Data Processing Agreement

This Data Processing Agreement (“DPA”) between Multiverse Computing, S.L. (“MULTIVERSE COMPUTING”) and CompactifAI customers governs the processing of your personal data when you use CompactifAI. It is incorporated into and forms part of the CompactifAI Terms of Service and its related agreements and policies.

The full agreement is reproduced below in both official versions: English and Spanish (ES).

English

DATA PROCESSING AGREEMENT

This Data Processing Agreement (“DPA”) is incorporated into and forms part of the CompactifAI Terms of Service and its related agreements and policies which govern your use of CompactifAI (jointly, referred to as the “Agreement”), and applies to the processing of your Personal Data by MULTIVERSE COMPUTING, S.L. (hereinafter, “MULTIVERSE COMPUTING”). Capitalized terms used but not otherwise defined in this DPA will have the meaning set forth in the Agreement. MULTIVERSE COMPUTING may amend this DPA from time to time on reasonable notice to Customer. If there is any conflict between the terms of this DPA and the Agreement, the conflicting terms in this DPA will govern.

This DPA shall consist on the clauses and its Schedules 1 (Details of Processing), Schedule 2 (Security Measures) and Schedule 3 (List of Subprocessors).

1. Definitions

1.1. “Data Protection Laws” means all EU Data Protection Laws and, to the extent applicable, the data protection or privacy laws of any other country relating to the processing of personal data, as may be amended from time to time.

1.2. “Customer” shall mean you, as the company using SOFTWARE after accepting the Terms of Service, this DPA and all related Agreements.

“Customer Personal Data” means any Personal Data Processed by CONTROLLER, S.L. on your behalf pursuant to or in connection with the Agreement.

1.3 “EEA” means the European Economic Area;

1.4 “GDPR” means EU General Data Protection Regulation 2016/679;

1.5 “Standard Contractual Clauses” or “SCCs” means Module Two (controller to processor) or Module Three (processor to processor) of the Standard Contractual Clauses for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and the Council approved by European Commission Implementing Decision (EU) 2021/914 of 4 June 2021, available at https://eurlex.europa.eu/eli/dec_impl/2021/914/oj.

1.6 “Subprocessor” means any processor used by CONTROLLER, S.L. to process Customer Personal Data, as described in Article 28 of the GDPR.

1.7 The terms “Controller”, “Data Subject”, “Personal Data”, “Personal Data Breach”, “Processor”, “Processing” and “Supervisory Authority” shall have the same meaning as in the GDPR.

2. Processing of Customer Data

2.1. With respect to Customer Personal Data, Customer is the controller and MULTIVERSE COMPUTING is the Customer’s processor. Each party will comply with its respective obligations under Applicable Data Protection Laws in connection with the Services and the Customer Personal Data.

2.2. Processor expressly commits to:

2.2.1 comply with all applicable Data Protection Laws in the Processing of Customer Personal Data; and

2.2.2 not Process Customer Personal Data other than for the provision of the Services, and in compliance with Customer’s instructions (including as set out in the Agreement and this DPA).

3. MULTIVERSE COMPUTING’s Personnel

3.1 MULTIVERSE COMPUTING shall take appropriate technical and organisational measures to ensure the reliability of any employee, agent or contractor who may have access to the Customer Personal Data, ensuring in each case that access is strictly limited to those individuals who need to know and to access the relevant Customer Personal Data, as strictly necessary for the purposes of the Agreement.

3.2 In any event, MULTIVERSE COMPUTING will ensure that each person it authorizes to process Customer Personal Data is subject to an appropriate duty of confidentiality

4. Security

4.1 Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of Processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, MULTIVERSE COMPUTING shall in relation to the Customer Personal Data implement appropriate technical and organizational measures to ensure a level of security appropriate to that risk, including, as appropriate, the measures referred to in Article 32(1) of the GDPR.

4.2. MULTIVERSE COMPUTING hereby commits to implement and maintain the technical and organizational data protection and security measures listed in Schedule 2. MULTIVERSE COMPUTING may update these measures from time to time, provided that such updates do not materially reduce the overall security of the Services.

