Acuerdo de Encargo del Tratamiento de Datos

Este Acuerdo de Encargo del Tratamiento de Datos («DPA») forma parte de las Condiciones del Servicio de Lixor (las «Condiciones») entre Intelliwav LLC, que opera como Lixor, sociedad de responsabilidad limitada de Washington, con domicilio en 37 103rd Ave NE, Unit 502, Bellevue, WA 98004, EE. UU. («Lixor», «nosotros») y la empresa titular de la cuenta de Lixor («Cliente», «usted»). Se aplica siempre que tratemos datos personales por cuenta de usted y a esos datos les sea aplicable una ley de protección de datos enumerada en la sección 1. Si este DPA y las Condiciones discrepan sobre datos personales, prevalece este DPA.

Surte efecto desde la fecha indicada anteriormente. ¿Necesita una copia firmada para sus archivos? Escriba a support@lixor.ai. No se necesita firma para que este DPA sea vinculante.

«Legislación de Protección de Datos» significa, en la medida en que cada una sea aplicable: el Reglamento General de Protección de Datos 2016/679 de la UE («RGPD»); el UK GDPR y la Data Protection Act 2018; la Ley Federal suiza de Protección de Datos; la Lei Geral de Proteção de Dados de Brasil (Ley 13.709/2018); la Ley de Protección de la Información Personal de Japón; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México; y las leyes de privacidad de los estados de EE. UU.

«Datos Personales del Cliente» significa los datos personales que usted o su personal introducen en Lixor, o que Lixor recibe por cuenta de usted desde un sistema conectado, como un flujo de datos de un punto de venta o de un distribuidor, y que tratamos por cuenta de usted. No incluye los datos descritos en la sección 3.

«Responsable del tratamiento», «encargado del tratamiento», «datos personales», «tratamiento» e «interesado» tienen el significado que les atribuye el RGPD. Cuando otra Legislación de Protección de Datos utilice una palabra distinta para la misma función (por ejemplo, «operador» en Brasil, «encargado» en México, o un operador empresarial encomendado en Japón), se aplica el significado correspondiente.

«Subencargado del tratamiento» significa otra empresa a la que recurrimos para tratar Datos Personales del Cliente.

«Cláusulas Contractuales Tipo» o «CCT» significa las cláusulas anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021.

Usted es el responsable del tratamiento de los Datos Personales del Cliente. Nosotros somos su encargado del tratamiento. Usted decide a qué personal añade, qué registra y durante cuánto tiempo sigue utilizando Lixor. Nosotros hacemos funcionar el servicio.

Usted es responsable de contar con un fundamento lícito para introducir los datos de su personal en Lixor y de informar a su personal de que lo utiliza. Nuestra Política de Privacidad está redactada para que pueda remitirle a ella.

Decidimos por nuestra cuenta cómo tratar un conjunto limitado de datos y, respecto de esos datos, somos responsables del tratamiento, no su encargado: los datos de cuenta y de inicio de sesión de las personas que tienen cuentas de Lixor; los registros de facturación y fiscales; nuestra correspondencia de soporte con usted; los registros de seguridad y de auditoría; y la analítica de uso del producto. Nuestra Política de Privacidad abarca estos datos. No los utilizamos para anunciar a su personal productos de otras empresas, y no los vendemos.

Tratamos los Datos Personales del Cliente únicamente siguiendo sus instrucciones documentadas. Las Condiciones, este DPA, los ajustes de su cuenta y lo que usted y su personal hacen en el producto son sus instrucciones completas. Si necesita algo más, escriba a support@lixor.ai y lo atenderemos cuando sea técnicamente razonable y lícito, o le comunicaremos que no podemos.

Le avisaremos si consideramos que una instrucción infringe la Legislación de Protección de Datos. Si una ley que nos sea aplicable nos exige tratar los Datos Personales del Cliente de otro modo, se lo comunicaremos antes, salvo que esa ley lo prohíba.

El Anexo 1 establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y los tipos de personas a las que se refieren.

Toda persona a la que autoricemos a tratar Datos Personales del Cliente está obligada por un deber de confidencialidad, por contrato o por ley.

