Versión: 1.1 · Fecha de entrada en vigor: Septiembre de 2026

De conformidad con el artículo 28 del Reglamento (UE) 2016/679

1. Partes y Ámbito de Aplicación

El presente Addendum de Tratamiento de Datos (el «DPA») forma parte de los Términos y Condiciones Generales de Uso de Claix (los «Términos») y se aplica cuando Claix trata Datos Personales en nombre de un Cliente en relación con la Plataforma Claix, el Dashboard, la API, los servicios de procesamiento de documentos, las Funcionalidades de IA, las funcionalidades de contexto documental, los Knowledge Spaces, la IA gestionada de Claix, Bring Your Own Key («BYOK») y servicios relacionados.

El presente DPA se celebra entre:

1.1 Responsable del Tratamiento

La persona física o jurídica, empresa, desarrollador, agencia, organización o entidad B2B que contrata o utiliza los servicios de Claix conforme a los Términos (el «Responsable del Tratamiento» o «Cliente»).

Cuando el Cliente trata Datos Personales en nombre de otro responsable del tratamiento, el Cliente puede actuar como encargado del tratamiento y Claix puede actuar como subencargado. En ese caso, el Cliente declara y garantiza que tiene autoridad para designar a Claix como subencargado y vincular al responsable del tratamiento pertinente al presente DPA según corresponda.

1.2 Encargado del Tratamiento

ANAYA CARBALLO GAEL Nombre comercial: Claix NIF: 51030923H Dirección: Ronda Sur 203, 3º 3ª Der, 28053 Madrid, España Contacto de privacidad y del Encargado: info@claix.dev

Claix se denomina en el presente DPA el «Encargado del Tratamiento» o «Claix».

1.3 Definiciones

Los términos en mayúscula no definidos en el presente DPA tienen el significado atribuido en los Términos, la Política de Privacidad o el RGPD.

A los efectos del presente DPA:

• «Funcionalidades de IA» significa las capacidades de Claix que utilizan procesamiento asistido por IA, incluidas la extracción estructurada, el mapeo semántico, Agent Mode, Document Context, Knowledge Spaces y funciones relacionadas.
• «BYOK» significa Bring Your Own Key, una funcionalidad opcional de Claix mediante la cual el Cliente selecciona un proveedor de IA de terceros y proporciona una credencial para dicho proveedor.
• «Credencial BYOK» significa una clave API, token, credencial de despliegue o credencial similar suministrada por el Cliente para un proveedor de IA de terceros compatible.
• «Proveedor BYOK» significa el proveedor de IA de terceros seleccionado por el Cliente a través de BYOK.
• «IA gestionada de Claix» significa la modalidad de procesamiento con IA en la que Claix selecciona y gestiona el proveedor de IA y la configuración del modelo aplicables.
• «Contenido del Cliente» significa cualquier archivo, documento, hoja de cálculo, imagen, texto, prompt, pregunta, HTML, XML, JSON, Schema, definición de agente, metadato, instrucción, entrada u Output enviado por o en nombre del Cliente a través de la Plataforma Claix, el Dashboard, la API, integraciones, Funcionalidades de IA o flujos de trabajo BYOK.
• «Document Context» significa la funcionalidad opcional de Claix mediante la cual el contenido de un documento procesado puede retenerse temporal o persistentemente y consultarse posteriormente por el Cliente.
• «Knowledge Space» significa la funcionalidad opcional de Claix mediante la cual documentos o Contenido del Cliente relacionados pueden agruparse y consultarse conjuntamente.
• «Output» significa cualquier resultado generado o devuelto por el Servicio, incluidos JSON estructurado, archivos de hoja de cálculo, información extraída, resultados de Agent Mode, respuestas de contexto documental, respuestas de Knowledge Space u otro contenido generado.
• «Datos Personales» significa datos personales conforme a la definición del artículo 4(1) del RGPD tratados por Claix en nombre del Cliente.
• «Tratamiento» significa tratamiento conforme a la definición del artículo 4(2) del RGPD.
• «Subencargado» significa un tercero contratado por Claix para tratar Datos Personales en nombre del Cliente en relación con el Servicio.

2. Objeto, Duración, Naturaleza y Finalidad

2.1 Objeto

El objeto del Tratamiento es la prestación del Servicio Claix, incluidos el procesamiento de documentos, la extracción de datos estructurados, la transformación, la estandarización, el mapeo semántico, Agent Mode, Document Context, Knowledge Spaces, la IA gestionada de Claix, la funcionalidad BYOK, la gestión segura de credenciales, la administración de cuentas, la seguridad, el soporte y las operaciones SaaS y API relacionadas.

2.2 Duración

Claix tratará los Datos Personales durante la duración del uso del Servicio por el Cliente y durante cualquier periodo adicional exigido por la configuración de retención seleccionada por el Cliente, la ley aplicable, los requisitos de seguridad, los procedimientos de copia de seguridad, los requisitos de resolución de disputas u obligaciones legales.

