Acuerdo de tratamiento de datos (DPA)

1. Partes

Este DPA se celebra entre:

• Kiff Agents OÜ, una sociedad de responsabilidad limitada estonia, código de registro 17372313, IVA EE102924327, con domicilio social en Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estonia (el «Encargado»); y
• [DENOMINACIÓN SOCIAL DEL CLIENTE], con domicilio social en [DIRECCIÓN], código de registro [CÓDIGO DE REGISTRO] (el «Responsable»).

Cada una, una «parte», y conjuntamente, las «partes». Este DPA complementa las Condiciones del servicio de /es/terms y cualquier formulario de pedido comercial entre las partes; en caso de conflicto en materia de protección de datos, prevalece este DPA.

2. Definiciones

Los términos con mayúscula inicial que no se definen aquí tienen el significado que les da el RGPD (Reglamento (UE) 2016/679).

• «RGPD»: el Reglamento General de Protección de Datos de la UE.
• «Datos Personales», «Interesado», «Tratamiento», «Responsable», «Encargado», «Subencargado del Tratamiento», «Violación de la Seguridad de los Datos Personales»: tal como se definen en el artículo 4 del RGPD.
• «Datos de Auditoría»: los Datos Personales que el Responsable envía al Servicio o genera dentro de él a través del entorno de ejecución, incluidos los eventos, las decisiones, las acciones, las aprobaciones y los recibos.
• «Datos de tafs»: los Datos Personales que hay en lo que tafs guarda en nombre del Responsable: las ejecuciones y los chats de cada taf (incluido lo que le devuelven las apps conectadas del Responsable) y los chats de Setup, sus informes, sus notas de memoria, los dispositivos registrados para recibir sus alertas, y las conexiones del Responsable a sus apps en planque (el token de cada conexión y el registro de sus aprobaciones). El anexo 4 los describe.
• «Servicio»: el producto KIFF Cloud, incluido tafs, tal como se define en las Condiciones del servicio.
• «Cláusulas Contractuales Tipo» o «CCT»: las cláusulas contractuales tipo de 2021 de la Comisión Europea para la transferencia de Datos Personales a terceros países.
• «DPF»: la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework).
• «TOMs»: las medidas técnicas y organizativas descritas en el anexo 2.

3. Alcance y papeles

Este DPA se aplica cuando Kiff Agents OÜ trata Datos Personales en nombre del Responsable en relación con el Servicio. Respecto de los Datos de Auditoría y los Datos de tafs, el Responsable es el responsable del tratamiento y Kiff Agents OÜ es el encargado del tratamiento.

Los Datos Personales que tratamos sobre los titulares de las cuentas del Responsable (metadatos del inicio de sesión, contactos de facturación, correspondencia de soporte) se rigen por nuestra política de privacidad; respecto de esos datos somos un responsable del tratamiento independiente, no un encargado conforme a este DPA.

4. Objeto y duración

Objeto: el Tratamiento de los Datos de Auditoría y los Datos de tafs para prestar el Servicio.

Duración: desde la fecha de entrada en vigor de este DPA hasta lo que ocurra más tarde: (a) la terminación de las Condiciones del servicio subyacentes, o (b) el borrado de todos los Datos de Auditoría conforme al §16. Las disposiciones que por su naturaleza siguen vigentes tras la terminación (auditoría, indemnización, ley aplicable) siguen vigentes.

5. Naturaleza y finalidad del tratamiento

Kiff Agents OÜ trata los Datos de Auditoría solo en la medida necesaria para prestar el Servicio: recibir propuestas y llamadas a herramientas, evaluarlas según la configuración y las Cards del Responsable, retenerlas para que las apruebe una persona cuando la configuración lo exige, reenviar una llamada autorizada a la app conectada o emitir una autorización que la app verifica, registrar las decisiones y el resultado del que informa la app, emitir Recibos firmados y (cuando el Responsable lo ha configurado así) publicar hashes de resumen con evidencia de manipulación en un rastro público verificable. La app conectada realiza la acción subyacente; una decisión de autorización no prueba por sí sola que la acción se realizó.

