Anexo de tratamiento de datos

1. Partes y objeto

El encargado del tratamiento es Ing. Jiří Psota, NIF checo (IČO) 76072266, con domicilio en Zborovská 1200/6, 150 00 Praga 5 – Smíchov, República Checa (el «encargado»). El responsable del tratamiento es la organización que utiliza el servicio Linguiqo conforme a las Condiciones de uso (el «cliente»).

Este anexo regula el tratamiento de los datos personales que el cliente introduce en el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Este anexo forma parte integrante de las Condiciones de uso y el cliente lo acepta al aceptarlas; no se requiere firma manuscrita (artículo 28, apartado 9, del RGPD). En materia de protección de datos personales prevalece sobre las Condiciones de uso.

2. Alcance

El objeto, la naturaleza y la finalidad del tratamiento y las categorías de datos y de interesados figuran en el Anexo 1. El tratamiento dura mientras se utilice el servicio y hasta la supresión conforme al artículo 9.

3. Instrucciones

El encargado trata los datos personales únicamente siguiendo instrucciones documentadas del cliente. Estas son las Condiciones de uso, este anexo y la configuración y el uso del servicio por parte del cliente. En otro caso, solo cuando lo exija el derecho de la UE o de la República Checa; el encargado informa de ello al cliente con antelación, salvo que la ley lo prohíba.

Si el encargado considera que una instrucción es ilícita, lo comunica al cliente sin demora.

4. Confidencialidad

Todas las personas con acceso a los datos personales están obligadas a la confidencialidad por contrato o por ley, también después de terminar la colaboración.

5. Seguridad

El encargado adopta las medidas del artículo 32 del RGPD indicadas en el Anexo 2. Puede modificarlas siempre que no disminuya el nivel de protección.

6. Subencargados

El cliente otorga una autorización general para recurrir a los subencargados indicados en https://www.linguiqo.com/subprocessors.

La incorporación o sustitución de un subencargado la publica el encargado en esa misma página con al menos 30 días de antelación. El cliente puede oponerse por motivos razonables dentro de ese plazo. Si las partes no resuelven la oposición, el cliente puede dar por terminado el servicio sin penalización y recupera la parte proporcional de la tarifa pagada por adelantado.

El encargado impone a sus subencargados las mismas obligaciones de protección de datos y responde de su cumplimiento.

No son subencargados los proveedores que el propio cliente conecta al servicio: la traducción automática (por ejemplo OpenAI o DeepL) mediante la clave de API del propio cliente, el alojamiento git (por ejemplo GitHub, GitLab o Azure DevOps) mediante el token del cliente, las direcciones a las que el cliente hace enviar webhooks, y Google o Microsoft cuando un usuario inicia sesión con su cuenta. Los datos solo les llegan por instrucción del cliente y se rigen por el contrato del cliente con ese proveedor.

7. Transferencias fuera del EEE

Los datos personales se almacenan en la UE (Google Cloud europe-west1, Bélgica). Solo se transfieren fuera del EEE en la medida indicada en la lista de subencargados y únicamente con una garantía conforme al capítulo V del RGPD (una decisión de adecuación, incluido el EU-US Data Privacy Framework, o cláusulas contractuales tipo).

8. Asistencia

El encargado ayuda al cliente:

• a) a atender las solicitudes de los interesados, principalmente mediante las funciones de exportación, corrección y supresión del servicio; una solicitud recibida directamente por el encargado se remite al cliente;
• b) a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD.

El encargado notifica al cliente una violación de la seguridad de los datos personales sin dilación indebida después de tener conocimiento de ella. La notificación indica la naturaleza de la violación, los datos afectados, las consecuencias probables y las medidas adoptadas.

9. Terminación, devolución y supresión

Hasta que termine el servicio, el cliente puede exportar sus datos: cada idioma como archivo, o todo a la vez mediante la API o la CLI.

El encargado suprime los datos personales en un plazo de 30 días desde la eliminación del equipo o la terminación del contrato; lo mismo se aplica a un proyecto que el cliente elimine. Desaparecen de las copias de seguridad con su rotación, a más tardar 35 días después.

El encargado solo puede conservar los datos cuya conservación exija la ley (por ejemplo, los documentos contables).

10. Información y auditoría

A petición, el encargado facilita la información necesaria para demostrar el cumplimiento de este anexo.

Como máximo una vez al año, o tras una violación de la seguridad de los datos personales, el cliente puede realizar una auditoría por sí mismo o mediante un auditor sujeto a confidencialidad, con un preaviso de 30 días y a su cargo. En el caso de los subencargados, sus certificaciones e informes públicos sustituyen a la auditoría.

11. Disposiciones finales

La responsabilidad se rige por el artículo 82 del RGPD y por las Condiciones de uso. Este anexo se rige por el derecho de la República Checa.

El encargado anuncia los cambios de este anexo con al menos 30 días de antelación publicándolos en https://www.linguiqo.com/dpa. Un cambio que reduzca la protección de los datos personales no puede realizarse sin el consentimiento del cliente.

Contacto para la protección de datos personales: hello@linguiqo.com.

Anexo 1 – Descripción del tratamiento

Anexo 2 – Medidas técnicas y organizativas

• Ubicación: la aplicación, la base de datos, los archivos y las copias de seguridad de la base de datos están en Google Cloud, región europe-west1 (Bélgica).
• Cifrado en tránsito: toda la comunicación por HTTPS (TLS) con HSTS obligatorio.
• Acceso por roles dentro del equipo: propietario, administrador, miembro y traductor externo, que solo ve los proyectos e idiomas que tiene asignados. Cada solicitud se comprueba frente al rol y al equipo.
• Registro de actividad: quién cambió qué, cuándo y desde qué dirección IP. Visible para los administradores del equipo.
• Inicio de sesión: contraseñas guardadas solo como hash (scrypt), tokens de acceso válidos 15 minutos y sesiones 7 días, un cambio de contraseña cierra la sesión en todos los dispositivos y los intentos de inicio de sesión están limitados.
• Credenciales confiadas al servicio: los tokens de repositorios git, las claves de API de traducción automática y los secretos de webhooks se cifran con una clave guardada fuera de la base de datos (Google Secret Manager) y no se vuelven a mostrar una vez guardados. Las claves de API propias del servicio se guardan solo como hash.
• Archivos: las capturas de pantalla no son públicas y solo se sirven a través de la API tras comprobar la autorización.
• Operación: solo el encargado tiene acceso a los sistemas de producción, y las cuentas de servicio tienen solo los permisos necesarios.
• Sin seguimiento: el servicio no utiliza analítica ni scripts publicitarios o de seguimiento.
• Inteligencia artificial: el encargado no utiliza el contenido del cliente para entrenar modelos. La traducción automática funciona solo con la clave del cliente y solo cuando un usuario lo pide.
• Conservación: el entorno de demostración se elimina a las 2 horas, el historial de sincronizaciones a los 30 días, los datos de un equipo o proyecto eliminado en 30 días, y de las copias de seguridad con su rotación en los 35 días siguientes.