2.3 Naturaleza del Tratamiento

El Tratamiento puede incluir recibir, recopilar, acceder, registrar, organizar, estructurar, almacenar cuando lo seleccione el Cliente, recuperar, consultar, transmitir, transformar, extraer, analizar, mapear, normalizar, clasificar, generar, restringir, suprimir y tratar de otro modo el Contenido del Cliente según sea necesario para prestar el Servicio.

2.4 Finalidad del Tratamiento

Claix trata los Datos Personales únicamente para prestar el Servicio al Cliente, incluidos:

• recibir y procesar solicitudes API y del Dashboard iniciadas por el Cliente;
• extraer, transformar, mapear, estructurar, normalizar, clasificar o generar Output a partir del Contenido del Cliente;
• procesar PDF, hojas de cálculo, archivos CSV, documentos de texto, imágenes, texto plano, HTML, XML, JSON y otro contenido compatible;
• prestar resultados estructurados basados en Schema;
• prestar procesamiento en Agent Mode;
• prestar funcionalidades de Document Context y Knowledge Space cuando estén habilitadas por el Cliente;
• prestar procesamiento de IA gestionada de Claix o BYOK seleccionado por el Cliente;
• autenticar usuarios, API Keys, espacios de trabajo y acceso a la cuenta;
• almacenar y utilizar de forma segura Credenciales BYOK cuando estén habilitadas por el Cliente;
• mantener la seguridad, fiabilidad, rendimiento, registro, solución de problemas, soporte, prevención de abusos y respuesta a incidentes del Servicio;
• cumplir las obligaciones legales aplicables; y
• llevar a cabo otras instrucciones documentadas del Cliente que sean coherentes con los Términos, el presente DPA y la Ley de Protección de Datos Aplicable.

2.5 Interesados y Categorías de Datos

Las categorías de interesados y de Datos Personales que pueden tratarse se describen en el Anexo A.

3. Instrucciones Documentadas

3.1 Instrucciones del Cliente

Claix tratará los Datos Personales únicamente conforme a las instrucciones documentadas del Cliente, incluidas las instrucciones contenidas en:

• los Términos;
• el presente DPA;
• solicitudes API autenticadas;
• acciones del Dashboard;
• configuración de Schema;
• configuración de Agent Mode;
• configuración de Document Context;
• configuración de Knowledge Space;
• configuración de retención;
• configuración de IA gestionada de Claix;
• configuración de proveedor, modelo y credencial BYOK;
• integraciones compatibles; y
• otras instrucciones por escrito acordadas entre Claix y el Cliente.

El Cliente instruye a Claix para tratar los Datos Personales según sea necesario para prestar las funcionalidades del Servicio que el Cliente seleccione, habilite, configure o invoque.

3.2 Instrucciones que Pueden Infringir la Ley Aplicable

Si Claix considera que una instrucción infringe la Ley de Protección de Datos Aplicable, Claix informará al Cliente sin dilación indebida salvo que la ley aplicable lo prohíba.

Claix puede suspender o negarse a ejecutar una instrucción cuando sea razonablemente necesario para cumplir la Ley de Protección de Datos Aplicable, proteger a los interesados, proteger el Servicio, prevenir daños de seguridad o cumplir una solicitud de autoridad competente.

3.3 Responsabilidades del Cliente

El Cliente declara y garantiza que:

• dispone de una base jurídica válida para tratar los Datos Personales y enviarlos a Claix;
• ha proporcionado los avisos de privacidad exigidos a las personas afectadas;
• ha obtenido los consentimientos, autorizaciones, permisos o aprobaciones necesarios;
• ha cumplido los artículos 6 y, cuando resulte aplicable, 9 del RGPD;
• tiene autoridad para instruir a Claix y autorizar a los Subencargados pertinentes;
• utilizará el Servicio conforme a la Ley de Protección de Datos Aplicable;
• configurará adecuadamente la retención, Document Context, Knowledge Spaces, IA gestionada de Claix y BYOK para su caso de uso;
• no enviará Datos Personales ilícitos, innecesarios o prohibidos por ley;
• validará de forma independiente los Outputs antes de utilizarlos en flujos de trabajo con consecuencias significativas; y
• mantendrá la revisión humana y las salvaguardas adecuadas para decisiones de alto impacto, reguladas, legales, financieras, laborales, sanitarias, de seguros, de seguridad o similares.

4. Confidencialidad

Claix garantizará que las personas autorizadas para tratar Datos Personales se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

El acceso a los Datos Personales estará limitado al personal autorizado y a los Subencargados que tengan una necesidad legítima de acceder a ellos para prestar, asegurar, mantener, dar soporte, solucionar problemas o mejorar el Servicio conforme al presente DPA y los Términos.

