DPA / RGPD

Acuerdo de tratamiento — Winstory

ARTICLE 1 — PARTES Y ROL

Este acuerdo se aplica cuando el cliente profesional es responsable del tratamiento y Winstory trata datos por su cuenta, según instrucciones documentadas. No cubre los tratamientos de los que Winstory es ella misma responsable, en particular la facturación, la seguridad de la plataforma y la prueba de aceptación. Ese tratamiento no está cubierto por este acuerdo solo.

ARTICLE 2 — OBJETO

El objeto es la ejecución de la Campaña y de los servicios encargados: alojamiento de los contenidos facilitados, encaminamiento de las generaciones pedidas y soporte asociado. La duración es la del contrato y luego los plazos de restitución o de supresión.

ARTICLE 3 — INSTRUCCIONES

Winstory solo trata según instrucciones documentadas del cliente, incluidos los transferencias, salvo obligación legal. Informa al cliente si una instrucción le parece ilícita, y puede suspender la instrucción impugnada.

ARTICLE 4 — CONFIDENCIALIDAD

Las personas autorizadas a tratar están sujetas a confidencialidad. Esa obligación sobrevive al fin de su misión.

ARTICLE 5 — SEGURIDAD

Winstory aplica medidas técnicas y organizativas proporcionadas: control de acceso, cifrado en tránsito cuando el canal lo permite, registro, copias de seguridad y separación lógica de las Campañas. El detalle figura en el anexo de medidas. No se presenta como un catálogo certificado exhaustivo.

ARTICLE 6 — SUBENCARGADOS

El cliente autoriza a los subencargados ulteriores necesarios para el servicio, en particular el alojamiento, la base y los proveedores de IA efectivamente usados para sus instrucciones. La lista publicada con el contrato no se declara completa más allá de esas categorías. Winstory informa de un cambio significativo y permite al cliente oponerse por un motivo legítimo ligado a la protección de datos. Winstory impone al subencargado obligaciones equivalentes.

ARTICLE 7 — ASISTENCIA A LOS INTERESADOS

Teniendo en cuenta la naturaleza del tratamiento, Winstory ayuda al cliente a responder a los interesados, mediante medidas técnicas apropiadas, en un plazo compatible con el plazo del cliente.

ARTICLE 8 — VIOLACIÓN

Winstory notifica al cliente una violación de datos de la que tenga conocimiento, sin dilación indebida, con la información de que disponga para que el cliente pueda notificar a la autoridad y a las personas si la ley lo exige.

ARTICLE 9 — EVALUACIÓN DE IMPACTO

Winstory ayuda al cliente, en la medida del servicio, para una evaluación de impacto o una consulta previa, facilitando la información sobre el tratamiento que realiza. El análisis sigue siendo del responsable.

ARTICLE 10 — SUPRESIÓN Y RESTITUCIÓN

Al término, Winstory, a elección del cliente, restituye o procede a la supresión de los datos tratados por su cuenta, y luego destruye las copias, salvo obligación legal de conservación. Las copias de seguridad se borran según su ciclo.

ARTICLE 11 — AUDITORÍA

El cliente puede auditar el cumplimiento de este acuerdo, como máximo una vez al año salvo incidente, con preaviso razonable, por sí mismo o por un auditor independiente sujeto a secreto, sin acceder a los datos de otros clientes. Winstory puede sustituir un informe de auditoría pertinente.

ARTICLE 12 — TRANSFERENCIAS

Si un subencargado está fuera del Espacio Económico Europeo, la transferencia se apoya en una decisión de adecuación o en cláusulas que obligan a ese subencargado, cuando ese mecanismo existe para él. Winstory no afirma que todos los datos permanezcan en la Unión Europea.

ARTICLE 13 — CATEGORÍAS

Los datos son los que el cliente o los participantes facilitan para la Campaña: identidad profesional, brief, contenidos, prompts pedidos por el cliente. Las personas son los contactos del cliente y los participantes que el cliente hace tratar.

ARTICLE 14 — MENORES

El cliente no pide el tratamiento de datos de menores sin base legal. Winstory puede rechazar esa instrucción.

ARTICLE 15 — LOCALIZACIÓN

Los lugares de tratamiento dependen de los subencargados usados para la Campaña. Se indican al cliente previa petición, dentro de la información disponible.

ARTICLE 16 — RESPONSABILIDAD

Cada parte responde de sus obligaciones conforme al reglamento general de protección de datos. El tope de las condiciones profesionales no limita lo que ese reglamento prohíbe limitar.

ARTICLE 17 — DATOS PROPIOS DE WINSTORY

Los registros de seguridad y las pruebas de pago de las que Winstory es responsable no se restituyen como si fueran datos del cliente, sin perjuicio de los derechos de las personas.

ARTICLE 18 — COOPERACIÓN CON LA AUTORIDAD

Winstory coopera con la autoridad competente a petición del cliente o cuando la ley la obliga directamente.

ARTICLE 19 — NULIDAD

Si una estipulación es contraria al reglamento, se sustituye por la norma de este. El resto permanece.

ARTICLE 20 — LEY

Se aplica el derecho francés, sin excluir el reglamento europeo. Los tribunales de París son competentes entre profesionales.

ARTICLE 21 — DURACIÓN DEL ACUERDO

El acuerdo sigue el contrato de servicio. Sobreviven las obligaciones de confidencialidad, de supresión y de responsabilidad por los hechos nacidos.

ARTICLE 22 — ORDEN

En caso de conflicto sobre un tratamiento por cuenta del cliente, este acuerdo prevalece sobre las condiciones comerciales. No prevalece sobre la ley.

ANNEX — MEDIDAS

Control de acceso, autenticación, cifrado en tránsito cuando el canal lo permite, registro, copias de seguridad y separación de los entornos de Campaña. Estas medidas son proporcionadas al servicio y pueden evolucionar sin disminuir el nivel de modo sustancial.

ANNEX — CATEGORÍAS DETALLADAS

Datos de identidad profesional, datos de contacto, brief, archivos facilitados, prompts pedidos por el cliente, metadatos técnicos de generación. Personas: contactos del cliente y participantes cubiertos por la instrucción. No se tratan categorías especiales por cuenta del cliente salvo instrucción expresa y lícita.

ANNEX — SUBENCARGADOS

Categorías usadas según el servicio encargado: alojamiento HTTP, base de datos y almacenamiento, pago cuando el cliente lo usa a través de la plataforma, proveedores de IA efectivamente llamados. La identidad exacta se comunica con el expediente contractual del cliente. Este anexo no pretende enumerar un registro cerrado más allá de esas categorías.