Contrato de encargo del tratamiento de datos personales

【Razón social del responsable】 (el «Responsable») y AlienPeoples (el «Encargado») celebran este contrato conforme al artículo 26 de la Ley de Protección de Información Personal de Corea para encomendar al Encargado las operaciones de tratamiento del Responsable.

Artículo 1Objeto

El contrato define los derechos y obligaciones de ambas partes cuando el Responsable encomienda al Encargado el tratamiento necesario para el servicio de atención al cliente con IA de SiCusto y el Encargado lo realiza diligentemente conforme al contrato y las leyes aplicables.

Artículo 2Definiciones

• Cliente final — Persona interesada que utiliza la página de atención del Responsable (https://sicusto.com/chat/{identificador-del-responsable}).
• Subencargado — Tercero a quien el Encargado encomienda parte de las operaciones. Se recoge en el anexo 1.
• Página de gestión — Interfaz proporcionada por el Encargado para que el personal del Responsable consulte conversaciones, uso y configuración (/portal/).
• Los demás términos siguen la Ley de Protección de Información Personal de Corea y las condiciones de uso del servicio.

Artículo 3Alcance de las operaciones y datos tratados

① El Encargado realiza únicamente las siguientes operaciones.

② El Encargado no amplía los datos tratados sin instrucciones del Responsable. El Responsable colabora en mantener los avisos de la página para que los clientes finales no introduzcan números coreanos de registro de residentes, de tarjeta, de cuenta ni contraseñas (el Encargado los enmascara en el servidor, pero el método basado en expresiones regulares puede omitir algunos).

Artículo 4Duración del encargo

La duración coincide con la vigencia del contrato de servicio (【Fecha de inicio】 hasta su finalización). Las cláusulas de confidencialidad, destrucción e indemnización siguen vigentes tras finalizar el contrato hasta cumplir su finalidad.

Artículo 5Restricciones a la subcontratación 【Revisión jurídica】 Forma de consentimiento

1. El Encargado no encomienda las operaciones a terceros sin consentimiento previo del Responsable. La firma implica consentimiento para los subencargados del anexo 1.
2. En la fase 1, los proveedores de IA son los mismos 3 para todas las empresas clientes (anexo 1); no se fija un proveedor distinto para cada Responsable.
3. Para añadir o cambiar un subencargado, el Encargado avisa por escrito (correo incluido) con 【N】 días de antelación. Si el Responsable se opone en ese plazo, el cambio no se aplica a ese Responsable, o este puede resolver el contrato de servicio sin penalización.
4. El Encargado impone a los subencargados obligaciones equivalentes de protección y responde ante el Responsable por su tratamiento.

Artículo 6Medidas de seguridad

El Encargado adopta las medidas siguientes conforme al artículo 29 de la Ley de Protección de Información Personal de Corea y las disposiciones relacionadas.

• Ubicación y separación — Datos almacenados en la región de Seúl, República de Corea (Google Cloud asia-northeast3), en rutas separadas por Responsable. El almacenamiento es exclusivo del servidor; los navegadores no pueden leer ni escribir directamente.
• Control de acceso — Del lado del Encargado, solo accede la persona responsable de operaciones. Del lado del Responsable, solo los miembros de la página (roles propietario/miembro); las acciones del propietario, como aplicar conocimientos, cambiar miembros y exportar, requieren verificar de nuevo un inicio de sesión reciente (en las últimas 12 horas).
• Almacenamiento mínimo — Solo se guardan y envían a proveedores de IA copias con datos sensibles (números coreanos de registro de residentes y extranjeros, de tarjeta, de cuenta y contraseñas), teléfonos y correos enmascarados. Los contactos de las derivaciones se conservan en original para poder responder (plazos del anexo 2).
• Registros de acceso — La consulta íntegra de conversaciones, exportaciones, cambios de configuración, eliminaciones y cambios de miembros se registran en auditoría (plazos del anexo 2).
• Transmisión — Página de atención, página de gestión y llamadas a API de IA usan HTTPS (TLS).
• Copias y recuperación — Se operan recuperación a un momento dado y copias diarias (conservación de 7 días); la recuperación sigue un procedimiento separado (documento operativo D-5).

Artículo 7Prohibición de uso para otros fines

1. El Encargado no usa ni facilita a terceros datos personales para fines ajenos a las operaciones encomendadas.
2. El Encargado no usa los datos para entrenar modelos de IA ni mejorar sus servicios, y solo usa proveedores de IA subencargados bajo condiciones que excluyen el entrenamiento (anexo 3).
3. El Encargado no divulga datos conocidos por las operaciones, durante ni después del contrato.

Artículo 8Gestión y supervisión

1. El Responsable puede pedir documentos sobre el tratamiento, la aplicación de medidas y los subencargos; el Encargado los entrega sin demora. Los documentos básicos son el anexo 1 (subencargados), el anexo 2 (conservación/eliminación), el documento operativo D-5 y los registros de actividad de la página.
2. El Responsable puede realizar 【1】 inspección escrita al año. Si solicita correcciones a raíz de ella, el Encargado las realiza en un plazo razonable e informa del resultado.