5. Data Subject Rights

5.1 Taking into account the nature of the Processing, MULTIVERSE COMPUTING shall assist the Customer by implementing appropriate technical and organisational measures, insofar as this is possible, for the fulfilment of the Customer obligations, as reasonably understood by Customer, to respond to requests to exercise Data Subject rights under the Data Protection Laws.

5.2 MULTIVERSE COMPUTING shall:

5.2.1 promptly notify the Customer if it receives a request from a Data Subject under any Data Protection Law in respect of Customer Personal Data; and

5.2.2 ensure that it does not respond to that request except on the documented instructions of the Customer or as required by Applicable Laws to which MULTIVERSE COMPUTING is subject, in which case MULTIVERSE COMPUTING shall, to the extent permitted by Applicable Laws, inform the Customer of that legal requirement before the responding to the request.

6. Personal Data Breach

6.1 MULTIVERSE COMPUTING shall notify the Customer without undue delay upon becoming aware of a Personal Data Breach affecting Customer Personal Data, providing the Customer with sufficient information to allow the Customer to meet any obligations to report or inform Data Subjects of the Personal Data Breach under the Data Protection Laws.

6.2 MULTIVERSE COMPUTING shall co-operate with the Customer and take reasonable commercial steps as are directed by the Customer to assist in the investigation, mitigation and remediation of each such Personal Data Breach.

7. Data Protection Impact Assessment and Prior Consultation

7.1 MULTIVERSE COMPUTING shall provide reasonable assistance to the Customer with any data protection impact assessments, and prior consultations with Supervising Authorities or other competent data privacy authorities, which Customer reasonably considers to be required by Applicable Data Protection Laws.

8. Deletion or return of Customer Personal Data

8.1 MULTIVERSE COMPUTING shall promptly and, in any event, within 10 business days of the date of cessation of any services involving the Processing of the Personal Data (the “Cessation Date”), delete and/or procure the deletion of all copies of those Customer Personal Data.

9. Subprocessors

9.1 Customer grants MULTIVERSE COMPUTING general authorization to engage the Subprocessors listed in Schedule 3, and any additional Subprocessors in accordance with this Section.

9.2 MULTIVERSE COMPUTING will: (a) enter into a contractual agreement with each Subprocessor imposing data protection obligations that are substantially as protective as MULTIVERSE COMPUTING’s obligations under this DPA to the extent applicable to the nature of the services provided by Subprocessor; and (b) remain liable to Customer for each Subprocessors’ acts and omissions related to this DPA to the extent MULTIVERSE COMPUTING is liable for its own, consistent with the limitation of liability provided in the Agreement.

9.3 In the event that MULTIVERSE COMPUTING wishes to appoint an additional Subprocessor: (a) MULTIVERSE COMPUTING will provide Customer reasonable notice of the new Subprocessor prior to giving the Subprocessor access to Customer Personal Data; and (b) Customer may, on the basis of reasonable data privacy or data security concerns, object to MULTIVERSE COMPUTING’s use of such Subprocessor by providing MULTIVERSE COMPUTING with written notice of the objection within fifteen (15) days of the date of such notice, or Customer is deemed to consent to the new Subprocessor. In the event Customer objects to MULTIVERSE COMPUTING’s use of a new Subprocessor, Customer and MULTIVERSE COMPUTING will work together in good faith to find a mutually acceptable resolution to address any objection raised by Customer.

10. Compliance and Audits

10.1 MULTIVERSE COMPUTING is audited annually against known, established industry standards performed by external auditors. Upon Customer’s written request, and subject to the confidentiality obligations set forth in the Agreement, MULTIVERSE COMPUTING will provide Customer with such audit reports or certificates applicable to the Services, to the extent available, or such other information reasonably necessary to demonstrate compliance with this DPA.

