Acuerdo de encargo del tratamiento

Este Acuerdo de encargo del tratamiento (el "Acuerdo") forma parte de los Términos y Condiciones de Twinyx y regula el tratamiento de datos personales que Twinyx realiza por cuenta del usuario, conforme al artículo 28 del Reglamento (UE) 2016/679 ("RGPD") y al artículo 33 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD"). Se celebra por medios electrónicos al aceptar los Términos (artículo 28.9 del RGPD).

1. Partes y roles

• Responsable del tratamiento: el usuario titular de la cuenta de Twinyx (en adelante, la "Creadora"), respecto de los datos de las personas con las que conversa en las cuentas de Telegram que conecta al servicio.
• Encargado del tratamiento: BAIXOSAMA INVERSIONES, SL, NIF B27854181, con domicilio en Rua Condesa Casa Barcenas, 11, 36204 Vigo, Pontevedra (en adelante, "Twinyx"), contacto: admin@twinyx.app.
• La Creadora decide usar Twinyx para gestionar sus conversaciones y para qué. Twinyx trata esos datos solo para prestarle el servicio.
• Quedan fuera de este Acuerdo los tratamientos en los que Twinyx es responsable: la cuenta de la Creadora, la facturación, la seguridad del servicio, las comunicaciones comerciales y la conservación de la prueba del aviso de inteligencia artificial, que es una obligación legal propia de Twinyx (artículo 50 del Reglamento (UE) 2024/1689). Se rigen por la Política de privacidad.

2. Objeto, naturaleza y finalidad

Twinyx trata los datos de los contactos de la Creadora para prestar el servicio contratado: recibir los mensajes de sus conversaciones de Telegram, generar respuestas con inteligencia artificial en su nombre y con su estilo, clasificar las conversaciones, traspasarlas a la Creadora cuando corresponde, gestionar intercambios de promociones (SFS), filtrar spam y mostrarle todo ello en su panel. El detalle de los interesados, los datos y las operaciones figura en el Anexo I.

3. Duración

Este Acuerdo dura lo mismo que la cuenta de la Creadora. Lo previsto para el fin del encargo (cláusula 13) y la conservación bloqueada siguen aplicándose después.

4. Instrucciones documentadas

• Este Acuerdo y la configuración que la Creadora establece en su panel son las instrucciones documentadas del tratamiento.
• Twinyx no tratará los datos para fines propios: no los usará para publicidad, ni para entrenar o mejorar modelos de inteligencia artificial, ni para crear perfiles, ni los cederá a terceros, salvo a los subencargados del Anexo II o cuando lo exija la ley. Si lo hiciera, se convertiría en responsable de ese tratamiento (artículo 33.2 de la LOPDGDD).
• Las transferencias internacionales solo se harán a los subencargados del Anexo II y con las garantías allí indicadas.
• Si Twinyx considera que una instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente a la Creadora.

5. Medidas acordadas frente a los contactos

La Creadora instruye a Twinyx para aplicar en su nombre, en todas sus conversaciones, las siguientes medidas, que forman parte del servicio y no puede desactivar:

• Aviso de inteligencia artificial antes del primer mensaje automático, con un texto que la Creadora puede reformular pero no eliminar.
• Petición de consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD) antes de cualquier tratamiento con inteligencia artificial de los mensajes de cada contacto, que incluye la declaración de mayoría de edad, la indicación de que el contacto puede retirarlo en cualquier momento y el enlace a la información para contactos, donde se explica cómo hacerlo (escribiendo STOP en el chat). Sin un SÍ, escrito o con el botón "Sí, acepto" de la petición, los mensajes no se procesan con inteligencia artificial. Twinyx conserva la prueba de cada paso en nombre de la Creadora.
• Parada ante posibles menores: si un contacto indica ser menor de edad, la inteligencia artificial deja de contestarle y se avisa a la Creadora.
• Los contactos con los que la Creadora ya tiene acordado un intercambio de promociones (SFS) o que figuran en su lista de colaboradoras de confianza (lista blanca), y otras creadoras que usan Twinyx, no reciben la petición de consentimiento: su tratamiento se basa en el interés legítimo de la Creadora en gestionar ese acuerdo comercial, y reciben el aviso de inteligencia artificial con el enlace a la información. Quien propone un intercambio por primera vez recibe la petición como cualquier otro contacto.

