Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos y Condiciones de Grovity o de cualquier contrato firmado entre Grovity Services LLC ("Grovity" o el "Encargado del Tratamiento") y el Cliente (el "Cliente" o el "Responsable del Tratamiento") (el "Contrato"), y se aplica al Tratamiento de Datos Personales que Grovity realiza por cuenta del Cliente. Los Clientes empresariales pueden solicitar una copia firmada por ambas partes escribiendo a privacy@grovity.ai.

Términos como "Datos Personales", "Tratamiento", "Responsable del Tratamiento", "Encargado del Tratamiento", "Titular" y "autoridad de control" tienen el significado que les atribuye la Ley de Protección de Datos aplicable. "Ley de Protección de Datos" significa todas las leyes aplicables al Tratamiento de Datos Personales en virtud del Contrato, incluidos el RGPD, la CCPA/CPRA, la Ley 1581 de 2012 de Colombia, la LGPD (Lei Geral de Proteção de Dados) de Brasil y las leyes enumeradas en la Política de Privacidad. "Datos Personales del Cliente" significa los Datos Personales tratados por Grovity por cuenta del Cliente en la prestación de los Servicios. "Incidente de Seguridad" significa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la divulgación o el acceso no autorizados a ellos.

2.1. El Cliente es el Responsable del Tratamiento y Grovity es el Encargado del Tratamiento de los Datos Personales del Cliente. Cuando el Cliente actúe como Encargado del Tratamiento por cuenta de un tercero, Grovity actúa como su Subencargado (subprocesador).

2.2. Detalles del Tratamiento:

Elemento	Descripción
Objeto	Prestación de los Servicios en virtud del Contrato
Duración	Vigencia del Contrato más los plazos de exportación y eliminación previstos en la Sección 10
Naturaleza y finalidad	Alojamiento, almacenamiento, transmisión y Tratamiento de conversaciones y datos relacionados a través de agentes de IA configurados por el Cliente
Titulares	Los Usuarios Finales, clientes, prospectos, pacientes y demás personas del Cliente que interactúan con sus agentes de IA; los usuarios autorizados del Cliente
Categorías de datos	Datos de identificación y de contacto; contenido de las conversaciones (texto, audio, imágenes, archivos); datos obtenidos de las integraciones del Cliente; datos técnicos; y, cuando el Cliente así lo configure, datos sensibles de conformidad con el Anexo de Datos de Salud

3.1. Grovity tratará los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, que consisten en el Contrato, este DPA y la configuración de los Servicios realizada por el Cliente, salvo que la ley exija otra cosa, en cuyo caso Grovity informará al Cliente, a menos que la ley lo prohíba. Grovity informará al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos.

3.2. El Cliente es responsable de la licitud del Tratamiento, lo que incluye contar con una base legal válida, obtener las autorizaciones o consentimientos requeridos, proporcionar avisos de privacidad a los Titulares (incluido el aviso sobre el uso de IA) y asegurar que sus instrucciones cumplan con la Ley de Protección de Datos.

Grovity garantiza que las personas autorizadas para tratar Datos Personales del Cliente estén sujetas a obligaciones de confidencialidad y accedan a los datos solo en la medida necesaria para prestar los Servicios.

Grovity implementa las medidas técnicas y organizativas descritas en la Descripción de la Seguridad de los Servicios (https://www.grovity.ai/security), que constituye el Anexo II de este DPA. Grovity podrá actualizar dichas medidas siempre que el nivel general de protección no se reduzca de forma sustancial.

6.1. El Cliente otorga una autorización general para que Grovity contrate a los Subencargados enumerados en https://www.grovity.ai/subprocessors.

6.2. Grovity publicará cualquier nuevo Subencargado al menos treinta (30) días antes de que comience a tratar Datos Personales del Cliente. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de dicho plazo. Las partes discutirán la objeción de buena fe; si no se resuelve, el Cliente podrá terminar los Servicios afectados y recibir el reembolso de las tarifas pagadas por anticipado correspondientes al período aún no prestado.

