Contrato de encargo del tratamiento

1. Quién es quién

Tú eres la empresa o el profesional que tiene una cuenta en Bossiko y es dueño de una o varias empresas en ella. Con los datos personales que metes en tu oficina eres el responsable del tratamiento: decides para qué se usan y cómo.

Nosotros somos Basalt Works, que presta Bossiko. Con esos datos somos el encargado del tratamiento: los tratamos por tu cuenta y solo para prestarte el servicio.

2. De qué datos trata

De los datos personales de otras personas que entran en tu oficina para que tu equipo de empleados IA trabaje con ellos: los correos de tus clientes y proveedores, los documentos que subes, los contactos, los encargos… Da igual cómo entren: los subes o los escribes tú o alguien de tu equipo, llegan al correo de la oficina o por Gmail, o el equipo los lee en las webs que abre en tu navegador con la extensión.

También los de quien escribe al asistente de atención al público de tu empresa, si lo enciendes: lo que escribe en el chat de tu web o de tu enlace, los datos de contacto que deja con su permiso y las citas que reserva. El asistente solo sabe lo que tú le enseñas y se presenta siempre como un asistente de inteligencia artificial de tu empresa.

No entran aquí los datos de tu propia cuenta (tu correo, tu nombre, tu foto, tus pagos) ni el registro de actividad que guardamos para la seguridad del servicio: de esos somos responsables nosotros, y los explica la política de privacidad. Privacidad

3. Qué hacemos con ellos, para qué y durante cuánto tiempo

Los guardamos en tu oficina, y los empleados IA los leen, los buscan, los ordenan, los resumen y crean documentos con ellos cuando les encargas algo. Para eso, lo necesario de cada encargo se envía a los modelos de IA y a los demás proveedores de la sección 8. También hacemos copias de seguridad y, cuando toca, los borramos.

Los tratamos solo para prestarte el servicio: que tu equipo haga lo que le encargas, guardar tu oficina, avisarte cuando te necesita, mantener el servicio seguro y ayudarte cuando nos lo pides. No los usamos para nada más: no los vendemos, no los usamos para publicidad y no entrenamos modelos de IA con ellos.

La única excepción es la que cuenta la privacidad: durante la prueba gratis de Esencial podemos revisar, de forma interna, el sector de tu empresa y tus primeros encargos para mejorar el producto. Esa revisión la decidimos nosotros, así que en ella respondemos como responsables y no como encargados. La hacemos solo nosotros, no se la pasamos a nadie y puedes oponerte escribiendo a contact@bossiko.com.

Los tratamos mientras tengas tu cuenta y tus empresas en Bossiko; lo que pasa al terminar lo explica la sección 12. Nuestras obligaciones de confidencialidad y seguridad siguen mientras conservemos algún dato.

4. Qué datos y de quién

Los que tú decidas meter en tu oficina, que dependen de tu negocio. Normalmente:

• datos de identificación y de contacto: nombres, correos, teléfonos y direcciones;
• datos profesionales y comerciales: empresa y cargo, pedidos, presupuestos, facturas, importes y los datos bancarios que aparezcan en ellas;
• el contenido de las comunicaciones: los correos que llegan a la oficina y los mensajes que cruzas con tu equipo, también por Telegram si lo conectas;
• los documentos, las imágenes y los archivos que subes o que crea el equipo, y lo que lee en las webs que abre en tu navegador.

Y son de personas como estas:

• tus clientes y posibles clientes;
• tus proveedores y colaboradores, y sus personas de contacto;
• tus trabajadores y quienes se presentan a un puesto;
• quien escribe a tu empresa o aparece en los correos y documentos que le das al equipo;
• quien habla con el asistente de atención al público de tu empresa, en tu web o en tus redes;
• las personas de tu equipo a las que invitas a tu oficina.

Bossiko no está pensado para categorías especiales de datos (salud, origen étnico, opiniones políticas, religión, afiliación sindical, vida u orientación sexual, datos genéticos o biométricos) ni para datos sobre condenas o infracciones penales. Si los metes, te corresponde a ti tener una base legal para ello y valorar si el servicio es adecuado.