Mantenemos las medidas técnicas y organizativas del Anexo 2. Podemos modificarlas siempre que el nivel global de protección no disminuya. Usted es responsable de utilizar las funciones de seguridad que ofrecemos, como contraseñas seguras, eliminar al personal que se marcha y elegir el rol adecuado para cada usuario.

8.1 Usted nos concede una autorización general para recurrir a Subencargados del tratamiento. La lista vigente está en lixor.ai/legal/subprocessors y constituye el Anexo 3.

8.2 Avisamos con al menos 30 días de antelación antes de incorporar o sustituir a un Subencargado del tratamiento, actualizando esa página y enviando un correo electrónico a los titulares de cuentas que se hayan suscrito a las actualizaciones de esa página. Cuando debamos sustituir a un Subencargado del tratamiento con urgencia por motivos de seguridad o de continuidad, avisaremos con toda la antelación que razonablemente podamos.

8.3 Usted puede oponerse por motivos razonables de protección de datos dentro de esos 30 días escribiendo a support@lixor.ai. Procuraremos ofrecer una alternativa. Si no podemos, usted podrá cancelar el servicio afectado y le reembolsaremos las tarifas pagadas por adelantado correspondientes al periodo posterior a la cancelación. Esa es su única reparación ante una oposición.

8.4 Salvo Telegram, con el que no tenemos ningún acuerdo de encargo del tratamiento de datos (véase la página de Subencargados del tratamiento), el propio acuerdo estándar de encargo del tratamiento de datos de cada Subencargado del tratamiento se aplica automáticamente en cuanto utilizamos su servicio y coincide en lo sustancial con este DPA; ninguno nos exigió firmar un ejemplar aparte. Seguimos siendo responsables ante usted de lo que nuestros Subencargados del tratamiento hagan con los Datos Personales del Cliente.

Si uno de sus empleados, o cualquier otra persona, nos pide acceder a los Datos Personales del Cliente, rectificarlos, eliminarlos, limitarlos, trasladarlos u oponerse a su uso, le trasladaremos la solicitud sin demora indebida y no la responderemos nosotros mismos, salvo para indicar que la hemos trasladado. Lixor le permite rectificar datos en el producto, eliminar una cuenta en la aplicación móvil y descargar los resultados de los recuentos como hojas de cálculo de Excel. Para cualquier otra cosa, como una exportación completa de productos, proveedores y facturas, le prestaremos una ayuda razonable previa solicitud.

Teniendo en cuenta lo que hacemos y la información de que disponemos, le prestaremos una ayuda razonable en materia de seguridad, notificación de brechas, evaluaciones de impacto relativas a la protección de datos y consultas con las autoridades de control. Si la ayuda que necesita excede con mucho lo que necesita un cliente ordinario, podemos cobrarle nuestros costes razonables, previo acuerdo con usted.

Si tenemos conocimiento de una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a ellos, se lo comunicaremos al titular de la cuenta por correo electrónico sin demora indebida y, en cualquier caso, en un plazo de 72 horas desde su confirmación. Compartiremos lo que sepamos a medida que lo averigüemos: qué ocurrió, qué datos y aproximadamente cuántas personas están afectados, las consecuencias probables y qué estamos haciendo al respecto. Comunicarle una violación no supone admitir culpa.

12.1 Lixor almacena y trata los Datos Personales del Cliente en Estados Unidos. Al utilizar Lixor, usted nos instruye para ello.

12.2 UE y EEE. Cuando el RGPD le sea aplicable y el envío de Datos Personales del Cliente a nosotros constituya una transferencia restringida, las CCT se incorporan a este DPA y se aplican del siguiente modo: Módulo Dos (de responsable a encargado); usted es el exportador de datos y nosotros somos el importador de datos; la Cláusula 7 (incorporación) no se aplica; se aplica la Cláusula 9(a), Opción 2 (autorización general), con un plazo de preaviso de 30 días; la redacción facultativa de la Cláusula 11(a) no se aplica; conforme a la Cláusula 13, la autoridad de control competente es la responsable de usted; conforme a la Cláusula 17, se aplica la Opción 1 y las CCT se rigen por la ley de Irlanda; conforme a la Cláusula 18(b), las controversias derivadas de las CCT se someten a los tribunales de Irlanda; el Anexo I de las CCT se completa con el Anexo 1 de este DPA y los datos de las partes indicados anteriormente; el Anexo II, con el Anexo 2; el Anexo III, con el Anexo 3.

