Acuerdo de procesamiento de datos

Botpress Acuerdo de Tratamiento de Datos (APD)

La presente APD complementa y forma parte integrante del acuerdo entre la entidad del grupo Botpress identificada en las Condiciones del servicio y el Cliente. El presente APD entrará en vigor en el momento de su incorporación a dicho acuerdo por referencia.

1.Definiciones

1.a Los términos en mayúsculas no definidos en este documento tienen el significado que se les atribuye en el Acuerdo.

1.b En esta DPA :

(a) "Acuerdo" tiene el significado atribuido a dicho término en las Condiciones del servicio.

(b)"GrupoBotpress " significa Botpress y cualquiera de sus filiales.

(c) "Datos personales de California" se refiere a los Datos personales que están sujetos a la protección de la CCPA.

(d) "Leyes canadienses de protección de datos" se refiere a la Ley de protección de la información personal y los documentos electrónicos, SC 2000, c 5 y la Ley relativa a la protección de la información personal en el sector privado, CQLR c P-39.1, en su versión modificada, sustituida o reemplazada.

(e) "CCPA" significa California Civil Code Sec. 1798.100 et seq. (también conocida como la Ley de Privacidad del Consumidor de California de 2018).

(f) "Consumidor", " Empresa", "Vender" y "Proveedor de servicios" tendrán el significado que se les atribuye en la CCPA.

(g) "Responsable del Tratamiento": cualquier Persona que, sola o conjuntamente con otras, determine los fines y medios del Tratamiento de Datos Personales.

(h) "Leyes de protección de datos" significa toda la legislación mundial aplicable relativa a la protección de datos y la privacidad que se aplica a una de las partes de este APD, incluyendo, sin limitación, las leyes europeas de protección de datos, las leyes canadienses de protección de datos y la CCPA, en cada caso modificada, derogada, consolidada o sustituida de vez en cuando.

(i) "Sujeto de losDatos" significa la persona física a la que se refieren los Datos Personales.

(j) "Europa" significa la Unión Europea, el Espacio Económico Europeo y/o sus Estados miembros, Suiza y el Reino Unido.

(k) "Leyes europeas de protección de datos" se refiere a las leyes de protección de datos aplicables en Europa, en su versión modificada, sustituida o reemplazada.

(l) "Datos Europeos" significa Datos Personales que están sujetos a la protección de las Leyes Europeas de Protección de Datos.

(m) "Afiliadas permitidas" se refiere a cualquier Afiliada del Cliente que (i) esté autorizada a utilizar los Servicios de Software de conformidad con el Contrato, (ii) reúna los requisitos como Responsable del Tratamiento de Datos Personales procesados por Botpress, y (iii) esté sujeta a las Leyes Europeas de Protección de Datos.

(n) "Persona" debe interpretarse en sentido amplio e incluye a cualquier persona física, sociedad anónima, sociedad de responsabilidad limitada, sociedad comanditaria, empresa, asociación, sociedad colectiva, fideicomiso o patrimonio, empresa conjunta, entidad gubernamental o subdivisión política de la misma, o cualquier otra entidad.

(o) "Datos personales": toda información relativa a una persona física identificada o identificable.

(p) Por "Tratamiento" o "Proceso" se entenderá cualquier operación o conjunto de operaciones realizadas por un Encargado del Tratamiento sobre Datos Personales, ya sea por medios automatizados o no;

(q) "Encargado del tratamiento": Persona que trata Datos Personales por cuenta de un Responsable del tratamiento.

(r) "Regulador" se refiere, según corresponda, a cualquier Persona o aplicación de la ley u otro organismo que tenga autoridad reguladora, supervisora o gubernamental (ya sea en virtud de un régimen legal o de otro tipo) sobre la totalidad o parte del Tratamiento de Datos Personales en relación con la prestación o recepción de los Servicios, incluidas, entre otras, las autoridades europeas de supervisión de la protección de datos;

(s) Por "violación de la seguridad" se entenderá una violación de la seguridad que provoque la destrucción, accidental o ilícita, la pérdida, la alteración, la difusión no autorizada o el acceso a Datos Personales transmitidos, almacenados o tratados de otro modo por Botpress y/o los Subencargados del Tratamiento en relación con la prestación de los Servicios, sin incluir sucesos que no comprometan la seguridad de los Datos Personales, como intentos fallidos de inicio de sesión, pings, escaneos de puertos, ataques de denegación de servicio y otros ataques de red contra cortafuegos o sistemas en red.

