Acuerdo de Tratamiento de Datos

1. Definiciones

• Datos Personales del Cliente: la información personal que el Cliente, su equipo o sus clientes ingresan en Go1000.ai, o que Go1000.ai recopila para el Cliente (por ejemplo, a través del sitio web, el portal, los mensajes de texto y las llamadas del Cliente), incluida la "información personal no pública" según la Ley Gramm-Leach-Bliley (GLBA).
• Leyes de Protección de Datos: las leyes federales y estatales de los EE. UU. que se aplican al tratamiento, incluidas la GLBA y la Regla de Salvaguardas de la FTC (16 CFR Parte 314), la Ley de Privacidad del Consumidor de California, en su versión modificada (CCPA), otras leyes estatales de privacidad del consumidor y las leyes estatales de seguridad de datos y de aviso de filtraciones.
• Incidente de Seguridad: una violación de seguridad confirmada que provoque la destrucción, pérdida o alteración accidental o ilícita de los Datos Personales del Cliente, o su divulgación o acceso no autorizados.
• Subencargado: un tercero contratado por Go1000.ai que procesa Datos Personales del Cliente.

2. Funciones e Instrucciones

El Cliente es la empresa (responsable del tratamiento y, cuando corresponda, la institución financiera) que decide por qué y cómo se procesan los Datos Personales del Cliente. Go1000.ai es su proveedor de servicios y encargado del tratamiento.

Go1000.ai procesa los Datos Personales del Cliente solo para prestar, proteger y dar soporte al servicio conforme a los Términos, según las instrucciones documentadas del Cliente (los Términos, este DPA, y la configuración y las acciones del Cliente en Go1000.ai), y según lo exija la ley (en cuyo caso se lo dice primero al Cliente, salvo que la ley lo prohíba). Go1000.ai le dirá al Cliente si considera que una instrucción viola la ley.

El Cliente es responsable de contar con una base legal y con los avisos y consentimientos necesarios para los datos que ingresa en Go1000.ai y para sus instrucciones.

3. Compromisos como Proveedor de Servicios (CCPA y Leyes Estatales)

Go1000.ai no: (a) venderá ni compartirá los Datos Personales del Cliente; (b) los conservará, usará ni divulgará para ningún fin distinto de los fines comerciales indicados en los Términos, incluido cualquier fin comercial propio; (c) los conservará, usará ni divulgará fuera de la relación comercial directa con el Cliente; ni (d) los combinará con información personal de otras fuentes o de otros clientes, salvo en la medida en que la ley lo permita a un proveedor de servicios. Go1000.ai cumplirá las obligaciones que le corresponden como proveedor de servicios, brindará el mismo nivel de protección de la privacidad que exige la ley y le avisará al Cliente si ya no puede cumplir estas obligaciones. El Cliente puede tomar medidas razonables para detener y remediar el uso no autorizado. Go1000.ai certifica que entiende estas restricciones y que las cumplirá.

4. GLBA y la Regla de Salvaguardas de la FTC

Go1000.ai usará y divulgará la información personal no pública solo para prestar los servicios al Cliente, según lo permite el 16 CFR 313.11 (límites a la reutilización y a la nueva divulgación). Go1000.ai mantiene las salvaguardas administrativas, técnicas y físicas del Anexo 1, adecuadas a su tamaño y a la sensibilidad de la información, para que el Cliente pueda cumplir su deber de supervisar a los proveedores de servicios según el 16 CFR 314.4(f). Ante una solicitud razonable, Go1000.ai responderá el cuestionario de seguridad del Cliente una vez al año y proporcionará un resumen de su programa de seguridad.

5. Confidencialidad del Personal

Solo tiene acceso el personal de Go1000.ai que lo necesita para prestar o dar soporte al servicio, sujeto a obligaciones de confidencialidad y con capacitación en el manejo de información personal. El acceso de soporte a la cuenta de un Cliente queda registrado con la persona, la hora y el motivo, y el Cliente ve cada visita de soporte en su Overview (Resumen). Durante una visita de soporte, el personal de Go1000.ai puede abrir y cambiar cualquier parte de la cuenta que haga falta para ayudar (incluidos los registros, documentos y mensajes de los clientes), solo por el motivo indicado, por un tiempo limitado, y cada cambio que hace queda registrado en el historial de la cuenta.

6. Subencargados

El Cliente autoriza a los Subencargados que figuran en la página de Subencargados. Go1000.ai obliga a cada uno, mediante contrato escrito, a cumplir obligaciones de protección de datos al menos tan protectoras como las de este DPA, y sigue siendo responsable de su desempeño.

Go1000.ai avisará con al menos 30 días de anticipación (actualizando esa página y enviando un correo electrónico al titular de la cuenta) antes de agregar o reemplazar a un Subencargado, excepto en una emergencia para mantener el servicio en funcionamiento, en cuyo caso avisará lo antes posible. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; las partes trabajarán de buena fe para resolverlo y, si no pueden, el Cliente puede cancelar el servicio afectado y recibir un reembolso prorrateado de los pagos anticipados.

7. Ayuda con las Solicitudes de las Personas

Teniendo en cuenta la naturaleza del tratamiento, Go1000.ai ayudará al Cliente a responder las solicitudes de las personas para acceder a su información, corregirla, borrarla o recibir una copia, principalmente mediante las herramientas de Admin (registros de clientes, archivo de pedidos y exportación). Si Go1000.ai recibe directamente una solicitud sobre Datos Personales del Cliente, se la reenviará al Cliente dentro de 10 días hábiles y no la responderá salvo según lo indique el Cliente o lo exija la ley.

