Política de Privacidad de KANATA

1. Introducción

Third Scope Asia PTE. LTD. («nosotros», «nos» o «la Sociedad») se compromete a proteger su información personal. La presente Política de Privacidad (la «Política») explica cómo se recoge, se utiliza, se cede a terceros, se protege y se conserva la información personal en relación con el uso de «KANATA», el servicio que prestamos (el «Servicio»). De los asuntos jurídicos y de privacidad relativos a la presente Política se ocupa nuestra sociedad matriz, Third Scope Co., Ltd. (sociedad japonesa).

La presente Política se ha elaborado tomando como norma rectora principal la Ley de Protección de la Información Personal de Japón (個人情報保護法) (la «APPI»). El Servicio está disponible para usuarios de todo el mundo y la presente Política contempla y cumple asimismo las leyes de protección de la información personal y de datos de las jurisdicciones en las que residen los usuarios, incluidos el Espacio Económico Europeo, el Reino Unido y los Estados Unidos.

La presente Política forma parte integrante de las Condiciones de Servicio de KANATA (las «Condiciones de Servicio»). Los términos no definidos en la presente Política tendrán el significado que se les atribuye en las Condiciones de Servicio.

El Servicio incluye una funcionalidad de «AI Recording», que admite un bot de grabación en reuniones en línea y realiza la grabación, la transcripción y la generación de actas. Esta funcionalidad puede implicar el tratamiento de datos personales de participantes en reuniones que no son usuarios del Servicio. Si este es su caso, consulte los Capítulos 17 y 18.

2. Responsable de la Gestión de la Protección de la Información Personal y punto de contacto

Hemos designado un Responsable de la Gestión de la Protección de la Información Personal de conformidad con la APPI. Las consultas, reclamaciones o solicitudes de cualquier tipo relativas al tratamiento de la información personal pueden dirigirse a los siguientes datos de contacto.

3. Establecimientos y representantes en cada jurisdicción

Cuando se dirija a DataRep por correo postal, el envío deberá ir dirigido a «DataRep». Es posible que DataRep no acepte envíos dirigidos a nosotros.

4. Información personal que recogemos

En la prestación del Servicio podemos recoger las siguientes categorías de información personal. En beneficio de los usuarios residentes en los Estados Unidos, se indican asimismo las categorías correspondientes con arreglo a la legislación estatal estadounidense.

5. Bases jurídicas del tratamiento

5.1 Todos los usuarios

Con arreglo a la APPI, especificamos las finalidades del uso de la información personal (artículo 17) y no tratamos información personal más allá del alcance necesario para alcanzar dichas finalidades. El consentimiento se obtiene en el momento del registro en el Servicio. Para las solicitudes de cese del uso o de cese de la cesión, consulte el Capítulo 13.

5.2 Espacio Económico Europeo y Reino Unido

En el caso de los usuarios residentes en el EEE y en el Reino Unido, tratamos los datos personales sobre las siguientes bases jurídicas.

En el caso de los tratamientos basados en intereses legítimos, llevamos a cabo un juicio de ponderación para confirmar que sus derechos y libertades no prevalecen sobre dichos intereses.

5.3 Estados Unidos

Con arreglo a las leyes estatales de privacidad de los Estados Unidos, actuamos como «empresa» («business») o «responsable del tratamiento» («controller») cuando tratamos su información personal en relación con el Servicio. Cuando tratamos información personal por cuenta de usuarios empresariales, actuamos como «prestador de servicios» («service provider») o «encargado del tratamiento» («processor»).

6. Finalidades del uso de la información personal

Utilizamos la información personal para las siguientes finalidades.

• Prestar, operar y mantener el Servicio (incluidas la creación de cuentas, la verificación de la identidad y la atención al cliente)
• Facturación y tramitación de los pagos (incluida la determinación de los importes tributarios aplicables)
• Mejorar el Servicio, desarrollar nuevas funcionalidades y elevar la calidad (incluido el análisis de las pautas de uso)
• Garantizar la seguridad y prevenir y detectar usos indebidos
• Cumplir la legislación, la normativa y los requisitos regulatorios aplicables
• Enviar comunicaciones y actualizaciones relativas al Servicio
• Grabar reuniones en línea, generar transcripciones y actas y acumular las actas generadas en la Biblioteca, poniéndolas a disposición para su consulta desde otras Apps

No utilizamos la información personal más allá del alcance necesario para alcanzar las finalidades expuestas anteriormente (principio de minimización de datos).