(t) "Servicios" se refiere a los Servicios de Software o Servicios Profesionales prestados por cualquier entidad del Grupo Botpress al Cliente o a sus Afiliadas.

(u) "Cláusulas Contractuales Tipo" se refiere a las cláusulas contractuales tipo anexas a la Decisión (UE) 2021/914 de la Comisión Europea de 4 de junio de 2021; que pueden ser modificadas, sustituidas o reemplazadas.

(v) Por "Subprocesador" se entenderá cualquier Procesador contratado por Botpress o las Filiales de Botpress para ayudar a cumplir las obligaciones de Botpress con respecto a la prestación de los Servicios en virtud del Contrato. Los Subencargados del tratamiento pueden ser terceros o filiales de Botpress , pero no personas empleadas o contratadas por Botpress.

(w) "Tercer país" significa una jurisdicción o un destinatario: (i) no reconocido por la Comisión Europea por proporcionar un nivel adecuado de protección de los datos personales; y (ii) no cubierto por un marco adecuado reconocido por las autoridades o los tribunales pertinentes por proporcionar un nivel adecuado de protección de los datos personales;

(x) "Datos deUso" se refiere a los datos relativos al Uso del Software por parte de los Usuarios Autorizados, que pueden contener Datos Personales cuando sea necesario identificar a usuarios individuales, pero excluyendo cualquier Dato de Conversación. Los Datos de Uso pueden incluir Datos Personales sobre los empleados y contratistas del Cliente, pero no sobre los usuarios finales que interactúan con los Bots del Cliente.

2. Papel de las partes

2.a Al Procesar Datos de Conversación a través de los Servicios, las partes reconocen y acuerdan que el Cliente actúa como Controlador y que Botpress actúa como Procesador.

2.b Si el Cliente actúa como Procesador en nombre de un Controlador, Botpress se considerará un subprocesador del Cliente.

2.c Botpress será un Controlador con respecto a los Datos de Uso.

3. Cumplimiento de la legislación sobre protección de datos

3.a Cada una de las partes llevará a cabo cualquier tratamiento de Datos Personales de conformidad con todas las Leyes de Protección de Datos aplicables.

3.b Botpress no es responsable del cumplimiento de ninguna Ley de protección de datos aplicable al Cliente o al sector del Cliente que no sea de aplicación general a Botpress.

3.c Si Botpress tiene conocimiento de que no puede Procesar Datos Personales de acuerdo con las instrucciones del Cliente debido a un requisito legal en virtud de cualquier ley aplicable, Botpress (i) notificará sin demora al Cliente dicho requisito legal en la medida en que lo permita la ley aplicable; y (ii) cuando sea necesario, detendrá todo el Procesamiento (salvo el mero almacenamiento y mantenimiento de la seguridad de los Datos Personales afectados) hasta el momento en que el Cliente emita nuevas instrucciones de conformidad con la ley aplicable. Si se invoca esta disposición, Botpress no será responsable ante el Cliente en virtud del Contrato por ningún incumplimiento de los Servicios de Software o Servicios Profesionales aplicables hasta el momento en que Botpress determine razonablemente que las instrucciones del Cliente son legales.

4.Botpress Obligaciones

4.a Botpress sólo tratará los Datos Personales para los fines descritos en la presente DPA o según se acuerde de otro modo en el ámbito de las instrucciones legales recibidas del Cliente, excepto cuando y en la medida en que la legislación aplicable exija lo contrario.

4.b Botpress implementará y mantendrá las medidas técnicas y organizativas apropiadas para proteger los Datos Personales frente a Incidentes de Seguridad, incluidas las descritas en el Anexo 2 del presente APD ("Medidasde Seguridad"). Botpress podrá modificar o actualizar las Medidas de Seguridad a su discreción siempre que dicha modificación o actualización no suponga una degradación material de la protección ofrecida por las Medidas de Seguridad.