12.3 Reino Unido. Cuando el UK GDPR sea aplicable, las CCT se aplican con las modificaciones de la Adenda sobre Transferencia Internacional de Datos (International Data Transfer Addendum) emitida por el Information Commissioner (Comisionado de Información) del Reino Unido (versión B1.0, en vigor el 21 de marzo de 2022), que se incorpora a este DPA. Las Tablas 1 a 3 de la Adenda se completan con la información de la sección 12.2 y con los Anexos. En cuanto a la Tabla 4, cualquiera de las partes puede dar por terminada la Adenda en los términos que esta prevé.

12.4 Suiza. Cuando sea aplicable la Ley Federal suiza de Protección de Datos, las CCT se aplican con estos cambios: las referencias al RGPD incluyen la Ley suiza; la autoridad de control competente es el Comisionado Federal suizo de Protección de Datos y de Información; «Estado miembro» se interpreta de modo que las personas en Suiza puedan reclamar sus derechos en Suiza; y las CCT se rigen por el derecho suizo en la medida en que la transferencia esté sujeta únicamente a la Ley suiza.

12.5 Brasil. Cuando sea aplicable la Lei Geral de Proteção de Dados y el envío de Datos Personales del Cliente a nosotros por parte de usted constituya una transferencia internacional que requiera una garantía, se aplican entre nosotros las cláusulas contractuales tipo aprobadas por la Autoridade Nacional de Proteção de Dados en la Resolución CD/ANPD n.º 19/2024, con usted como exportador y nosotros como importador, completadas con los Anexos de este DPA. Las firmaremos como documento aparte cuando usted lo solicite.

12.6 Transferencias ulteriores. Transferimos Datos Personales del Cliente a Subencargados del tratamiento únicamente mediante un instrumento de transferencia lícito: su certificación conforme al Marco de Privacidad de Datos UE-EE. UU. (y su Extensión para el Reino Unido y su equivalente suizo), o las CCT con la Adenda del Reino Unido cuando sea necesario.

12.7 Si un instrumento de transferencia en el que nos basamos es anulado o retirado, colaboraremos de buena fe con usted para establecer otro. Si las CCT y este DPA discrepan, prevalecen las CCT.

Si un organismo público nos solicita Datos Personales del Cliente, se lo comunicaremos salvo que la ley lo prohíba, impugnaremos un requerimiento que consideremos ilícito y entregaremos únicamente lo estrictamente exigido. A fecha de 24 de septiembre de 2026, nunca hemos recibido un requerimiento de ese tipo.

Le facilitaremos la información razonablemente necesaria para demostrar que cumplimos este DPA, incluidas respuestas por escrito a un cuestionario de seguridad razonable una vez al año. Si eso no basta para cumplir una obligación legal que usted tenga, o lo exige una autoridad de control, usted podrá auditarnos una vez al año con un preaviso por escrito de 30 días, en horario laboral, con un acuerdo de confidencialidad, a su costa y sin acceso a los datos de otros clientes. Podrá recurrir a un auditor independiente que no sea competidor nuestro.

Algunas funciones envían Datos Personales del Cliente a los proveedores de IA citados en el Anexo 3, por ejemplo el texto de una pregunta que usted hace al asistente dentro de la aplicación, una grabación de su voz para su transcripción o una fotografía de una factura de entrega enviada a la API de Gemini de Google para su lectura. Las condiciones de OpenAI no le permiten utilizar los datos enviados a través de su interfaz de programación para entrenar sus modelos. Utilizamos la API de Gemini de Google en su servicio de pago, no en su nivel gratuito; conforme a las condiciones de Google para el servicio de pago, Google no utiliza esos datos para mejorar sus productos. No utilizamos Datos Personales del Cliente para entrenar modelos de IA.

