Acuerdo de encargo de tratamiento

Encargado del tratamiento: Raúl Bellmunt Tabero (NIF 52408413S), con domicilio en Calle Ciudad Real, 12, 08227 Terrassa (Barcelona), España, titular de Utopia Dreams VFX (la «app», en https://app.utopiadreams-vfx.com). Contacto: hello@utopiadreams-vfx.com.

Responsable del tratamiento: la empresa u organización (el «Cliente») cuyos nombre, NIF y domicilio se indican al aceptar el acuerdo en la app, representada por la persona que lo acepta, que confirma que tiene poder para hacerlo.

El acuerdo cubre la cuenta o el equipo para el que se aceptó. Forma parte de las Condiciones del servicio y, en materia de protección de datos, prevalece sobre ellas.

Tratamos los datos personales que contiene lo que el Cliente y sus usuarios crean, suben o importan en la app (los «Datos del Cliente») solo para prestar el servicio que el Cliente usa: escribir, ilustrar, generar, montar, guardar, exportar y compartir sus vídeos, como describen la app y su ayuda.

El acuerdo se aplica desde su aceptación mientras el Cliente use la app con esa cuenta o ese equipo. Termina al borrar la cuenta, al cerrar el equipo o al acabar el servicio por cualquier otro motivo; entonces se aplica la cláusula «Fin del servicio».

• Personas afectadas: quienes aparecen o se nombran en los vídeos del Cliente (empleados, alumnos, presentadores, actores, clientes y su personal) y los usuarios de la app del Cliente.
• Datos: nombres y textos sobre las personas (ideas, guiones, diálogos, subtítulos); fotos e imágenes de su cara y su cuerpo; grabaciones de su voz y las voces clonadas a partir de ellas; las imágenes, clips, locuciones, música y vídeos generados con todo ello; y los nombres y correos de los usuarios.
• Tratamientos: conservación; generación de texto, imágenes, vídeo, voz y música con modelos de IA; montaje y exportación; compartir con un enlace y publicar en redes sociales o en YouTube cuando el Cliente lo pide; supresión.

La app usa las caras y las voces solo para hacer el contenido que pide el Cliente (por ejemplo, que un personaje conserve la cara o que un presentador hable con su propia voz), nunca para identificar a nadie. El Cliente no debe subir categorías especiales de datos (salud, creencias, origen étnico y similares) ni datos de menores salvo que sea necesario y lícito; la app avisa cuando una foto parece de alguien menor de 18 años.

Las instrucciones documentadas del Cliente son lo que pide a la app y lo que nos escribe a hello@utopiadreams-vfx.com. Si creemos que una instrucción infringe la normativa de protección de datos, se lo diremos al Cliente de inmediato.

No usamos los Datos del Cliente para fines propios: ni para entrenar modelos de IA, ni para estudiar o mejorar la app, ni para publicidad. Durante la beta, las historias de las cuentas y los equipos con este acuerdo quedan fuera de las copias que estudia nuestro equipo para mejorar la plataforma, y las copias hechas antes de aceptarlo se borran al aceptarlo.

No comunicamos los Datos del Cliente a terceros, salvo a los subencargados de la cláusula «Subencargados», a quien el Cliente elija (cuando comparte un enlace o publica en una red social) y a las autoridades cuando la ley lo exige; en este último caso, se lo diremos antes al Cliente salvo que la ley lo prohíba.

Solo pueden acceder a los Datos del Cliente las personas de nuestro equipo que lo necesitan, comprometidas a guardar secreto, también después de irse. Solo acceden para atender una solicitud de soporte del Cliente, resolver una incidencia, comprobar un aviso de mal uso de la app o cuando la ley lo exige.

Aplicamos medidas adecuadas al riesgo (art. 32 RGPD), entre ellas:

• Cifrado de todo el tráfico (HTTPS) y de los datos que guarda Google Cloud.
• Archivos privados, que solo se muestran mediante enlaces firmados que caducan (24 horas en la app, 6 horas en los enlaces compartidos); un enlace compartido se puede borrar en cualquier momento.
• Acceso a la app con contraseña guardada como hash, o con Google; tokens de acceso de los motores y de los asistentes de IA guardados como hash y revocables; verificación en dos pasos para el panel de administración.
• Acceso a nuestro proyecto de Google Cloud solo para los miembros autorizados de nuestro equipo, con cuentas de servicio separadas y los mínimos permisos necesarios.
• Comprobación, en cada acción del servidor, de que quien llama puede usar la historia o el equipo de que se trata.
• Registros técnicos durante 30 días; los datos borrados desaparecen de las copias de seguridad en 7 días.

El Cliente nos autoriza a recurrir a estos subencargados, obligados por contrato a las mismas obligaciones de protección de datos que nosotros:

• Google Cloud (Google Ireland Limited y Google LLC): alojamiento, base de datos, almacenamiento de archivos y los modelos de Vertex AI que generan texto, imágenes, vídeo, voz y música (Gemini, Imagen, Veo, Lyria y Text-to-Speech). Según las condiciones de Google Cloud, Google no usa estos datos para entrenar sus modelos de IA. Nuestro help desk (Chatwoot) y algunos modelos abiertos funcionan en nuestros propios servidores dentro del mismo proyecto.
• fal.ai (Features & Labels, Inc., Estados Unidos): el modelo de sincronía labial de los vídeos de presentador y los modelos de vídeo y 3D de otras empresas, solo cuando el Cliente usa la sincronía labial o elige uno de esos modelos. No se usan nunca si el Cliente elige «Solo modelos de Google».
• Google Workspace (Gmail): los correos del servicio, con los nombres y correos de los usuarios.

