Legal
Acuerdo de tratamiento de datos
Última actualización: 12 de octubre de 2026
Esta traducción se ofrece por comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés. Leer la versión en inglés.
Este es el acuerdo estándar de tratamiento de datos (DPA) de Incbury. Forma parte de nuestras condiciones de uso para clientes que usan Incbury en nombre de una organización y se aplica sin necesidad de firma.
Si necesitas una copia firmada, solicítala indicando la razón social de tu organización y te la devolveremos firmada por Foundry Systems Ltd (número de sociedad 16940612, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom).
1. Ámbito y funciones
Este DPA se aplica cuando Foundry Systems Ltd («Incbury») trata datos personales por cuenta de un cliente («Cliente») mediante Incbury Chat, Teams, Business o la plataforma para desarrolladores (el «Servicio»). El Cliente es el responsable e Incbury el encargado. Se aplica según el RGPD del Reino Unido, la Data Protection Act 2018 y, cuando proceda, el RGPD de la UE.
2. Instrucciones
Incbury trata los datos personales del Cliente solo siguiendo sus instrucciones documentadas, que son el contrato, este DPA y el uso y configuración del Servicio por el Cliente. Incbury avisará al Cliente si considera que una instrucción infringe la normativa de protección de datos.
3. Confidencialidad
Incbury garantiza que todas las personas autorizadas a tratar datos personales del Cliente están sujetas a confidencialidad y solo tienen el acceso que su función requiere.
4. Seguridad
Incbury aplica las medidas técnicas y organizativas del Anexo 2 y puede actualizarlas siempre que no se reduzca el nivel general de protección. Los detalles actuales están en nuestro centro de confianza.
5. Subencargados
El Cliente autoriza a Incbury a usar los subencargados de nuestra lista de subencargados. Incbury avisará con al menos 30 días de antelación de cualquier nuevo subencargado, el Cliente podrá oponerse por motivos razonables de protección de datos, e Incbury impondrá obligaciones equivalentes a cada subencargado y seguirá siendo responsable de él.
6. Transferencias internacionales
Cuando se transfieran datos personales del Cliente fuera del Reino Unido o del EEE, Incbury se basa en decisiones de adecuación o en el International Data Transfer Agreement o Addendum del Reino Unido y en las Cláusulas Contractuales Tipo de la UE, que se incorporan por referencia.
7. Asistencia
Incbury ayuda al Cliente a atender solicitudes de los interesados mediante las funciones de exportación, eliminación, SCIM y API de cumplimiento del Servicio, y presta una ayuda razonable en seguridad, notificación de brechas, evaluaciones de impacto y consultas a las autoridades.
8. Brechas de datos personales
Incbury notificará al Cliente sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de una brecha que afecte a datos personales del Cliente, con la información disponible y actualizaciones posteriores.
9. Auditorías
Incbury facilitará la información necesaria para demostrar el cumplimiento de este DPA, incluidos certificados e informes de auditoría cuando existan. El Cliente puede realizar una auditoría al año con 30 días de preaviso, a su cargo, o cuando lo exija una autoridad.
10. Supresión y devolución
El Cliente puede exportar sus datos en cualquier momento. Al terminar el contrato, Incbury suprime los datos personales del Cliente de los sistemas activos en 30 días y de las copias de seguridad en 90 días, salvo que la ley exija conservarlos.
11. Sin entrenamiento ni venta
Incbury no usa los datos personales del Cliente para entrenar sus modelos ni los vende.
12. Responsabilidad y prelación
La responsabilidad según este DPA está sujeta a los límites del contrato. Si este DPA contradice el contrato en materia de protección de datos, prevalece este DPA; si contradice las Cláusulas Contractuales Tipo o el acuerdo de transferencia, prevalecen estos.
Anexo 1: Detalles del tratamiento
| Objeto | Prestar el Servicio al Cliente. |
|---|---|
| Duración | La vigencia del contrato más los plazos de supresión de la cláusula 10. |
| Naturaleza y finalidad | Almacenar, transmitir y tratar contenidos con modelos de IA para generar respuestas, buscar, ejecutar herramientas y ofrecer funciones del espacio de trabajo. |
| Interesados | Usuarios autorizados del Cliente y personas cuyos datos personales aparezcan en el contenido que envíe el Cliente. |
| Datos personales | Datos de cuenta y perfil, conversaciones, instrucciones y respuestas, archivos subidos, contenido de conectores que el Cliente decida compartir e información de uso y dispositivo. |
| Categorías especiales | No previstas. El Cliente decide si las envía y debe contar con una base jurídica. |
| Frecuencia | Continua, mientras el Cliente use el Servicio. |
Anexo 2: Medidas técnicas y organizativas
- Cifrado en tránsito con TLS 1.2 o superior y en reposo para bases de datos, almacenamiento de objetos y copias de seguridad.
- Inicio de sesión único, aprovisionamiento SCIM, autenticación en dos pasos y control de acceso por roles.
- Acceso a producción con privilegios mínimos, gestión de secretos y registro de auditoría a prueba de manipulaciones.
- Entornos aislados y efímeros para la ejecución de código y la navegación.
- Controles de red, incluidas listas de IP permitidas para espacios de trabajo Business.
- Revisión de código, pruebas automáticas e integración continua antes del despliegue.
- Copias de seguridad diarias cifradas de las bases de datos gestionadas y procedimientos de recuperación documentados.
- Respuesta a incidentes con notificación de brechas según la cláusula 8.
- Retención y supresión configurables, y exportación de datos en cualquier momento.
Anexo 3: Subencargados
La lista actual de subencargados, con su finalidad y ubicación, está publicada en nuestra política de privacidad.