5. Lo que te corresponde a ti

Como responsable, tú decides qué datos entran en tu oficina y para qué. Te corresponde:

• tener una base legal para tratar cada dato que metes (por ejemplo, un contrato con tu cliente, su consentimiento o tu interés legítimo) e informar a las personas, como pide el RGPD;
• meter solo lo que necesitas para lo que encargas;
• darnos instrucciones que cumplan la ley y revisar lo que prepara el equipo antes de usarlo: lo que sale de la oficina lo envías o lo apruebas tú;
• cuidar quién entra en tu cuenta y a quién invitas a tu oficina;
• si enciendes el asistente de atención al público, enseñarle solo lo que puedas contar a cualquiera y enlazar en él tu política de privacidad: antes del primer mensaje dice que es una IA de tu empresa y enlaza tu privacidad y la nuestra;
• atender a las personas que ejercen sus derechos y, si tu tratamiento lo pide, hacer una evaluación de impacto (en las dos cosas te ayudamos: sección 10).

6. Lo que nos comprometemos a hacer

Tratar los datos solo siguiendo tus instrucciones documentadas: las de este contrato y las condiciones, y las que nos das al usar la oficina (lo que encargas, los ajustes que eliges, lo que conectas). Si una instrucción nos parece contraria al RGPD o a otra norma de protección de datos, te lo diremos. Si una ley nos obligara a tratarlos de otra forma, te avisaremos antes, salvo que esa misma ley lo prohíba.

Guardar secreto: solo acceden a los datos las personas de Basalt Works que lo necesitan para prestar el servicio, y están obligadas a la confidencialidad, también después de dejar de trabajar con nosotros. Fuera de la revisión de la prueba gratis de Esencial, solo miramos el contenido de una oficina cuando hace falta para ayudarte porque nos lo pides, para resolver un fallo o un problema de seguridad, o porque la ley nos obliga; cada vez que se abre desde nuestro panel de administración queda anotado en el registro de actividad.

No usar los datos para nada propio, salvo esa revisión, ni dárselos a nadie más que a los subencargados de la sección 8, salvo que la ley nos obligue.

Y además: aplicar las medidas de seguridad de la sección 7, ayudarte con los derechos de las personas y las evaluaciones de impacto (sección 10), avisarte de las brechas de seguridad (sección 11), devolverte y borrar los datos al terminar (sección 12) y darte la información para comprobar que cumplimos (sección 13).

7. Medidas de seguridad

Teniendo en cuenta el tipo de datos y sus riesgos (artículo 32 del RGPD), aplicamos estas medidas. Son las que hay hoy: las iremos mejorando, nunca para dejar los datos menos protegidos.

• En la Unión Europea: tu oficina, sus archivos y sus copias de seguridad están en servidores de Hetzner en Núremberg (Alemania).
• Cada empresa, aparte: cada una tiene su propia carpeta y su propia base de datos, y en cada petición se comprueba que quien la hace pertenece a esa empresa. Antes de publicar cada versión del servicio, una prueba automática intenta leer y cambiar los datos de una empresa desde otra por todas sus rutas, y si lo consigue, esa versión no se publica.
• Cifrado: las conexiones van siempre por HTTPS. Van cifradas las copias de seguridad y, con una clave propia de cada oficina, lo más delicado que guarda: las contraseñas de «Cuentas y contraseñas» y el permiso de Gmail. El correo que llega a la oficina espera cifrado en Amazon hasta que la oficina lo recoge (unos segundos; 7 días como mucho).
• Copias de seguridad: cada hora, cifradas. En el servidor se guardan dos días de copias horarias y una diaria durante una semana; otra copia, también cifrada, se guarda en un equipo nuestro en España hasta unos 6 meses. Cada semana se comprueba sola que se pueden restaurar.
• Acceso a los servidores: solo con clave y a través de una red privada cifrada; desde internet solo responde la web. El servicio corre en un contenedor sin privilegios, con el sistema de archivos de solo lectura y sin acceso a redes privadas. El equipo de las copias las lee del servidor, y el servidor no puede entrar en él ni borrarlas.
• Sesiones y contraseñas: se entra con Google, y de cada sesión solo guardamos una huella (hash), no la sesión en sí. Los empleados IA usan las contraseñas de tu empresa sin verlas nunca, y solo el dueño de la empresa puede verlas.
• Registro de actividad: quién entra y desde qué dirección IP; qué cambia (empresas, permisos, canales, integraciones); cada vez que un empleado IA sale de la oficina (lo que busca, las webs que abre, a quién prepara una respuesta), y cada vez que alguien de Bossiko abre el contenido de una oficina desde el panel de administración. No guarda mensajes ni documentos, y se borra al año.
• Lo que llega de fuera: el contenido de webs, correos y documentos se trata como no fiable, porque puede traer instrucciones escondidas. En esas conversaciones, guardar algo de forma duradera o usar una contraseña pide tu permiso, y las conexiones a internet se revisan para que no saquen datos de la oficina. Además, nada importante sale de la oficina sin tu aprobación: los empleados no envían correos ni mensajes a otras personas en tu nombre. La excepción es el asistente de atención al público, si lo enciendes: contesta a quien le escribe en tu web con lo que tú le has enseñado, sin acceso a nada más de tu oficina, y manda la confirmación de las citas que reserva.
• Mantenimiento y vigilancia: actualizaciones de seguridad automáticas en el servidor, revisión de fallos conocidos en las librerías antes de publicar cada versión, y una vigilancia desde fuera, cada dos minutos, que nos avisa si algo falla.