Artículo 9Formación

El Encargado forma en protección de datos al menos una vez al año al personal que los trata (incluida la persona responsable de operaciones) y presenta constancia a petición. El Responsable puede proponer contenidos si hace falta.

Artículo 10Garantía de los derechos de las personas

1. El Responsable recibe y atiende las solicitudes de acceso, rectificación, eliminación y suspensión del tratamiento de los clientes finales; el Encargado colabora a petición. Las solicitudes recibidas directamente se remiten al Responsable sin demora.
2. El Responsable puede borrar una conversación con la herramienta de eliminación de sesiones y solicitar ayuda al Encargado si no localiza los registros de un cliente final. Alcance y plazos siguen el anexo 2.

Artículo 11Notificación de incidentes de datos 【Revisión jurídica】 Plazos y reparto de las comunicaciones

1. Al conocer una pérdida, robo o filtración de datos vinculados a las operaciones («Incidente»), el Encargado avisa al Responsable sin demora. El objetivo inicial es dentro de las 24 horas desde que se tiene conocimiento; lo no confirmado se comunica primero marcado «en comprobación».
2. El aviso incluye circunstancias, datos y cantidades afectados (estimaciones incluidas), medidas adoptadas, acciones necesarias del Responsable y contacto. Se amplía al confirmarse los hechos.
3. Notificar a las personas y comunicar a la Comisión de Protección de Información Personal de Corea y organismos especializados (artículo 34) corresponde al Responsable como responsable del tratamiento; el Encargado facilita documentos y cooperación. El compromiso contractual es independiente de las obligaciones legales de comunicación.
4. Los detalles (canales · conservación de pruebas · alternativa en ausencia del representante) siguen «Respuesta y notificación de incidentes» del documento operativo D-5.

Artículo 12Devolución y destrucción al finalizar

1. Al finalizar, el Encargado entrega conversaciones, solicitudes de derivación y libros de uso como archivos de exportación (JSON · CSV) en el plazo pedido. Durante el contrato, el Responsable también puede descargar conversaciones completas de la página de gestión.
2. Tras la devolución (o, si no se desea, en 【30】 días desde el fin), el Encargado borra los originales de producción e informa del resultado. Las copias expiran a los 7 días; los datos de subencargados y correos ya enviados se tratan según el anexo 2.
3. Los documentos de transacciones exigidos por ley (facturas fiscales, etc.) se conservan por separado el plazo obligatorio y luego se destruyen. Los agregados sin datos personales pueden mantenerse con fines contables durante los plazos del anexo 2.

Artículo 13Tratamiento en el extranjero 【Revisión jurídica】 Base de transferencias internacionales (artículo 28-8 de la Ley)

1. Para generar respuestas se envían mensajes enmascarados y materiales de conocimiento a los proveedores IA del anexo 1 (Estados Unidos y otros países); el correo puede pasar por infraestructura extranjera. El almacenamiento está en la región de Seúl, República de Corea.
2. El contrato solo fija condiciones entre las partes y no constituye por sí mismo una base lícita para transferir al extranjero datos de clientes finales. El Responsable publica en su política datos, países, momentos, métodos, destinatarios/contactos, fines, plazos y formas/efectos de negativa, u obtiene el consentimiento necesario. El Encargado aporta los textos (conjunto de avisos IA D-3).
3. El Responsable decide la base mediante revisión jurídica (consentimiento · publicación del encargo y conservación necesarios para ejecutar un contrato, etc.).

Artículo 14Indemnización 【Revisión jurídica】 Límites y exenciones

1. Si un incumplimiento del Encargado o subencargado causa daños al Responsable o a una persona interesada, el Encargado los indemniza.
2. El límite es 【Elegir: cuotas de los 12 meses anteriores al mes del daño / importe fijo de ○○ KRW】; no se aplica a dolo o negligencia grave del Encargado ni a responsabilidades legalmente no limitables.
3. Si el Responsable indemniza por una causa atribuible al Encargado, puede reclamarle el reembolso.

Artículo 15Prioridad y otras disposiciones

• En materia de datos personales, el contrato prevalece sobre condiciones de uso y presupuestos.
• Lo no previsto sigue las leyes aplicables, incluida la Ley de Protección de Información Personal de Corea; la jurisdicción es la de las condiciones de uso.

Fecha de firma 【YYYY-MM-DD】

Anexo 1Lista de subencargados (encargados)

Se adjunta la versión del registro de encargados y subencargados (D-2) vigente al firmar.

Anexo 2Tabla de conservación y eliminación

Los plazos se comprueban al firmar con esta tabla y la política de privacidad.

Eliminación por cliente final (solicitud del Responsable)

Anexo 3Compromisos de no uso para entrenamiento y no conservación