Adenda de procesamiento de datos

Fecha de última actualización: 1 de mayo de 2026

Este APD se incorpora y forma parte de los Términos de Servicio Comerciales u otro acuerdo entre las partes que rige el uso de los Servicios por parte del Cliente (el "Acuerdo"). En caso de conflicto entre los términos de este APD y el Acuerdo, los términos de este APD regirán con respecto a su objeto. Los términos en mayúscula utilizados pero no definidos en este APD tienen los significados que se les dan en el Acuerdo.

1. Definiciones

"Leyes de Protección de Datos Aplicables" se refiere a todas las leyes de protección de datos y privacidad aplicables, incluyendo: (a) el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679) ("RGPD"); (b) el RGPD del Reino Unido y la Ley de Protección de Datos de 2018; (c) la nFADP suiza; y (d) las leyes de privacidad estatales de EE. UU. aplicables, incluyendo la CCPA y estatutos estatales similares, en cada caso, según se modifiquen periódicamente.
"Datos Personales del Cliente" significa cualquier dato personal contenido en los Datos del Cliente que sea enviado a través de los Servicios por o en nombre del Cliente o una Filial del Cliente.
"Filial del Cliente" se refiere a una entidad que (a) está autorizada a utilizar los Servicios de conformidad con el Acuerdo entre Plaud y el Cliente, y (b) controla directa o indirectamente, es controlada por, o está bajo el control común del Cliente, donde "control" significa la propiedad de más del 50% de los intereses con derecho a voto de la entidad en cuestión.
"Solicitud del Interesado" se refiere a una solicitud de un individuo que ejerce los derechos disponibles en virtud de las Leyes de Protección de Datos Aplicables con respecto a los Datos Personales del Cliente (por ejemplo, acceso, corrección, eliminación, portabilidad o restricción).
"Cláusulas Contractuales Tipo" se refiere a las Cláusulas Contractuales Tipo anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea de 4 de junio de 2021 sobre las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el RGPD.
"Incidente de Seguridad" significa una violación confirmada de las medidas de seguridad de Plaud que lleva a la destrucción, pérdida, alteración accidental o ilegal, divulgación no autorizada o acceso no autorizado a los Datos Personales del Cliente.
"Subencargado" se refiere a cualquier tercero contratado por Plaud (o las Filiales de Plaud) para procesar Datos Personales del Cliente en relación con la prestación de los Servicios.
"Adenda del Reino Unido" se refiere a la Adenda de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la Comisión de la UE emitida por la Oficina del Comisionado de Información del Reino Unido en virtud de la Sección 119A(1) de la Ley de Protección de Datos de 2018.
Los términos "datos personales", "interesado", "tratamiento", "responsable del tratamiento" y "encargado del tratamiento" tienen los significados que les otorgan las Leyes de Protección de Datos Aplicables, o, en ausencia de dichas definiciones, el RGPD. Los términos "responsable del tratamiento" y "encargado del tratamiento" incluyen "empresa" y "proveedor de servicios", respectivamente, según lo exijan las Leyes de Protección de Datos Aplicables.

2. Roles y Alcance

2.1 Roles. Con respecto a los Datos Personales del Cliente, el Cliente actúa como el responsable del tratamiento (o empresa) y Plaud actúa como el encargado del tratamiento (o proveedor de servicios) en nombre del Cliente. Cada parte cumplirá con sus respectivas obligaciones bajo las Leyes de Protección de Datos Aplicables.
2.2 Propósito e Instrucciones. Plaud procesará los Datos Personales del Cliente solo: (a) para proporcionar, mantener y soportar los Servicios; (b) para cumplir con la ley aplicable; (c) para proteger la seguridad e integridad de los Servicios; y (d) de acuerdo con las demás instrucciones documentadas del Cliente, según se acuerde mutuamente por escrito. El Acuerdo y este APD constituyen las instrucciones documentadas del Cliente a partir de la Fecha de Entrada en Vigor. Plaud informará prontamente al Cliente si una instrucción de procesamiento, en la opinión razonable de Plaud, violaría las Leyes de Protección de Datos Aplicables.
2.3 No Capacitación. De conformidad con la Sección 4.4 del Acuerdo, Plaud no utilizará los Datos Personales del Cliente para capacitar o mejorar los modelos de IA de propósito general de Plaud o los de sus Subencargados, a menos que el Cliente lo opte por separado y por escrito.