7. Consentimiento y retirada del consentimiento

Obtenemos su consentimiento mediante la aceptación de la presente Política en el momento del registro en el Servicio. En los supuestos que exigen un consentimiento separado con arreglo a la APPI (como la cesión a terceros y el tratamiento de información personal que requiere cuidado especial), obtenemos el consentimiento de forma individualizada.

Puede retirar su consentimiento en cualquier momento a través del punto de contacto (Capítulo 2) o desde la página «Configuración de privacidad» dentro del Servicio. Le rogamos tenga en cuenta que la retirada del consentimiento puede imposibilitarnos la prestación de la totalidad o de una parte del Servicio.

8. Cesión a terceros y encomienda del tratamiento

Únicamente podremos ceder información personal a terceros en los siguientes casos.

• Prestadores de servicios (partes encomendadas): proveedores de alojamiento en la nube, bases de datos, infraestructura de autenticación, analítica, envío de correo electrónico y servicios de IA. Con arreglo a la APPI, estos supuestos constituyen una encomienda del tratamiento y no constituyen una «cesión a un tercero»
• El Vendedor (Link／Stripe): información relativa a los pagos. Link no es una parte encomendada por nosotros, sino un responsable del tratamiento independiente. La comunicación de información de nosotros a Link se califica con arreglo a la APPI como cesión a un tercero y no como encomienda. Para más detalles, consulte el Capítulo 19
• Cuando así lo exija la ley: cuando así lo exija la ley o en respuesta a un requerimiento de un tribunal, de una autoridad reguladora o de una autoridad encargada de la aplicación de la ley
• Sucesión empresarial: en el marco de una fusión, adquisición o transmisión de empresa
• Cuando usted haya prestado su consentimiento: cuando se haya obtenido su consentimiento previo

La relación de las partes encomendadas (subencargados) a las que recurrimos se publica en la lista de subencargados de nuestro sitio web, junto con la denominación de cada entidad, el país en el que está ubicada, la finalidad del tratamiento, los datos tratados y las garantías. Cuando incorporemos o modifiquemos un subencargado, publicaremos el cambio en nuestro sitio web con al menos 30 días de antelación a la fecha de efecto del cambio.

Hemos celebrado contratos con nuestras partes encomendadas por los que se les exige implantar medidas adecuadas de control de la seguridad conforme a la legislación aplicable.

9. Venta y puesta en común de información personal

No vendemos su información personal. Tampoco cedemos información personal a terceros con fines de publicidad conductual entre contextos.

No tratamos información personal sensible sin su consentimiento más allá de las finalidades necesarias para prestar el Servicio. En caso de que esta política cambiara en el futuro, actualizaremos la presente Política y facilitaremos los mecanismos de exclusión (opt-out) exigidos.

10. Transferencias internacionales de datos

Dado que el Servicio se presta a escala mundial, la información personal puede transferirse fuera de Japón. Los principales destinos de transferencia y las garantías son los siguientes.

• Japón: cuando se cedan datos personales a un tercero ubicado en un país extranjero con arreglo a la APPI, obtenemos su consentimiento previo, o confirmamos que el destinatario ha implantado un sistema conforme a los estándares previstos en las normas de la Comisión de Protección de la Información Personal, o que el destinatario está ubicado en un país reconocido como poseedor de un nivel de protección equivalente
• EEE y Reino Unido: aplicamos las cláusulas contractuales tipo (SCC 2021/914) y la Adenda de Transferencia Internacional de Datos del Reino Unido (Adenda del Reino Unido), y llevamos a cabo evaluaciones de impacto de la transferencia
• Otras jurisdicciones: celebramos acuerdos de tratamiento de datos u otros instrumentos jurídicamente vinculantes para garantizar un nivel adecuado de protección

11. Seguridad de los datos

Conforme a las medidas de control de la seguridad exigidas por la APPI (medidas organizativas, relativas al personal, físicas y técnicas), aplicamos, entre otras, las siguientes medidas de seguridad.