8. Subencargados

Nos autorizas, de forma general, a contar con estos proveedores para prestarte el servicio. Son los mismos que lista la privacidad, y cada uno solo recibe lo que necesita para su parte:

• Hetzner Online GmbH (Alemania)
  Aloja la oficina en servidores en Núremberg: tu cuenta, tus empresas, tus archivos y sus copias de seguridad cifradas.
• OpenAI (Estados Unidos)
  Los modelos de IA con los que trabaja el equipo: recibe lo necesario de cada encargo (tus mensajes, la ficha de la empresa, los documentos que lee el empleado y las páginas que abre en tu navegador si usas la extensión), al dictar por voz, el audio, y lo que escriben tus clientes al asistente de atención al público.
• Vercel Inc. (Estados Unidos)
  Aloja esta web y, con su AI Gateway, lleva al modelo de cada proveedor las imágenes que se generan o se editan, el dictado por voz y, de reserva, el resto de encargos.
• Google (Estados Unidos)
  El inicio de sesión (tu correo, tu nombre y tu foto) y, si conectas Gmail, la lectura de los correos que te llegan.
• Amazon Web Services (Amazon SES) (Estados Unidos)
  Envía los correos de tu oficina (los avisos, el parte semanal y la confirmación de las citas que reservan tus clientes con el asistente: la dirección y lo que dicen) y, si reenvías tu correo a la dirección de la oficina, lo recibe en Irlanda y lo guarda hasta que tu oficina lo recoge, unos segundos (7 días como mucho).
• Telegram (fuera de la UE)
  Solo si lo conectas: los avisos y los mensajes que cruzas con tu equipo por allí.
• Polar Software, Inc. (Estados Unidos)
  Los pagos y las facturas: tus datos de facturación y de pago. Como vendedor, también es responsable de lo que trata para cobrar y facturar.
• Cloudflare, Inc. (Estados Unidos)
  Solo en el asistente de atención al público de las empresas que lo encienden: comprueba con Turnstile que quien empieza a escribirle no es un robot (recibe datos técnicos de su navegador y su dirección IP).
• Brave Software, Inc. (Brave Search) (Estados Unidos)
  El buscador de los empleados: recibe los términos de búsqueda que escriben, desde nuestro servidor.
• DuckDuckGo (Estados Unidos)
  Solo cuando no está configurado Brave Search: recibe los términos de búsqueda que escriben los empleados, desde nuestro servidor.

Nos comprometemos a que cada uno esté obligado por contrato a proteger los datos con garantías equivalentes a las de este contrato, y respondemos ante ti de lo que hagan. Polar trata los datos de pago como vendedor y por su cuenta, no los de tu oficina.

Si añadimos o sustituimos un proveedor, te avisaremos por correo o en tu oficina al menos 15 días antes, y actualizaremos esta lista y la de la privacidad. Si tienes un motivo razonable de protección de datos para oponerte, escríbenos a contact@bossiko.com en ese plazo: buscaremos una solución contigo y, si no la hay, podrás cancelar sin penalización antes de que se aplique el cambio.

9. Transferencias fuera de la Unión Europea

Tu oficina, sus archivos y sus copias de seguridad están en la Unión Europea. Algunos proveedores de la lista están en Estados Unidos o fuera de la UE, y reciben solo lo que necesitan para su parte. Los que están fuera de la Unión Europea tratan los datos con las garantías que pide el RGPD: el Marco de Privacidad de Datos UE-EE. UU., si la empresa está adherida, o las cláusulas contractuales tipo de la Comisión Europea.

10. Ayuda con los derechos de las personas y las evaluaciones de impacto

Si alguien pide ver, corregir o borrar sus datos, oponerse, limitar su uso o llevárselos, te corresponde responderle a ti, y te damos con qué: desde tu oficina puedes buscar lo que hay sobre una persona, borrar archivos, encargos y notas de memoria (los archivos borrados pasan por la papelera y desaparecen del todo a los 30 días) y descargar todos los datos de cada empresa. Lo que no puedas hacer tú, escríbenos a contact@bossiko.com y lo hacemos contigo.