6.3. Grovity impondrá a cada Subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA, incluida la de que los Datos Personales del Cliente no se utilicen para entrenar los modelos del Subencargado, y seguirá siendo responsable del cumplimiento de sus Subencargados.

Grovity remitirá con prontitud al Cliente cualquier solicitud recibida directamente de un Titular en relación con Datos Personales del Cliente y no la responderá salvo conforme a las instrucciones del Cliente. Teniendo en cuenta la naturaleza del Tratamiento, Grovity prestará asistencia razonable, incluso mediante la funcionalidad de los Servicios, para ayudar al Cliente a responder dichas solicitudes.

Grovity notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de un Incidente de Seguridad, salvo que el Contrato establezca un plazo más corto. La notificación incluirá, en la medida en que esté disponible, la naturaleza del incidente, las categorías y el número aproximado de Titulares y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Grovity tomará medidas razonables para contener el incidente y cooperará con el Cliente en sus notificaciones a las autoridades y a los Titulares. La notificación de un Incidente de Seguridad no constituye un reconocimiento de culpa ni de responsabilidad.

9.1. Grovity prestará asistencia razonable en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas a las autoridades de control, en la medida en que lo exija la Ley de Protección de Datos y estén relacionadas con los Servicios.

9.2. Grovity pondrá a disposición del Cliente, previa solicitud escrita y con sujeción a confidencialidad, la información razonablemente necesaria para demostrar el cumplimiento de este DPA, incluida su documentación de seguridad, las respuestas a cuestionarios de seguridad y las certificaciones e informes de sus proveedores de infraestructura.

9.3. Cuando dicha información no sea suficiente para demostrar el cumplimiento, o cuando lo exija una autoridad de control, el Cliente podrá realizar una auditoría, no más de una vez al año, con un preaviso de al menos treinta (30) días, en horario laboral, por medio de un auditor independiente sujeto a confidencialidad, a cargo del Cliente y sin acceso a datos de otros clientes ni a la infraestructura operada por los proveedores de Grovity.

A la terminación de los Servicios, Grovity pondrá los Datos Personales del Cliente a disposición para su exportación durante el período de exportación establecido en los Términos y Condiciones y, posteriormente, los eliminará de sus sistemas activos dentro de los treinta (30) días siguientes, y de las copias de seguridad al final de su ciclo de retención, salvo que la ley exija su conservación. Previa solicitud, Grovity confirmará la eliminación por escrito.

11.1. Grovity trata los Datos Personales del Cliente en los Estados Unidos y puede dar acceso a ellos a su personal y a sus Subencargados en los países enumerados en la Política de Privacidad y en la página de Subencargados.

11.2. En la medida en que lo exija la Ley de Protección de Datos, se aplican y se incorporan por referencia los siguientes instrumentos:

• Desde la UE/EEE: las Cláusulas Contractuales Tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado), según corresponda, con el Anexo I completado por la Sección 2 de este DPA y el Anexo II por la Descripción de la Seguridad de los Servicios. Autoridad de control: la del establecimiento del Cliente. Ley aplicable y foro para las cláusulas: Irlanda.
• Desde Brasil: las cláusulas contractuales estándar aprobadas por la Resolución CD/ANPD n.º 19/2024.
• Desde Colombia: este DPA constituye un contrato de transmisión de Datos Personales conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

El Tratamiento de datos de salud se rige adicionalmente por el Anexo de Datos de Salud. La Información de Salud Protegida (PHI) conforme a HIPAA solo se trata en virtud de un Business Associate Agreement (BAA) suscrito por separado.

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones del Contrato, salvo que la Ley de Protección de Datos disponga otra cosa. En caso de conflicto entre este DPA y el Contrato en relación con el Tratamiento de Datos Personales, prevalece este DPA; en caso de conflicto con las Cláusulas Contractuales Tipo, prevalecen las cláusulas.