Acuerdo de Tratamiento de Datos (DPA) — Vixdeo

Este Acuerdo de Tratamiento de Datos («DPA») forma parte de los Términos de Servicio entre Synaxis Systems LLC (https://synaxis.systems/), operadora del servicio Vixdeo («Synaxis», el «Encargado»), y el cliente que acepta los Términos (el «Cliente», el «Responsable»). Vixdeo es un servicio de Synaxis Systems LLC.

Este DPA aplica cuando el Cliente, en su uso de la Plataforma, trata datos personales de terceros de los que el Cliente es responsable del tratamiento (por ejemplo: imágenes, voz o metraje de personas de su organización o de sus propios clientes que sube para producir piezas). Para los datos de cuenta del propio Cliente, Synaxis actúa como responsable conforme a la Política de Privacidad.

Este DPA se incorpora por referencia en los Términos y rige sin necesidad de firma. El Cliente que necesite una copia firmada puede pedirla a legal@vixdeo.com.

1. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado del Reglamento (UE) 2016/679 («GDPR»). «Legislación de Protección de Datos» significa toda norma aplicable al tratamiento bajo este DPA, incluidos GDPR, UK GDPR y normas equivalentes.

2. Objeto, duración y roles

2.1. Synaxis tratará los Datos del Cliente descritos en el Anexo A únicamente como encargado, por cuenta del Cliente y durante la vigencia de los Términos.

2.2. El Cliente es el responsable del tratamiento y garantiza que dispone de base legal y de los consentimientos y autorizaciones necesarios para los datos que introduce en la Plataforma — en particular, para imagen y voz de personas reales destinadas a crear réplicas digitales (Términos, §6).

2.3. Cada parte cumplirá la Legislación de Protección de Datos que le sea aplicable.

3. Instrucciones documentadas

3.1. Synaxis tratará los Datos del Cliente únicamente conforme a instrucciones documentadas del Cliente, que consisten en: (a) los Términos y este DPA; (b) el uso que el Cliente hace de la Plataforma y su configuración (cada operación que el Cliente ejecuta es una instrucción, incluidas las que ejecuta un agente de IA con una credencial emitida por el Cliente); y (c) otras instrucciones escritas razonables acordadas.

3.2. Synaxis informará al Cliente si, en su opinión, una instrucción infringe la Legislación de Protección de Datos, sin que ello implique obligación de asesoramiento jurídico.

3.3. Synaxis no tratará los Datos del Cliente para fines propios. En particular, no los usará para entrenar modelos de IA propios sin consentimiento expreso del Cliente. Según sus condiciones estándar, ElevenLabs, HeyGen y Stability AI pueden usar los datos que reciben para mejorar sus modelos salvo en sus planes empresariales o si se desactiva esa opción; mientras duren, son excepciones a este §3.3, y se describen en el §5.3 de los Términos.

4. Confidencialidad

Synaxis garantiza que su personal y sus subencargados están obligados, por contrato o por ley, a mantener la confidencialidad de los Datos del Cliente, y que sólo acceden a esos datos las personas que lo necesitan para prestar el servicio.

5. Seguridad

Synaxis implementará y mantendrá las medidas técnicas y organizativas del Anexo B, apropiadas al riesgo conforme al Art. 32 GDPR. Synaxis puede actualizar esas medidas siempre que no reduzcan materialmente el nivel de protección.

6. Subencargados

6.1. Autorización general. El Cliente autoriza de forma general el uso de los subencargados por categoría y la lista nominal del Anexo C.

6.2. Cambios. Synaxis notificará al Cliente por correo electrónico los cambios previstos (alta o sustitución de subencargados) con al menos 30 días de antelación, y la página del Anexo C los refleja cuando entran en vigor.

6.3. Derecho de objeción. El Cliente puede objetar por motivos razonables y documentados de protección de datos dentro del plazo de preaviso. Si no hay solución razonable, el Cliente podrá terminar la parte del servicio afectada, y Synaxis le devolverá el saldo pagado que no haya consumido, como al cerrar la cuenta (Términos §11).

6.4. Contratos espejo. Synaxis impondrá a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA y responderá ante el Cliente por el cumplimiento del subencargado.

7. Asistencia al Responsable

7.1. Derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, Synaxis asistirá al Cliente con medidas técnicas y organizativas apropiadas para responder a solicitudes de derechos (acceso, rectificación, supresión, portabilidad, oposición, limitación). Si un interesado contacta directamente a Synaxis, Synaxis lo redirigirá al Cliente sin responder en cuanto al fondo, salvo obligación legal.