Si una persona se dirige a nosotros por datos que tratamos por tu cuenta, te pasaremos su petición sin demora y no le responderemos en tu nombre, salvo que nos lo pidas.

También te daremos la información que tengamos y necesites para cumplir tus obligaciones de seguridad (artículo 32 del RGPD), para hacer una evaluación de impacto (artículo 35) y, si hiciera falta, para consultar a la autoridad de control (artículo 36).

11. Brechas de seguridad

Si sufrimos una violación de la seguridad que afecte a los datos personales de tu oficina (que se pierdan, que alguien acceda a ellos o que se difundan sin deber), te la notificaremos sin dilación indebida desde que la conozcamos, al correo de tu cuenta.

Te contaremos lo que sepamos en ese momento, y el resto según lo vayamos sabiendo: qué ha pasado, qué datos y a cuántas personas afecta, sus posibles consecuencias, qué hemos hecho para contenerla y qué proponemos, y con quién hablar. Así podrás, si toca, notificarla a la autoridad de control (en España, la Agencia Española de Protección de Datos) en las 72 horas que pide el RGPD y avisar a las personas afectadas. Te ayudaremos con ello.

12. Al terminar

Puedes descargar cuando quieras, desde tu cuenta, los datos de cada empresa: un zip con toda la oficina, sus archivos y tu cuenta. Las contraseñas de «Cuentas y contraseñas» no van dentro, por seguridad: cópialas antes desde la oficina.

Cuando eliminas una empresa, sale de Bossiko al momento; durante 30 días aún podemos recuperarla si nos lo pides, y después se borra del todo. Si borras tu cuenta, sus empresas siguen el mismo camino y los datos de tu cuenta se borran al momento. Lo que quede en las copias de seguridad, cifradas, se borra solo en unos 6 meses.

El registro de actividad guarda un año, por seguridad, lo que anota de tu oficina (sección 7), aunque la hayas borrado. Fuera de eso, solo conservaremos algún dato si una ley nos obliga, y mientras dure esa obligación.

Las conversaciones del asistente de atención al público se borran solas 12 meses después de su último mensaje, y sus citas, 12 meses después de su fecha.

Si cancelas tu plan sin borrar nada, tus datos se quedan en tu cuenta, por si vuelves, hasta que los borres tú o nos pidas que lo hagamos. Si dejamos de ofrecer Bossiko, te avisaremos con al menos 30 días para que puedas descargarlos, y después los borraremos.

13. Auditorías e información

Si nos la pides, te daremos la información necesaria para demostrar que cumplimos este contrato y el artículo 28 del RGPD: cómo tratamos los datos, las medidas de seguridad y los subencargados.

Si con eso no basta, puedes hacer una auditoría, incluida una inspección, tú o un auditor independiente que encargues, y colaboraremos en ella. La acordaremos contigo con un aviso razonable (al menos 30 días, salvo tras una brecha de seguridad o a petición de una autoridad), con compromiso de confidencialidad, sin acceder a los datos de otros clientes ni poner en riesgo la seguridad del servicio, y a tu cargo. También colaboraremos con la autoridad de control si nos lo pide.

14. Responsabilidad

Cada parte responde de cumplir lo que le toca del RGPD y de este contrato. Si usáramos los datos para otros fines o de otra forma que la que dice este contrato, se nos consideraría responsables de ese tratamiento (artículo 28.10 del RGPD). De lo que hagan nuestros subencargados respondemos ante ti como si lo hiciéramos nosotros.

Entre tú y nosotros se aplica la limitación de responsabilidad de las condiciones (sección 12), en lo que la ley permita. Nada de este contrato limita los derechos de las personas afectadas, que pueden reclamar a quien corresponda según el artículo 82 del RGPD.

15. Duración, cambios y ley aplicable

Este contrato dura lo mismo que tu relación con Bossiko según las condiciones, y sus obligaciones siguen mientras conservemos datos de tu oficina. Si algo de las condiciones o de la privacidad contradice este contrato en lo que toca a los datos que tratamos por tu cuenta, manda este contrato.

Podemos cambiarlo como las condiciones: si el cambio es importante, te avisaremos con al menos 30 días de antelación y podrás cancelar antes si no estás de acuerdo. La fecha de arriba dice cuál es la versión en vigor.

Se rige por la ley española y el RGPD, y los desacuerdos se resuelven como dicen las condiciones (sección 14). Para cualquier duda, escríbenos a contact@bossiko.com.