Anexo de tratamiento de datos

Versión 2026-10-09

Este Anexo de tratamiento de datos («DPA») forma parte del acuerdo entre Craftkite («Craftkite», «encargado del tratamiento») y el cliente que lo acepta («Cliente», «responsable del tratamiento») para el uso de Craftkite (el «Servicio»). Se aplica cuando Craftkite trata datos personales por cuenta del Cliente, en virtud del Reglamento General de Protección de Datos de la UE (RGPD), el RGPD del Reino Unido, la Ley n.º 6698 de Protección de Datos Personales de Turquía (KVKK) y las demás leyes de protección de datos aplicables (la «Normativa de Protección de Datos»).

1. Funciones y ámbito

1. El Cliente es el responsable del tratamiento de los datos personales que él, sus miembros o los usuarios finales de sus aplicaciones publicadas aportan al Servicio («Datos Personales del Cliente»). Craftkite es su encargado del tratamiento.
2. Craftkite es responsable del tratamiento de los datos de cuenta, facturación y seguridad que necesita para gestionar su propio negocio, según se describe en la Política de privacidad. Este DPA no se aplica a esos datos.
3. El Apéndice 1 describe el tratamiento.

2. Instrucciones

Craftkite trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente: el acuerdo, este DPA y el uso y la configuración del Servicio por parte del Cliente. Craftkite informará al Cliente si considera que una instrucción infringe la Normativa de Protección de Datos, salvo que la ley lo prohíba.

3. Confidencialidad y acceso del personal

1. Craftkite garantiza que todas las personas autorizadas para tratar Datos Personales del Cliente están sujetas a un deber de confidencialidad.
2. El personal de Craftkite accede a los Datos Personales del Cliente y al contenido del Cliente (prompts, archivos del proyecto, vistas previas, datos de las aplicaciones) solo cuando es necesario para resolver una solicitud de soporte del Cliente, una denuncia de abuso, una obligación legal o un incidente de seguridad. Cada acceso requiere un motivo documentado, está limitado en el tiempo y en el alcance (una cuenta o un proyecto), queda registrado en un registro de auditoría de solo anexión junto con cada elemento consultado y se muestra al Cliente en Cuenta → Privacidad. Los datos personales aparecen enmascarados de forma predeterminada en las herramientas internas.
3. Craftkite no utiliza los Datos Personales del Cliente ni el contenido del Cliente para entrenar modelos de IA, para elaborar ejemplos, plantillas o evaluaciones, ni para análisis, y solo comparte contenido en su galería de la comunidad cuando el Cliente lo envía con su consentimiento explícito, que puede retirar.

4. Seguridad

Craftkite aplica las medidas técnicas y organizativas del Apéndice 2 y las mantiene adecuadas al riesgo. Craftkite puede actualizarlas siempre que no disminuya el nivel general de protección.

5. Subencargados

1. El Cliente otorga una autorización general para los subencargados que figuran en la página Subencargados del tratamiento.
2. Craftkite anuncia los nuevos subencargados en esa página al menos 30 días antes de que empiecen a tratar Datos Personales del Cliente. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si las partes no pueden resolver la objeción, el Cliente puede poner fin a la parte afectada del Servicio y recibir un reembolso prorrateado de las tarifas pagadas por adelantado por ella.
3. Craftkite impone a cada subencargado obligaciones de protección de datos que no sean menos protectoras que este DPA y sigue siendo responsable de su cumplimiento.

6. Transferencias internacionales

Cuando los Datos Personales del Cliente se transfieran fuera del EEE, el Reino Unido, Suiza o Turquía a un país sin decisión de adecuación, las partes se basan en las Cláusulas Contractuales Tipo de la UE (Módulo 2 o 3, según corresponda), el Anexo de Transferencia Internacional de Datos del Reino Unido y, en el caso de Turquía, los contratos tipo publicados por la Autoridad de Protección de Datos Personales, que se incorporan por referencia. Cuando la Normativa de Protección de Datos exija el consentimiento explícito del interesado para una transferencia, corresponde al Cliente obtenerlo de sus propios usuarios.

7. Asistencia y solicitudes de los interesados

Craftkite ayuda al Cliente, teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de los interesados y a cumplir sus obligaciones en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa. El Servicio permite al Cliente exportar y eliminar sus datos por sí mismo.

8. Violaciones de la seguridad de los datos personales

Craftkite notifica al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad que afecte a los Datos Personales del Cliente, con la información que el Cliente necesite para cumplir sus propias obligaciones.

9. Supresión y devolución

Al finalizar el acuerdo, el Cliente puede exportar sus datos durante 30 días. Después, Craftkite suprime los Datos Personales del Cliente, incluidas las copias de seguridad dentro de su rotación habitual, salvo que la ley exija conservarlos.

10. Auditorías

Craftkite pone a disposición la información necesaria para demostrar el cumplimiento de este DPA, incluidas sus políticas de seguridad y, cuando estén disponibles, informes de auditoría independientes (como SOC 2). Cuando ello no sea suficiente, el Cliente puede realizar una auditoría una vez al año con un preaviso de 30 días, en horario laboral, a su cargo y bajo confidencialidad.

11. Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este DPA está sujeta a los límites del acuerdo. Si este DPA entra en conflicto con el acuerdo, prevalece este DPA en lo relativo al tratamiento de los Datos Personales del Cliente. Si una traducción de este DPA difiere de la versión en inglés, prevalece la versión en inglés.

Apéndice 1 — Descripción del tratamiento

Apéndice 2 — Medidas técnicas y organizativas

• Cifrado en tránsito (TLS) y de los secretos en reposo; secretos de las aplicaciones en un almacén cifrado.
• Cada proyecto se ejecuta en un sandbox aislado con red restringida; cada base de datos de aplicación está separada.
• Acceso basado en roles para el personal de Craftkite, verificación en dos pasos obligatoria para los administradores, una lista de IP permitidas para la consola de administración y un registro de auditoría de seguridad de solo anexión.
• Roles del espacio de trabajo (propietario, administrador, editor, lector) e inicio de sesión único (SAML u OpenID Connect) para los espacios de trabajo Enterprise.
• Copias de seguridad, supervisión y respuesta a incidentes según se describe en las políticas de seguridad de Craftkite.
• Los proveedores de modelos de IA están obligados contractualmente a no entrenar con datos del Cliente; las solicitudes incluyen las opciones de no almacenamiento de los proveedores cuando se ofrecen (OpenAI store: false) y ningún identificador de miembro.
• Acceso de emergencia (break-glass) para el personal: motivo, límite de tiempo, alcance, auditoría por cada lectura y transparencia frente al Cliente; datos personales enmascarados en las herramientas internas con revelación auditada; exportaciones completas de datos personales solo para superadministradores.
• Vistas previas privadas: se muestran a los miembros del proyecto o mediante enlaces firmados que caducan.
• Límites de conservación para registros, adjuntos, capturas de pantalla, tickets de soporte y registros de correo, aplicados mediante una purga programada; informes de errores y analítica depurados de datos personales y contenido.