7.2. DPIA y consultas previas. Synaxis asistirá razonablemente al Cliente en evaluaciones de impacto (Art. 35) y consultas previas (Art. 36), en lo que respecta a la información disponible para Synaxis.

8. Notificación de violaciones de seguridad

Synaxis notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad que afecte a Datos del Cliente, y en todo caso dentro de 48 horas. La notificación incluirá, en la medida disponible: naturaleza de la violación, categorías y volumen aproximado de interesados y registros afectados, consecuencias probables, y medidas adoptadas o propuestas. Synaxis documentará las violaciones y cooperará razonablemente con el Cliente en sus obligaciones de los Arts. 33 y 34 GDPR. La notificación no constituye reconocimiento de responsabilidad.

9. Supresión y devolución

Al terminar la prestación del servicio, Synaxis, a elección del Cliente, suprimirá o devolverá los Datos del Cliente y suprimirá las copias existentes, salvo que la ley exija su conservación. Cuando el Cliente cierra su cuenta, puede pedir una copia de sus datos dentro del período de gracia de 14 días que sigue al cierre; al terminar ese período, Synaxis suprime los Datos del Cliente como describe la Política de Privacidad §7: se borran el contenido y sus copias, también en los subencargados de avatares y de pagos, y se conservan, desvinculados de la identidad del Cliente, los registros contables y de aceptación que la ley exige. Las copias de seguridad de la base de datos se renuevan en 30 días. Lo que queda fuera de esa supresión y sus plazos se detallan en la Política de Privacidad §6 y §7.

10. Auditorías

Synaxis pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y permitirá auditorías, incluidas inspecciones, del Cliente o de un auditor mandatado, con las siguientes condiciones razonables: preaviso escrito de al menos 30 días, máximo una vez por año salvo violación de seguridad o requerimiento de autoridad, en horario laboral, sin acceso a datos de otros clientes, bajo confidencialidad, y a costa del Cliente. En primera instancia, la auditoría se satisfará con documentación e informes disponibles.

11. Transferencias internacionales

Synaxis y sus subencargados pueden tratar datos fuera del EEE/UK (véase Anexo C). Para esas transferencias, las partes se amparan en decisiones de adecuación cuando existan (incluido el EU-U.S. Data Privacy Framework para entidades certificadas) y, en su defecto, en las Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea (Decisión 2021/914), que se consideran incorporadas por referencia a este DPA: el Módulo 2 (responsable a encargado) cuando el Cliente actúa como responsable, y el Módulo 3 (encargado a encargado) cuando actúa como encargado por cuenta de terceros. Sus anexos se completan con los Anexos A, B y C de este DPA; a efectos de su cláusula 9, letra a), rige la autorización general del §6 con el preaviso del §6.2; y a efectos de sus cláusulas 13, 17 y 18 se elige Irlanda: la autoridad de control competente es la Data Protection Commission de Irlanda, las SCCs se rigen por el Derecho irlandés y sus controversias se someten a los tribunales de Irlanda. Para las transferencias sujetas al RGPD del Reino Unido se aplica, además, el Addendum de transferencias internacionales del Information Commissioner (UK Addendum). Para las sujetas a la Ley Federal de Protección de Datos de Suiza, las SCCs se aplican con las adaptaciones que esa ley requiere: la autoridad de control es el Comisionado Federal de Protección de Datos e Información (FDPIC), las referencias al RGPD se entienden hechas a la ley suiza, y los interesados residentes en Suiza pueden ejercer sus derechos ante los tribunales de su lugar de residencia.

12. Responsabilidad y orden de precedencia

La responsabilidad de cada parte bajo este DPA queda sujeta a las limitaciones de responsabilidad de los Términos, salvo en lo que la Legislación de Protección de Datos no permita limitar. En caso de conflicto: (1) las SCCs, (2) este DPA, (3) los Términos.

13. Ley aplicable

Este DPA se rige por la misma ley que los Términos: las leyes del Estado de Florida (EE. UU.), sin perjuicio de las disposiciones imperativas de la Legislación de Protección de Datos y de la ley que gobierne las SCCs.

