIRI AI para fines prohibidos o de alto riesgo.
5. Subencargados del tratamiento
El Cliente otorga una autorización general para los subencargados del tratamiento que figuren en la Lista de subencargados del tratamiento vigente. DIRI AI vinculará a cada subencargado con obligaciones de protección de datos no menos protectoras, en lo sustancial, que las obligaciones pertinentes de este DPA y seguirá siendo responsable de su cumplimiento en la medida exigida por la ley.
DIRI AI debería avisar con al menos 30 días de antelación de cualquier nuevo subencargado que vaya a tratar Datos Personales del Cliente. Durante ese plazo, el Cliente podrá oponerse por motivos razonables de protección de datos. Las partes buscarán una garantía o una alternativa razonables. Si no hubiera ninguna razonablemente disponible, cualquiera de las partes podrá poner fin a la función o al servicio afectados sin penalización por el periodo afectado, prepagado y no utilizado.
Una sustitución urgente necesaria por razones de seguridad, de ley o de continuidad del servicio podrá realizarse antes, con aviso lo antes razonablemente posible. DIRI AI registra y envía estos avisos a través de un canal de contacto empresarial duradero.
6. Transferencias internacionales
DIRI AI no realizará una transferencia restringida sin un mecanismo lícito. Según la transferencia, este podrá ser una decisión de adecuación, las Cláusulas Contractuales Tipo de la Comisión Europea aplicables, la Adenda del Reino Unido u otra garantía válida. DIRI AI realizará y documentará una evaluación de la transferencia y medidas complementarias razonables cuando sea necesario.
A petición razonable del Cliente, DIRI AI facilitará la información pertinente sobre las garantías, sujeta a las omisiones necesarias por confidencialidad y seguridad. La Lista de subencargados del tratamiento identifica a los proveedores y las finalidades; el Registro de proveedores y transferencias de DIRI AI recoge las ubicaciones y los mecanismos de transferencia aplicables. La sede de un proveedor o la región seleccionada, por sí solas, no prueban que no se produzca ninguna transferencia.
7. Solicitudes de los interesados y asistencia
Si DIRI AI recibe una solicitud relativa a Datos Personales del Cliente, no responderá sobre el fondo salvo conforme a instrucciones del Cliente o cuando la ley lo exija. La remitirá sin demora al Cliente cuando este pueda ser identificado y ofrecerá las funciones de autoservicio de exportación, corrección y eliminación que estén disponibles.
La asistencia razonable estándar está incluida. La asistencia desproporcionada, repetitiva o a medida podrá cobrarse a un precio razonable acordado a los clientes empresariales cuando la ley lo permita, pero DIRI AI no cobrará por el trabajo causado por su propio incumplimiento.
8. Incidentes de seguridad y violaciones de la seguridad de los datos personales
Un Incidente de Seguridad es una destrucción, pérdida o alteración accidental o ilícita, o una comunicación o un acceso no autorizados, confirmados, respecto de Datos Personales del Cliente. Excluye los intentos fallidos que no comprometan Datos Personales del Cliente, como los escaneos bloqueados o los inicios de sesión fallidos.
DIRI AI notificará al Cliente sin dilación indebida después de tener conocimiento de un Incidente de Seguridad. El objetivo operativo es una notificación inicial en un plazo de 48 horas cuando sea razonablemente posible, pero el criterio jurídico es sin dilación indebida. La notificación incluirá la información disponible sobre:
- la naturaleza, el momento y los sistemas o interesados afectados;
- las consecuencias probables;
- la contención, la mitigación y la corrección;
- un punto de contacto; y
- la información razonablemente necesaria para los deberes de notificación del Cliente.
La información podrá facilitarse por fases. DIRI AI conservará las pruebas pertinentes, cooperará con el Cliente y proporcionará actualizaciones adecuadas. La notificación no constituye un reconocimiento de culpa ni de responsabilidad. El Cliente decide si debe notificar a una autoridad de control o a las personas afectadas, salvo que DIRI AI tenga un deber legal independiente.
El plazo de 48 horas es un objetivo operativo, no un plazo garantizado, y no retrasa ninguna notificación anterior exigida por la ley o por este DPA.
9. Devolución y eliminación
Durante la suscripción y el periodo de exportación documentado, el Cliente podrá exportar el Contenido del Cliente disponible en un formato de uso común y legible por máquina. Al finalizar el contrato o a solicitud por escrito, DIRI AI eliminará o devolverá los Datos Personales del Cliente, a elección de este, salvo que la ley exija su conservación.
La eliminación en los sistemas activos debería completarse en un plazo de 30 días tras el periodo de cierre o de exportación aplicable. Las copias de seguridad cifradas y aisladas pueden mantenerse hasta el ciclo de caducidad verificado del proveedor; permanecen protegidas, no se restauran para el uso ordinario y se eliminarán de nuevo si se restauran para la recuperación ante desastres. Los registros de facturación, seguridad, fraude, reclamaciones y retención legal se conservan únicamente conforme a las finalidades de DIRI AI como responsable del tratamiento y a la Política de conservación de datos.
DIRI AI mantiene controles del ciclo de vida para el periodo de exportación aplicable, las tareas de eliminación y el ciclo de caducidad de las copias de seguridad del proveedor, y los revisa tras un cambio sustancial en el ciclo de vida o en el proveedor.
10. Auditoría y pruebas
A petición escrita razonable, no más de una vez al año, DIRI AI facilitará la información necesaria para demostrar el cumplimiento, como este DPA, la información sobre subencargados del tratamiento, la documentación de seguridad y los informes independientes disponibles. Se admiten solicitudes adicionales tras un Incidente de Seguridad sustancial o por requerimiento de una autoridad de control.