5. Medidas Técnicas y Organizativas

5.1 Medidas de Seguridad Adecuadas

Claix implementará y mantendrá medidas técnicas y organizativas adecuadas diseñadas para proporcionar un nivel de seguridad acorde con el riesgo, teniendo en cuenta:

• el estado de la técnica;
• los costes de implementación;
• la naturaleza, el alcance, el contexto y las finalidades del Tratamiento;
• las categorías de Datos Personales tratados; y
• el riesgo para los derechos y libertades de las personas físicas.

Las medidas actualmente implementadas por Claix se describen en el Anexo B.

5.2 Mejoras de Seguridad

Claix puede modificar, sustituir o actualizar sus medidas técnicas y organizativas periódicamente, siempre que dichas modificaciones no reduzcan materialmente el nivel global de protección de los Datos Personales tratados a través del Servicio.

6. Subencargados

6.1 Autorización General

El Cliente concede a Claix una autorización general para contratar Subencargados que traten Datos Personales en relación con el Servicio, siempre que Claix cumpla la presente Sección 6.

Las categorías actuales de Subencargados autorizados figuran en el Anexo C. Claix también puede publicar una lista actual de subencargados en:

[https://claix.dev/legal/subprocessors](https://claix.dev/legal/subprocessors)

6.2 Obligaciones de los Subencargados

Claix celebrará un acuerdo por escrito con cada Subencargado que imponga obligaciones de protección de datos no menos protectoras que las impuestas a Claix por el presente DPA, en la medida exigida por la Ley de Protección de Datos Aplicable.

Claix sigue siendo responsable del cumplimiento por sus Subencargados de las obligaciones de protección de datos en la medida exigida por la Ley de Protección de Datos Aplicable.

6.3 Notificación de Cambios de Subencargados

Claix notificará al Cliente cualquier adición o sustitución prevista de un Subencargado con al menos quince (15) días naturales de antelación a la entrada en vigor del cambio.

El Cliente puede oponerse al cambio propuesto por motivos razonables de protección de datos notificando a Claix por escrito dentro del periodo de aviso.

Las partes trabajarán de buena fe para resolver la oposición. Si la oposición no puede resolverse y el Subencargado propuesto es razonablemente necesario para que Claix preste el Servicio, el Cliente puede terminar la funcionalidad del Servicio afectada o su cuenta sin penalización antes de que el cambio de Subencargado entre en vigor.

Claix puede proporcionar un aviso inferior a quince (15) días cuando un periodo más breve sea razonablemente necesario para abordar requisitos urgentes de seguridad, legales, operativos o de continuidad del servicio. En tal caso, Claix proporcionará el aviso tan pronto como sea razonablemente practicable.

6.4 Proveedores de IA gestionada de Claix

Cuando se selecciona la IA gestionada de Claix, Claix puede utilizar uno o varios proveedores de inferencia de IA como Subencargados para tratar el Contenido del Cliente necesario para prestar la Funcionalidad de IA seleccionada.

El proveedor principal actual de IA gestionada es Google Gemini.

Claix puede mantener y utilizar proveedores de inferencia de IA alternativos, incluidos OpenAI y Anthropic, para la resiliencia del servicio, la continuidad, la gestión de interrupciones del proveedor o problemas materiales de disponibilidad del servicio.

Cuando un proveedor alternativo pueda tratar Datos Personales en relación con la IA gestionada de Claix, dicho proveedor será identificado en el Anexo C, la lista actual de subencargados o la documentación de proveedor orientada al cliente pertinente.

6.5 Proveedores BYOK

Cuando el Cliente habilita BYOK, el Cliente instruye a Claix para transmitir el Contenido del Cliente necesario para realizar la operación de procesamiento con IA solicitada al Proveedor BYOK seleccionado por el Cliente, utilizando la Credencial BYOK proporcionada por el Cliente.

El Cliente reconoce que el Proveedor BYOK es seleccionado por el Cliente y se rige generalmente por la relación directa del Cliente, la configuración de la cuenta, el nivel de producto seleccionado, la configuración regional y los términos contractuales con dicho proveedor.

El Cliente es responsable de evaluar si el Proveedor BYOK seleccionado es adecuado para los Datos Personales del Cliente, incluidos los aspectos del proveedor relativos a:

• ubicación del tratamiento de datos;
• garantías de transferencia internacional;
• prácticas de retención;
• medidas de seguridad;
• prácticas de entrenamiento y evaluación;
• políticas de uso de datos;
• disponibilidad;
• precios;
• cuotas;
• límites de tasa; y
• requisitos legales y regulatorios aplicables.

En la medida en que Claix actúe como Encargado del Tratamiento al transmitir Datos Personales a un Proveedor BYOK conforme a la instrucción del Cliente, el Cliente autoriza dicha transmisión como instrucción documentada conforme a la Sección 3 del presente DPA.

