Anexo de Tratamiento de Datos (DPA)

Este Anexo de Tratamiento de Datos (el "DPA") forma parte del contrato entre el creador (el "Responsable") y Marea Kiss LLC, que opera Clonify (el "Encargado"), y refleja las obligaciones de las partes conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Se acepta al crear la cuenta de Clonify y se aplica desde el primer tratamiento, también durante la prueba o en un plan gratuito.

Artículo 1. Definiciones

• Responsable: el creador que usa Clonify, en prueba, en un plan gratuito o de pago, y determina los fines y medios del tratamiento de los datos personales de sus visitantes.
• Encargado: Marea Kiss LLC, que opera el servicio Clonify por cuenta del Responsable.
• Interesado: cualquier visitante de un clon publicado por el Responsable.

Artículo 2. Objeto y duración

El Encargado trata datos personales de los visitantes del Responsable con el único fin de prestar el servicio Clonify. Este DPA permanece en vigor mientras el Encargado trate datos personales por cuenta del Responsable.

Artículo 3. Naturaleza y finalidad

Operar un clon de IA del Responsable: almacenar el contenido subido, transcribir audio/vídeo, generar embeddings, ejecutar modelos de lenguaje para producir respuestas, mantener sesiones de visitantes, elaborar perfil de memoria por visitante y devolver analítica.

Cuando el creador activa Meta Lead Ads, importar los envíos de los formularios que seleccione, crear o actualizar sus contactos y mostrar sus respuestas y origen en el CRM.

Artículo 4. Tipos de datos y categorías de interesados

Interesados: visitantes del clon del Responsable y personas que envían los formularios de Meta Lead Ads seleccionados por el Responsable cuando activa esa conexión. Categorías tratadas:

• Dirección de email y nombre opcional.
• Transcripciones de conversaciones con el clon.
• Perfil de memoria derivado por IA.
• Dirección IP, user agent, cookies de sesión.
• Fecha de aceptación de los términos del visitante.
• Con Meta Lead Ads activado: nombre, email, teléfono, respuestas a las preguntas del formulario, fecha del envío y datos de origen de página, formulario, campaña, conjunto de anuncios, anuncio y plataforma que Meta facilite.
• Mensajes intercambiados con el clon en WhatsApp, Instagram o Discord, cuando el Responsable conecta esos canales.
• Reservas y, cuando el Responsable graba una reunión, la grabación y su transcripción.
• Respuestas y notas de exámenes y, si la vigilancia está activa, incidencias del navegador.

No se tratan intencionadamente categorías especiales de datos (art. 9 RGPD), con una excepción que decide el Responsable. Si el Responsable exige verificar la identidad en un examen, Stripe compara la cara del alumno con su documento de identidad, lo que es un dato biométrico. En ese caso el Encargado solo inicia la verificación tras recoger en pantalla el consentimiento explícito del alumno (art. 9.2.a RGPD), y conserva únicamente el resultado y el nombre verificado. El Responsable decide si la exige y debe valorar si necesita una evaluación de impacto, con la asistencia del Encargado. El Responsable no debe configurar el clon para provocar la entrega de otros datos de categorías especiales.

Artículo 5. Derechos y obligaciones del Responsable

• Dar instrucciones lícitas; configurar el clon desde el panel cuenta como instrucciones documentadas.
• Garantizar una base jurídica válida para el tratamiento de los datos de los visitantes.
• Publicar su propia información de privacidad cuando el clon se integre en el dominio del Responsable.
• Atender solicitudes de derechos en los plazos legales.

Artículo 6. Obligaciones del Encargado

• Tratar los datos únicamente bajo instrucciones documentadas.
• Garantizar que las personas autorizadas estén sujetas a confidencialidad.
• Implementar las medidas de seguridad descritas en el Artículo 9.
• Recurrir a subencargados conforme al Artículo 7.
• Notificar al Responsable cualquier violación de seguridad sin dilación indebida y, como máximo, en 48 horas desde su conocimiento, con la información disponible en ese momento (naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas), que completará a medida que la obtenga.
• Asistir al Responsable en el cumplimiento de los artículos 32-36 RGPD.