Si esa información no fuera suficiente, el Cliente podrá solicitar una auditoría remota proporcionada realizada por un auditor independiente y cualificado sujeto a confidencialidad. Una auditoría presencial es el último recurso, se realizará en horario laboral normal, sin acceso a los datos de otros clientes y sin comprometer la seguridad. El Cliente asume los costes razonables de la auditoría, salvo que esta identifique un incumplimiento sustancial por parte de DIRI AI. Ninguna certificación de un proveedor se presenta como una certificación de DIRI AI.
11. Responsabilidad y prelación
La responsabilidad derivada de este DPA se rige por el contrato de servicio, salvo en la medida en que la Legislación de Protección de Datos Aplicable no permita una limitación. Si este DPA entra en conflicto con el contrato de servicio en materia de tratamiento de Datos Personales del Cliente, prevalece este DPA. La ley imperativa y las Cláusulas Contractuales Tipo aplicables debidamente formalizadas prevalecen sobre ambos.
12. Contacto y formalización
Contacto de privacidad: privacy@diriai.com. Este DPA pasa a formar parte de un contrato únicamente cuando la versión exacta 1.2.0 se pone a disposición antes de la contratación y se incorpora mediante un contrato de servicio válido o un pedido firmado.
Versión: 1.2.0. Fecha: 30 de agosto de 2026.
Anexo 1 — Detalles del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto | Alojamiento y explotación de un servicio de entrenamiento de conversaciones de voz y texto asistido por IA, de informes, de administración de equipos, de soporte, de seguridad, de exportación y de eliminación |
| Duración | Duración de la suscripción más el periodo documentado de exportación y eliminación y las excepciones lícitas |
| Naturaleza | Recogida, grabación cuando esté activada, estructuración, almacenamiento, consulta, transmisión a proveedores aprobados, análisis, generación, puntuación, soporte, limitación, exportación y eliminación |
| Finalidades | Prestar las simulaciones e informes solicitados por el cliente; administrar el espacio de trabajo y los límites; proteger, soportar y mantener el servicio |
| Interesados | Usuarios del cliente, administradores, participantes en el entrenamiento, empleados y contratistas representados en el contenido y otras personas cuyos datos el Cliente envíe lícitamente |
| Tipos de datos | Nombres, datos de contacto laboral y de cuenta, roles, identificadores, escenarios, entradas de texto y de voz, audio opcional, transcripciones, anotaciones, informes, puntuaciones, datos de uso, de dispositivo y de red y de auditoría, mensajes de soporte |
| Datos de categorías especiales | No están previstos ni autorizados en los planes estándar. El Cliente no debe enviarlos salvo que se acuerden una instrucción escrita independiente y una base conforme a los artículos 9 y 10, una evaluación y garantías |
| Frecuencia | Bajo demanda y de forma continua para la administración de la cuenta, de la seguridad y del servicio |
| Devolución y eliminación | Exportación por autoservicio o solicitada, seguida de eliminación conforme a la sección 9 y a la Política de conservación de datos |
Anexo 2 — Medidas técnicas y organizativas
Se trata de requisitos contractuales mínimos de diseño, no de una certificación:
- Control de acceso: cuentas únicas, autorización basada en roles y limitada a cada inquilino, mínimo privilegio, gestión de miembros controlada por el administrador y revisión de los accesos privilegiados.
- Autenticación y sesiones: cookies de sesión protegidas, transporte seguro, limitación de frecuencia, separación de credenciales y secretos y autenticación multifactor cuando se ofrezca.
- Separación de inquilinos: identificadores de inquilino y autorización en el servidor sobre el Contenido del Cliente y las acciones administrativas; pruebas de acceso entre inquilinos.
- Cifrado: TLS para los datos compatibles en tránsito y cifrado en reposo gestionado por el proveedor cuando esté verificado; claves y secretos excluidos del código fuente y de los registros.
- Minimización de datos: grabación desactivada por defecto, telemetría controlada, depuración restringida en producción, ningún dato completo de tarjetas, filtrado de contenido en los registros y conservación configurable y breve.
- Registro y supervisión: eventos de seguridad y de administración auditables, supervisión de errores depurada, alertas y pruebas protegidas con límites de acceso y de conservación.
- Disponibilidad y recuperación: supervisión del estado del servicio, colas y reintentos cuando proceda, copias de seguridad del proveedor, procedimientos de restauración y revisión periódica de la recuperación; los planes estándar no incluyen ningún objetivo de recuperación contractual salvo que se acuerde expresamente.
- Desarrollo seguro: revisión de cambios, pruebas automatizadas, comprobaciones de dependencias y secretos, separación de entornos y cambios controlados en producción.
- Respuesta a incidentes: proceso documentado de clasificación, contención, pruebas, notificación y lecciones aprendidas, con responsable de contacto.
- Gestión de proveedores: revisión del DPA y de la seguridad, evaluación de la región y de las transferencias, configuración con el mínimo de datos y revisión de la baja y la eliminación.
- Eliminación y continuidad: tareas del ciclo de vida para contenido, exportaciones, registros y objetos del proveedor; caducidad de las copias de seguridad y retenciones legales documentadas por separado.
- Personal y gobernanza: confidencialidad, acceso según necesidad de conocer, revisión periódica de accesos, formación en privacidad y seguridad y registros de tratamiento.
Anexo 3 — Subencargados del tratamiento aprobados
La lista vigente en https://diriai.com/en/legal/subprocessors se incorpora por referencia. Un proveedor queda autorizado por este Anexo únicamente para la función indicada que DIRI AI utilice realmente en virtud de un contrato aplicable con el proveedor.