• Cifrado de los datos en tránsito (TLS 1.2 o superior) y en reposo (AES-256)
• Controles de acceso, gestión de accesos basada en roles y autenticación multifactor
• Aislamiento de inquilinos (tenant isolation)
• Análisis periódicos de vulnerabilidades, evaluaciones de seguridad y auditorías
• Formación y capacitación del personal en materia de protección de la información personal

Ningún método de transmisión por internet ni método de almacenamiento electrónico es completamente seguro, por lo que no puede garantizarse una seguridad absoluta.

12. Plazos de conservación de los datos

Conservamos la información personal durante el plazo necesario para alcanzar las finalidades de su recogida, o durante el plazo exigido por la ley. Los principales plazos de conservación son los siguientes.

Tras la resolución del contrato, suprimiremos o anonimizaremos los datos de usuario al vencimiento de los plazos expuestos anteriormente (salvo cuando la ley exija su conservación).

13. Sus derechos

Puede ejercer los siguientes derechos respecto de su información personal. La disponibilidad de cada derecho depende de la ley aplicable en función de su lugar de residencia.

* No disponible en todos los estados de los Estados Unidos. ** Con arreglo a la APPI, la divulgación puede facilitarse mediante registro electromagnético. *** Las reclamaciones se presentan a través del fiscal general del estado.

13.1 Cómo ejercer sus derechos

• Correo electrónico: ga@third-scope.com
• Formulario web: desde la página «Configuración de privacidad» dentro del Servicio

Tramitaremos su solicitud tras verificar su identidad. El plazo necesario para responder es de un máximo de 30 días.

Cuando usted sea empleado u otra persona vinculada a un cliente empresarial, tratamos los datos personales como encargado del tratamiento y, por consiguiente, podremos indicarle que se dirija en primer lugar a dicha empresa (el responsable del tratamiento). Si formula su solicitud en calidad de participante en una reunión, consulte el Capítulo 18.

Con arreglo a las leyes de protección de la información personal de cada país, podremos cobrar una tarifa por las solicitudes de divulgación. El importe de cualquier tarifa se le comunicará en el momento de la solicitud. Los usuarios de los Estados Unidos podrán asimismo formular solicitudes a través de un agente autorizado.

13.2 Autoridades de control

Si no queda satisfecho con nuestra respuesta, podrá presentar una reclamación ante las siguientes autoridades de control.

• Japón: Comisión de Protección de la Información Personal (PPC) — https://www.ppc.go.jp
• EEE: la autoridad de control en materia de protección de datos de su Estado miembro de residencia — https://edpb.europa.eu/about-edpb/about-edpb/members_en
• Reino Unido: Information Commissioner's Office (ICO) — https://ico.org.uk
• Estados Unidos: la oficina del fiscal general del estado en el que resida

14. Mecanismos universales de exclusión

Reconocemos y respetamos las señales de los mecanismos universales de exclusión basados en el navegador, incluida la Global Privacy Control (GPC). Cuando acceda al Servicio desde un navegador o dispositivo que transmita dicha señal, la trataremos como una solicitud de exclusión válida conforme a la legislación aplicable.

15. Cookies y tecnologías de seguimiento

El Servicio utiliza cookies y tecnologías similares. Para más detalles, consulte nuestra Política de Cookies (https://kanata-ai.com/ja/cookie-policy/). En el caso de los usuarios del EEE y del Reino Unido, obtenemos el consentimiento a través de un banner de consentimiento de cookies antes de instalar cookies no esenciales.

16. Disposiciones especiales relativas a la IA generativa

KANATA utiliza tecnología de IA generativa para crear contenidos. Serán de aplicación las siguientes disposiciones.

