Acuerdo de tratamiento de datos (DPA)

«Cliente» o «tú»: la empresa (o la persona) dueña de un espacio en Berse, que decide para qué y cómo se tratan los datos de ese espacio. Es el responsable del tratamiento.

«Berse» o «nosotros»: Berse AI, que presta el servicio y trata esos datos por cuenta del cliente. Es el encargado del tratamiento.

«Datos personales del cliente»: los datos personales que Berse trata por cuenta del cliente al prestarle el servicio, descritos en la sección 3.

«Interesados»: las personas a las que se refieren esos datos (por ejemplo, los clientes, proveedores y contactos del cliente, quienes le escriben o le abren un ticket, y las personas de su equipo).

«Subencargado»: un proveedor al que Berse encarga parte del tratamiento.

«Brecha de seguridad»: un incidente de seguridad que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales del cliente.

«Normativa de protección de datos»: la CCPA/CPRA y demás leyes de privacidad de EE. UU., la LGPD de Brasil y cualquier otra ley de protección de datos que se aplique al tratamiento.

Este acuerdo se aplica cuando Berse trata datos personales por cuenta del cliente: todo lo que se guarda, recibe o genera en sus espacios. No se aplica a los datos de las cuentas de las personas que usan Berse, de los que Berse es responsable según la política de privacidad.

Forma parte de los Términos del servicio. Al crear o usar un espacio, aceptas este acuerdo, que es jurídicamente vinculante entre tú y Berse. Si necesitas una copia firmada, escríbenos.

Orden de prioridad: para todo lo relativo al tratamiento de datos personales del cliente, este acuerdo prevalece sobre los Términos, y los Términos sobre la política de privacidad.

Objeto: prestar al cliente el servicio de Berse (CRM, ERP, correo conectado y agente de IA) en lo que afecta a datos personales de terceros.

Duración: mientras exista el espacio, y después durante los plazos de supresión de la sección 11.

Naturaleza y finalidad, por actividad:

Registros del CRM y del ERP: guardar, mostrar, buscar, ordenar, relacionar y exportar los datos que el cliente captura o importa (leads, organizaciones, contactos, oportunidades, cotizaciones, pedidos, entregas, facturas, pagos, notas de crédito, compras, facturas de proveedores, inventario, producción, contabilidad, proyectos y horas, comisiones, tickets y archivos) y generar sus documentos en PDF.

Envío de documentos y correos: enviar por correo, en nombre del cliente y cuando él o su equipo lo aprueban, cotizaciones, facturas, órdenes de compra, recordatorios de cobro, seguimientos, respuestas de tickets e invitaciones, por Resend o por el servidor o dominio de correo del cliente.

Enlaces públicos: mostrar a los clientes del cliente sus cotizaciones, facturas y tickets en un enlace privado, registrar cuándo se abren y recibir lo que responden (aceptar o rechazar una cotización, contestar un ticket).

Correo conectado: con la autorización de la persona que conecta su buzón (Microsoft 365 u Outlook o Gmail), sincronizar sus correos (al principio, los de los últimos 30 días) y guardar una copia, ligarlos a los contactos y organizaciones del espacio, ordenarlos y resumirlos con IA, y archivar, responder y enviar los que la persona apruebe.

Agente de IA: procesar con modelos de IA las peticiones del equipo del cliente y los datos del espacio necesarios para atenderlas; leer facturas de proveedores y estados de cuenta; transcribir los dictados (el audio no se guarda); ayudar a importar archivos; redactar borradores; y sugerir conciliaciones bancarias y significados de códigos.

Bancos: leer los estados de cuenta que el cliente importa (fecha, concepto, importe, referencia) y conciliarlos con sus cobros y pagos. Berse no se conecta a cuentas bancarias y solo guarda los últimos dígitos de cada cuenta.