7. Asistencia al Cliente

7.1 Derechos de los Interesados

Teniendo en cuenta la naturaleza del Tratamiento, Claix prestará asistencia razonable al Cliente, mediante medidas técnicas y organizativas adecuadas cuando sea posible, para permitir al Cliente responder a las solicitudes de los interesados que ejerzan sus derechos conforme a la Ley de Protección de Datos Aplicable.

Cuando Claix reciba directamente una solicitud de un interesado relativa a Datos Personales tratados en nombre del Cliente, Claix, cuando esté legalmente permitido y sea razonablemente practicable, notificará o remitirá la solicitud al Cliente sin dilación indebida.

Claix no responderá directamente a la solicitud salvo que la ley lo exija o el Cliente lo autorice.

7.2 Seguridad, EIPD y Consultas

Teniendo en cuenta la naturaleza del Tratamiento y la información disponible para Claix, Claix prestará asistencia razonable al Cliente con las obligaciones del Cliente conforme a:

• el artículo 32 del RGPD, relativo a la seguridad del tratamiento;
• el artículo 33 del RGPD, relativo a la notificación de Violaciones de Datos Personales a las autoridades de control;
• el artículo 34 del RGPD, relativo a la comunicación de Violaciones de Datos Personales a los interesados;
• el artículo 35 del RGPD, relativo a las Evaluaciones de Impacto en la Protección de Datos; y
• el artículo 36 del RGPD, relativo a la consulta previa con las autoridades de control.

Cuando dicha asistencia requiera tiempo, costes o recursos sustanciales más allá del ámbito ordinario del Servicio, Claix puede cobrar tarifas razonables tras proporcionar aviso cuando sea razonablemente practicable.

8. Violaciones de Datos Personales

Claix notificará al Cliente sin dilación indebida después de tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales tratados en nombre del Cliente.

Cuando sea razonablemente practicable, Claix procura proporcionar la notificación inicial en un plazo de cuarenta y ocho (48) horas después de confirmar que:

1. se ha producido una Violación de Datos Personales; y
2. la violación afecta a Datos Personales tratados en nombre del Cliente.

La notificación incluirá la información razonablemente disponible para Claix, incluidos:

• la naturaleza de la Violación de Datos Personales;
• las categorías y el número aproximado de interesados afectados, cuando se conozcan;
• las categorías y el número aproximado de registros de Datos Personales afectados, cuando se conozcan;
• las consecuencias probables de la violación, cuando se conozcan;
• las medidas adoptadas o propuestas para abordar la violación y mitigar posibles efectos adversos; y
• un punto de contacto para obtener más información.

Claix puede proporcionar la información por fases cuando no pueda proporcionarse razonablemente al mismo tiempo.

9. Transferencias Internacionales de Datos

9.1 General

Claix procura operar la infraestructura de aplicación principal pertinente dentro del Espacio Económico Europeo cuando sea posible.

No obstante, los Datos Personales pueden tratarse, accederse desde o transferirse fuera del EEE cuando sea necesario para prestar el Servicio, incluido a través de proveedores de IA gestionada de Claix, Proveedores BYOK, proveedores de infraestructura en la nube, proveedores de soporte, proveedores de correo transaccional, proveedores de pago, proveedores de monitorización u otros Subencargados.

9.2 Mecanismos de Transferencia

Cuando Claix transfiere Datos Personales sujetos al RGPD fuera del EEE a un país no sujeto a una decisión de adecuación, Claix garantizará que la transferencia se realice conforme al Capítulo V del RGPD y utilizará un mecanismo de transferencia adecuado, incluidos, cuando resulte aplicable:

• una decisión de adecuación de la Comisión Europea;
• las Cláusulas Contractuales Tipo de la Comisión Europea;
• el Marco de Privacidad de Datos UE-EE.UU., cuando resulte aplicable;
• Normas Corporativas Vinculantes; o
• otro mecanismo de transferencia lícito conforme a la Ley de Protección de Datos Aplicable.

9.3 Transferencias de IA gestionada de Claix

Cuando se utiliza la IA gestionada de Claix, Claix puede transmitir el Contenido del Cliente necesario para prestar la Funcionalidad de IA solicitada al proveedor de IA gestionada de Claix aplicable.

Claix utiliza actualmente Google Gemini como proveedor principal de inferencia de IA para la IA gestionada de Claix.

Claix puede utilizar OpenAI o Anthropic como proveedores alternativos para la resiliencia del servicio, la continuidad, la gestión de interrupciones o problemas materiales de disponibilidad, cuando resulte aplicable y se identifique en la información actual de subencargados.

La ubicación del tratamiento, el mecanismo de transferencia, los términos de tratamiento de datos, la retención y otras prácticas a nivel de proveedor se rigen por el servicio, la configuración y los términos contractuales del proveedor aplicables.

