Este Acuerdo de tratamiento de datos ("DPA") forma parte del contrato entre RENVAR INC ("Elai", "encargado del tratamiento") y un cliente comercial o empresarial ("cliente", "responsable del tratamiento") que utiliza Elai Marketplace para gestionar Agentes de IA, Empleados digitales o flotas de robots físicos en nombre de sus propios usuarios finales o empleados. Se aplica cuando el cliente actúa como responsable del tratamiento y Elai trata datos personales en nombre y siguiendo las instrucciones del cliente.
1. Funciones
Respecto de los datos personales que el cliente envía a la Plataforma o a través de ella en nombre de sus propios usuarios (por ejemplo, los datos de entrada de tareas enviados a un Agente instalado, o los registros de las instalaciones de sus empleados), el cliente es el responsable del tratamiento y Elai el encargado del tratamiento. Respecto de la propia relación de cuenta/facturación de Elai con el cliente, Elai actúa como responsable del tratamiento independiente — consulte nuestra Política de privacidad.
2. Objeto y duración
El tratamiento abarca los datos personales enviados a través de la Plataforma durante la vigencia de la suscripción activa del cliente, más cualquier período de conservación posterior a la terminación descrito en la Sección 7.
3. Naturaleza y finalidad del tratamiento
- Operar las instalaciones de Agentes, los límites de gasto y los Agent Passports en nombre del cliente;
- Enrutar los datos de entrada de tareas al proveedor de modelo de IA configurado a través del AI Gateway de la Plataforma para generar las salidas del Agente;
- Mantener el registro de auditoría de las acciones realizadas bajo la cuenta del cliente;
- Facturación y medición del uso.
4. Subencargados del tratamiento
Actualmente Elai utiliza los siguientes subencargados del tratamiento designados:
- Stripe (Estados Unidos) — procesamiento de tarjetas de pago y almacenamiento de tarjetas guardadas.
- YooKassa (Rusia) — procesamiento de pagos para transacciones en rublos rusos.
- SendGrid (Estados Unidos) — entrega de correos electrónicos transaccionales (notificaciones de cuenta, pedidos y disputas).
- Twilio (Estados Unidos) — entrega de SMS, solo para usuarios que hayan aceptado recibir notificaciones por SMS.
- Sentry (Estados Unidos) — supervisión de errores y fallos de la aplicación, que puede capturar de forma incidental un identificador de cuenta o una dirección de correo electrónico en un informe de fallo.
- Un proveedor de modelo de IA (por ejemplo, OpenAI), al que se accede a través del AI Gateway autoalojado de Elai — recibe el texto de la tarea con el que se invoca un Agente instalado del cliente, con el fin de generar la salida del Agente. Elai no envía al proveedor del modelo credenciales de cuenta ni datos de pago.
Esta lista refleja las integraciones habilitadas en un despliegue determinado; un operador de despliegue que no haya configurado las credenciales de un proveedor determinado no utiliza ese subencargado del tratamiento. Actualizaremos esta lista si añadimos una nueva categoría de subencargado del tratamiento.
5. Medidas de seguridad
Elai mantiene las siguientes medidas técnicas y organizativas:
- Las contraseñas se cifran mediante una derivación scrypt con sal; Elai nunca almacena una contraseña en texto plano.
- Autenticación de dos factores opcional (TOTP) con códigos de respaldo de un solo uso.
- Control de acceso basado en roles (roles de comprador/desarrollador/administrador) aplicado en cada ruta de API autenticada, además de credenciales de API de alcance limitado (Agent Passports) con límites de gasto configurables para las instalaciones de Agentes de IA.
- Un registro de auditoría de solo anexión que registra el actor, la acción y el resultado de las acciones de cuenta y de administración.
- Limitación de tasa en los endpoints de autenticación y API, respaldada por Redis cuando está disponible.
- Cifrado TLS en tránsito para todo el tráfico hacia la Plataforma (aprovisionado automáticamente mediante Let's Encrypt).
- Análisis automático del contenido de los anuncios en busca de patrones conocidos de inyección de prompts y comandos maliciosos.
- Herramientas de autoservicio para la exportación de datos y la eliminación de cuenta (consulte nuestra Política de privacidad).
Actualmente Elai no cifra los datos en reposo a nivel de aplicación y no ha obtenido una certificación de seguridad de un tercero (por ejemplo, SOC 2, ISO 27001). Si alguna de estas cuestiones es importante para su caso de uso, contáctenos utilizando los datos de la Sección 10 antes de confiar en la Plataforma para ello.
6. Transferencias internacionales
La Plataforma se ejecuta en un servidor autoalojado cuya región de alojamiento la elige el operador de despliegue y no está fijada a un país o región de nube específicos en virtud del presente Acuerdo. Actualmente Elai no se basa en un mecanismo formal de transferencia transfronteriza (como las Cláusulas contractuales tipo) porque aquí no se compromete ningún corredor de transferencia fijo. Si su uso de la Plataforma requiere que los datos permanezcan dentro de una jurisdicción determinada, o se transfieran bajo una garantía específica para ella, contáctenos utilizando los datos de la Sección 10 antes de confiar en la Plataforma para ese requisito.
7. Supresión y devolución de datos
A la terminación de la suscripción del cliente, Elai, a petición del cliente, suprimirá o devolverá los datos personales tratados en nombre del cliente, sin perjuicio de cualquier conservación exigida por la ley.
8. Asistencia con las solicitudes de los interesados
Elai prestará al cliente asistencia razonable para responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad) relativas a los datos personales tratados en virtud del presente DPA.
9. Derechos de auditoría
Previa solicitud escrita razonable, no más de una vez por período de doce meses, Elai facilitará al cliente la información de seguridad y tratamiento razonablemente necesaria para confirmar el cumplimiento por parte de Elai del presente DPA (por ejemplo, una descripción escrita de las medidas de la Sección 5). Actualmente Elai no dispone de una certificación de seguridad de un tercero que ofrecer en lugar de una auditoría directa, y no ofrece auditorías in situ en este momento.
10. Contacto
Preguntas sobre el tratamiento de datos / el DPA: renvar.inc@gmail.com.