8. Incidentes de Seguridad

Go1000.ai avisará al Cliente sin demora indebida y, en todo caso, dentro de 72 horas después de confirmar un Incidente de Seguridad que afecte los Datos Personales del Cliente. El aviso describirá, en la medida en que se sepa, lo que ocurrió, los datos y las personas afectados, las consecuencias probables y las medidas tomadas o propuestas, y se actualizará a medida que se sepa más. Go1000.ai tomará medidas razonables para contenerlo y remediarlo, mantendrá registros de él y le dará al Cliente ayuda razonable con sus propios avisos a las personas y a las autoridades reguladoras (por ejemplo, el aviso a la FTC dentro de 30 días en el caso de eventos que afecten a 500 o más consumidores, y los avisos estatales). Salvo que la ley lo exija, Go1000.ai no avisará a los clientes del Cliente ni a las autoridades reguladoras sobre los datos del Cliente sin el acuerdo del Cliente.

9. Información y Auditorías

Go1000.ai pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, mediante su resumen de seguridad y sus respuestas a cuestionarios. Si eso no es suficiente, o si una autoridad reguladora lo exige, el Cliente puede realizar una auditoría una vez al año, con 30 días de aviso, en horario laboral, a su propio costo, a través de un auditor independiente sujeto a confidencialidad, de una forma que no exponga los datos de otros clientes.

10. Devolución y Borrado

Durante la suscripción, el Cliente puede exportar sus datos o solicitar una exportación, que se entrega dentro de 30 días. Después de que termina la suscripción, Go1000.ai conserva los Datos Personales del Cliente durante 90 días para que el Cliente pueda exportarlos y luego los borra, excepto cuando la ley exija conservarlos. Las copias de seguridad cifradas se eliminan según su calendario normal y no se restauran salvo para la recuperación ante desastres. A pedido, Go1000.ai confirma el borrado por escrito.

11. Ubicación

Go1000.ai guarda y procesa los Datos Personales del Cliente en los Estados Unidos. Las redes de distribución de contenido pueden guardar en caché el contenido público del sitio web en todo el mundo.

12. Información de Salud

El servicio para tasadores de Go1000.ai no está diseñado para información de salud protegida según HIPAA, y el Cliente no debe ingresarla en él. Cualquier servicio cubierto por HIPAA requiere un Acuerdo de Asociado Comercial (Business Associate Agreement) separado y firmado por ambas partes.

13. Vigencia y Responsabilidad

Este DPA dura mientras Go1000.ai procese Datos Personales del Cliente. La responsabilidad de cada parte según este DPA está sujeta a los límites de los Términos, excepto cuando la ley no lo permita.

Anexo 1: Medidas de Seguridad

• Acceso: inicio de sesión en dos pasos obligatorio para Admin y para el personal de Go1000.ai; permisos basados en funciones para cada miembro del equipo; acceso del personal solo con un motivo registrado y visible.
• Separación: cada registro lleva su empresa, y la seguridad a nivel de fila en la base de datos limita a cada empresa a sus propios datos; pruebas automatizadas verifican esta separación.
• Cifrado: TLS para los datos en tránsito; datos cifrados en reposo por nuestros proveedores de alojamiento y de base de datos; tokens de cuentas conectadas y secretos cifrados además por Go1000.ai.
• Minimización de datos: los patrones de números de Seguro Social y de tarjetas se ocultan en los mensajes del portal y en los chats con la IA; los proveedores de datos de propiedades y de IA reciben solo lo que necesita cada solicitud; los proveedores de IA no entrenan con los datos.
• Registro y monitoreo: registros de auditoría de aprobaciones y acciones sensibles; un registro de facturación de solo anexión; monitoreo de errores y de seguridad.
• Resiliencia: base de datos administrada con copias de seguridad y recuperación a un momento específico en el plan de producción; infraestructura distribuida en varias zonas de disponibilidad.
• Desarrollo: revisión de código, pruebas automatizadas (incluidas verificaciones de separación de datos y de ausencia de secretos), secretos guardados solo en la configuración del entorno, dependencias mantenidas al día.
• Personas y proveedores: obligaciones de confidencialidad; diligencia debida en seguridad y contratos escritos con los Subencargados.
• Respuesta a incidentes: un plan escrito con funciones, contención, investigación, notificación (Sección 8) y revisión.

Anexo 2: Detalles del Tratamiento

• Objeto y duración: prestar Go1000.ai al Cliente durante el plazo de la suscripción y el período de exportación de 90 días.
• Naturaleza y finalidad: alojar, guardar, organizar, transmitir y mostrar datos para ofrecer el sitio web, las cotizaciones, los pedidos, el portal, la programación de citas, los pagos, los mensajes, los mensajes de texto, las llamadas, las funciones de IA, las publicaciones en redes sociales y el soporte.
• Personas: los clientes del Cliente y sus representantes, los visitantes del sitio web, el equipo del Cliente y las personas a quienes el Cliente contacta.
• Datos: nombres, datos de contacto, direcciones y datos de propiedades, estado de pedidos y de pagos, documentos, registros de encargos firmados, mensajes, grabaciones y transcripciones de llamadas, registros de consentimiento y datos técnicos (dirección IP, navegador).
• Datos sensibles: no previstos. El Cliente no debe cargar información de Seguro Social, de cuentas financieras completas ni de salud, salvo que el servicio lo requiera.