4.c Botpress tratará los Datos Personales como información confidencial del Cliente y se asegurará de que cualquiera de sus empleados o contactores autorizados para acceder o procesar Datos Personales esté sujeto a las obligaciones de confidencialidad apropiadas (ya sean contractuales o legales) con respecto a dichos Datos Personales.

4.d Botpress eliminará o devolverá todos los Datos Personales Tratados de conformidad con el presente APD, a la terminación o expiración del Acuerdo. Botpress podrá conservar copias de los Datos Personales cuando así lo exija la legislación aplicable, o cuando los Datos Personales hayan sido archivados en sistemas de copia de seguridad, datos que serán aislados de forma segura y protegidos de cualquier Tratamiento posterior y eliminados de conformidad con las prácticas de eliminación aplicables.

5. Obligaciones del cliente

5.a El Cliente es responsable de garantizar que el uso que haga de los Servicios de Software o del Software se ajuste a todas las Leyes de Protección de Datos aplicables, lo que incluye garantizar que (i) está autorizado a designar a Botpress para el Tratamiento de Datos Personales en su nombre de conformidad con el presente APD, (ii) tiene derecho a transferir, o proporcionar acceso a, los Datos Personales a Botpress para su Tratamiento de conformidad con los términos del Acuerdo (incluido el presente APD), (iii) garantizar que las instrucciones del Cliente con respecto al Tratamiento de Datos Personales cumplen las leyes aplicables, incluidas las Leyes de Protección de Datos;

5.b El Cliente notificará inmediatamente por escrito a Botpress si tiene motivos para creer o si se le ha notificado que el Tratamiento de Datos Personales efectuado por el Cliente a través de los Servicios infringe o puede infringir la legislación aplicable, incluidas las Leyes de Protección de Datos.

5.c El Cliente es responsable de determinar si las medidas de seguridad implementadas por Botpress cumplen adecuadamente con las obligaciones del Cliente en virtud de las Leyes de Protección de Datos aplicables. El Cliente también es responsable de garantizar que su acceso a los Servicios de Software esté protegido y reservado al personal autorizado.

6. Violación de la seguridad

6.a Botpress notificará sin demora al Cliente si tiene conocimiento de cualquier Vulneración de la seguridad y proporcionará información oportuna relativa a dicha Vulneración de la seguridad en cuanto se conozca o el Cliente lo solicite razonablemente.

6.b Previa solicitud, Botpress prestará al Cliente la asistencia razonable que sea necesaria para que el Cliente pueda notificar una violación de la seguridad a las autoridades reguladoras y/o a los interesados afectados, en caso de que las leyes de protección de datos exijan dicha notificación.

7. Subprocesadores

7.a Botpress podrá contratar a Subprocesadores para el Tratamiento de Datos Personales. Los Subencargados del Tratamiento actuales se enumeran en el Anexo 3; cualquier cambio en los Subencargados del Tratamiento se notificará al Cliente.

7.b Botpress selecciona Subencargados del Tratamiento que ofrezcan compromisos de protección de datos que proporcionen al menos el mismo nivel de protección de los Datos Personales que los recogidos en el presente APD (incluidas, en su caso, las Cláusulas Contractuales Tipo), en la medida aplicable a la naturaleza de los servicios prestados por dichos Subencargados del Tratamiento. Botpress seguirá siendo responsable del cumplimiento por parte de cada Subencargado del Tratamiento de las obligaciones del presente APD y de cualesquiera actos u omisiones de dicho Subencargado del Tratamiento que causen un incumplimiento de cualquiera de las obligaciones de Botpressen virtud del presente APD.

7.c Si Botpress procesa datos europeos en nombre del Cliente, éste podrá oponerse a un nuevo Subencargado del tratamiento por motivos razonables basados en la protección de datos. Si se le notifica dicha objeción, Botpress se compromete a tratar el asunto de buena fe para alcanzar una resolución comercialmente razonable. Si no se puede alcanzar dicha resolución, Botpress podrá optar por renunciar a la designación del nuevo Subencargado del tratamiento, o bien permitir que el Cliente cancele su suscripción a la parte de los Servicios de software que dependa de dicho nuevo Subencargado del tratamiento, sin responsabilidad para ninguna de las partes (pero sin perjuicio de las tarifas en las que se haya incurrido antes de la cancelación).