3. Obligaciones de Plaud

3.1 Confidencialidad del Tratamiento. Plaud garantizará que todo el personal autorizado para procesar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad apropiadas y esté capacitado sobre los requisitos de protección de datos aplicables a su función.
3.2 Notificación. Plaud notificará prontamente al Cliente si determina que ya no puede cumplir con sus obligaciones bajo este APD, y el Cliente podrá tomar medidas razonables para detener o remediar el procesamiento no autorizado.
3.3 Subencargados. El Cliente otorga a Plaud autorización general para contratar a los Subencargados que figuran en https://www.plaud.ai/pages/trust/ (la "Lista de Subencargados"), según se actualice de conformidad con esta Sección. Plaud notificará por escrito con al menos treinta (30) días de antelación antes de contratar a un nuevo Subencargado que procesará Datos Personales del Cliente. El Cliente podrá oponerse en un plazo de quince (15) días por motivos razonables de protección de datos. Si no hay una alternativa comercialmente viable disponible y la objeción no se resuelve, el Cliente podrá rescindir el Servicio afectado por causa justificada y recibir un reembolso prorrateado de las tarifas prepagas no utilizadas. Dicho derecho de rescisión es el único recurso del Cliente por una objeción a un nuevo Subencargado.
Plaud impondrá a cada Subencargado obligaciones de protección de datos no menos protectoras que las de este APD y seguirá siendo responsable del cumplimiento de cada Subencargado en la misma medida que si Plaud prestara los servicios directamente.
3.4 Derechos del Interesado. Plaud proporcionará asistencia técnica y organizativa razonable para ayudar al Cliente a responder a las Solicitudes del Interesado y, cuando así lo exijan las Leyes de Protección de Datos Aplicables, a realizar evaluaciones de impacto de la protección de datos y consultas relacionadas con la autoridad supervisora.
3.5 Seguridad. Plaud implementará y mantendrá las medidas de seguridad técnicas y organizativas descritas en el Anexo 2, diseñadas para proteger los Datos Personales del Cliente contra el acceso no autorizado, la destrucción, la pérdida, la alteración o la divulgación. Plaud podrá actualizar estas medidas siempre que dichas actualizaciones no reduzcan sustancialmente el nivel general de protección.

4. Obligaciones del Cliente

4.1 Base Legítima y Consentimientos. El Cliente declara y garantiza que tiene todos los derechos, consentimientos, avisos y autorizaciones necesarios requeridos por las Leyes de Protección de Datos Aplicables para enviar Datos Personales del Cliente a los Servicios y para autorizar a Plaud a procesarlos como se describe en este APD. Sin limitar lo anterior, el Cliente es el único responsable de obtener todos los consentimientos de grabación requeridos y de proporcionar los avisos requeridos a las personas cuya voz o datos personales se capturen a través de los Servicios o dispositivos de Plaud.
4.2 Configuración. El Cliente es responsable de configurar los Servicios de manera consistente con sus obligaciones legales. El Cliente no enviará Datos Personales del Cliente a través de canales no seguros o en tickets de soporte técnico.
4.3 Cooperación. El Cliente cooperará razonablemente con Plaud para ayudar a Plaud a cumplir con sus obligaciones bajo las Leyes de Protección de Datos Aplicables en relación con los Datos Personales del Cliente.

5. Incidentes de Seguridad

5.1 Aviso. Plaud notificará al Cliente por escrito sin demora indebida, y en cualquier caso dentro de las setenta y dos (72) horas, después de tener conocimiento de un Incidente de Seguridad. La notificación no constituye un reconocimiento de culpa o responsabilidad.
5.2 Contenido. En la medida en que la información esté disponible, la notificación incluirá: (a) la naturaleza del Incidente de Seguridad y, cuando sea posible, las categorías y el número aproximado de interesados y registros afectados; (b) las posibles consecuencias; y (c) las medidas tomadas o propuestas para abordar el incidente. Plaud proporcionará detalles adicionales a medida que estén disponibles.
5.3 Cooperación. Plaud cooperará con la investigación del Cliente y tomará las medidas razonables indicadas por el Cliente para mitigar el Incidente de Seguridad y apoyar el cumplimiento del Cliente con las Leyes de Protección de Datos Aplicables.

6. Auditorías y Cumplimiento

6.1 Certificaciones. Plaud es auditado al menos anualmente contra estándares de seguridad reconocidos (por ejemplo, SOC 2 Tipo II) por auditores externos independientes. A solicitud por escrito del Cliente (no más de una vez cada 12 meses, a menos que lo exijan las Leyes de Protección de Datos Aplicables o en respuesta a un Incidente de Seguridad), Plaud proporcionará su informe de auditoría o certificación aplicable más reciente. Las certificaciones actuales están disponibles en https://www.plaud.ai/pages/trust/.
6.2 Auditorías del Cliente. El Cliente podrá, previa solicitud por escrito y aviso razonable (no menos de treinta (30) días), realizar o encargar una auditoría del cumplimiento de Plaud con este APD, sujeto a: (a) acuerdo mutuo sobre el alcance, el cronograma y los controles de confidencialidad aplicables; (b) la auditoría se realizará durante el horario comercial con una interrupción operativa mínima; y (c) el Cliente asumirá todos los costos asociados. Los hallazgos de la auditoría son Información Confidencial de ambas partes y solo podrán utilizarse para confirmar el cumplimiento de este APD.