• Los textos introducidos y los contenidos cargados por los usuarios pueden transmitirse a proveedores terceros de servicios de IA con la finalidad de generar contenidos. Los proveedores de servicios de IA a los que recurrimos actualmente son OpenAI, LLC, Anthropic PBC y Google LLC.
• No utilizamos los Datos de Entrada ni el Resultado de los usuarios con la finalidad de entrenar modelos de IA. Asimismo, hemos asegurado contractualmente con los proveedores de servicios de IA antes indicados que los datos transmitidos a través de la API no se utilizarán para el entrenamiento de modelos.
• Los datos de entrada y de salida transmitidos a los proveedores de servicios de IA son suprimidos por dichos proveedores en un plazo de 30 días.
• Limitamos los datos que transmitimos al alcance necesario para el tratamiento (minimización de datos) y aplicamos contramedidas frente a la inyección de instrucciones (prompt injection) y filtrado de resultados.
• Los contenidos generados pueden contener afirmaciones que difieran de la realidad, omisiones u otros errores. No garantizamos la exactitud, la integridad ni la idoneidad para una finalidad determinada del Resultado (artículo 12, apartados 5 y 6, de las Condiciones de Servicio).
• De conformidad con el artículo 50 del Reglamento de la Unión Europea sobre Inteligencia Artificial (el Reglamento de IA), indicamos en las pantallas del Servicio que el usuario está interactuando con un sistema de IA y que el resultado ha sido generado por IA.

En el caso de los usuarios del EEE y del Reino Unido, la base jurídica de este tratamiento es la ejecución de un contrato o el consentimiento. Con arreglo a la APPI, este tratamiento se enmarca en las finalidades de uso expuestas en el Capítulo 6.

17. Disposiciones especiales relativas a AI Recording

AI Recording es una funcionalidad que admite un bot de grabación en reuniones en línea como Zoom o Google Meet y realiza la grabación, la transcripción y la generación de actas. También pueden importarse archivos de grabación de audio y vídeo que ya obren en su poder. Dado que esta funcionalidad implica un abanico de datos personales más amplio que el uso ordinario del Servicio, en el presente Capítulo se establecen disposiciones separadas.

17.1 Datos que recogemos

• Audio y vídeo de las reuniones
• Nombres o nombres para mostrar de los participantes en las reuniones
• Títulos de las reuniones, fechas y horas, listas de participantes y URL de las reuniones
• Transcripciones de lo manifestado y atribución de las intervenciones a cada orador
• Actas y resúmenes generados
• Archivos de grabación de audio y vídeo cargados manualmente y su contenido

17.2 Nuestra función

Cuando usted sea una persona jurídica u otra organización, tratamos los datos de grabación de reuniones y las transcripciones y actas generadas a partir de ellos como encargado del tratamiento (parte a la que se encomienda el tratamiento con arreglo a la APPI), siguiendo sus instrucciones en calidad de responsable del tratamiento. Informar a los participantes en las reuniones y obtener el consentimiento que exija la legislación aplicable es responsabilidad suya en calidad de responsable del tratamiento. Los detalles se establecen en las Condiciones de Uso de AI Recording y en el Acuerdo de Tratamiento de Datos (DPA).

17.3 Vías de tratamiento

17.4 Conservación y supresión

Los datos de grabación, los datos de audio, las transcripciones y las actas se conservan mientras exista la cuenta y durante 30 días tras la resolución del contrato, y se suprimen a continuación. Puede suprimir en cualquier momento el registro de cualquier reunión concreta desde las pantallas del Servicio.

17.5 Alcance de la puesta en común de las actas

Las actas generadas se acumulan en la Biblioteca del Proyecto correspondiente, pueden ser consultadas por los Miembros de ese mismo Proyecto y son susceptibles de consulta desde el chat de IA. Incluso los Miembros que no hayan asistido a la reunión podrán acceder a su contenido si son Miembros de dicho Proyecto. Este alcance de la puesta en común es gestionado por usted (el responsable del tratamiento) a través de la configuración del Proyecto.

17.6 Exactitud

Las transcripciones y las actas pueden contener errores de audición, conversiones incorrectas de términos técnicos, atribuciones incorrectas de las intervenciones a los oradores y omisiones de contenido. No garantizamos su exactitud.

18. Datos personales de los participantes en reuniones y de otras personas sin relación contractual directa con nosotros

En las reuniones organizadas o a las que asisten clientes que utilizan AI Recording pueden participar personas que no mantienen ninguna relación contractual directa con nosotros. En tales casos, tratamos el audio y el vídeo de la reunión, los nombres o nombres para mostrar y el contenido de lo manifestado.