10.2 Upon Customer’s written request, MULTIVERSE COMPUTING will permit Customer, at Customer’s expense, to audit MULTIVERSE COMPUTING’s applicable controls and compliance with this DPA (an “Audit”), provided such Audit is (a) conducted by Customer or a third-party auditor designated by Customer that has executed an appropriate confidentiality agreement with MULTIVERSE COMPUTING, (b) Customer and MULTIVERSE COMPUTING mutually agree on reasonable details of the Audit, including the start date, scope and duration of, and security and confidentiality controls applicable to such audit, and (c) a similar Audit has not already been conducted less than twelve (12) months prior, unless there are indications of non-compliance and/or it is required by a supervisory authority or other regulatory authority responsible for the enforcement of Applicable Data Protection Laws.

10.3 Customer will pay any reasonably incurred costs and expenses incurred by MULTIVERSE COMPUTING in the event Customer performs an Audit that is not (a) required by Applicable Data Protection Laws or (b) in response to a Security Breach.

10.4 Customer may use the results of an Audit only for the purposes of meeting Customer’s regulatory audit requirements and/or confirming compliance with the requirements of the DPA.

11. Communications and Claims Channel

Any request, inquiry, exercise of rights, or claim related to personal data protection arising from this DPA shall be sent to the following email address: rgpd@multiversecomputing.com

MULTIVERSE COMPUTING undertakes to provide a diligent response to all communications received through this channel.

12. Governing Law and Jurisdiction

12.1 This DPA is governed by the laws of Spain.

12.2 Any dispute arising in connection with this Agreement, which the Parties will not be able to resolve amicably, will be submitted to the exclusive jurisdiction of the courts of San Sebastián.

13. Standard Contractual Clauses

13.1 Notwithstanding the above, the parties agree that, to the extent required by Applicable Data Protection Laws, the terms of the SCCs Module Two (controller to processor) and/or Module Three (processor to processor) are hereby incorporated by reference and will be deemed to have been executed by the parties.

13.2. To the extent that there is any conflict between the terms of this DPA and the terms of the SCCs, the terms of the SCCs will prevail (in order of precedence).

SCHEDULE 1 - Details of Processing

Subject Matter of this DPA. The subject matter of the Processing is the Processing, by the Processor on behalf of the Customer, of the Personal Data necessary for the provision of the CompactifAI services, including: (i) the creation, registration, management, authentication and deletion of user accounts of the Customer and its end users, as well as the management of their credentials and access keys, in accordance with the Customer’s instructions; (ii) the Processing of Personal Data contained in the inputs and outputs of the CompactifAI API, that is, the texts and content that the Customer and/or its end users submit through the API (inputs or prompts) and the responses generated by the model (outputs), for the sole purpose of processing such requests and returning the corresponding response; (iii) the receipt, handling and, where appropriate, forwarding to the Customer of requests to exercise data protection rights, complaints, suggestions or claims submitted by the Customer’s end users or by third parties in relation to the Processing of their Personal Data through CompactifAI, as well as the provision of technical support requested by the Customer, including access to such data where necessary to resolve the incident; and (iv) where the Customer so requests, the preparation and issuance of invoices and associated usage reports in the name and on behalf of the Customer, or relating to its end users.

Duration of the Processing. The processing is performed on a continuous basis for the duration of the Agreement and is determined by the Customer.

Nature and Purpose of the Processing. The nature and purpose of the processing shall be to provide the services for the CompactifAI Software, pursuant to the Agreement.

Categories of data subjects: Customer’s representatives and end users, such as employees, contractors, collaborators, and customers, and may include any other categories of data subjects, as determined by Customer.

Categories of personal data: Determined by the Customer (in accordance with the Agreement), including:

• Personal identification and contact data (e.g. name, surname, ID card number, postal and e-mail address, telephone number, etc.);
• Professional data (company in which end users perform their functions, position and functions, professional postal and e-mail address, and professional telephone number) to the extent that (i) this is informacion is provided through the corresponding forms; and (ii) this information is necessary for the Customer’s use of CompactifAI;
• Authentication data (for example username, password or PIN code, security question, etc.);
• Internet browsing data (e.g. IP address, visits to web pages, connections to wifi networks, etc.);
• Billing and invoicing data (legal name, country of residence, billing address, invoicing contact email, and tax residence declaration) when you are billed for our products or services; or
• Any other personal data identified in Article 4 of the GDPR