7.d Si así lo exige la ley o las Cláusulas Contractuales Tipo, Botpress hará todo lo razonablemente posible para poner a disposición del Cliente la información necesaria sobre los acuerdos de Botpresscon los Subprocesadores. El Cliente acepta que parte de la información puede estar redactada en dichos acuerdos o facilitada de forma confidencial.

8. Transferencia de datos personales

8.a El tratamiento de Datos Personales que no sean Datos Europeos por parte de las entidades del Grupo Botpress tendrá lugar en cualquier jurisdicción en la que dicho tratamiento esté permitido por la legislación aplicable de la Jurisdicción de Privacidad.

8.b El tratamiento de Datos Europeos tendrá lugar exclusivamente :

a) Dentro de Europa;

b) en una jurisdicción que ofrezca un nivel de protección adecuado en virtud de una decisión de la Comisión Europea basada en las leyes de protección de datos aplicables;

c) en cualquier jurisdicción, por una organización o entidad que ofrezca garantías adecuadas, incluso a través de las Cláusulas Contractuales Tipo;

d) en cualquier jurisdicción, con el consentimiento por escrito del Cliente o del interesado.

8.c Cuando el Tratamiento de Datos Europeos tenga lugar en un Tercer País, se considerará que las partes han suscrito las Cláusulas Contractuales Tipo únicamente con respecto a los Datos Personales pertinentes y al Tratamiento correspondiente. Las partes acuerdan que, a efectos de las Cláusulas Contractuales Tipo :

a) Si el Cliente es un Controlador y Botpress es un Procesador, se aplicará el Módulo 2 (Controlador a Procesador).

b) Si el Cliente es un Procesador y Botpress es un subprocesador, se aplicará el Módulo 3 (Procesador a Procesador).

c) Con respecto a los Datos de Uso, se aplicará el Módulo 1 (Controlador a Controlador).

d) en la Cláusula 7 de las Cláusulas Contractuales Tipo, no se aplicará la cláusula de atraque opcional;

e) en la Cláusula 9 de las Cláusulas Contractuales Tipo, se aplicará la Opción 2 y el plazo de notificación previa por escrito de los cambios de subprocesador será de 10 días;

f) en la cláusula 11 de las Cláusulas Contractuales Tipo, no se aplicará el lenguaje opcional;

g) en la Cláusula 17 (Opción 1), las Cláusulas Contractuales Tipo se regirán por la legislación irlandesa;

h) en la Cláusula 18(b) de las Cláusulas Contractuales Tipo, los litigios se resolverán ante los tribunales de Irlanda;

i)Botpress será el "importador de datos" y el Cliente será el "exportador de datos" (en su propio nombre y en el de las Afiliadas permitidas);

j) la información pertinente que figura en el Anexo 1 y el Anexo 2 del presente APD se considerará incluida en los Anexos de las Cláusulas Contractuales Tipo;

k) si las Cláusulas Contractuales Tipo entran en conflicto con alguna disposición del presente APD, y en la medida en que lo hagan, las Cláusulas Contractuales Tipo prevalecerán en la medida de dicho conflicto.

8.d Transferencias a Suiza y Reino Unido. En la medida en que una transferencia de Datos Personales entre el Cliente y Botpress y/o un Subencargado del Tratamiento esté sujeta a las Leyes de Protección de Datos de Suiza o del Reino Unido, las Cláusulas Contractuales Tipo se considerarán modificadas para reflejar los requisitos de las Leyes de Protección de Datos de Suiza y del Reino Unido aplicables, incluidas las referencias a la legislación, la ley aplicable y las autoridades y tribunales competentes.

9. Tratamiento CCPA

9.a Al procesar Datos personales de California de acuerdo con las instrucciones del Cliente, las partes reconocen y acuerdan que el Cliente es una Empresa y Botpress es un Proveedor de servicios a efectos de la CCPA. Las partes acuerdan que Botpress tratará los Datos personales de California en calidad de Proveedor de servicios estrictamente con el fin de prestar los Servicios de software y los Servicios profesionales en virtud del Contrato (la "Finalidad comercial") o de cualquier otra forma permitida por la CCPA.

10. Solicitudes de terceros

10.a El Cliente será responsable de atender cualquier solicitud de un Sujeto de Datos o Regulador con respecto a sus Datos Personales y el Cliente utilizará las funciones de los Servicios de Software disponibles para recuperar información relevante sobre el procesamiento de Datos Personales.