9.4 Transferencias BYOK

Cuando el Cliente elige un Proveedor BYOK, el Cliente instruye a Claix para transmitir el Contenido del Cliente a dicho proveedor según sea necesario para prestar la funcionalidad BYOK solicitada.

El Cliente es responsable de determinar si su Proveedor BYOK seleccionado, modelo, despliegue, región y configuración de cuenta del proveedor son compatibles con las obligaciones de privacidad, transferencia, localización, confidencialidad, regulatorias, contractuales y de cumplimiento del Cliente.

Claix no declara que todos los Proveedores BYOK ofrezcan la misma ubicación de tratamiento, garantías de transferencia internacional, configuraciones de retención, políticas de entrenamiento, postura de seguridad o prácticas de uso de datos que la IA gestionada de Claix.

10. Retención, Supresión y Devolución de Datos Personales

10.1 Tratamiento sin Persistencia de Documento o Contexto

Cuando el Cliente no habilita la retención temporal o persistente de documento/contexto, Claix trata el Contenido del Cliente únicamente durante el tiempo necesario para completar la operación solicitada por el Cliente.

En esta configuración, Claix no crea intencionadamente un registro persistente de documento o contexto que contenga Contenido del Cliente después de completar la operación de procesamiento solicitada.

Esto no significa que toda traza técnica se elimine instantáneamente de todos los sistemas. Metadatos operativos limitados, información de seguridad, datos de error, registros, copias de seguridad, datos de facturación, registros legales y registros a nivel de proveedor pueden conservarse durante periodos limitados cuando sea necesario para seguridad, prevención de abusos, respuesta a incidentes, depuración, fiabilidad del servicio, copias de seguridad, obligaciones legales, resolución de disputas o cumplimiento.

10.2 Contexto Documental Temporal y Persistente

Cuando el Cliente habilita Document Context temporal, Claix puede retener el Contenido del Cliente aplicable y los metadatos asociados durante la duración seleccionada por el Cliente.

Cuando el Cliente habilita Document Context persistente, Knowledge Spaces u otra funcionalidad de retención persistente, Claix puede retener el Contenido del Cliente y los metadatos asociados hasta:

• la fecha de expiración configurada;
• la supresión por el Cliente;
• la deshabilitación o modificación de la configuración de retención pertinente;
• el cierre de la cuenta;
• una solicitud de supresión válida; o
• otro evento de supresión aplicable.

La retención sigue estando sujeta a excepciones legales de seguridad, copias de seguridad, respuesta a incidentes, legales y de cumplimiento.

10.3 Devolución o Supresión en la Terminación

Tras la terminación del Servicio, y a elección del Cliente cuando sea técnicamente factible, Claix suprimirá o devolverá los Datos Personales tratados en nombre del Cliente, salvo que el almacenamiento continuado sea exigido por la Ley de Protección de Datos Aplicable.

El Cliente es responsable de exportar o recuperar cualquier Contenido del Cliente u Output que desee conservar antes de la terminación o el cierre de la cuenta.

10.4 Excepciones de Retención

No obstante la presente Sección 10, Claix puede retener Datos Personales limitados, metadatos, registros de cuenta, registros de facturación, registros contractuales, información de seguridad, registros, copias de seguridad y otra información cuando sea necesario para:

• obligaciones legales, contables, fiscales, regulatorias o de conservación de registros;
• seguridad, prevención del fraude, prevención de abusos o respuesta a incidentes;
• resolución de disputas;
• ejecución de los Términos;
• procedimientos de copia de seguridad y recuperación ante desastres; o
• otros fines empresariales legítimos y lícitos.

Cualquier información retenida sigue estando sujeta a protecciones adecuadas de confidencialidad y seguridad y no se utilizará para fines incompatibles con el presente DPA.

10.5 Credenciales BYOK

Las Credenciales BYOK se conservan en forma cifrada únicamente mientras la conexión BYOK pertinente permanezca activa o hasta que el Cliente sustituya, deshabilite, elimine o solicite la supresión de la conexión.

Pueden permanecer registros limitados técnicos, de seguridad, de copias de seguridad, legales y de auditoría durante el periodo razonablemente necesario para dichos fines.

Claix no retiene intencionadamente el valor completo en texto plano de una Credencial BYOK en registros ordinarios de cuenta, vistas del Dashboard ni respuestas API ordinarias.

11. Auditorías y Demostración de Cumplimiento

11.1 Derechos de Información

Claix pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y el presente DPA.

Dicha información puede incluir:

• Documentación pertinente;
• información de privacidad y seguridad;
• un resumen de medidas técnicas y organizativas;
• información actual de Subencargados;
• documentación de proveedor aplicable;
• informes o certificaciones de auditoría de terceros disponibles; y
• respuestas por escrito a cuestionarios razonables de protección de datos.

