Data processing agreement

1. Partes y objeto

Este acuerdo, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), forma parte de los Términos y condiciones y se aplica cuando un cliente que actúa como empresa o profesional («el responsable») envía a la API de MoreUnix AI datos personales de terceros, como los de sus usuarios, clientes o empleados. En ese caso, Moreunix S.L. (en constitución) («el encargado») los trata por cuenta del responsable.

El acuerdo se acepta junto con los Términos al crear la cuenta. Si necesitas una versión firmada, escríbenos a [email protected].

2. Descripción del tratamiento

El responsable no debe enviar categorías especiales de datos (art. 9 RGPD) ni datos penales salvo que sea imprescindible y cuente con una base legal para ello.

3. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estos Términos y el uso que haga de la API, y avisarle si una instrucción infringe la normativa.
• No conservar el contenido de las peticiones ni de las respuestas, no usarlo para entrenar modelos y no comunicarlo a terceros.
• Garantizar que las personas autorizadas a acceder a los sistemas están obligadas a la confidencialidad.
• Aplicar las medidas de seguridad del apartado 5.
• Ayudar al responsable, en la medida de lo posible, a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• Notificar al responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, con la información disponible.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, con preaviso y a su cargo.

4. Subencargados y transferencias

La inferencia se realiza en infraestructura propia del encargado ubicada en la Unión Europea. El contenido de las peticiones no se comunica a ningún subencargado ni se transfiere fuera del Espacio Económico Europeo.

Si en el futuro fuera necesario recurrir a un subencargado para tratar ese contenido, el encargado lo comunicará al responsable con al menos 30 días de antelación, para que pueda oponerse, y le impondrá por contrato las mismas obligaciones de este acuerdo.

5. Medidas de seguridad

• Cifrado de las comunicaciones con TLS (HTTPS).
• Acceso a la API mediante claves personales, que el responsable puede rotar en cualquier momento.
• Procesamiento del contenido solo en memoria, sin registro del contenido.
• Acceso administrativo restringido a la red interna y registro de las acciones administrativas.
• Límites de peticiones y bloqueos frente a abusos.

6. Fin del tratamiento

Como el contenido no se conserva tras cada petición, al terminar el contrato no quedan datos del responsable que devolver o suprimir, más allá de los datos de la propia cuenta, que se tratan según la Política de privacidad.

7. Obligaciones del responsable

El responsable garantiza que cuenta con una base legal para tratar los datos que envía, que ha informado a los interesados y que el tratamiento encargado es conforme a la normativa de protección de datos.

1. Parties and scope

This agreement, under article 28 of Regulation (EU) 2016/679 (GDPR), forms part of the Terms of service and applies when a customer acting as a business or professional ("the controller") sends third-party personal data, such as that of its users, customers or employees, to the MoreUnix AI API. In that case Moreunix S.L. (in formation) ("the processor") processes it on the controller's behalf.

The agreement is accepted together with the Terms when the account is created. If you need a signed copy, write to [email protected].

2. Description of the processing

The controller must not send special categories of data (art. 9 GDPR) or criminal data unless strictly necessary and backed by a legal basis.

3. Processor obligations

• Process the data only on the controller's documented instructions, which are these Terms and its use of the API, and tell the controller if an instruction breaches the law.
• Not keep the content of requests or responses, not use it to train models and not disclose it to third parties.
• Ensure that people authorised to access the systems are bound by confidentiality.
• Apply the security measures in section 5.
• Help the controller, as far as possible, to handle data subject requests and to meet its obligations on security, breach notification and impact assessments.
• Notify the controller of any security breach affecting its data without undue delay and in any case within 48 hours of becoming aware of it, with the information available.
• Make available the information needed to demonstrate compliance with this agreement and allow reasonable audits, with prior notice and at the controller's expense.

4. Sub-processors and transfers

Inference runs on the processor's own infrastructure in the European Union. Request content is not disclosed to any sub-processor or transferred outside the European Economic Area.

If a sub-processor ever becomes necessary to process that content, the processor will tell the controller at least 30 days in advance, so it can object, and will impose the obligations of this agreement on it by contract.

5. Security measures

• TLS (HTTPS) encryption for all communications.
• API access through personal keys, which the controller can rotate at any time.
• Content processed only in memory, with no logging of content.
• Administrative access restricted to the internal network, with a log of admin actions.
• Request limits and lockouts against abuse.

6. End of processing

Since content is not kept after each request, no controller data is left to return or delete when the contract ends, other than the account's own data, which is handled under the Privacy policy.

7. Controller obligations

The controller confirms that it has a legal basis to process the data it sends, that it has informed the data subjects and that the processing it entrusts complies with data protection law.