Para tafs, Kiff Agents OÜ también trata los Datos de tafs para ejecutar cada taf que el Responsable pone en marcha: ejecutarlo según su programación y en los chats con las personas del Responsable, enviar sus llamadas a herramientas a través de KIFF, guardar sus ejecuciones, sus chats y sus notas de memoria para que pueda informar y continuar su trabajo, y alertar a los dispositivos registrados del Responsable cuando una llamada queda retenida. A través de Setup y de planque, también conecta las apps del Responsable cuando las personas del Responsable inician sesión en el proveedor de la app y aprueban la conexión en su dispositivo: planque guarda el token de ese inicio de sesión, cifrado, y lo usa solo para hacer una llamada que KIFF ha decidido. El anexo 4 detalla los datos, dónde se guardan y durante cuánto tiempo.

6. Categorías de Interesados y de Datos Personales

Por defecto, Kiff Agents OÜ trata estas categorías de Datos Personales, tal como las describe el inventario de /es/security#data-we-process:

• Datos de la cuenta: quiénes son las personas del Responsable en su cuenta (nombres, direcciones de correo, roles), y sus agentes y las claves de estos. Los metadatos del inicio de sesión que Kiff Agents OÜ guarda como responsable del tratamiento siguen rigiéndose por el §3.
• Conexiones de apps: cada conexión a las apps del Responsable, su token (cifrado), las herramientas aprobadas y el registro de quién las aprobó.
• Registros de las acciones de los agentes: por cada llamada, quién lo pidió (agente y clave), la acción, sobre qué actuó, el resultado y sus motivos, la Card vigente, los parámetros numéricos, las llamadas retenidas y sus respuestas, y los recibos.
• Chats con tafs: las ejecuciones y los chats de cada taf, sus informes y sus notas de memoria, y lo que le devuelven las apps del Responsable, como describe el anexo 4.

Los Interesados son las personas del Responsable que usan el Servicio, y las personas cuyos datos aparecen en las acciones de sus agentes y en los chats con tafs, como los clientes, los proveedores o el personal del Responsable.

Qué más llega al Servicio depende de la configuración del Responsable y de los datos que envía; Kiff Agents OÜ no controla qué campos envía el Responsable. El Responsable añade cualquier otra categoría en el anexo 1, que se actualiza cuando la configuración cambia de forma sustancial.

7. Instrucciones del Responsable

Kiff Agents OÜ tratará los Datos Personales siguiendo las instrucciones documentadas del Responsable. Esas instrucciones comprenden este DPA, las Condiciones del servicio, la documentación técnica del Servicio y las medidas de seguridad en la revisión fechada de kiff.dev/docs/archive/2026-10-10, y las configuraciones y las instrucciones que envían a través del Servicio los usuarios autorizados del Responsable.

El whitepaper estratégico y la documentación del framework de código abierto, que se licencia por separado, son referencias explicativas y no forman parte de esas instrucciones de tratamiento. Publicar un documento revisado no modifica, por sí solo, las instrucciones aplicables a un acuerdo existente.

Las instrucciones que quedan fuera de ese alcance requieren un acuerdo por escrito. Si Kiff Agents OÜ considera que una instrucción es contraria al RGPD o a otra ley de protección de datos aplicable, se lo notificará al Responsable.