18.1 Vía de obtención y base jurídica

Obtenemos estos datos personales no directamente del interesado, sino a través de nuestro cliente. Los tratamos como encargado del tratamiento, y el responsable del tratamiento es nuestro cliente (el cliente empresarial) que organizó y grabó la reunión. La comunicación de que se está grabando y la obtención del consentimiento que exija la legislación aplicable se llevan a cabo bajo la responsabilidad del responsable del tratamiento.

18.2 Indicación de que se está grabando

El bot de grabación se incorpora bajo un nombre que se muestra en la lista de participantes de la reunión, de modo que los participantes puedan advertir que se está grabando. En función de las especificaciones de la plataforma de reuniones, puede mostrarse una notificación en el momento de su incorporación.

18.3 Solicitudes de los interesados

Cuando una persona que haya sido grabada como participante en una reunión desee ejercer derechos de divulgación, supresión u otros respecto de sus propios datos, podrá utilizar cualquiera de los siguientes métodos.

• Dirigirse a la organización que organizó la reunión (nuestro cliente). Dado que somos encargado del tratamiento, responderemos en principio a través del responsable del tratamiento.
• Dirigirse directamente a nuestro punto de contacto (Capítulo 2). En este caso, trasladaremos sin dilación el asunto a nuestro cliente, que es el responsable del tratamiento, y responderemos conforme a las instrucciones de este.

Cuando recibamos una solicitud, verificaremos la identidad del interesado y responderemos dentro del plazo previsto por la legislación aplicable.

18.4 Oposición a la grabación

Cuando se formule una oposición a la grabación durante una reunión, la decisión de detener la grabación de dicha reunión o de suprimir el contenido ya grabado corresponde a nuestro cliente que organiza la reunión. Nosotros facilitamos los medios para detener y suprimir las grabaciones, de modo que el cliente pueda dar efecto a dicha decisión.

19. Servicios de pago (Link)

19.1 El Vendedor

Los pagos del plan BUSINESS y de los Créditos Adicionales utilizan Managed Payments, servicio prestado por Stripe. Con arreglo a este esquema, Stripe (que se le muestra bajo el nombre «Link») es el Vendedor (merchant of record). La percepción de la contraprestación, la emisión de recibos y facturas, los reembolsos y la recaudación e ingreso del impuesto sobre el consumo y tributos similares corren a cargo, en principio, de Link.

El Servicio en sí es prestado por nosotros.

19.2 La relación entre nosotros y Link

Link no es una parte encomendada (encargado del tratamiento) que trate datos personales siguiendo nuestras instrucciones. Link vende en su propio nombre, presenta sus propias declaraciones tributarias y mantiene una relación directa con usted (una cuenta de Link). Por consiguiente, consideramos a Link un responsable del tratamiento independiente.

El tratamiento de la información que usted facilite a Link en relación con el pago se rige por la política de privacidad establecida por Link. No asumimos responsabilidad alguna en calidad de responsable del tratamiento respecto de dicha información.

19.3 Información que recibimos

En relación con los pagos, recibimos de Link la siguiente información y la utilizamos para gestionar la facturación y para hacer el seguimiento de la situación de su contrato.

• Nombre, dirección de correo electrónico
• Dirección de facturación, número de identificación fiscal (número de IVA/GST, etc.)
• Historial de transacciones y situación de su contrato (activo, pago en reintento, resuelto)

Los números de tarjeta de crédito no se nos facilitan y en ningún caso se almacenan en nuestros servidores.

19.4 Cuentas de Link

Al efectuar un pago, puede optar por crear una cuenta de Link o comprar como invitado sin crearla. Si dispone de una cuenta de Link, puede consultar su historial de pedidos, resolver su contrato y modificar su método de pago y su dirección de facturación en link.com.

Los recibos, las facturas, las comunicaciones de reembolso y las comunicaciones relativas a la renovación de su contrato se los envía Link directamente.

19.5 Solicitudes a Link de supresión de datos

Cuando solicite a Link la supresión de su información, Link procederá del siguiente modo.