11.2 Derechos de Auditoría

El Cliente puede auditar el cumplimiento de Claix con el presente DPA no más de una vez cada doce (12) meses, salvo que:

• lo exija una autoridad de control competente;
• una Violación de Datos Personales confirmada afecte a los Datos Personales del Cliente; o
• el Cliente tenga una indicación material y creíble de incumplimiento de Claix con el presente DPA.

Una auditoría debe:

• solicitarse con al menos treinta (30) días naturales de aviso previo por escrito;
• realizarse durante el horario laboral habitual;
• llevarse a cabo de manera que no interfiera de forma irrazonable con las operaciones, la seguridad, la confidencialidad de Claix u otros clientes;
• realizarse por el Cliente o un auditor independiente sujeto a obligaciones de confidencialidad por escrito;
• evitar el acceso a información de otros clientes, secretos comerciales de Claix, código fuente, sistemas sensibles de seguridad, Credenciales BYOK completas o información que pueda comprometer la seguridad del Servicio; y
• limitarse a la información razonablemente necesaria para evaluar el cumplimiento del presente DPA.

Cuando sea razonable, Claix puede satisfacer una solicitud de auditoría mediante Documentación, respuestas por escrito, informes de auditoría independientes, certificaciones, resúmenes de seguridad u otra evidencia antes de permitir una auditoría remota o presencial.

El Cliente asumirá sus propios costes de auditoría y reembolsará a Claix los costes razonables incurridos en el apoyo a una auditoría, salvo que la auditoría demuestre un incumplimiento material del presente DPA por Claix.

12. Sin Entrenamiento con el Contenido del Cliente

Claix no utiliza los Datos Personales contenidos en el Contenido del Cliente para entrenar o reentrenar modelos de Claix.

Claix no utiliza el Contenido del Cliente, incluidos archivos, documentos, prompts, payloads, contenido de Schema, preguntas, contexto documental u Outputs, como conjunto de datos para entrenar, ajustar o evaluar modelos de Claix.

Para la IA gestionada de Claix, Claix utiliza actualmente Google Gemini como proveedor principal de inferencia de IA. Claix utiliza una configuración de servicio de Google Gemini de pago conforme a la cual Google no utiliza el Contenido del Cliente, incluidos prompts, payloads, documentos u Outputs enviados a través de la IA gestionada de Claix, para entrenar o mejorar los modelos generativos de IA de Google.

Claix puede utilizar proveedores de IA alternativos, incluidos OpenAI y Anthropic, únicamente para la resiliencia del servicio, la continuidad, la gestión de interrupciones o problemas materiales de disponibilidad cuando dichos proveedores se identifiquen en la lista actual de subencargados o la documentación de cliente aplicable.

Cuando se utilice un proveedor alternativo, Claix utilizará una configuración de servicio destinada a no utilizar el Contenido del Cliente para entrenar o mejorar los modelos generales de IA de dicho proveedor.

Cuando el Contenido del Cliente se procesa a través de BYOK, el tratamiento, la retención, el entrenamiento, la evaluación y las prácticas de uso de datos del Proveedor BYOK se rigen por el acuerdo directo del Cliente, el nivel de producto seleccionado, la configuración de la cuenta y los ajustes con dicho proveedor.

El Cliente es responsable de revisar los términos y ajustes aplicables del Proveedor BYOK antes de enviar Datos Personales a través de BYOK.

13. Responsabilidad

La responsabilidad de cada parte bajo el presente DPA está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos, salvo en la medida en que dichas limitaciones estén prohibidas por la Ley de Protección de Datos Aplicable.

Nada en el presente DPA limita los derechos de un interesado conforme a la Ley de Protección de Datos Aplicable, incluido el artículo 82 del RGPD.

14. Plazo y Terminación

El presente DPA entra en vigor cuando el Cliente acepta los Términos, crea una cuenta, utiliza el Servicio, envía Contenido del Cliente, habilita la IA gestionada de Claix o BYOK, o instruye de otro modo a Claix para tratar Datos Personales.

El presente DPA permanece en vigor mientras Claix trate Datos Personales en nombre del Cliente.

La terminación de los Términos termina automáticamente el presente DPA, salvo que el presente DPA permanezca en vigor mientras Claix retenga Datos Personales conforme a la Sección 10.

15. Orden de Prevalencia

En caso de conflicto:

1. un acuerdo firmado por separado entre Claix y el Cliente prevalece en la medida en que declare expresamente que prevalece sobre el presente DPA;
2. el presente DPA prevalece respecto del Tratamiento de Datos Personales;
3. los Términos prevalecen respecto de todas las demás cuestiones; y
4. la Política de Privacidad y la Documentación se aplican en la medida en que no entren en conflicto con los Términos o el presente DPA.

16. Ley Aplicable y Jurisdicción

El presente DPA se rige por la ley española y la Ley de Protección de Datos Aplicable.

En la medida permitida por la Ley de Protección de Datos Aplicable, las partes someten las disputas derivadas del presente DPA a los Juzgados y Tribunales de Madrid, España.