8. Obligaciones del Encargado (artículo 28, apartado 3)

Kiff Agents OÜ:

1. tratará los Datos Personales solo siguiendo las instrucciones documentadas del Responsable, también respecto de las transferencias internacionales, salvo que el Derecho de la UE o de un Estado miembro le obligue a hacer otra cosa (en cuyo caso Kiff Agents OÜ informará al Responsable de esa exigencia legal antes del Tratamiento, salvo que ese Derecho prohíba informar por razones importantes de interés público);
2. garantizará que el personal autorizado para tratar Datos Personales esté sujeto a obligaciones de confidencialidad adecuadas;
3. aplicará las medidas técnicas y organizativas descritas en el anexo 2;
4. respetará las condiciones para recurrir a Subencargados del Tratamiento establecidas en el §10;
5. teniendo en cuenta la naturaleza del Tratamiento, asistirá al Responsable con medidas adecuadas para que cumpla sus obligaciones de responder a las solicitudes de los Interesados conforme al capítulo III del RGPD;
6. asistirá al Responsable para garantizar el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de la seguridad, evaluación de impacto relativa a la protección de datos, consulta previa), teniendo en cuenta la naturaleza del Tratamiento y la información de que dispone Kiff Agents OÜ;
7. a elección del Responsable, borrará o devolverá todos los Datos Personales al terminar la prestación de los servicios conforme al §16, y borrará las copias existentes salvo que el Derecho de la UE o de un Estado miembro exija conservarlas;
8. pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permitirá las auditorías conforme al §15 y contribuirá a ellas.

9. Confidencialidad

Kiff Agents OÜ garantiza que el personal con acceso a los Datos Personales está sujeto a obligaciones de confidencialidad por escrito o a una obligación legal de confidencialidad adecuada. El acceso se concede según el principio de mínimo privilegio y queda registrado.

10. Subencargados del Tratamiento

El Responsable autoriza a Kiff Agents OÜ a recurrir a los Subencargados del Tratamiento que figuran en el anexo 3 y en /es/subprocessors, que es la lista oficial. Kiff Agents OÜ impone a cada Subencargado del Tratamiento obligaciones de protección de datos que no protegen menos que este DPA.

El rastro público verificable no es un Subencargado del Tratamiento. Solo recibe hashes de resumen y ningún Dato Personal.

La revisión fechada enlazada en la sección 7 recoge la lista tal como era en su fecha. Un cambio posterior surte efecto conforme a esta sección, no por la publicación de una revisión.

Cuando Kiff Agents OÜ tiene intención de recurrir a un nuevo Subencargado del Tratamiento o de sustituir a uno existente para el Tratamiento de los Datos Personales del Responsable, Kiff Agents OÜ lo notifica al Responsable con al menos treinta días de antelación. El Responsable puede oponerse al cambio por motivos razonables de protección de datos en un plazo de quince días desde la notificación; si una objeción razonable no puede resolverse, cualquiera de las partes puede poner fin a la parte afectada del Servicio mediante notificación por escrito.

11. Transferencias internacionales

Cuando el Tratamiento de Datos Personales implica una transferencia a un país de fuera del Espacio Económico Europeo que no cuenta con una decisión de adecuación conforme al artículo 45 del RGPD, las partes acuerdan que:

• para las transferencias a Subencargados del Tratamiento certificados en el Marco de Privacidad de Datos UE-EE. UU., el DPF es el mecanismo de transferencia mientras siga en vigor;
• en los demás casos, las partes incorporan por referencia las Cláusulas Contractuales Tipo de 2021 de la Comisión Europea, y se aplica el módulo 2 (de responsable a encargado) a las transferencias del Responsable a Kiff Agents OÜ y el módulo 3 (de encargado a subencargado) a las transferencias de Kiff Agents OÜ a un Subencargado del Tratamiento;
• la cláusula de incorporación (cláusula 7) no se usa; las partes de las CCT son el Responsable y Kiff Agents OÜ;
• los anexos I.A e I.B de las CCT se completan por referencia al anexo 1 de este DPA; el anexo II de las CCT, por referencia al anexo 2 de este DPA; el anexo III, por referencia al anexo 3 de este DPA;
• se aplica la opción 2 de la cláusula 9, letra a) (autorización general por escrito), con el plazo de notificación de treinta días del §10 anterior.