7. Devolución y Eliminación de Datos

7.1 Devolución y Eliminación. Tras la terminación o vencimiento del Acuerdo, Plaud, siguiendo las instrucciones del Cliente, devolverá o eliminará todos los Datos Personales del Cliente, incluidas todas las copias existentes de los mismos.
7.2 Excepciones. Plaud podrá retener Datos Personales del Cliente más allá del período establecido en la Sección 7.1 solo en la medida en que lo exijan las Leyes de Protección de Datos Aplicables u otras obligaciones legales, para resolver una disputa entre las partes o para prevenir el uso dañino o fraudulento de los Servicios. Los datos retenidos seguirán sujetos a este APD.

8. Transferencias Internacionales de Datos

8.1 General. El Cliente reconoce que Plaud y sus Subencargados pueden procesar Datos Personales del Cliente en los Estados Unidos y en otros países donde Plaud o sus Subencargados operan. Plaud garantizará que todas estas transferencias cumplan con las Leyes de Protección de Datos Aplicables, incluso mediante la implementación de mecanismos de transferencia apropiados.
8.2 Transferencias UE/EEE. En la medida en que las transferencias de Datos Personales del Cliente desde el EEE a Plaud requieran un mecanismo de transferencia en virtud del RGPD, el Módulo Dos (Responsable del tratamiento a Encargado del tratamiento) de las CCT se incorpora por referencia a este APD y se considera ejecutado por las partes, con el Cliente como exportador de datos y Plaud como importador de datos. Las CCT se completan según se especifica en el Anexo 3(A).
8.3 Transferencias del Reino Unido. En la medida en que las transferencias estén sujetas a la ley de protección de datos del Reino Unido, la Adenda del Reino Unido establecida en el Anexo 3(B) se incorpora por referencia y se considera ejecutada por las partes.
8.4 Transferencias suizas. En la medida en que las transferencias estén sujetas a la ley de protección de datos suiza (nFADP), la Adenda suiza establecida en el Anexo 3(C) se incorpora por referencia y se considera ejecutada por las partes.
8.5 Precedencia. En caso de conflicto entre los mecanismos de transferencia aplicables (CCT, Adenda del Reino Unido o Adenda suiza), este APD y el Acuerdo, prevalecerá el mecanismo de transferencia aplicable, seguido de este APD.

9. Leyes de Privacidad Estatales de EE. UU.

En la medida en que se apliquen las leyes de privacidad estatales de EE. UU. (incluida la CCPA), Plaud actúa como "proveedor de servicios" o "procesador" y certifica que:
  • procesará los Datos Personales del Cliente únicamente para los fines comerciales descritos en este APD y el Acuerdo;
  • no "venderá" ni "compartirá" (según lo define la CCPA) los Datos Personales del Cliente;
  • no retendrá, utilizará ni divulgará Datos Personales del Cliente fuera de la relación comercial directa entre las partes, excepto cuando lo exija la ley;
  • no combinará Datos Personales del Cliente con datos personales de otras fuentes, excepto cuando lo permita la ley aplicable o lo indique el Cliente;
  • otorgará al Cliente el derecho a tomar medidas razonables para garantizar que el procesamiento de Plaud sea coherente con las obligaciones del Cliente según la ley aplicable; y
  • notificará al Cliente de inmediato si Plaud determina que ya no puede cumplir con esta Sección 9.