Anexo A — Detalles del Tratamiento

A. Responsable del Tratamiento

El Cliente que utiliza la Plataforma Claix, el Dashboard, la API, la IA gestionada de Claix, BYOK, Document Context, Knowledge Spaces o Servicios relacionados.

B. Encargado del Tratamiento

ANAYA CARBALLO GAEL, con nombre comercial Claix.

C. Objeto

Prestación de inteligencia documental, procesamiento de documentos y contenidos, extracción de datos estructurados, transformación, mapeo semántico, Agent Mode, Document Context, Knowledge Spaces, IA gestionada de Claix, BYOK y servicios SaaS/API relacionados.

D. Duración

Durante la duración del uso del Servicio por el Cliente, más cualquier periodo de retención configurado, técnicamente necesario, contractualmente exigido o legalmente requerido.

Cuando no esté habilitada la persistencia de documento o contexto, el Contenido del Cliente se trata durante el tiempo necesario para completar la operación solicitada y no se retiene intencionadamente como registro persistente de documento/contexto después del procesamiento, con sujeción a la retención operativa, de seguridad, de copias de seguridad, legal y a nivel de proveedor limitada descrita en el presente DPA, la Política de Privacidad y los términos del proveedor aplicables.

E. Naturaleza y Finalidad del Tratamiento

F. Categorías de Interesados

Según el uso del Servicio por el Cliente, los interesados pueden incluir:

• empleados, administradores, contratistas y usuarios autorizados del Cliente;
• clientes, prospectos, leads, proveedores, vendedores y contactos empresariales;
• usuarios finales del producto o servicio del Cliente;
• candidatos, empleados y antiguos empleados;
• representantes, signatarios, contrapartes y beneficiarios;
• visitantes, pacientes, estudiantes, asegurados, reclamantes u otras personas cuya información envíe el Cliente; y
• cualquier otra persona cuyos Datos Personales estén incluidos en el Contenido del Cliente.

G. Categorías de Datos Personales

Según el uso del Servicio por el Cliente, los Datos Personales pueden incluir:

• información de identidad y contacto;
• información profesional y laboral;
• información empresarial y comercial;
• información de cuenta, contrato, compra, factura, pago, transacción e impuestos;
• comunicaciones y correspondencia;
• documentos, imágenes, formularios, informes, notas y archivos;
• datos técnicos y de uso;
• metadatos de autenticación y de cuenta;
• campos de Schema definidos por el Cliente;
• información contenida en prompts, texto, HTML, XML, JSON y preguntas de contexto documental; y
• Outputs generados a partir del Contenido del Cliente.

H. Categorías Especiales y Datos Sensibles

El Servicio no está diseñado específicamente para el tratamiento de:

• categorías especiales de Datos Personales conforme al artículo 9 del RGPD;
• datos relativos a condenas e infracciones penales conforme al artículo 10 del RGPD;
• datos de tarjetas de pago;
• secretos de autenticación;
• credenciales;
• información confidencial altamente sensible; o
• otra información altamente regulada.

Si el Cliente decide enviar dicha información, el Cliente es responsable de garantizar que dispone de una base jurídica adecuada, ha completado cualquier evaluación exigida, ha configurado adecuadamente el Servicio y ha implementado todas las salvaguardas requeridas.

El Cliente no debe enviar Datos Personales de categoría especial o altamente sensibles a través de BYOK salvo que haya evaluado de forma independiente el Proveedor BYOK seleccionado, incluidos sus ajustes contractuales, técnicos, de seguridad, de retención, de entrenamiento y de transferencia.

I. Frecuencia del Tratamiento

El Tratamiento puede producirse de forma continua, intermitente o ad hoc según las solicitudes API del Cliente, las acciones del Dashboard, las integraciones, las funcionalidades del Servicio seleccionadas, la configuración de retención y la modalidad de procesamiento con IA.

Anexo B — Medidas Técnicas y Organizativas

Claix implementa medidas técnicas y organizativas diseñadas para proteger los Datos Personales y el Contenido del Cliente, teniendo en cuenta la naturaleza del Servicio y los riesgos asociados al Tratamiento.

1. Control de Acceso y Autenticación

Claix utiliza medidas diseñadas para controlar el acceso al Servicio, incluidas:

• controles de autenticación del Dashboard y la API;
• gestión confidencial de API Keys;
• comprobaciones de rol, cuenta, espacio de trabajo y autorización cuando resulte aplicable;
• principios de mínimo privilegio para el acceso del personal cuando proceda;
• registro y monitorización de eventos de autenticación relevantes para la seguridad;
• mecanismos diseñados para apoyar la rotación, revocación, sustitución, deshabilitación y supresión de credenciales; y
• controles diseñados para prevenir el acceso no autorizado entre inquilinos.