SCHEDULE 2 - Technical and Organizational Measures

Technical Security Measures

• Authentication & Password Policy: Implementation of a password policy combined with Multi-Factor Authentication (MFA).
• Role-Based Access Control: Access to personal data is restricted exclusively to authorized personnel based on the “principle of least privilege” and “need-to-know” basis.
• Unique Credentials: Prohibition of shared user accounts. Every user has a unique ID, ensuring individual accountability.
• Backup Management: Automated, regular incremental and full backups stored in a secure, geographically separate location, protected against ransomware and physical destruction.
• Malware Protection
• Network Segmentation & Firewalls.

Organisational Security Measures

• Staff Awareness: Mandatory, documented information security and data privacy training sessions conducted at least annually for all employees handling personal data.
• Confidentiality Agreements: Binding confidentiality obligations or Non-Disclosure Agreements (NDAs) signed by all employees, contractors, and external personnel prior to accessing data.
• Data Breach Protocol: A documented protocol to identify, contain, and evaluate personal data breaches.
• Facility Access Controls: Physical access restriction to data centers, server rooms, and corporate offices through biometric systems, keycards, CCTV monitoring, and visitor logs.
• Clean Desk Policy: Rules ensuring physical paper documents containing personal data are stored in locked cabinets and shredded securely when discarded.

SCHEDULE 3 – List of Subprocessors

SUBPROCESSOR	ACTIVITY	LOCATION
AWS (Amazon.com, Inc.)	Cloud infrastructure provider	USA (with regional data centers)
Clerk (Clerk, Inc.)	User authentication, sign-ups, sign-ins, and access control	USA
OpenMeter (OpenMeter, Inc.)	Real-time product usage, metering, and consumption data	USA
Grafana Labs (Raintank Inc.)	System observability, log analysis, metric visualization, and monitoring	USA
Stripe (Stripe, LLC)	Billing	USA

Spanish (ES)

CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS

El presente Contrato de Encargo de Tratamiento de Datos (en adelante, “DPA”, por sus siglas en inglés) se incorpora y forma parte de los Términos de Servicio de CompactifAI y de sus acuerdos y políticas relacionados que rigen el uso de CompactifAI (conjuntamente, el “Acuerdo”), y resulta de aplicación al tratamiento de sus Datos Personales por parte de MULTIVERSE COMPUTING, S.L. (en adelante, “MULTIVERSE COMPUTING”). Los términos en mayúscula utilizados, pero no definidos de otro modo en este DPA tendrán el significado que se les atribuye en el Acuerdo. MULTIVERSE COMPUTING podrá modificar este DPA de tiempo en tiempo, previo aviso razonable al Cliente. En caso de conflicto entre los términos de este DPA y los del Acuerdo, prevalecerán los términos en conflicto de este DPA.

Este DPA se compone de las presentes cláusulas y de sus Anexos 1 (Detalles del Tratamiento), Anexo 2 (Medidas de Seguridad) y Anexo 3 (Lista de Subencargados).

1. Definiciones

1.1. “Normativa de Protección de Datos” significa la normativa de protección de datos de la UE y, en la medida en que resulte aplicable, la normativa de protección de datos o privacidad de cualquier otro país, aplicable al tratamiento de datos personales objeto del presente documento.

1.2. “Cliente” significa usted, como empresa que utiliza CompactifAI tras haber aceptado los Términos de Servicio, este DPA y todos los Acuerdos relacionados.

1.3. “Datos Personales del Cliente” significa cualesquiera Datos Personales tratados por MULTIVERSE COMPUTING por cuenta del Cliente en virtud de, o en relación con, el Acuerdo.

1.4. “RGPD” significa el Reglamento General de Protección de Datos (UE) 2016/679.

1.5. “Cláusulas Contractuales Tipo” o “SCC” significa el Módulo Dos (responsable a encargado) o el Módulo Tres (encargado a encargado) de las Cláusulas Contractuales Tipo para la transferencia de datos personales a terceros países conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea de 4 de junio de 2021, disponible en https://eurlex.europa.eu/eli/dec_impl/2021/914/oj.