Tipos de datos personales: nombre, cargo, correo, teléfono y dirección; empresa y número de identificación fiscal; datos de operaciones comerciales (productos, importes, fechas, condiciones de pago, entregas); datos de pagos y movimientos bancarios; contenido de correos y mensajes, y sus adjuntos; archivos subidos; audio de dictados (de forma transitoria); horas trabajadas y comisiones del equipo; y los datos técnicos de quien abre un enlace público. Berse no necesita categorías especiales de datos; si el cliente las incluye, es responsable de tener base legal para ello.

Categorías de interesados: clientes, posibles clientes, proveedores y contactos del cliente; personas que intercambian correos con él o le abren tickets; y las personas de su equipo.

Lo que no cubre: los buzones de correo y los servidores que conecta el cliente siguen siendo de su proveedor (Microsoft, Google o el suyo), con su propio contrato; Berse solo trata lo que trae a Berse. Los pagos que el cliente recibe de sus clientes no pasan por Berse.

Instrucciones: Berse trata los datos personales del cliente solo para prestarle el servicio y según sus instrucciones documentadas, que son los Términos, este acuerdo y lo que el cliente y su equipo configuran y aprueban en Berse, salvo que la ley nos obligue a otra cosa (en ese caso te lo diremos antes, si la ley lo permite). Si una instrucción nos parece contraria a la normativa de protección de datos, te avisaremos.

Confidencialidad: solo acceden a los datos las personas que lo necesitan para prestar el servicio, darte soporte o mantener la seguridad, con deber de confidencialidad.

Cooperación: te ayudamos, en lo que nos corresponda y teniendo en cuenta la información de la que disponemos, a cumplir tus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas a las autoridades.

Leyes de EE. UU. (CCPA/CPRA y similares): Berse actúa como «proveedor de servicios» o «encargado». No vende ni comparte esos datos, no los conserva, usa ni divulga fuera de la relación directa contigo ni para fines distintos de prestarte el servicio, no los combina con datos de otras fuentes salvo lo que la ley permita, te avisará si deja de poder cumplir estas obligaciones y te permite tomar medidas razonables para detener un uso no autorizado.

Brasil y otros países: en Brasil Berse actúa como operador según la LGPD, y en el resto de países como encargado o figura equivalente.

No usamos los datos personales del cliente para entrenar modelos de IA ni para fines propios, salvo cifras agregadas sobre el funcionamiento del servicio que no identifican a nadie.

Medidas técnicas: conexiones cifradas (HTTPS); cada operación corre en la base de datos como la persona que la pide, con sus permisos y los de su rol, con seguridad por fila en todas las tablas, así que un espacio nunca ve los datos de otro; el agente nunca puede más que la persona por la que trabaja y lo sensible exige la aprobación de una persona; el texto que llega de fuera se trata como dato, nunca como instrucción; accesos a buzones y contraseñas de servidores de correo cifrados (AES-256-GCM) y que nunca se muestran de vuelta; archivos en un almacenamiento privado, entregados solo a quien puede ver el registro al que pertenecen; enlaces públicos con un código difícil de adivinar; informes de errores sin cabeceras, cookies ni parámetros; y copias de seguridad automáticas.

Medidas organizativas: acceso interno solo para quien lo necesita; límites de uso y de envío para evitar abusos; revisión de los proveedores antes de usarlos; y un procedimiento para responder a brechas.

Ubicación de los datos: la base de datos y los archivos están en Supabase (Estados Unidos (este)); el alojamiento, en Vercel (Estados Unidos, con red de distribución mundial); el resto de subencargados, en los países de la sección 6.

Podemos actualizar estas medidas siempre que no bajen el nivel de protección.

Autorizas que Berse use estos subencargados para los datos personales del cliente:

Supabase (base de datos, inicio de sesión y archivos): todos los datos de los espacios; Estados Unidos (este).

Vercel (alojamiento de Berse, de los espacios y de los enlaces públicos): datos técnicos de cada petición (incluida la IP, en registros temporales) y el contenido que se muestra; Estados Unidos, con red de distribución mundial.