10.b Si el Cliente no puede atender de forma independiente una solicitud de un Titular de los Datos o de un Regulador ("Solicitud"), Botpress proporcionará asistencia razonable al Cliente, con el fin de responder a cualquiera de dichas solicitudes relacionadas con el Tratamiento de Datos Personales en virtud del Acuerdo. Excepto cuando y en la medida en que una solicitud se base en el incumplimiento por parte de Botpress de sus obligaciones en virtud del presente APD, el Cliente reembolsará a Botpress sus gastos razonables en la prestación de cualquier tipo de asistencia al Cliente.

10.c Si una Solicitud u otra comunicación relativa al Tratamiento de Datos Personales en virtud del Contrato se dirige directamente a Botpress, Botpress informará inmediatamente al Cliente y aconsejará al Titular de los Datos o al Organismo Regulador que presente su Solicitud directamente al Cliente. El Cliente será el único responsable de responder sustancialmente a dichas Solicitudes o comunicaciones relativas a Datos Personales.

11. Auditoría relativa a los datos personales

11.a Previa solicitud y notificación razonable a Botpress, el Cliente está autorizado, a sus expensas, a llevar a cabo las verificaciones necesarias para garantizar que los Datos Personales procesados por Botpress en nombre del Cliente se procesan de acuerdo con las instrucciones del Cliente. A petición del Cliente, Botpress permitirá la auditoría e inspección del tratamiento efectuado por Botpress. Dicha auditoría podrá ser realizada por el Cliente y/o un tercero (seleccionado por el Cliente y razonablemente aceptado por Botpress) que actúe en nombre del Cliente. El Cliente tomará todas las medidas necesarias para evitar causar cualquier daño o perturbación a los locales, equipos, personal y actividad de las entidades del Grupo Botpress .

11.b El Cliente y Botpress acordarán por adelantado la naturaleza, el alcance y la duración de cualquier auditoría del Cliente, y el Cliente reembolsará a Botpress todos los costes razonables asociados a dicha auditoría, que podrán estimarse a petición del Cliente antes del inicio de la auditoría. En la medida de lo posible, cualquier requisito de auditoría del Cliente se cumplirá mediante informes de auditoría de terceros proporcionados por Botpress, si se dispone de los mismos.

11.c Si Botpress procesa datos europeos en nombre del Cliente, Botpress proporcionará al Cliente, previa solicitud razonable, (de forma confidencial) (i) una copia resumida de su(s) informe(s) de pruebas de seguridad y (ii) respuestas por escrito a todas las solicitudes razonables de información realizadas por el Cliente que sean necesarias para confirmar el cumplimiento de la presente DPA por parte de Botpress , siempre que el Cliente no ejerza dicho derecho más de una vez por año natural, a menos que el Cliente pueda demostrar motivos razonables para sospechar que Botpress' incumple la DPA.

12. Limitación de responsabilidad

12.a La responsabilidad de Botpress' y sus Afiliadas, considerada en su conjunto, derivada de o relacionada con este APD (y cualquier otro APD entre las partes) y las Cláusulas Contractuales Tipo (cuando proceda), ya sea contractual, extracontractual o en virtud de cualquier otra teoría de responsabilidad, se limitará al importe total de los Honorarios abonados por el Cliente a Botpress en contraprestación por los Servicios durante el período de 12 meses anterior al hecho que dé lugar a la responsabilidad.

13. Competencia

Salvo que la legislación aplicable en materia de protección de datos exija lo contrario, el presente APD se regirá e interpretará de conformidad con la legislación aplicable al Acuerdo y cualquier controversia relativa al mismo será resuelta por los tribunales competentes de la jurisdicción indicada en la Propuesta.

En la medida en que las Leyes de Protección de Datos exijan que este APD se rija por las leyes de un estado miembro de la Unión Europea, este APD se regirá por las leyes de Irlanda y las disputas relativas a este Acuerdo serán resueltas por los tribunales irlandeses.

14. Generalidades

14.a Precedencia. En caso de incoherencia entre cualquiera de las disposiciones del presente APD y cualquier otra disposición del Acuerdo, prevalecerán siempre las disposiciones del APD, a menos y en la medida en que se estipule expresamente que otra disposición del Acuerdo tendrá precedencia o que una disposición del presente APD será anulada o modificada.

