Contrato de encargo del tratamiento

Summia trata datos personales por cuenta del cliente con el único fin de prestarle el servicio Summia. El presente contrato establece las condiciones de dicho tratamiento.

El contrato se aplica durante todo el tiempo en que se utilice el servicio y termina con dicho uso, sin perjuicio de las obligaciones que subsisten tras su terminación: la supresión de los datos (artículo 9 del presente contrato) y la confidencialidad.

Summia solo trata los datos siguiendo instrucciones documentadas del cliente. El uso del servicio, su configuración y el presente contrato constituyen dichas instrucciones. Si Summia considera que una instrucción infringe el RGPD, informa de ello al cliente.

Los datos del cliente nunca se utilizan para entrenar un modelo de inteligencia artificial, ni por parte de Summia ni por parte de sus subencargados del tratamiento.

Las personas autorizadas para acceder a los datos se comprometen a respetar su confidencialidad. Su acceso se limita a lo que exigen sus funciones.

Summia aplica medidas técnicas y organizativas apropiadas al riesgo, de conformidad con el artículo 32 del RGPD. Se describen en el anexo 1 y pueden evolucionar, siempre que nunca se reduzca el nivel de protección.

El cliente autoriza a Summia a recurrir a los subencargados del tratamiento cuya lista se publica en la página Subencargados del tratamiento.

• Summia informa al cliente de cualquier incorporación o sustitución con al menos treinta días de antelación.
• El cliente puede oponerse por un motivo legítimo relacionado con la protección de datos. Si no se llega a un acuerdo, puede poner fin a su uso del servicio.
• Summia impone a cada subencargado del tratamiento obligaciones al menos equivalentes a las del presente contrato, y sigue siendo responsable ante el cliente de su cumplimiento.

Summia ayuda al cliente, en la medida de lo posible:

• a responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición);
• a realizar, cuando proceda, una evaluación de impacto relativa a la protección de datos;
• a consultar a la autoridad de control cuando sea necesario.

En caso de violación de la seguridad de los datos personales, Summia la notifica al cliente sin dilación indebida una vez que tiene conocimiento de ella. La notificación describe la naturaleza de la violación, sus consecuencias probables y las medidas adoptadas o previstas.

Al finalizar el uso del servicio:

• Summia suprime los datos del cliente en un plazo de treinta días;
• los datos contenidos en las copias de seguridad desaparecen, como máximo, treinta días después, a medida que estas se renuevan;
• antes de la supresión, el cliente puede solicitar la recuperación de sus datos.

Ningún dato se conserva más allá de esos plazos salvo que la ley lo exija.

Los datos se alojan en Francia. Cuando un subencargado del tratamiento trata datos fuera de la Unión Europea, la transferencia se basa en una decisión de adecuación de la Comisión Europea o en sus cláusulas contractuales tipo. La lista de subencargados del tratamiento indica, para cada uno, el lugar del tratamiento.

Summia pone a disposición del cliente la información necesaria para demostrar el cumplimiento del presente contrato. El cliente puede encargar una auditoría, a su costa, como máximo una vez al año y con un preaviso de treinta días, a un auditor sujeto a un deber de secreto. La auditoría no debe comprometer la seguridad ni la confidencialidad de los datos de los demás clientes.

El presente contrato se rige por la legislación francesa. Se somete a las normas de responsabilidad y de jurisdicción previstas en las Condiciones de uso.

Alojamiento

• Los datos se alojan en la región de París, en Scaleway, un proveedor de alojamiento francés con certificación ISO 27001.

Aislamiento

• Cada cuenta está aislada dentro de la propia base de datos.
• Un acceso solo se concede mediante un uso compartido explícito, verificado en cada solicitud.
• En caso de duda, se deniega el acceso.

Inteligencia artificial

• Para crear o modificar una tabla, los modelos de IA reciben la petición, la estructura del documento y algunos valores de ejemplo por columna.
• Para responder a una pregunta, reciben además las etiquetas de las filas y un número limitado de resultados ya calculados.
• Por último, reciben las imágenes y los PDF adjuntos a una petición, así como la grabación de los dictados.
• Ningún dato se utiliza para entrenar modelos.

Cifrado

• Las comunicaciones están cifradas en tránsito.
• Las copias de seguridad están cifradas.

Autenticación

• Inicio de sesión con contraseña, código de un solo uso o proveedor de identidad (Google, Microsoft).
• Los códigos tienen una validez limitada y se almacenan en forma de hash.
• Cambiar la contraseña cierra todas las sesiones abiertas.

Trazabilidad

• Cada modificación de un documento queda fechada y se conserva en un historial que no puede reescribirse.
• Cada uso compartido queda registrado.

Seguridad del desarrollo

• El código se audita periódicamente conforme a normas de seguridad exigentes.
• Cada modificación se somete a una batería de pruebas automáticas antes de su puesta en producción.

Accesos internos

• El acceso a los sistemas de producción está restringido a las personas que lo necesitan.

La lista actualizada se publica en la página Subencargados del tratamiento.