2. Transmisión Segura y Protección de Credenciales

Claix utiliza medidas diseñadas para proteger los datos durante la transmisión y la gestión de credenciales, incluidas:

• transmisión cifrada entre Clientes y Claix mediante HTTPS/TLS;
• cifrado en reposo cuando lo admita la infraestructura y la configuración pertinentes;
• gestión segura de credenciales sensibles;
• mecanismos de gestión de secretos cifrados para Credenciales BYOK, incluido Supabase Vault cuando resulte aplicable; y
• visualización enmascarada de pistas de credenciales en lugar de Credenciales BYOK completas en interfaces ordinarias orientadas al cliente.

3. Separación de Inquilinos y Aislamiento de Datos

Claix utiliza medidas diseñadas para separar los datos y el acceso de los Clientes, incluidas:

• separación lógica de cuentas y espacios de trabajo de Clientes;
• comprobaciones de autorización diseñadas para restringir el acceso al Contenido del Cliente a la cuenta o espacio de trabajo pertinente;
• entornos de ejecución controlados para operaciones de procesamiento cuando resulte aplicable;
• controles de autorización para Document Context, Knowledge Spaces, solicitudes API y configuración del Cliente; y
• controles diseñados para impedir que un Cliente acceda al Contenido del Cliente, Outputs, configuración API o ajustes BYOK de otro Cliente.

4. Controles de Retención y Supresión

Claix utiliza medidas diseñadas para apoyar los controles de retención y supresión seleccionados por el Cliente, incluidas:

• ajustes de configuración para retención temporal o persistente de Document Context y Knowledge Space;
• controles de supresión para documentos retenidos y Knowledge Spaces;
• no creación intencionada de un registro persistente de documento/contexto cuando el Cliente no haya habilitado dicha retención;
• procedimientos diseñados para apoyar el cierre de cuenta, la supresión del Contenido del Cliente y la supresión de Credenciales BYOK; y
• retención de información operativa, de seguridad, de copias de seguridad, legal y de cumplimiento limitada únicamente cuando sea necesaria y esté permitida.

5. Monitorización de Seguridad y Respuesta a Incidentes

Claix utiliza medidas diseñadas para identificar, investigar y responder a problemas de seguridad y fiabilidad, incluidas:

• registro y monitorización diseñados para identificar eventos de seguridad, abusos, errores y problemas de fiabilidad del servicio;
• limitación de tasa, validación de entradas y controles diseñados para reducir solicitudes maliciosas y abusos;
• procedimientos de respuesta a incidentes;
• procesos diseñados para investigar, contener y remediar incidentes confirmados; y
• procedimientos de notificación de Violaciones de Datos Personales conforme se describe en el presente DPA.

6. Disponibilidad y Resiliencia

Claix utiliza medidas diseñadas para apoyar la disponibilidad y resiliencia del Servicio, incluidas:

• uso de proveedores de nube e infraestructura diseñados para apoyar disponibilidad y resiliencia;
• procedimientos de copia de seguridad y recuperación cuando resulte aplicable;
• monitorización operativa;
• procedimientos de mantenimiento; y
• procesos de mejora del servicio y remediación de incidentes.

7. Medidas Específicas de BYOK

Claix utiliza medidas diseñadas para proteger las Credenciales BYOK, incluidas:

• almacenamiento cifrado de Credenciales BYOK mediante mecanismos de gestión segura de secretos cuando resulte aplicable;
• separación de metadatos de configuración BYOK de la credencial subyacente;
• uso de Credenciales BYOK únicamente para ejecutar solicitudes iniciadas por el Cliente al Proveedor BYOK seleccionado;
• no inclusión intencionada de Credenciales BYOK completas en respuestas API ordinarias ni vistas del Dashboard;
• soporte para sustitución, deshabilitación y supresión de credenciales; y
• comprobaciones de compatibilidad de proveedor/modelo cuando resulte aplicable.

8. Medidas de Personal y Organizativas

Claix utiliza medidas organizativas diseñadas para proteger los Datos Personales, incluidas:

• obligaciones de confidencialidad para el personal autorizado;
• acceso limitado al personal con una necesidad empresarial legítima;
• procedimientos para asuntos de seguridad, privacidad y soporte;
• revisión de medidas de seguridad y operativas; y
• uso de Subencargados sujetos a obligaciones de protección de datos cuando lo exija la Ley de Protección de Datos Aplicable.

Anexo C — Subencargados Autorizados

Los siguientes Subencargados o categorías de Subencargados pueden tratar Datos Personales según la configuración seleccionada por el Cliente, las funcionalidades del Servicio utilizadas y la infraestructura actual de Claix.

No todos los Subencargados tratan los Datos Personales de todos los Clientes.

La lista actualizada de Subencargados nombrados, cuando se publique, está disponible en:

[https://claix.dev/legal/subprocessors](https://claix.dev/legal/subprocessors)

Claix puede actualizar esta lista conforme a la Sección 6.3 del presente DPA.