OpenRouter (Estados Unidos), que dirige las peticiones de IA a Anthropic (modelos Claude) y, para el dictado, a un modelo de transcripción; Anthropic (Estados Unidos) directamente cuando así está configurado; y, según la configuración, OpenAI o Groq (Estados Unidos) para el dictado: lo que el equipo del cliente pide al agente y los datos del espacio necesarios para atenderlo (registros, correos que se ordenan o resumen, documentos que se leen, audio de los dictados). Según sus condiciones para empresas, no usan estos datos para entrenar sus modelos y los conservan un tiempo limitado para vigilar abusos.

Resend (envío de documentos y correos del cliente cuando no usa su propio servidor): direcciones, contenido y adjuntos de esos correos; Estados Unidos.

Sentry (informes de errores técnicos): datos técnicos del error, sin cabeceras, cookies ni parámetros; de forma incidental puede incluir fragmentos de contenido; Estados Unidos.

Stripe: no es subencargado para estos datos. Solo procesa, como proveedor de Berse, los pagos de la suscripción del cliente a Berse (datos de los que Berse es responsable).

Microsoft, Google y el servidor de correo del cliente: no son subencargados de Berse. Son proveedores del cliente, con su propio contrato; Berse accede a ellos con la autorización del cliente.

Obligaciones: cada subencargado está obligado por contrato a obligaciones de protección de datos equivalentes a las de este acuerdo. Respondemos ante ti de nuestros subencargados como de nosotros mismos.

Cambios: te avisaremos por correo y actualizaremos esta página antes de añadir o sustituir un subencargado, con al menos 30 días de antelación. Puedes oponerte por motivos razonables relacionados con la protección de datos en ese plazo; si no encontramos una solución, puedes cancelar y te devolveremos la parte no usada de lo pagado por adelantado.

El cliente es quien atiende los derechos de las personas cuyos datos están en su espacio (acceso, rectificación, supresión, oposición…). Muchas cosas las puede hacer él mismo en Berse: ver, corregir o borrar sus registros, exportarlos, quitar archivos, desactivar un enlace público o desconectar un buzón.

Si un interesado nos escribe a nosotros sobre los datos de un espacio, no le responderemos sobre el fondo: le haremos llegar la solicitud al cliente y le ayudaremos a responderla con las medidas técnicas y organizativas a nuestro alcance.

Si sabemos de una brecha de seguridad que afecte a datos personales del cliente, te avisaremos sin demora indebida y, en todo caso, en un plazo máximo de 72 horas desde que lo sepamos.

Te diremos, en la medida en que lo sepamos (y lo completaremos después si hace falta): qué ha pasado, qué tipos de datos y cuántos interesados y registros aproximados se han visto afectados, las consecuencias probables, las medidas que hemos tomado o proponemos y una persona de contacto.

Te avisaremos al correo del dueño del espacio. Tomaremos de inmediato las medidas razonables para contener la brecha y reducir sus efectos.

Responsabilidad del cliente: como responsable, te corresponde decidir si notificas a la autoridad y a los interesados, y hacerlo en los plazos de tu ley. Te ayudaremos con la información que tengamos. Avisarte no supone reconocer culpa ni responsabilidad.

Berse opera desde Estados Unidos y sus subencargados están principalmente en Estados Unidos, así que los datos personales del cliente se tratan allí.

Cuando la ley aplicable exige garantías para esas transferencias, Berse usa los mecanismos que pide, como las cláusulas contractuales incluidas en el acuerdo de tratamiento de datos de cada subencargado.

Información: te daremos la información razonablemente necesaria para demostrar que cumplimos este acuerdo, como descripciones de nuestras medidas de seguridad y las certificaciones o informes de nuestros subencargados que podamos compartir.