1.6. “Subencargado” significa cualquier encargado utilizado por MULTIVERSE COMPUTING para tratar Datos Personales del Cliente, según se describe en el artículo 28 del RGPD.

1.7. Los términos “Responsable”, “Interesado”, “Datos Personales”, “Violación de la Seguridad de los Datos Personales”, “Encargado”, “Tratamiento” y “Autoridad de Control” tendrán el mismo significado que en el RGPD.

2. Tratamiento de los Datos del Cliente

2.1. En relación con los Datos Personales del Cliente, el Cliente es el responsable del tratamiento y MULTIVERSE COMPUTING es el encargado del tratamiento del Cliente. Cada parte cumplirá con sus respectivas obligaciones conforme a la Normativa de Protección de Datos Aplicable para la prestación de los servicios necesarios para el uso del CompactifAI por parte del Cliente.

2.2. El Encargado se compromete expresamente a:

2.2.1 cumplir con toda la Normativa de Protección de Datos aplicable en el Tratamiento de los Datos Personales del Cliente; y

2.2.2 no Tratar los Datos Personales del Cliente para fines distintos de la prestación de los servicios, y de conformidad con las instrucciones del Cliente (incluidas las establecidas en el Acuerdo y en este DPA).

3. Personal de MULTIVERSE COMPUTING

3.1 MULTIVERSE COMPUTING adoptará medidas técnicas y organizativas necesarias para garantizar la fiabilidad de cualquier empleado, agente o contratista que pueda tener acceso a los Datos Personales del Cliente, asegurando en cada caso que el acceso quede estrictamente limitado a aquellas personas que necesiten conocer y acceder a los Datos Personales del Cliente, en la medida estrictamente necesaria para la prestación de los servicios.

3.2 En todo caso, MULTIVERSE COMPUTING garantizará que cada persona a la que autorice a tratar Datos Personales del Cliente esté sujeta a un deber de confidencialidad adecuado y que reciba la formación necesaria para el tratamiento de los Datos Personales conforme a la normativa aplicable y al presente DPA.

4. Seguridad

4.1 Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del Tratamiento, así como los riesgos de para los derechos y libertades de las personas físicas, MULTIVERSE COMPUTING aplicará, en relación con los Datos Personales del Cliente, las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a dicho riesgo, incluidas, en su caso, las medidas contempladas en el artículo 32.1. del RGPD.

4.2 MULTIVERSE COMPUTING se compromete a implementar y mantener las medidas técnicas y organizativas de protección de datos y seguridad enumeradas en el Anexo 2. MULTIVERSE COMPUTING podrá actualizar dichas medidas cuando lo estime conveniente, siempre que dichas actualizaciones no reduzcan sustancialmente el nivel de seguridad global de los Servicios.

5. Derechos de los Interesados

5.1 Teniendo en cuenta la naturaleza del Tratamiento, MULTIVERSE COMPUTING asistirá al Cliente mediante la implementación de medidas técnicas y organizativas apropiadas, en la medida en que ello sea posible, para el cumplimiento de las obligaciones del Cliente, tal como el Cliente las entienda razonablemente, de responder a las solicitudes de ejercicio de los derechos de los Interesados conforme a la Normativa de Protección de Datos.

5.2 MULTIVERSE COMPUTING:

5.2.1 notificará sin demora al Cliente si recibe una solicitud de un Interesado en virtud de cualquier Normativa de Protección de Datos en relación con los Datos Personales del Cliente; y

5.2.2 se asegurará de no responder a dicha solicitud salvo por instrucción documentada del Cliente o cuando así lo exija la Normativa Aplicable a la que esté sujeto MULTIVERSE COMPUTING, en cuyo caso MULTIVERSE COMPUTING, en la medida en que lo permita la Normativa Aplicable, informará al Cliente de dicho requisito legal antes de que el Encargado Contratado responda a la solicitud.

