Contrato de encargo del tratamiento

Última actualización: 5 de noviembre de 2026

El presente Contrato de encargo del tratamiento (el «DPA») forma parte de los Términos del Servicio (los «Términos») celebrados entre Vindrose sp. z o.o., ul. Piękna 58c, 50-506 Wrocław, Polonia, KRS n.º 0001261581 («BlaBlaScribe», «nosotros»), y el cliente que utiliza el Servicio para tratar datos personales por cuenta propia o por cuenta de su organización (el «Cliente», «usted»).

Se aplica siempre que BlaBlaScribe trate datos personales contenidos en su Contenido del Usuario en calidad de encargado del tratamiento por cuenta de usted, conforme al artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 (el «RGPD»). Se aplica automáticamente cuando usted acepta los Términos; no se requiere una firma por separado. Si necesita un ejemplar firmado por ambas partes, escriba a [email protected].

En caso de contradicción entre el presente DPA y los Términos en lo relativo al tratamiento de datos personales, prevalecerá el presente DPA.

1. Funciones de las partes

• Respecto de los datos personales incluidos en su Contenido del Usuario (grabaciones, transcripciones, subtítulos, traducciones, locuciones y muestras de voz), usted es el responsable del tratamiento y BlaBlaScribe es su encargado del tratamiento.
• Respecto de los datos de su cuenta, de facturación, de uso y de marketing, BlaBlaScribe es un responsable del tratamiento independiente, tal como se describe en la Política de Privacidad. El presente DPA no abarca esos datos.

2. Instrucciones

Tratamos los datos personales únicamente siguiendo sus instrucciones documentadas. Sus instrucciones son: los Términos, el presente DPA y las acciones que usted realiza en el Servicio (por ejemplo, subir un archivo, solicitar una traducción, crear una locución o eliminar un archivo). Si consideramos que una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros, se lo comunicaremos. Solo podemos tratar los datos personales de otro modo cuando así lo exija el Derecho de la Unión o de los Estados miembros; en ese caso, se lo comunicaremos previamente, salvo que la ley lo prohíba.

3. Detalles del tratamiento

El Anexo 1 describe el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados.

4. Confidencialidad

Solo pueden acceder al Contenido del Usuario los sistemas y el personal autorizado que necesitan dicho acceso para operar el Servicio y prestar soporte. Todas las personas autorizadas para tratar datos personales están sujetas a obligaciones de confidencialidad.

5. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, descritas en el Anexo 2. Podemos actualizarlas siempre que el nivel general de protección no disminuya.

6. Subencargados del tratamiento

1. Usted nos otorga una autorización general para recurrir a subencargados del tratamiento. La lista actual, con lo que recibe cada uno y dónde, se publica en blablascribe.ai/company/subprocessors.
2. Le informamos de cualquier incorporación o sustitución de un subencargado del tratamiento que trate Contenido del Usuario mediante la actualización de dicha página, con la fecha del cambio, antes de que el nuevo subencargado empiece a tratar Contenido del Usuario. No enviamos notificaciones por separado; le rogamos que consulte dicha página para mantenerse informado.
3. Si usted se opone a un cambio por motivos razonables relacionados con la protección de datos, lo analizaremos con usted de buena fe. Si no podemos resolverlo, usted podrá dejar de utilizar la función afectada o poner fin al Servicio. Los importes ya abonados no se reembolsan.
4. Imponemos a cada subencargado del tratamiento obligaciones de protección de datos que ofrecen, como mínimo, el mismo nivel de protección que el presente DPA, y seguimos siendo responsables ante usted del cumplimiento de dichas obligaciones por su parte.

La transcripción, la generación de subtítulos y la separación de voz y música se ejecutan en nuestros propios servidores en Alemania. El audio y el vídeo no se envían a proveedores de IA externos. Solo si usted utiliza la traducción, las herramientas de texto con IA o el doblaje enviamos el texto de su transcripción a Google (Gemini API) y, para el doblaje, el guion de la locución —y, en el caso de un clon de voz, la muestra de voz que usted aprobó— a ElevenLabs.

7. Transferencias internacionales

El Contenido del Usuario se almacena en servidores de Hetzner Online GmbH en Alemania. Cuando un subencargado del tratamiento trata datos personales fuera del Espacio Económico Europeo, nos aseguramos de que exista una garantía adecuada conforme al capítulo V del RGPD: una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado esté certificado) o las Cláusulas Contractuales Tipo de la Comisión Europea.

8. Asistencia en el cumplimiento de sus obligaciones

• Solicitudes de los interesados. Usted puede acceder, exportar, rectificar y suprimir el Contenido del Usuario por sí mismo en el Servicio. Si recibimos de un interesado una solicitud relativa a su Contenido del Usuario, se la remitiremos y no la responderemos nosotros, salvo que usted nos dé instrucciones en ese sentido.
• EIPD y consultas. Le facilitaremos la información razonable que necesite para una evaluación de impacto relativa a la protección de datos o para una consulta previa a una autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que dispongamos.