Cuando una evaluación de impacto de la transferencia indica que procede aplicar medidas complementarias, Kiff Agents OÜ las aplica (cifrado en tránsito y en reposo, registro de accesos, minimización de datos, como se documenta en el anexo 2).

12. Medidas de seguridad

Kiff Agents OÜ aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo conforme al artículo 32 del RGPD. Las medidas del anexo 2 y de la revisión fechada de kiff.dev/docs/archive/2026-10-10 son el nivel de referencia acordado. /es/security describe las medidas actuales. Kiff Agents OÜ puede actualizar las medidas, siempre que el nivel general de seguridad no baje de ese nivel de referencia, y notifica al Responsable por adelantado cualquier cambio sustancial en ellas.

13. Notificación de una Violación de la Seguridad de los Datos Personales

Kiff Agents OÜ notifica al Responsable toda Violación de la Seguridad de los Datos Personales que afecte a los Datos Personales del Responsable sin dilación indebida y, en todo caso, en un plazo de setenta y dos (72) horas desde que tiene conocimiento de ella. La notificación incluye, en la medida en que se conozca en ese momento y actualizándose a medida que haya más información:

• la naturaleza de la Violación, incluidas las categorías y el número aproximado de Interesados y de registros afectados;
• las consecuencias probables de la Violación;
• las medidas adoptadas o propuestas para poner remedio a la Violación y para mitigar sus posibles efectos negativos;
• el nombre y los datos de contacto de un único punto de contacto en Kiff Agents OÜ para obtener más información.

El plazo que el artículo 33 del RGPD da al propio Responsable para notificar a su autoridad de control empieza cuando el propio Responsable tiene conocimiento de la Violación; esta notificación sirve de apoyo a esa obligación.

14. Solicitudes de los Interesados

Kiff Agents OÜ asiste al Responsable, con medidas técnicas y organizativas adecuadas y teniendo en cuenta la naturaleza del Tratamiento, para que cumpla sus obligaciones de responder a las solicitudes de los Interesados que ejercen sus derechos conforme a los artículos 15 a 22 del RGPD.

Kiff Agents OÜ acusa recibo de las solicitudes de asistencia del Responsable en un plazo de cinco (5) días hábiles. Las solicitudes que se reciben directamente de los Interesados se remiten al Responsable sin dilación indebida; Kiff Agents OÜ no responde a esas solicitudes en su propio nombre, salvo para confirmar que las ha recibido y dirigir al Interesado al Responsable.

15. Derechos de auditoría

Kiff Agents OÜ pone a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Con un preaviso razonable por escrito (de al menos treinta días, salvo para una auditoría motivada por un incumplimiento sustancial confirmado), el Responsable puede auditar a Kiff Agents OÜ una vez por cada periodo de doce meses.

Kiff Agents OÜ todavía no tiene ningún informe SOC 2 ni ISO 27001. Si se le pide, comparte su resumen de seguridad de /es/security y responde a los cuestionarios de seguridad del Responsable.

Las auditorías se realizan en horario laboral normal, no interfieren de forma injustificada en el Servicio y respetan la confidencialidad de los demás clientes de Kiff Agents OÜ. El Responsable asume sus propios costes de auditoría; cuando una auditoría revela un incumplimiento sustancial por parte de Kiff Agents OÜ, Kiff Agents OÜ reembolsa al Responsable sus costes razonables de auditoría.

16. Devolución o borrado de los Datos Personales

A elección del Responsable, y en un plazo de treinta días desde la terminación del Servicio para el Responsable, Kiff Agents OÜ devuelve los Datos de Auditoría en un formato estructurado, de uso común y legible por máquina, o los borra. La misma elección se aplica a los Datos de tafs. Si no se elige nada dentro de ese plazo, Kiff Agents OÜ borra ambos. Los Datos de tafs se borran eliminando cada taf, como describe el anexo 4: después de devolver los datos del Responsable, o de inmediato cuando este eligió el borrado, Kiff Agents OÜ elimina los tafs que el Responsable no haya eliminado, y desconecta y borra las conexiones del Responsable y sus registros en planque.