6. Violación de la Seguridad de los Datos Personales

6.1 MULTIVERSE COMPUTING notificará al Cliente sin dilación indebida en cuanto tenga conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a los Datos Personales del Cliente, proporcionando al Cliente información suficiente para permitirle cumplir con cualquier obligación de informar o notificar a los Interesados sobre dicha Violación conforme a la Normativa de Protección de Datos.

6.2 MULTIVERSE COMPUTING cooperará con el Cliente y adoptará las medidas comerciales razonables que el Cliente le indique para asistir en la investigación, mitigación y resolución de cada una de dichas Violaciones de la Seguridad de los Datos Personales.

7. Evaluación de Impacto relativa a la Protección de Datos y Consulta Previa

7.1 MULTIVERSE COMPUTING prestará asistencia razonable al Cliente en relación con cualquier evaluación de impacto relativa a la protección de datos, y con las consultas previas a las Autoridades de Control u otras autoridades competentes en materia de privacidad de datos, que el Cliente considere razonablemente exigidas por la Normativa de Protección de Datos Aplicable.

8. Supresión o devolución de los Datos Personales del Cliente

8.1 MULTIVERSE COMPUTING procederá con prontitud y, en todo caso, en el plazo de 10 días hábiles desde la fecha de cese de cualquier Servicio que implique el Tratamiento de los Datos Personales (la “Fecha de Cese”), a suprimir y procurar la supresión de todas las copias de dichos Datos Personales del Cliente, salvo los casos establecidos en la normativa aplicable (por ejemplo, en el art. 32 LOPDGDD en relación con la obligación de bloqueo de datos).

9. Subencargados

9.1 El Cliente otorga a MULTIVERSE COMPUTING autorización general para contratar a los Subencargados enumerados en el Anexo 3, así como a cualesquiera Subencargados adicionales de conformidad con esta Cláusula.

9.2 MULTIVERSE COMPUTING: (a) suscribirá un acuerdo contractual con cada Subencargado en el que se impongan obligaciones de protección de datos sustancialmente tan protectoras como las obligaciones de MULTIVERSE COMPUTING conforme a este DPA, en la medida en que resulten aplicables a la naturaleza de los servicios prestados por el Subencargado; y (b) seguirá siendo responsable frente al Cliente de los actos y omisiones de cada Subencargado relacionados con este DPA, en la misma medida en que MULTIVERSE COMPUTING responde de los suyos propios.

9.3 En caso de que MULTIVERSE COMPUTING desee contratar a un Subencargado adicional: (a) MULTIVERSE COMPUTING proporcionará al Cliente un aviso razonable del nuevo Subencargado antes de darle acceso a los Datos Personales del Cliente; y (b) el Cliente podrá, por motivos razonables de privacidad o seguridad de los datos, oponerse al uso por parte de MULTIVERSE COMPUTING de dicho Subencargado mediante notificación escrita de su oposición a MULTIVERSE COMPUTING en el plazo de quince (15) días desde la fecha de dicho aviso, transcurrido el cual se entenderá que el Cliente consiente el nuevo Subencargado. En caso de que el Cliente se oponga al uso por parte de MULTIVERSE COMPUTING de un nuevo Subencargado, el Cliente y MULTIVERSE COMPUTING trabajarán conjuntamente y de buena fe para encontrar una solución mutuamente aceptable a la objeción planteada por el Cliente.

10. Cumplimiento y Auditorías

10.1 El MULTIVERSE COMPUTING es auditado anualmente, por auditores externos, conforme a estándares del sector reconocidos. A solicitud escrita del Cliente, y sujeto a las obligaciones de confidencialidad establecidas en el Acuerdo, MULTIVERSE COMPUTING proporcionará al Cliente dichos informes de auditoría o certificaciones aplicables a los Servicios, en la medida en que estén disponibles, u otra información razonablemente necesaria para demostrar el cumplimiento de este DPA.