14.b Modificaciones. Botpress podrá modificar el presente APD para reflejar cambios en sus prácticas de procesamiento de datos. Cualquier modificación que no sea para aclarar el lenguaje (que se comunicará rutinariamente al Cliente) se presentará al Cliente y no se aplicará a menos que sea aceptada por el Cliente. Si la legislación aplicable exige una modificación del presente APD, el Cliente deberá

tendrá la opción de aceptar dicha modificación o rescindir su suscripción a los Servicios de Software.

14.c Divisibilidad. Si se determina que alguna disposición individual de este APD es inválida o inaplicable, la validez y aplicabilidad de las demás disposiciones de este APD no se verán afectadas.

Anexo 1 - Detalles del tratamiento

Identificación del controlador

El cliente

Persona de contacto : la persona identificada en la Propuesta aceptada por el Cliente. Identificación del procesador

Si el cliente se encuentra en Canadá: Technologies Botpress Inc.

Si el cliente se encuentra en otro lugar : Botpress, Inc.

Persona de contacto:

Jean-Bernard Perrron

[email protected]

Categorías de interesados

El Cliente puede enviar Datos Personales en el transcurso del uso del Servicio de Software, cuyo alcance es determinado y controlado por el Cliente a su entera discreción, sujeto a los términos de servicio aplicables, y que puede incluir, pero no se limita a, Datos Personales relacionados con las siguientes categorías de Sujetos de Datos:

• Personas que utilicen el Software en nombre del Cliente
• Usuarios finales de bots de clientes

Categorías de datos personales

El Cliente puede enviar Datos Personales a los Servicios de Software y puede permitir que los Usuarios Finales envíen Datos Personales a los Servicios de Software, en la medida en que lo determine y controle el Cliente a su entera discreción, con sujeción a las condiciones de servicio aplicables.

El Servicio de Software no está diseñado con el propósito de Procesar datos sensibles, el Cliente debe ser responsable de determinar la idoneidad de los Servicios de Software para Procesar datos sensibles.

Botpress procesará la información de contacto sobre los Usuarios Autorizados (nombre, correo electrónico, teléfono) y los datos de uso y comportamiento sobre el uso del producto con fines de soporte técnico y estadísticos.

Naturaleza del tratamiento

• Almacenamiento y otros Procesamientos necesarios para proporcionar, mantener y mejorar los Servicios prestados al Cliente;
• Divulgación de conformidad con el Acuerdo (incluida esta APD) y/o según lo exija la legislación aplicable;
• Botpress Tratará los Datos Personales según sea necesario para prestar los Servicios de conformidad con el Contrato, y según las instrucciones adicionales del Cliente en su uso de los Servicios.
• Botpress Procesa los Datos de Uso para proporcionar asistencia técnica y con fines estadísticos (para la mejora y el desarrollo de productos).

Período de conservación de los datos personales

Sin perjuicio de la obligación de Botpressde eliminar o devolver los datos al Cliente, en virtud del Contrato Botpress tratará los Datos Personales durante la vigencia del Contrato, salvo que se acuerde otra cosa por escrito.

Anexo 2 - Medidas de seguridad

1. Gobernanza

Botpress aplica políticas y procedimientos adecuados en relación con los Datos Personales, entre los que se incluyen:

• Procedimientos de seguridad de la información;
• Políticas sobre el uso de datos personales ;
• Procedimiento de notificación de incidentes de seguridad y privacidad ;
• Mecanismos de evaluación de riesgos;
• Procedimientos de auditoría interna ;
• Medidas contractuales;

2. Acceso de usuarios

• Las funciones y responsabilidades de los usuarios y perfiles de usuarios de Botpress con acceso a Datos Personales y sistemas de información están claramente definidas.
• Botpress adopta medidas para informar a sus usuarios de las normas de seguridad que afectan al desempeño de sus funciones y de las consecuencias si las infringen.
• No se utilizan protocolos de texto claro para acceder o transferir Datos Personales. Solo se acepta el protocolo SSL para estas operaciones.
• Botpress garantiza la seguridad de los procesos y procedimientos de tratamiento o eliminación de soportes físicos o equipos que puedan contener Datos Personales.
• Los Datos Personales están físicamente separados, o lógicamente separados si se encuentran en una base de datos o en un entorno virtual, de otros datos de Botpress . Si los Datos Personales no están separados físicamente de otros datos, sistemas o aplicaciones no relacionados con el Cliente, Botpress emplea controles de seguridad adecuados, incluidos controles de acceso.