Los hashes ya publicados en el rastro público verificable permanecen porque el rastro es inmutable. Como el rastro público usa salado criptográfico por inquilino (según /es/security#public-trail), la destrucción de la sal del inquilino hace que esos hashes publicados no puedan vincularse nunca más con los registros que los produjeron.

De la base de datos de KIFF se hace una copia de seguridad diaria, cifrada, y cada copia se guarda siete días, de modo que un registro borrado desaparece de ellas en un plazo de siete días desde su borrado. planque no guarda copia de seguridad de su almacén. Kiff Agents OÜ puede conservar Datos Personales cuando el Derecho de la UE o de un Estado miembro exija conservarlos (por ejemplo, la Ley de Contabilidad de Estonia, §12).

17. Responsabilidad

La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones y exclusiones establecidas en las Condiciones del servicio, salvo cuando la ley aplicable prohíba esa limitación. Cada parte responde de los daños causados por su propia infracción del RGPD conforme al artículo 82 del RGPD.

18. Vigencia y terminación

Este DPA entra en vigor cuando lo firman ambas partes y sigue vigente durante el tiempo descrito en el §4. La terminación de las Condiciones del servicio pone fin automáticamente a este DPA, sin perjuicio de las obligaciones que siguen vigentes.

19. Ley aplicable

Este DPA se rige por las leyes de la República de Estonia, sin perjuicio de las disposiciones imperativas del RGPD ni de las normas de protección de los consumidores cuando sean aplicables. Las disputas que surjan de este DPA están sujetas a las reglas sobre jurisdicción y ley aplicable del §18 de las Condiciones del servicio.

Anexo 1, Descripción del Tratamiento

Se completa en cada ejemplar firmado.

A. Lista de las partes

El Responsable y el Encargado, tal como se identifican en el §1.

B. Descripción de la transferencia

Categorías de Interesados: las enumeradas en el §6, más [cualquier otra categoría que declare el Responsable].
Categorías de Datos Personales: las enumeradas en el §6 (datos de la cuenta, conexiones de apps, registros de las acciones de los agentes, chats con tafs), más [cualquier otra categoría que declare el Responsable].
Datos sensibles: [declaración del Responsable; por defecto: ninguno].
Frecuencia de la transferencia: continua (cada solicitud al Servicio).
Naturaleza del Tratamiento: la descrita en el §5.
Finalidades del Tratamiento: las descritas en el §5.
Plazo de conservación: según /es/privacy#retention y el §16.

C. Autoridad de control competente

La Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon).

Anexo 2, Medidas técnicas y organizativas

Un resumen adecuado para un DPA del artículo 28. Este anexo y la revisión fechada de kiff.dev/docs/archive/2026-10-10 son el nivel de referencia acordado conforme a la sección 12. /es/security muestra las medidas actuales y se actualiza en un plazo de 30 días desde un cambio sustancial.

Anexo 3, Subencargados del Tratamiento

La lista oficial está en /es/subprocessors; esa lista es la que prevalece en cuanto a los Subencargados del Tratamiento actuales, cambia solo conforme al procedimiento de la sección 10 y se actualiza en un plazo de 30 días desde cualquier cambio. En la fecha de esta versión de la plantilla:

El rastro público verificable no es un Subencargado del Tratamiento: solo recibe hashes de resumen y ningún Dato Personal.

Anexo 4, tafs

Qué guarda tafs en nombre del Responsable, dónde y durante cuánto tiempo. El Responsable elimina un taf en la app de tafs; al eliminarlo se borra todo lo de abajo que se guarda «hasta que se elimina el taf».

Las Cards, las llamadas retenidas, las respuestas y los recibos de un taf son Datos de Auditoría, que KIFF guarda conforme al resto de este DPA.

Versión del documento: plantilla v0.1.
Última actualización: 9 de noviembre de 2026.