10.2 A solicitud escrita del Cliente, MULTIVERSE COMPUTING permitirá al Cliente, a costa de este, auditar los controles y el cumplimiento de MULTIVERSE COMPUTING con este DPA (una “Auditoría”), siempre que dicha Auditoría (a) sea realizada por el Cliente o por un auditor tercero designado por el Cliente que haya suscrito un acuerdo de confidencialidad adecuado con MULTIVERSE COMPUTING; (b) el Cliente y MULTIVERSE COMPUTING acuerden mutuamente los detalles razonables de la Auditoría, incluyendo la fecha de inicio, el alcance y la duración de la misma, así como los controles de seguridad y confidencialidad aplicables a dicha auditoría; y (c) no se haya realizado una Auditoría similar en los doce (12) meses anteriores, salvo que existan indicios de incumplimiento y/o sea exigido por una autoridad de control u otra autoridad reguladora responsable de la aplicación de la Normativa de Protección de Datos Aplicable.

10.3 El Cliente abonará cualesquiera costes y gastos razonablemente incurridos por MULTIVERSE COMPUTING en caso de que el Cliente realice una Auditoría que no venga (a) exigida por la Normativa de Protección de Datos Aplicable o (b) motivada por una Violación de Seguridad.

10.4 El Cliente únicamente podrá utilizar los resultados de una Auditoría a efectos de cumplir con sus requisitos de auditoría regulatoria y/o de confirmar el cumplimiento de los requisitos de este DPA.

11. Canal de Comunicaciones y Reclamaciones

11.1 Cualquier solicitud, consulta, ejercicio de derechos o reclamación relacionada con la protección de datos personales derivada del presente DPA deberá remitirse a la siguiente dirección de correo electrónico: rgpd@multiversecomputing.com.

11.2 MULTIVERSE COMPUTING se compromete a dar una respuesta diligente a todas las comunicaciones recibidas por esta vía.

12. Ley Aplicable y Jurisdicción

12.1 Este DPA se rige por las leyes de España.

12.2 Cualquier controversia derivada de este Acuerdo que las Partes no logren resolver de forma amistosa se someterá a la jurisdicción exclusiva de los juzgados y tribunales de San Sebastián.

13. Cláusulas Contractuales Tipo

13.1 Sin perjuicio de lo anterior, las partes acuerdan que, en la medida en que lo exija el RGPD, los términos de las SCC, Módulo Dos (responsable a encargado) y/o Módulo Tres (encargado a encargado), quedan incorporados por referencia y se considerarán suscritos por las partes.

13.2. En la medida en que exista cualquier conflicto entre los términos de este DPA y los términos de las SCC, prevalecerán los términos de las SCC (por este orden de prelación).

ANEXO 1 - Detalles del Tratamiento

Objeto. El objeto del tratamiento es el tratamiento, por parte del Encargado y por cuenta del Cliente, de los Datos Personales necesarios para la prestación de los servicios de CompactifAI, incluyendo: (i) la creación, alta, gestión, autenticación y baja de las cuentas de usuario del Cliente y de sus usuarios finales, así como la gestión de sus credenciales y claves de acceso, conforme a las instrucciones del Cliente; (ii) el tratamiento de los Datos Personales contenidos en las entradas y salidas de la API de CompactifAI, es decir, los textos y contenidos que el Cliente y/o sus usuarios finales envían a través de la API (inputs o prompts) y las respuestas generadas por el modelo (outputs), con la única finalidad de procesar dichas solicitudes y devolver la respuesta correspondiente; (iii) la recepción, gestión y, en su caso, traslado al Cliente de las solicitudes de ejercicio de derechos, quejas, sugerencias o reclamaciones formuladas por los usuarios finales del Cliente o por terceros en relación con el tratamiento de sus Datos Personales a través de CompactifAI, así como la prestación del soporte técnico solicitado por el Cliente, incluyendo el acceso a dichos datos cuando sea necesario para resolver la incidencia; y (iv) cuando el Cliente así lo solicite, la elaboración y emisión de facturas y de los informes de consumo asociados en nombre y por cuenta del Cliente, o relativos a sus usuarios finales.

Duración del Tratamiento. El tratamiento se realiza de forma continua durante la vigencia del Acuerdo y su duración es determinada por el Cliente.