Auditorías: si esa información no basta, o si lo exige una autoridad, puedes hacer una auditoría razonable, tú o un auditor independiente obligado a confidencialidad, con preaviso de 30 días, como máximo una vez al año, en horario laboral, sin acceder a datos de otros clientes y a tu cargo, salvo que se deba a una brecha nuestra.

Alternativa: antes de una auditoría presencial, intentaremos resolver tus preguntas por escrito o con documentación, que normalmente basta.

Durante el servicio: lo que el cliente borra en su espacio se elimina; los archivos quitados se borran del almacenamiento poco después. Algunos registros contables y de inventario no se borran uno a uno para conservar la integridad de los libros (se corrigen con un registro inverso) y se borran con el espacio. Al desconectar un buzón se borran su acceso y las copias de su correo. Los documentos que se suben al agente para leerlos se borran a partir del día siguiente si no se guardan en un registro.

Al terminar: el cliente puede borrar su espacio desde Berse cuando quiera (se borra al confirmarlo), o pedirnos que borremos su espacio o su cuenta: lo hacemos en un plazo máximo de 30 días.

Devolución: antes de borrar, el cliente puede descargar todos los datos de su espacio (hojas CSV y un archivo JSON) y exportar sus reportes, o pedirnos una copia completa en un formato estructurado.

Copias de seguridad: lo borrado desaparece de las copias automáticas cuando se renuevan, en 7 días; mientras tanto, solo se usan para recuperar el servicio tras un fallo. Los registros técnicos de nuestros subencargados se borran solos en 30 días como máximo.

Conservación por ley: si la ley nos obliga a conservar algún dato más tiempo, lo guardaremos bloqueado, solo para ese fin y protegido según este acuerdo.

La responsabilidad de cada parte por este acuerdo se rige por las reglas de responsabilidad de los Términos, incluidas sus limitaciones y exclusiones, en la medida en que la normativa de protección de datos lo permita. Nada de este acuerdo limita los derechos que la ley da a los interesados ni la responsabilidad que no se pueda limitar.

Como responsable, el cliente debe: tener una base legal para tratar los datos de su espacio; informar a sus clientes, proveedores, contactos y equipo con su aviso de privacidad (puede usar el texto de la sección 15); obtener las autorizaciones que haga falta para conectar buzones de correo y para enviar comunicaciones comerciales; atender las solicitudes de los interesados; y no subir ni importar datos personales que no tenga derecho a tratar.

Este acuerdo entra en vigor cuando aceptas los Términos o empiezas a usar un espacio, y dura mientras Berse trate datos personales del cliente.

Las obligaciones que por su naturaleza deban continuar (confidencialidad, supresión, seguridad de lo que quede en copias de seguridad) siguen vigentes hasta que se borren todos los datos.

Podemos actualizar este acuerdo (por ejemplo, por la lista de subencargados o cambios en la ley). Si el cambio es relevante, te avisaremos por correo o en Berse con antelación; los cambios no reducirán la protección de los datos personales del cliente. La versión vigente es la que aparece arriba.

Si usas Berse con datos de tus clientes, proveedores o contactos, incluye en tu aviso de privacidad un texto como este, adaptado a tu caso (no sustituye a tu propio asesoramiento legal):

«Proveedores. Para gestionar nuestra relación comercial (clientes, cotizaciones, pedidos, facturas, cobros, compras y soporte) usamos Berse, un servicio de Estados Unidos que trata los datos por nuestra cuenta y no los usa para fines propios. Los datos se guardan en Estados Unidos con garantías adecuadas. Los documentos y correos que te enviamos pueden salir a través de su proveedor de correo, Resend, y algunas tareas las apoya un asistente de inteligencia artificial, siempre bajo la revisión de nuestro equipo.»

Si conectas tu buzón de correo, menciona también que tus correos se gestionan en Berse. Añade siempre quién eres, cómo contactarte y los derechos de las personas.

Para cualquier cuestión sobre este acuerdo, para pedir una copia firmada o para avisarnos de una solicitud de un interesado: legal@berse.ai.