Mientras su cuenta esté abierta, usted puede descargar los resultados de los recuentos como hojas de cálculo de Excel, y le ayudaremos con cualquier otra exportación que nos pida. Conservamos los Datos Personales del Cliente hasta que se elimine su cuenta. Una vez cerrada su cuenta, o antes si usted lo pide, los eliminamos de nuestra base de datos en un plazo de 30 días; nuestras copias de seguridad de la base de datos se conservan de forma rotativa durante 7 días, de modo que los datos eliminados desaparecen de ellas dentro de ese plazo. La eliminación borra los registros de la base de datos; actualmente no borra las fotos ni las grabaciones de voz de nuestro almacenamiento de archivos, que pueden permanecer tras la eliminación. Solo podemos conservar datos durante más tiempo cuando una ley lo exija y, entonces, únicamente para esa finalidad.

Los límites de responsabilidad de las Condiciones se aplican a este DPA. Nada de lo dispuesto en este DPA limita los derechos de las personas físicas conforme a la Legislación de Protección de Datos o a las CCT, ni la responsabilidad de cualquiera de las partes frente a ellas.

Este DPA dura mientras conservemos Datos Personales del Cliente. Se rige por la ley que rige las Condiciones, salvo cuando la sección 12 disponga otra cosa. Podemos actualizarlo para reflejar cambios en la ley, en nuestros Subencargados del tratamiento o en el servicio. Avisaremos con 30 días de antelación de cualquier cambio que reduzca su protección.

• Los datos se cifran en tránsito con TLS y nuestros proveedores de base de datos y de alojamiento los cifran en reposo (AES-256).
• Los datos de cada cliente se separan de los de todos los demás clientes mediante comprobaciones en nuestros servidores que vinculan cada solicitud a la organización del usuario con sesión iniciada. La seguridad a nivel de fila de la base de datos está activada en todas las tablas que contienen datos de clientes o datos personales; una tabla interna sin datos personales (un registro de correcciones de costes pasadas) no la tiene.
• Excepción: las fotos que usted sube (botellas, estanterías, facturas) se almacenan en direcciones web largas que cualquier persona que conozca la dirección puede abrir sin iniciar sesión. No tienen control de acceso.
• Las contraseñas las almacena nuestro proveedor de autenticación únicamente como hashes con sal. Nosotros nunca las vemos.
• El acceso a los sistemas de producción (Supabase, Vercel, Stripe, GitHub, PostHog, Sentry, OpenAI, ElevenLabs y el registrador de dominios) está limitado al fundador; ningún otro miembro del personal ni contratista tiene acceso a producción.
• Permisos basados en roles dentro del producto, de modo que usted decide qué personal puede ver o cambiar qué.
• Los datos de las tarjetas de pago los gestiona íntegramente Stripe y nunca llegan a nuestros servidores.
• Las copias de seguridad de la base de datos se realizan a diario y se conservan durante 7 días de forma rotativa. La recuperación en un punto en el tiempo no está activada actualmente.
• Los cambios en el código fuente se revisan y se despliegan mediante control de versiones, manteniendo los secretos fuera del código.
• Supervisión de errores y fallos, manteniendo los datos personales fuera de los informes de errores en la medida de lo posible.
• Un proceso escrito para eliminar los datos de una organización previa solicitud, probado en su uso.
• Un proceso escrito de respuesta a incidentes: contener, evaluar, notificar a los clientes afectados conforme a la sección 11, corregir y registrar.
• Los Subencargados del tratamiento se eligen por su reputación de seguridad publicada. Supabase, Vercel y OpenAI publican actualmente informes SOC 2 Tipo II; consulte la propia página de confianza de cada proveedor para conocer su certificación vigente. Cada uno se rige por su propio contrato estándar de protección de datos, que se aplica automáticamente en cuanto utilizamos su servicio.

La lista que figura en lixor.ai/legal/subprocessors en la fecha de entrada en vigor.