6. Confidencialidad

Twinyx garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad (artículo 5 de la LOPDGDD), también después de terminar su relación con Twinyx. El acceso del personal de Twinyx a conversaciones se limita a lo necesario para el soporte y la seguridad, y queda registrado.

7. Seguridad

Twinyx aplica las medidas técnicas y organizativas del Anexo III, apropiadas al riesgo del tratamiento (artículo 32 del RGPD), teniendo en cuenta que las conversaciones pueden contener datos de categorías especiales. Twinyx puede actualizarlas siempre que no reduzca el nivel de protección.

8. Subencargados

• La Creadora autoriza de forma general a Twinyx a recurrir a los subencargados del Anexo II.
• Twinyx informará a la Creadora, por correo electrónico o mediante un aviso en el panel, de cualquier alta o sustitución de un subencargado con al menos 30 días de antelación. La Creadora podrá oponerse por motivos razonables de protección de datos; si no se encuentra una solución, podrá resolver el contrato sin penalización antes de que el cambio surta efecto.
• Twinyx impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este Acuerdo (artículo 28.4 del RGPD) y seguirá siendo responsable ante la Creadora de su cumplimiento.

9. Derechos de los interesados

• Twinyx pone a disposición de la Creadora y de sus contactos las herramientas para ejercer los derechos: la retirada del consentimiento con STOP, la exportación de datos y la eliminación desde el panel, y la atención por correo electrónico.
• Instrucción general: la Creadora instruye a Twinyx para que atienda directamente, en su nombre, las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad que le dirijan sus contactos, verificando su identidad de forma proporcionada y respondiendo en el plazo legal de un mes. Twinyx informará a la Creadora de cada solicitud atendida y le trasladará, antes de responder, las que exijan una decisión suya.
• Si la Creadora recibe directamente una solicitud que requiere actuar sobre los datos que trata Twinyx, se la trasladará a admin@twinyx.app.

10. Asistencia al responsable

Twinyx ayudará a la Creadora, teniendo en cuenta la naturaleza del tratamiento y la información a su alcance, a cumplir sus obligaciones de seguridad, de notificación de violaciones, de evaluación de impacto y de consulta previa (artículos 32 a 36 del RGPD). En particular, pondrá a su disposición, a petición, un resumen de la evaluación de impacto del servicio realizada por Twinyx.

11. Violaciones de la seguridad de los datos

Twinyx notificará a la Creadora toda violación de la seguridad que afecte a los datos de sus contactos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de ella, con la información del artículo 33.3 del RGPD disponible en ese momento, que completará después. Twinyx documentará la violación, adoptará las medidas para mitigarla y colaborará con la Creadora en su notificación a la autoridad de control y, en su caso, a los interesados.

12. Información y auditorías

Twinyx pondrá a disposición de la Creadora la información necesaria para demostrar el cumplimiento de este Acuerdo (entre otras, este Acuerdo, la descripción de las medidas de seguridad y el resumen de la evaluación de impacto) y permitirá y contribuirá a las auditorías, incluidas las inspecciones, que realice la Creadora u otro auditor autorizado por ella. Las auditorías se avisarán con 30 días de antelación, se limitarán a una al año salvo indicios de incumplimiento o requerimiento de una autoridad, se harán en horario laboral, sin acceso a datos de otros clientes, con compromiso de confidencialidad y a cargo de la Creadora, salvo que revelen un incumplimiento de Twinyx.