9. Violaciones de la seguridad de los datos personales

Le notificaremos sin dilación indebida, y en cualquier caso en un plazo de 48 horas desde que tengamos conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a su Contenido del Usuario. La notificación incluirá, en la medida en que se disponga de ella, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros de datos afectados, las posibles consecuencias y las medidas adoptadas o propuestas. Le facilitaremos información adicional a medida que esté disponible.

10. Supresión y devolución

• Usted puede exportar y eliminar sus archivos en cualquier momento en el Servicio. La eliminación de un archivo lo retira del almacenamiento activo.
• El audio y el vídeo originales se eliminan automáticamente según su plan, tal como se establece en la Política de Privacidad. Las transcripciones, los subtítulos y las traducciones permanecen en su cuenta hasta que usted los elimine o elimine su cuenta.
• Cuando usted elimina su cuenta, suprimimos su Contenido del Usuario, normalmente de forma inmediata, salvo que el Derecho de la Unión o de los Estados miembros nos obligue a conservarlo. Las copias que figuran en las copias de seguridad se sobrescriben en el ciclo normal de copias de seguridad en un plazo de 30 días.

11. Información y auditorías

Demostramos el cumplimiento del artículo 28 del RGPD mediante nuestra documentación publicada: el presente DPA, la Política de Privacidad, la página Seguridad y privacidad y la página Subencargados del tratamiento. Mantenemos estos documentos actualizados. Las auditorías adicionales, incluidas las inspecciones, solo se llevan a cabo cuando lo exija una autoridad de control o la legislación aplicable; en tal caso, se realizarán con un preaviso razonable, a su cargo y con sujeción a confidencialidad.

12. Responsabilidad, vigencia y legislación aplicable

La responsabilidad de cada parte en virtud del presente DPA está sujeta a las limitaciones previstas en los Términos, salvo cuando la ley no permita limitarla. El presente DPA se aplica mientras tratemos datos personales por cuenta de usted. Se rige por la misma legislación que los Términos, y los litigios se someten a los mismos tribunales (Polonia, tribunales de Wrocław).

Anexo 1 — Detalles del tratamiento

• Objeto: la prestación del Servicio: transcripción, subtítulos, traducción, herramientas de texto con IA, locuciones (doblaje), edición y exportación.
• Duración: durante la vigencia de los Términos, más los plazos de conservación previstos en la Sección 10.
• Naturaleza y finalidad: almacenar, transcribir, traducir, resumir, generar voz a partir de, editar y exportar el Contenido del Usuario a petición de usted.
• Tipos de datos personales: voces y todo lo que se dice en las grabaciones; imágenes en los vídeos; nombres y demás información en los nombres de archivo, las transcripciones, los subtítulos y las traducciones; muestras de voz, si usted crea un clon de voz.
• Categorías especiales: las grabaciones pueden contener categorías especiales de datos (por ejemplo, datos relativos a la salud, opiniones políticas o convicciones religiosas) si los hablantes las mencionan. Usted decide si sube dicho contenido. No tratamos las voces para identificar a personas; un clon de voz reproduce una voz únicamente para crear las locuciones que usted solicita.
• Interesados: las personas cuyas voces, imágenes o nombres aparecen en su Contenido del Usuario; por ejemplo, entrevistados, participantes, ponentes, estudiantes, clientes y empleados.

Anexo 2 — Medidas técnicas y organizativas

• Ubicación: el Contenido del Usuario está alojado por Hetzner Online GmbH en centros de datos situados en Alemania (UE).
• Tratamiento en nuestra propia infraestructura: la transcripción, la generación de subtítulos y la separación de voz y música no utilizan proveedores de IA externos.
• Cifrado en tránsito: todas las conexiones con el Servicio utilizan HTTPS (TLS).
• Control de acceso: el acceso al Contenido del Usuario se limita a los sistemas y al personal autorizado que lo necesitan para operar el Servicio y prestar soporte.
• Sin entrenamiento: el Contenido del Usuario no se utiliza para entrenar modelos de IA, ni por nosotros ni por nuestros subencargados del tratamiento.
• Minimización: solo se envían a un subencargado del tratamiento los datos que necesita una función (por ejemplo, la traducción envía texto, nunca audio); los modelos de voz en ElevenLabs solo existen mientras se genera una locución.
• Controles de conservación: eliminación automática de los archivos multimedia originales según el plan, recordatorios previos por correo electrónico y eliminación por parte del usuario en cualquier momento.
• Pagos: los datos de las tarjetas los gestiona Stripe; nunca recibimos los números completos de las tarjetas.

Anexo 3 — Subencargados del tratamiento

La lista actual está disponible en blablascribe.ai/company/subprocessors.