Avisaremos de cualquier subencargado nuevo o de cualquier cambio de subencargado con al menos 15 días de antelación, por correo a la persona que aceptó el acuerdo y en esta página. El Cliente puede oponerse en ese plazo; si no llegamos a un acuerdo, el Cliente puede terminar el servicio sin penalización.

Los Datos del Cliente se guardan y se procesan fuera de la Unión Europea. La app, su base de datos y sus archivos están en Google Cloud en Estados Unidos (región us-central1). Los modelos de IA funcionan en los centros de datos de Google: el vídeo (Veo), la música (Lyria) y la voz (Text-to-Speech y clonación de voz) se procesan en Estados Unidos, o en otras regiones de Google fuera de la UE, y hoy no se pueden quedar en la UE; el texto y las imágenes también pueden procesarse en cualquier región donde opera Google. fal.ai procesa en Estados Unidos los archivos que recibe.

Estas transferencias se amparan en la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU., en el que participa Google LLC, y en las cláusulas contractuales tipo (art. 46 RGPD) de las condiciones de tratamiento de datos de Google Cloud y, en el caso de fal.ai, de sus propias condiciones.

Si algún día la app puede guardar los datos de un Cliente en la UE, se lo diremos, y podrá elegirlo en Ajustes → Datos y modelos.

El Cliente atiende las solicitudes de las personas afectadas (acceso, rectificación, supresión, oposición, limitación y portabilidad). Puede hacer casi todo él mismo en la app: abrir, descargar, cambiar y borrar historias, personajes, fotos y voces clonadas. Si alguien nos escribe directamente sobre los Datos del Cliente, le pasaremos la solicitud al Cliente en un plazo de 5 días laborables sin contestarla nosotros, y le ayudaremos con lo que no pueda hacer en la app.

Si conocemos una violación de seguridad que afecte a los Datos del Cliente, se lo diremos sin dilación indebida y en un máximo de 48 horas, por correo a la persona que aceptó el acuerdo, con lo que pide el art. 33.3 RGPD que sepamos en ese momento: qué ha pasado, a qué datos y personas afecta, sus consecuencias probables y las medidas tomadas o propuestas. El resto lo enviaremos en cuanto lo tengamos. Notificarlo a la autoridad de control y a las personas afectadas corresponde al Cliente, y le ayudaremos.

Daremos al Cliente la información que necesite para una evaluación de impacto de protección de datos o una consulta previa a la autoridad de control sobre su uso de la app: este acuerdo, nuestra Política de privacidad y las respuestas a sus preguntas por escrito.

Antes del final, el Cliente puede descargar sus vídeos y sus archivos desde la app. Al borrar la cuenta o cerrar el equipo, suprimimos los Datos del Cliente en un plazo de 30 días, y de nuestras copias de seguridad en 7 días más, salvo que una ley nos obligue a conservar alguno; si el Cliente lo pide, le confirmaremos la supresión por escrito. Al cerrar un equipo, sus historias vuelven a los miembros que las hicieron, como explica la Política de privacidad: el Cliente debe borrar antes las que no quiera que conserven.

Daremos al Cliente la información necesaria para demostrar que cumplimos este acuerdo, y permitiremos y facilitaremos auditorías del Cliente o de un auditor que designe, sujeto a confidencialidad, una vez al año o tras una violación de seguridad, con 30 días de aviso, a cargo del Cliente y sin acceso a datos de otros clientes. Antes responderemos un cuestionario por escrito, que a menudo basta. Las certificaciones de Google Cloud (como ISO/IEC 27001 y SOC 2) cubren la infraestructura.

• Tener una base jurídica para cada uso de los datos que da a la app, e informar a las personas afectadas.
• Tener el consentimiento de cada persona cuya cara o voz usa, y de sus padres o tutores si es menor, como pide la app al añadir la foto de una persona real o clonar una voz, y conservar la prueba.
• Dar acceso a la app solo a personas de confianza, y quitar del equipo a quien se vaya.
• Supervisar el tratamiento, y avisarnos de inmediato de cualquier cosa que pueda afectar a las personas afectadas.

Llevamos un registro de las actividades de tratamiento que hacemos por cuenta de nuestros clientes (art. 30.2 RGPD). No estamos obligados a nombrar un delegado de protección de datos; para cualquier cuestión sobre este acuerdo, escríbenos a hello@utopiadreams-vfx.com.

Cada parte responde de los daños que cause su propio incumplimiento del RGPD o de este acuerdo, según el art. 82 RGPD y las Condiciones del servicio.

Podemos publicar nuevas versiones de este acuerdo en esta página, con su fecha, cuando cambien la ley, nuestros subencargados o la app. La app pedirá al Cliente que acepte la nueva versión; mientras no lo haga, sigue vigente la que aceptó, y si no la acepta y el cambio lo exige la ley, cualquiera de las partes puede terminar el servicio.

Este acuerdo se rige por la ley española y el RGPD, y resuelven cualquier controversia los tribunales que indican las Condiciones del servicio. Si el texto en el idioma del Cliente y el español difieren, prevalece el español.