Anexo de Tratamiento de Datos

1. Partes, funciones y prevalencia

Este anexo forma parte de los Términos del Servicio y entra en vigor cuando el Cliente acepta los Términos; no es necesario firmarlo por separado.

El Cliente es el responsable del tratamiento de los datos personales introducidos en el Servicio; Layvchat es el encargado del tratamiento que actúa en nombre del Cliente y siguiendo sus instrucciones.

En materia de datos personales, este anexo prevalece en caso de contradicción con los Términos del Servicio.

2. Objeto, naturaleza y duración

Objeto: proporcionar un software que permite al Cliente comunicarse con sus visitantes mediante chat en vivo, correo electrónico, tickets y un centro de ayuda.

Naturaleza: recogida, registro, almacenamiento, organización, visualización, transmisión, exportación y supresión de datos.

Duración: la vigencia del acuerdo más el plazo de supresión previsto en la sección 10 tras su finalización.

3. Interesados y tipos de datos

Interesados: personas que visitan los sitios del Cliente y utilizan el widget de chat; personas que envían al Cliente correos electrónicos o tickets; personas que leen y valoran los artículos del centro de ayuda; los agentes del Cliente.

Tipos de datos:

• Contenido de los chats, correos electrónicos y archivos adjuntos, tickets y su correspondencia, archivos subidos, valoraciones de satisfacción y comentarios
• Información que los visitantes facilitan en los formularios (nombre, correo electrónico, teléfono y otros campos que defina el Cliente)
• Datos técnicos: dirección IP, país y ciudad, datos del navegador, del sistema operativo y del dispositivo, páginas visitadas, fuente de referencia y el sitio desde el que se escribe
• Si el Cliente activa la integración: la identidad de los miembros que han iniciado sesión en su sitio y los datos de los miembros enviados desde el sistema del Cliente
• Datos de los agentes: nombre, correo electrónico, rol, estado de disponibilidad y estadísticas de rendimiento

El Cliente se compromete a no recopilar categorías especiales de datos personales (salud, creencias, datos biométricos y similares) a través del Servicio o, si lo hace, a contar con la base jurídica necesaria y con garantías adicionales.

4. Instrucciones

Layvchat trata los datos únicamente para prestar el Servicio, mantenerlo seguro, resolver problemas y seguir las instrucciones documentadas del Cliente. Los Términos del Servicio, este anexo y la configuración de la consola del Cliente (plazo de conservación, enmascaramiento de IP, subida de archivos, canal de correo electrónico, integraciones, notificaciones de Telegram y de webhooks) se consideran instrucciones por escrito.

Si consideramos que una instrucción infringe la normativa de protección de datos, se lo comunicamos al Cliente sin demora.

Layvchat no vende los datos, no los utiliza para fines propios ni publicitarios, no los comparte con otros clientes ni los envía a ningún servicio externo de inteligencia artificial. Las funciones de inteligencia artificial se ejecutan únicamente en los servidores de Layvchat y solo con los datos del Cliente correspondiente.

Si una obligación legal nos exige tratar datos más allá de las instrucciones, se lo comunicamos previamente al Cliente, salvo que la ley lo impida.

5. Obligaciones del Cliente

• informar a los interesados y obtener su consentimiento expreso cuando sea necesario
• introducir en el Servicio únicamente datos obtenidos lícitamente
• mantener actualizados y seguros las cuentas de los agentes, los roles y los permisos de acceso
• establecer en la consola plazos de conservación adecuados a sus propias actividades

6. Confidencialidad y personal

Solo pueden acceder a los datos las personas que necesitan acceso para operar el Servicio y que están sujetas a una obligación de confidencialidad por escrito.

Solo accedemos a un chat o a otros Datos del Cliente a petición de soporte del Cliente, durante un incidente de seguridad o cuando la ley lo exige, y únicamente en la medida necesaria.

7. Medidas de seguridad

Layvchat adopta medidas técnicas y organizativas adecuadas para proteger la confidencialidad, la integridad y la disponibilidad de los datos. Las principales son:

• cifrado TLS en todas las conexiones; cifrado AES-256 de las copias de seguridad
• separación entre espacios de trabajo a nivel de aplicación y de base de datos
• verificación en dos pasos, permisos basados en roles y opción de restricción por IP para los agentes
• análisis antivirus de los archivos subidos
• un registro de actividad a prueba de manipulaciones; ajustes de plazo de conservación y de enmascaramiento de IP
• copias de seguridad cifradas diarias y pruebas de restauración periódicas

Los detalles figuran en la página de Seguridad. Layvchat puede actualizar estas medidas siempre que no disminuya el nivel de protección.

8. Subencargados

El Cliente otorga una autorización general para los subencargados que figuran en la página de Subencargados.

Layvchat impone a sus subencargados obligaciones de protección de datos equivalentes a las de este anexo y sigue siendo responsable ante el Cliente de su cumplimiento.

Notificamos al Cliente por correo electrónico al menos 30 días antes de añadir un nuevo subencargado. Si el Cliente se opone por motivos razonables de protección de datos, primero intentamos resolver la cuestión conjuntamente; si no es posible, el Cliente puede resolver el acuerdo sin penalización y se le reembolsa el importe correspondiente al periodo no utilizado.

9. Solicitudes de los interesados

La consola ofrece herramientas para localizar, exportar y suprimir los datos de un visitante (Configuración → Datos personales); abarcan conjuntamente chats, correos electrónicos y tickets.

Para las solicitudes que estas herramientas no pueden atender, Layvchat presta una ayuda razonable. Las solicitudes de interesados que llegan directamente a Layvchat las remitimos al Cliente correspondiente sin responderlas nosotros.

10. Devolución y supresión de los datos

El Cliente puede exportar sus datos desde la consola en cualquier momento.

Cuando termina el acuerdo o se cierra el espacio de trabajo, los datos se suprimen en un plazo máximo de 30 días; su eliminación de las copias de seguridad cifradas puede tardar hasta 30 días más. Las obligaciones legales de conservación no se ven afectadas.

11. Notificación de violaciones

Si tenemos conocimiento de una violación de la seguridad que afecte a los Datos del Cliente, la notificamos al Cliente sin dilación indebida y, como máximo, en un plazo de 48 horas. La notificación incluye, en la medida en que se conozcan en ese momento, la naturaleza de la violación, las categorías de datos y de personas afectadas, sus consecuencias probables y las medidas que hemos adoptado o proponemos.

Como responsable del tratamiento, el Cliente es responsable de notificar a la autoridad y a los interesados; Layvchat facilita la información necesaria y una ayuda razonable.

12. Transferencias internacionales

La base de datos y los archivos se almacenan en centros de datos con certificación de seguridad. Las transferencias internacionales a través de subencargados están protegidas por contratos tipo y por los compromisos de tratamiento de datos de los proveedores, de conformidad con el artículo 9 de la KVKK y el RGPD.

13. Auditorías e información

El Cliente puede solicitar información y documentos razonables que acrediten el cumplimiento de este anexo, y Layvchat responderá.

Cuando los documentos no sean suficientes, podrá realizarse una auditoría presencial con un preaviso por escrito de al menos 30 días, no más de una vez al año, en horario laboral, bajo un compromiso de confidencialidad y sin acceso a los datos de otros clientes. El Cliente asume el coste de la auditoría.