10. Vigencia y Modificación

10.1 Vigencia. Este APD permanecerá en vigor durante la vigencia del Acuerdo y sobrevivirá a la terminación hasta que Plaud complete sus obligaciones de eliminación según la Sección 7.
10.2 Modificación. Plaud podrá modificar este APD con un aviso previo por escrito razonable cuando así lo exijan los cambios en las Leyes de Protección de Datos Aplicables o la orientación reguladora vinculante. Las modificaciones sustantivas que reduzcan materialmente los derechos del Cliente podrán ser impugnadas en un plazo de quince (15) días a partir de la notificación; si no se resuelven en un plazo de treinta (30) días, cualquiera de las partes podrá rescindir el Acuerdo con un preaviso por escrito de treinta (30) días.
Anexo 1 Detalles del Tratamiento
A. Partes
Exportador de datos: Cliente y/o Filiales del Cliente. Datos de contacto según se especifican en el Formulario de Pedido.
Importador de datos: Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Contacto de protección de datos: privacy@plaud.ai.
B. Descripción del Tratamiento
Categorías de Interesados. (a) Usuarios Autorizados; (b) terceros cuya información personal se captura en grabaciones de audio u otros Datos del Cliente enviados a los Servicios (por ejemplo, participantes de reuniones, clientes, colegas).
Categorías de Datos Personales. Determinados por el Cliente; pueden incluir:
  • Datos de contacto (nombres, direcciones de correo electrónico)
  • Grabaciones de audio y datos de voz capturados a través de dispositivos Plaud (por ejemplo, NotePin, Note) o cargados por el Cliente
  • Datos derivados: transcripciones generadas por IA, resúmenes de reuniones y elementos de acción
  • Metadatos de la reunión (fecha, duración, participantes)
  • Datos de uso de dispositivos y cuentas
  • Cualquier otro dato personal contenido en los Datos del Cliente enviados a los Servicios
Categorías especiales. Las grabaciones de audio y las transcripciones pueden contener incidentalmente datos de categorías especiales (por ejemplo, información de salud u opiniones políticas). El Cliente es el único responsable de garantizar una base legal para el procesamiento de dichos datos.
Duración. Procesamiento continuo durante la vigencia del Acuerdo, según lo determinado por la configuración y el uso de los Servicios por parte del Cliente.
Naturaleza y propósito. Proporcionar servicios de transcripción, resumen y servicios relacionados impulsados por IA. Las actividades de procesamiento incluyen la recopilación, el almacenamiento, la transcripción, el resumen y la eliminación de datos personales del cliente según sea necesario para prestar los servicios.
C. Autoridad Supervisora Competente
Cuando el exportador de datos esté establecido en un Estado miembro de la UE: la autoridad supervisora de ese Estado miembro. Cuando el exportador de datos no esté establecido en la UE pero entre dentro del ámbito territorial del RGPD: la Comisión de Protección de Datos de Irlanda.
Anexo 2 Medidas de seguridad técnicas y organizativas
Plaud mantiene un programa de seguridad de la información por escrito diseñado para proteger los Datos Personales del Cliente contra el acceso no autorizado, la destrucción, la pérdida, la alteración o la divulgación. Plaud puede actualizar estas medidas siempre que dichas actualizaciones no reduzcan materialmente la protección general. Las certificaciones actuales y la información adicional están disponibles en https://www.plaud.ai/pages/trust/.
Anexo 3 Mecanismos de Transferencia Internacional de Datos
A. Cláusulas contractuales tipo de la UE (Módulo dos: de responsable a encargado del tratamiento)
Las CCT de la UE se incorporan por referencia y se consideran ejecutadas por las partes, con las siguientes elecciones:
• Cláusula 7 (Cláusula de adhesión): No aplicable.
• Cláusula 9 (Subencargados del tratamiento): Opción 2 (Autorización escrita general); período de notificación según la Sección 3.3.
• Cláusula 11 (Resarcimiento): La redacción opcional de resarcimiento independiente no se aplica.
• Cláusula 17 (Ley aplicable): Opción 1 (ley de la República de Irlanda).
• Cláusula 18 (Foro): Tribunales de la República de Irlanda.
• Anexo I.A (Partes): Anexo 1, Sección A.
• Anexo I.B (Descripción de la transferencia): Anexo 1, Sección B.
• Anexo I.C (Autoridad de Supervisión): Anexo 1, Sección C.
• Anexo II (TOMs): Anexo 2.
• Anexo III (Subencargados del tratamiento): https://www.plaud.ai/pages/trust/.
B. Addendum del Reino Unido
El Addendum del Reino Unido (versión B.1.0) se incorpora por referencia y se considera ejecutado por las partes. Las CCT seleccionadas son las del Anexo 3(A). Para la Tabla 4, Plaud (como importador de datos) puede rescindir el Addendum del Reino Unido cuando cambien las CCT de la UE aprobadas.
C. Addendum Suizo
Para las transferencias sujetas exclusivamente a la legislación suiza de protección de datos (nFADP), las CCT del Anexo 3(A) se modifican de la siguiente manera: las referencias al RGPD y a la UE/EEE se sustituyen por referencias a la legislación suiza de protección de datos y a Suiza; la autoridad supervisora competente es el FDPIC; la legislación aplicable es la legislación suiza; y los litigios se resuelven ante los tribunales suizos. Cuando las transferencias estén sujetas tanto a la legislación suiza como al RGPD, se aplicarán ambos conjuntos de normas.
Anexo 4 Subencargados del tratamiento autorizados
La lista actual de subencargados del tratamiento autorizados de Plaud (incluido el nombre, el país y el propósito del procesamiento) se mantiene en https://www.plaud.ai/pages/trust/.