Anexo A — Detalles del tratamiento

• Objeto y naturaleza: alojamiento, procesamiento y transformación de contenido aportado por el Cliente para producir piezas de video con asistencia de IA (guion, dirección, voces, avatares, música, render), su almacenamiento, entrega y, si el Cliente lo instruye, publicación en destinos externos o exhibición en la galería.
• Duración: la vigencia de los Términos, más los períodos de supresión del §9.
• Finalidad: la prestación del Servicio conforme a los Términos.
• Categorías de interesados: personas cuyas imágenes, voz, metraje o datos aparezcan en el material que el Cliente sube o en las instrucciones que introduce (por ejemplo: empleados, colaboradores, clientes del Cliente, personas que consienten la creación de su réplica digital).
• Categorías de datos: imagen y video de personas; grabaciones y réplicas de voz; nombres y datos de contacto contenidos en guiones o instrucciones; cualquier otro dato personal que el Cliente decida incluir en su material.
• Categorías especiales: sólo datos biométricos, cuando el Cliente crea réplicas digitales de personas reales (avatares, voces), con el consentimiento explícito de la persona retratada, que el Cliente obtiene y declara en el flujo de creación.
• Operaciones: recogida, almacenamiento, transformación mediante modelos de IA propios y de subencargados, transmisión a subencargados del Anexo C, entrega al Cliente, entrega al agente o host de IA que el Cliente conecta, a instancia del Cliente, publicación por instrucción del Cliente, supresión.

Anexo B — Medidas técnicas y organizativas

Medidas verificadas contra la infraestructura del servicio a la fecha de esta versión:

• Cifrado en tránsito (TLS) en las superficies públicas del servicio, con HSTS, y hacia el almacenamiento de objetos.
• Cifrado en reposo de la base de datos (Neon, de Databricks) y del almacenamiento de objetos (Cloudflare R2), según la documentación de cada proveedor. Los tokens de acceso a Google y YouTube que Vixdeo guarda para publicar en nombre del usuario se guardan además cifrados en la base de datos.
• Autenticación y credenciales: autenticación federada con Google; las claves de API y los tokens que Vixdeo emite a agentes se guardan sólo como hash, y las contraseñas con bcrypt; revocación de credenciales al cerrar una cuenta.
• Límites anti-abuso: límites de tasa por IP y por clave.
• Recuperación: historial de la base de datos para restaurar a un instante de las últimas 24 horas.
• Monitoreo: alertas operativas sobre los respaldos y los proveedores.
• Ciclo de vida del dato: borrado del contenido al cerrar una cuenta, también en los subencargados de avatares y de pagos, y conservación de los registros contables y de aceptación desvinculados de la identidad (Política de Privacidad §7); retiro de las copias públicas al despublicar.

Anexo C — Subencargados autorizados

Proveedores que reciben datos para producir, cobrar, guardar o publicar la pieza. La lista nominal vigente, con lo que recibe cada proveedor, se publica en vixdeo.com/legal/subprocessors y forma parte de este Anexo. Se deriva del registro de proveedores de la Plataforma, así que refleja lo que está conectado en cada momento. Comprende modelos de lenguaje y visión (OpenAI, Anthropic y Google), voz (ElevenLabs), avatares (HeyGen, que incluye su propio flujo de consentimiento del sujeto), generación de imagen, video y música según la pieza (entre otros, fal, Leonardo y Stability AI), pagos (Stripe, que actúa además como responsable independiente para sus fines regulatorios), la publicación en YouTube (Google) y el almacenamiento de objetos (Cloudflare R2).

Infraestructura (no figura en esa página):

Bibliotecas de contenido (stock y archivo) — Pexels, Pixabay, Unsplash, Coverr, Freesound, Wikimedia Commons, Internet Archive, Europeana y archivos públicos equivalentes, y el proxy por el que se consultan, reciben únicamente consultas de búsqueda derivadas de la pieza; no tratan datos personales del Cliente por cuenta de Synaxis y por ello no se consideran subencargados.

Hosts de agentes de IA. Los hosts de agentes de IA que el Cliente conecta a Vixdeo (por ejemplo, Claude, ChatGPT o Cursor) no son subencargados de Synaxis: los elige y contrata el Cliente, y la comunicación de datos hacia ellos es una instrucción del Cliente. Que un mismo proveedor figure en este Anexo como proveedor de IA generativa no cambia esa calificación.

Este documento está disponible también en inglés (Data Processing Agreement). En caso de divergencia, prevalece la versión en inglés.