ACUERDO DE TRATAMIENTO DE DATOS PERSONALES (art. 28 RGPD)
IKFace · INFOKRAUSE S.R.L. · v1.1 (2026-10-24) · In vigore dall'accettazione del Cliente / Vigente desde la aceptación del Cliente / Effective upon the Customer's acceptance
Partes. El Cliente indicado en el Pedido, responsable del tratamiento (el «Responsable»), e INFOKRAUSE S.R.L., C.F./P. IVA 04126260928, Via delle Speronelle 15, 09045 Quartu Sant'Elena (CA), Italia, encargado del tratamiento (el «Encargado»).
1. Ámbito. Este acuerdo se aplica cuando el Encargado trata datos personales por cuenta del Responsable en el marco del servicio IKFace Managed, del soporte remoto o de la sincronización con servicios del Encargado. El objeto, la naturaleza, las finalidades, los tipos de datos y las categorías de interesados se describen en el Anexo 1.
2. Instrucciones. El Encargado trata los datos solo según las instrucciones documentadas del Responsable, que son este acuerdo, la configuración de IKFace elegida por el Responsable y sus solicitudes escritas, salvo obligación legal. Si considera que una instrucción infringe la ley, lo comunica al Responsable.
3. Confidencialidad y seguridad. El Encargado garantiza que las personas autorizadas al tratamiento están obligadas a la confidencialidad y aplica las medidas técnicas y organizativas del Anexo 2 (art. 32 RGPD).
4. Subencargados. El Responsable autoriza de forma general a los subencargados del Anexo 3. El Encargado comunica con 30 días de antelación cada incorporación o sustitución; el Responsable puede oponerse por motivos razonables. El Encargado impone a los subencargados las mismas obligaciones y responde de ellos.
5. Transferencias. Los datos no se transfieren fuera del Espacio Económico Europeo, salvo a países con decisión de adecuación o con las cláusulas contractuales tipo de la Comisión Europea u otra garantía del art. 46 RGPD.
6. Asistencia al Responsable. El Encargado asiste al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados y en las obligaciones de los arts. 32 a 36 RGPD (seguridad, violaciones, evaluación de impacto, consulta previa).
7. Violaciones de datos. El Encargado informa al Responsable sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento, de cualquier violación de datos personales, con la información disponible.
8. Fin del tratamiento. Al terminar el servicio, el Encargado, a elección del Responsable, devuelve o elimina los datos personales y las copias en su poder en un plazo de 30 días, salvo obligación legal de conservarlos.
9. Auditorías. El Encargado pone a disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permite auditorías del Responsable o de un auditor designado por él, con 30 días de preaviso y no más de una vez al año, salvo violaciones.
10. Duración, ley e idioma. Este acuerdo tiene la misma duración que el servicio y prevalece sobre cualquier otro acuerdo en materia de datos personales. Ley italiana; foro de Cagliari. Redactado en italiano, español e inglés; en caso de discrepancia prevalece el texto italiano.
Anexo 1 — Descripción del tratamiento. Objeto y naturaleza: administración, mantenimiento, actualización y soporte de IKFace, con acceso eventual a los datos almacenados. Finalidad: prestar el servicio contratado. Tipos de datos: datos identificativos de las personas registradas (nombre, identificador, categoría), imágenes del rostro, plantillas biométricas (embeddings), eventos de reconocimiento y de acceso con fecha, hora y cámara, datos demográficos estadísticos, datos de los usuarios de IKFace y registros de auditoría. Categorías especiales: datos biométricos (art. 9 RGPD). Interesados: empleados, visitantes, clientes y otras personas captadas o registradas por el Responsable; usuarios de IKFace. Duración: la del servicio.
Anexo 2 — Medidas de seguridad. Acceso remoto reservado al personal autorizado del Encargado, con credenciales gestionadas en un sistema centralizado de gestión de secretos y accesos registrados; control de acceso por roles y ámbitos; contraseñas de usuarios almacenadas con algoritmo robusto (scrypt); separación lógica de datos por cliente; actualizaciones de seguridad gestionadas por el Encargado; registros de auditoría de las operaciones; personal obligado a confidencialidad. Ubicación de los datos: los datos permanecen en el appliance del Responsable; la sincronización con un servidor está desactivada por defecto y, si el Responsable la activa, usa TLS hacia el servidor que él indique. Copias de seguridad: el appliance genera copias locales de la base de datos antes de cada actualización, conservadas en el propio appliance; la aplicación no las cifra. Cifrado en reposo: no lo proporciona la aplicación; el Responsable puede aplicar cifrado de disco o de volumen.
Anexo 3 — Subencargados autorizados. Tecnologías IP Limitada, RUT 76.013.135-0, Santiago (Chile): soporte de primer nivel a clientes en Chile, con cláusulas contractuales tipo de la Comisión Europea (transferencia a Chile). Google Ireland Ltd / Google LLC: correo electrónico (Google Workspace) y respuesta automática del chat de soporte mediante inteligencia artificial (Google Gemini API); transferencias a EE. UU. mediante el EU-US Data Privacy Framework o cláusulas contractuales tipo. Las plataformas de chat y tickets (Chatwoot, chat.infokrause.cl y soporte.infokrause.cl) las gestiona INFOKRAUSE en servidores propios ubicados en Chile; la transferencia a Chile está cubierta por las cláusulas contractuales tipo suscritas con Tecnologías IP Limitada.