Naturaleza y Finalidad del Tratamiento. La naturaleza y finalidad del tratamiento consiste en la prestación de los servicios del Software CompactifAI, conforme al Acuerdo.

Categorías de interesados: Representantes y usuarios finales del Cliente, tales como empleados, contratistas, colaboradores y clientes, pudiendo incluir cualesquiera otras categorías de interesados que determine el Cliente.

Categorías de datos personales: Determinadas por el Cliente (de conformidad con el Acuerdo), incluyendo:

• Datos de identificación personal y de contacto (por ejemplo, nombre, apellidos, número de DNI, dirección postal y de correo electrónico, número de teléfono, etc.);
• Datos profesionales (empresa en la que los usuarios finales desempeñan sus funciones, cargo y funciones, dirección postal y de correo electrónico profesional, y número de teléfono profesional), en la medida en que (i) dicha información se facilite a través de los formularios correspondientes; y (ii) dicha información sea necesaria para el uso de CompactifAI por el Cliente;
• Datos de autenticación (por ejemplo, nombre de usuario, contraseña o PIN, pregunta de seguridad, etc.);
• Datos de navegación en Internet (por ejemplo, dirección IP, visitas a páginas web, conexiones a redes wifi, etc.);
• Datos de facturación (nombre legal, país de residencia, dirección de facturación, correo electrónico de contacto para facturación y declaración de residencia fiscal) cuando se facture al Cliente por nuestros productos o servicios; o
• Cualquier otro dato personal identificado en el artículo 4 del RGPD.

ANEXO 2 - Medidas Técnicas y Organizativas

Medidas de seguridad técnicas

• Autenticación y política de contraseñas: Implementación de una política de contraseñas combinada con autenticación de múltiples factores (MFA).
• Control de acceso basado en roles: El acceso a los datos personales está restringido exclusivamente al personal autorizado según el “principio del menor privilegio” y la necesidad de conocer (“need-to-know”).
• Credenciales únicas: Prohibición de cuentas de usuario compartidas. Cada usuario tiene una identificación (ID) única, lo que garantiza la responsabilidad individual.
• Gestión de copias de seguridad: Copias de seguridad automáticas, periódicas (tanto incrementales como completas), almacenadas en una ubicación segura y geográficamente separada, protegidas contra ransomware y destrucción física.
• Protección contra malware
• Segmentación de red y firewalls (cortafuegos)

Medidas de seguridad organizativas

• Concienciación del personal: Sesiones de formación obligatorias y documentadas sobre seguridad de la información y privacidad de datos, realizadas al menos anualmente para todos los empleados que manejan datos personales.
• Acuerdos de confidencialidad: Obligaciones vinculantes de confidencialidad o Acuerdos de No Divulgación (NDA) firmados por todos los empleados, contratistas y personal externo antes de acceder a los datos.
• Protocolo ante brechas de datos: Un protocolo documentado para identificar, contener y evaluar las violaciones o brechas de seguridad de datos personales.
• Controles de acceso a las instalaciones: Restricción del acceso físico a los centros de datos, salas de servidores y oficinas corporativas mediante sistemas biométricos, tarjetas de acceso, monitoreo por CCTV y registro de visitantes.
• Política de escritorio limpio: Normas que garantizan que los documentos físicos en papel que contienen datos personales se almacenen en archivadores bajo llave y se destruyan de forma segura al ser desechados.

ANEXO 3 - Lista de Subencargados

SUBENCARGADO	ACTIVIDAD	UBICACIÓN
AWS (Amazon.com, Inc.)	Proveedor de infraestructura cloud	EEUU (con centros de datos regionales)
Clerk (Clerk, Inc.)	Autenticación de usuario, sign-in, y controles de acceso	EEUU
OpenMeter (OpenMeter, Inc.)	Métricas para determiner el uso del producto y su consumo en tiempo real	EEUU
Grafana Labs (Raintank Inc.)	Analisis de las entradas, métricas de visualización y monitorización del sistema	EEUU
Stripe (Stripe, LLC)	Facturción y pago	EEUU