3. Control de acceso

Botpress mantiene los servidores, las bases de datos pertinentes y otros componentes de hardware y/o software que almacenan Datos Personales en un centro de datos seguro con acceso controlado y supervisado para admitir únicamente a personal autorizado.

Botpress emplea medidas eficaces de control de acceso lógico en todos los sistemas utilizados para crear, transmitir o procesar Datos Personales, medidas que incluyen, entre otras, las siguientes

• Autenticación del usuario, que debe utilizar identificadores únicos ("ID de usuario") y nombres.
• Una estrategia de contraseñas suficientemente compleja y sólida.

• Los derechos/privilegios de acceso de los usuarios a los recursos de información que contengan Datos Personales deben concederse en función de la necesidad de conocimiento relacionada con los deberes y responsabilidades del usuario.
• El acceso de los usuarios a los sistemas informáticos que permiten el acceso a Datos Personales se suprimirá inmediatamente tras la salida del usuario o si el usuario cambia de trabajo y el nuevo trabajo no requiere acceso.
• Las contraseñas predeterminadas y los ajustes de seguridad deben modificarse en los productos/aplicaciones de terceros utilizados para respaldar los Datos Personales.
• Los terceros proveedores de servicios estarán sujetos a requisitos y obligaciones de seguridad equivalentes a los de los usuarios autorizados de Botpress cuando traten Datos Personales.
• Revalidación anual de la justificación de cuentas de usuario y autorizaciones asociadas con acceso a información personal.

4. Arquitectura de seguridad de la red

Botpress emplea medidas eficaces de control de acceso a la red en todos los sistemas utilizados para crear, transmitir o procesar Datos Personales, medidas que incluyen, entre otras, las siguientes

• Los cortafuegos están operativos en todo momento y se instalan en el perímetro de la red entre la red interna (privada) de Botpress y la red pública (Internet).
• En la red Botpress se utilizan sistemas de detección y prevención de intrusiones debidamente configurados y supervisados.
• Sólo los servicios/procesos y puertos necesarios para ejecutar programas rutinarios están habilitados en la base de datos y otros sistemas de información utilizados para el tratamiento de Datos Personales. Todos los demás servicios/procesos del host están deshabilitados.
• Todos los sistemas de información, repositorios y otros sistemas utilizados para procesar Datos Personales deben estar ubicados físicamente en un entorno de centro de datos controlado y utilizado con el fin de proteger los sistemas de información.
• ● Los canales seguros (por ejemplo, TLS, SFTP, SSH, IPSEC, etc.) deben utilizarse sistemáticamente para las comunicaciones con el centro de datos Botpress .

5. Controles de gestión de vulnerabilidades

Botpress emplea controles eficaces de gestión de la vulnerabilidad en todos los sistemas utilizados para crear, transmitir o procesar Datos Personales, medidas entre las que se incluyen:

• Despliegue de dispositivos de prevención y detección en red para ayudar a filtrar los correos electrónicos de phishing y los programas maliciosos antes de que lleguen a los puestos de trabajo gestionados por Botpress y que tengan acceso directo o indirecto a Datos Personales.
• Implantación de software de prevención y detección antivirus y antimalware en todos los puestos de trabajo gestionados por Botpress y que traten Datos Personales.
• Mantener un proceso y una práctica estándar de gestión de parches para garantizar la protección de todos los dispositivos utilizados para acceder, procesar o almacenar Datos Personales.

• Los dispositivos y documentos que contengan Datos Personales deben permitir la identificación de la información a la que se accede, estar inventariados y ser accesibles únicamente a los usuarios autorizados a acceder a los datos de acuerdo con el documento de seguridad.
• Medidas para evitar el robo, la pérdida o el acceso no autorizado a los Datos Personales durante las operaciones de transmisión y transferencia.