• Cancelará el contrato (suscripción) suscrito a través de Managed Payments
• Suprimirá los datos relativos a los pagos (incluidos los datos almacenados dentro de nuestra cuenta de Stripe)
• Nos lo notificará

Como consecuencia de ello, su contrato del Servicio quedará asimismo resuelto y todos los Puestos (Seats) que haya adquirido dejarán de existir. No es posible suprimir únicamente la información relativa a los pagos y continuar utilizando el Servicio. No estamos en condiciones de detener dicha solicitud.

19.6 Transferencias internacionales

La información relativa a los pagos se transfiere fuera de Japón a través de Link y de las sociedades vinculadas a Stripe. Los pagos son adquiridos por Stripe Payments Company o por Stripe Technology Europe, Limited.

20. Privacidad de los menores

El Servicio está destinado principalmente a un uso empresarial y no se dirige a menores.

• Menores de 13 años: no recogemos conscientemente información personal de menores de 13 años. Si detectáramos que se ha recogido dicha información, la suprimiremos sin dilación conforme a la legislación aplicable.
• Menores de 16 años: no vendemos ni ponemos en común la información personal de menores de 16 años, conforme a la legislación aplicable.

21. Evaluaciones de impacto relativas a la protección de datos

Llevamos a cabo evaluaciones de impacto relativas a la protección de datos respecto de aquellas actividades de tratamiento que puedan entrañar un alto riesgo para los derechos y libertades de las personas físicas. Entre ellas figuran las funcionalidades de tratamiento de contenidos basadas en IA generativa y la grabación y transcripción de reuniones mediante AI Recording. Los resultados de las evaluaciones se facilitarán a solicitud de la autoridad de control competente.

22. Respuesta a las violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, evaluaremos sin dilación el alcance y el impacto de la violación, la notificaremos a la autoridad de control dentro de los plazos previstos por la legislación aplicable y se lo comunicaremos a los interesados sin dilación indebida. Los principales plazos son los siguientes.

Nuestros procedimientos internos de respuesta están diseñados para cumplir el más breve de los plazos anteriores (72 horas).

23. Incentivos económicos

No ofrecemos ningún programa de incentivos económicos en relación con la recogida, conservación, venta o puesta en común de información personal.

24. Modificaciones de la presente Política

Podremos actualizar la presente Política periódicamente. La Política actualizada se publicará en nuestro sitio web. En caso de modificaciones sustanciales, se lo comunicaremos por correo electrónico o mediante una notificación dentro de la aplicación. Cuando una modificación sustancial requiera una nueva base jurídica en relación con los usuarios, obtendremos el consentimiento antes de que la modificación surta efecto.

25. Reclamaciones y consultas

Si tiene alguna pregunta, reclamación o inquietud sobre la presente Política, le rogamos se dirija a nuestro punto de contacto (Capítulo 2). Si no queda satisfecho con nuestra respuesta, podrá presentar una reclamación ante la autoridad de control competente (Sección 13.2).

26. Legislación aplicable

La presente Política se rige por la legislación de Japón. Las controversias que se deriven de la presente Política o guarden relación con ella se resolverán conforme al artículo 29 de las Condiciones de Servicio. Esta disposición sobre legislación aplicable no limita los derechos que le asistan en virtud de las normas imperativas de protección de datos aplicables en su lugar de residencia.

Anexo Relación de direcciones de contacto del representante en materia de protección de datos (DataRep)

Hemos designado a DataRep como nuestro representante en materia de protección de datos con arreglo al artículo 27 del RGPD y al artículo 27 del RGPD del Reino Unido. Los clientes residentes en el Espacio Económico Europeo, el Reino Unido o Suiza pueden dirigirse a nosotros por escrito a la dirección que figura a continuación correspondiente a su país de residencia.

Cuando realice el envío por correo postal, este deberá ir dirigido a «DataRep». Es posible que DataRep no acepte los envíos remitidos a las direcciones que figuran a continuación y dirigidos a nosotros (Third Scope Asia PTE. LTD.). Le rogamos indique con claridad en el cuerpo de su carta que la correspondencia se refiere a nuestra sociedad y a «KANATA».