Artículo 7. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, cada uno vinculado por un contrato escrito que les impone obligaciones equivalentes a este DPA:

El Encargado avisará al Responsable con al menos 30 días de antelación sobre cualquier alta o sustitución. El Responsable podrá oponerse por motivos razonables de protección de datos; si no se alcanza acuerdo, cualquiera de las partes podrá resolver la parte afectada.

Artículo 8. Derechos de los interesados

Cuando un visitante ejerza sus derechos directamente ante el Encargado, éste trasladará la solicitud al Responsable sin dilación indebida y le asistirá en su cumplimiento. Las solicitudes de borrado dirigidas a privacy@clonify.com las atiende el Encargado de forma inmediata.

Artículo 9. Medidas de seguridad

• Aislamiento multi-tenant en la capa de aplicación vía el primitive queryWithTenant, complementado por reglas de lint.
• Cifrado en reposo proporcionado por Neon (base de datos) y Cloudflare R2 (archivos).
• Cifrado en tránsito (TLS 1.2+) en todos los endpoints públicos.
• Rate limiting en endpoints sensibles (auth, OTP, chat) vía Upstash.
• Fijación de CORS a orígenes autorizados para el widget embebible.
• Autenticación basada en OTP para identificar visitantes.
• Control de acceso basado en roles en el panel de administración.

Artículo 10. Transferencias internacionales

El Encargado está establecido en Estados Unidos, y la base de datos principal y el alojamiento de la aplicación se encuentran en EE.UU. (Virginia). Varios subencargados están también en Estados Unidos. Dichas transferencias se amparan en Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión) y, cuando el destinatario esté autocertificado, en el marco EU-US Data Privacy Framework.

Artículo 11. Inteligencia artificial

• El Encargado no utiliza los datos personales tratados por cuenta del Responsable para entrenar modelos de IA, propios ni de terceros, ni para mejorar el clon de otro creador.
• Los modelos de lenguaje que generan las respuestas se usan por su API, en condiciones en las que el proveedor no emplea esos datos para entrenar sus modelos.
• El clon se presenta ante los visitantes como una IA en todos los canales (artículo 50 del Reglamento (UE) 2024/1689). El Responsable no debe ocultar ni eliminar ese aviso.

Artículo 12. Terminación — devolución o supresión

Al terminar, el Encargado aplica un calendario de soft-delete tipo Shopify:

• El workspace pasa a estado "suspendido" durante 90 días; el Responsable puede exportar datos y reactivar.
• Pasados 90 días: datos personales de visitantes eliminados de forma definitiva.
• Esqueleto mínimo del tenant (facturación, datos fiscales) conservado 4 años por obligación fiscal española.
• El Responsable puede solicitar la supresión inmediata de todos los datos en cualquier momento.

Artículo 13. Derecho de auditoría

El Responsable podrá auditar el cumplimiento del Encargado de este DPA hasta una vez por año natural, con preaviso mínimo de 30 días por escrito, durante el horario laboral y sin perjudicar indebidamente las operaciones. El Encargado podrá atender solicitudes aportando certificaciones, atestados o resúmenes escritos de controles existentes. Las auditorías adicionales motivadas por una brecha documentada o por una instrucción vinculante de una autoridad de control no contarán para el límite anual.

Aceptación

Este DPA se acepta al crear la cuenta de Clonify y se aplica desde el primer tratamiento, también durante la prueba o en un plan gratuito. Aplica la versión más reciente publicada. Las modificaciones sustanciales se notificarán por email con un preaviso de al menos 30 días cuando sea razonablemente posible.

Ley aplicable

Este DPA se rige por la legislación española y, en materia de protección de datos, por el RGPD, sin perjuicio de las normas imperativas que resulten aplicables al Responsable.