6. Copia de seguridad, recuperación y disponibilidad de datos

Botpress aplica los siguientes planes de recuperación en caso de catástrofe y continuidad de la actividad para minimizar al máximo el tiempo de inactividad y la pérdida de datos.

• Botpress implemente funciones de recuperación en caso de desastre diseñadas para restablecer la funcionalidad del sistema que contiene Datos Personales en un plazo acordado por las partes o, en su defecto, en un plazo razonable dada la naturaleza de los Datos Personales.
• Botpress garantizará sistemáticamente que los Datos Personales sean inaccesibles salvo para el personal autorizado de Botpress (por ejemplo, las copias de seguridad externas se cifrarán sistemáticamente).
• Para reducir los riesgos derivados de las amenazas medioambientales, los peligros y las oportunidades de acceso no autorizado, los equipos se situarán lejos de los lugares sujetos a riesgos medioambientales de alta probabilidad y se complementarán con equipos redundantes situados a una distancia razonable.
• Se aplicarán mecanismos de seguridad y redundancias para proteger los equipos de las interrupciones del servicio público (por ejemplo, cortes de electricidad, interrupciones de la red, etc.).
• Se establecerán políticas y procedimientos de conservación y almacenamiento de datos y se implantarán mecanismos de copia de seguridad o redundancia para garantizar el cumplimiento de los requisitos reglamentarios, legales, contractuales o empresariales. Se realizarán pruebas de recuperación de las copias de seguridad en disco o cinta a intervalos planificados.

7. Auditoría de seguridad

Botpress emplea controles en todos los sistemas utilizados para crear, transmitir o procesar Datos Personales, dichos controles incluyen, entre otros:

• Exploraciones o auditorías de vulnerabilidades por parte de terceros de dispositivos de infraestructura (públicos) orientados al exterior que contengan Datos Personales.
• Pruebas de penetración de terceros en los sistemas de Botpress que almacenan y procesan Datos Personales.
• Evaluación periódica por terceros cuando las aplicaciones o los procesos soporten información financiera.
• Botpress se compromete a tratar todas las vulnerabilidades identificadas como resultado de las pruebas de penetración y a notificar al Cliente las acciones de reparación.

8. Formación y sensibilización

Botpress implementa un programa de concienciación sobre seguridad para sus empleados y proveedores de servicios que interactúan con los sistemas que manejan Datos Personales, incluyendo:

• Botpress velará por que su personal comprenda las amenazas y preocupaciones en materia de gestión de riesgos de la información relacionadas con los Servicios Botpress y las políticas pertinentes de gestión de riesgos de la información.
• Botpress el personal recibirá formación y actualizaciones periódicas sobre las políticas y procedimientos pertinentes de gestión de riesgos de la información del esquema estándar de clasificación de la gestión de riesgos y los procedimientos adecuados.
• El personal subcontratado deberá conocer el sistema de clasificación de la gestión de riesgos de la información de Botpress y los procedimientos adecuados.
• Se establecerán políticas y procedimientos para eliminar los documentos visibles que contengan datos confidenciales cuando un espacio de trabajo esté desatendido y para hacer cumplir el cierre de sesión de la estación de trabajo durante un periodo de inactividad.

Anexo 3 - Subtransformadores Salvo que se indique lo contrario, el lugar de transformación es : EE.UU.

Servicios web de Amazon

• AWS aloja nuestros servicios en la nube y todos los datos de los clientes.
• AWS procesa información analítica sobre el uso de los servicios en la nube Botpress .

Google Analytics

• Google Analytics procesa información analítica sobre el uso de los servicios en la nube de Botpress .

Freshdesk

• Freshdesk ofrece servicios de mesa de ayuda.
• Freshdesk procesa todos los datos proporcionados por los usuarios con fines de asistencia técnica.

Hotjar

• Utilizamos los servicios de Hotjar en el servicio.
• Hotjar proporciona información sobre el comportamiento de los visitantes del servicio.

OpenAI

• OpenAI se utiliza para procesar las entradas de texto del usuario y generar respuestas de texto.

Mixpanel

• Mixpanel se utiliza para recopilar análisis de uso de productos y del sitio web, que se utilizan para mejorar el servicio.

Intercom

• Intercom se utiliza para proporcionar asistencia en directo a los visitantes del servicio y del sitio web.