13. Fin del encargo

• Antes de eliminar su cuenta, la Creadora puede exportar los datos desde su panel; esta exportación es la devolución de los datos prevista en el artículo 28.3.g del RGPD.
• Al eliminar la cuenta, la Creadora decide la destrucción de los datos (artículo 33.3 de la LOPDGDD). Si la elimina desde Ajustes, Twinyx suprime los datos de sus sistemas de inmediato; si pide la eliminación por correo electrónico, Twinyx la lleva a cabo en el plazo del apartado 10 de la Política de privacidad (un mes, prorrogable dos meses más en casos complejos).
• Tras la supresión, las copias de seguridad se sobrescriben en 24 horas, las tareas técnicas en cola o fallidas se eliminan en 7 días y los registros técnicos y de observabilidad, en 30 días. Google conserva los datos que ya recibió (Gemini API, Anexo II) hasta 55 días, solo para detectar abusos, y después los suprime.
• Al eliminarse la cuenta, o cuando la Creadora quita una cuenta de Telegram conectada, Twinyx podrá conservar, debidamente bloqueadas, la prueba del aviso de inteligencia artificial, la prueba del consentimiento de los contactos y las marcas de posibles menores (en el segundo caso, las de esa cuenta de Telegram) mientras puedan derivarse responsabilidades de su relación con la Creadora, y como máximo 3 años (artículo 33.4 de la LOPDGDD). Los datos bloqueados solo se pondrán a disposición de jueces y tribunales, el Ministerio Fiscal o las autoridades competentes, y se destruirán al terminar ese plazo.

14. Obligaciones de la Creadora

La Creadora, como responsable del tratamiento, se compromete a:

• Usar el servicio solo con personas que le escriben a ella; Twinyx no inicia conversaciones.
• No intentar eludir, ocultar ni desvirtuar el aviso de inteligencia artificial ni la petición de consentimiento, ni dar instrucciones contrarias a la normativa.
• No usar el servicio con menores de edad, y verificar la edad de quienes compran contenido para adultos cuando lo exija la ley. La parada automática ante posibles menores es una medida de apoyo y no sustituye esta obligación.
• Subir solo capturas de pantalla de sus propias conversaciones para el análisis de estilo y ocultar en ellas, cuando sea posible, el nombre de sus contactos.
• Cumplir sus demás obligaciones como responsable (entre otras, el registro de actividades del artículo 30 del RGPD cuando le resulte exigible) y colaborar con Twinyx en la atención de los derechos de sus contactos.

15. Responsabilidad

Cada parte responde de los daños que cause por incumplir este Acuerdo o la normativa de protección de datos, conforme al artículo 82 del RGPD. En lo demás se aplican las limitaciones de responsabilidad de los Términos, salvo cuando la ley no permita limitarla.

16. Prevalencia y ley aplicable

En materia de protección de datos, este Acuerdo prevalece sobre cualquier otra disposición de los Términos. Se rige por la ley española y por el RGPD; las controversias se someten a los Juzgados y Tribunales que correspondan según los Términos.

Anexo I. Descripción del tratamiento

Anexo II. Subencargados autorizados

No son subencargados: Telegram, plataforma de mensajería que elige la Creadora y que trata los mensajes como responsable independiente, y la herramienta de observabilidad de la inteligencia artificial, que Twinyx aloja en su propia infraestructura de OVHcloud.

Anexo III. Medidas técnicas y organizativas

• Cifrado de las comunicaciones (TLS/HTTPS) entre los usuarios, Telegram, los proveedores y Twinyx.
• Contraseñas guardadas solo como hash bcrypt, con comprobación frente a contraseñas filtradas.
• Segundo factor de autenticación obligatorio para el personal con acceso de administración; secretos del segundo factor cifrados (AES-256-GCM).
• Aislamiento de los datos por cuenta y por cuenta de Telegram conectada; consultas parametrizadas.
• Registro de los accesos de administración a datos de conversaciones y de las acciones relevantes de seguridad.
• Límites de frecuencia y medidas contra el abuso y el spam.
• Minimización: imágenes procesadas en memoria sin guardarse; historial limitado; registros técnicos y de observabilidad durante 30 días; colas de trabajo de 1 a 7 días; sin datos de los contactos en las trazas más allá de lo necesario para depurar el servicio.
• Consentimiento previo de los contactos antes de cualquier tratamiento con inteligencia artificial y parada ante posibles menores.
• Copia de seguridad diaria de la base de datos que se sobrescribe cada 24 horas.
• Proveedores con contrato de encargo y garantías para las transferencias internacionales.
• Procedimientos documentados de gestión de violaciones de seguridad y de atención de derechos; revisiones periódicas de seguridad; compromiso de confidencialidad del personal.