El Contrato Marco de Prestación de Servicios de GDPRLocal y las condiciones adicionales aquí recogidas rigen nuestros productos, servicios y relaciones con los clientes.
No hay ningún requisito para contratar los servicios. No es necesario disponer de una tarjeta de crédito para registrarse y, una vez registrado, los servicios se pueden contratar y activar en cualquier momento.
El presente anexo forma parte del Contrato Marco de Prestación de Servicios («Contrato») entre el Cliente y GDPRLocal Ltd («GDPRLocal»). En él se establece el alcance de los servicios de gobernanza de la IA prestados por GDPRLocal, que prestan apoyo al Cliente en el diseño, la gobernanza, el mantenimiento y la mejora continua de su Sistema de Gestión de la IA («AIMS»), tal y como se describe en la Declaración de Trabajos que figura como apéndice del presente anexo. Los términos utilizados en el presente anexo tienen el mismo significado que en el Contrato Marco de Prestación de Servicios.
En el presente anexo: «AIMS» se refiere al sistema de gestión de la IA del cliente, es decir, el marco de políticas, procedimientos, funciones, controles, registros y actividades de seguimiento establecido por el cliente para el diseño responsable, la gobernanza y el funcionamiento de sus sistemas de IA; «AI Tracker» se refiere al registro que se mantiene en el portal de GDPRLocal y en el que se recogen los sistemas de IA del cliente, los riesgos asociados, los controles y los eventos del ciclo de vida.
1.1 Resumen general. GDPRLocal prestará al Cliente apoyo consultivo continuo y orientación sobre el marco normativo en el diseño, la gestión, el mantenimiento y la mejora continua de sus AIMS, tal y como se describe en la cláusula 1.2 y en la Declaración de trabajo.
1.2 Pilares fundamentales. GDPRLocal prestará asesoramiento en relación con los cuatro pilares fundamentales del AIMS:
(a) Gobernanza y rendición de cuentas en materia de IA
(b) Gestión de riesgos relacionados con la IA
(c) Ética y transparencia
(d) Seguimiento y mejora continuos
1.3 Acceso a los recursos de GDPRLocal. Además de los servicios prestados mensualmente, el Cliente tendrá acceso permanente al portal de GDPRLocal y a la documentación elaborada por GDPRLocal para el Cliente en el marco del presente Contrato.
2.1 Prestación de los servicios. GDPRLocal prestará los servicios descritos en el pliego de condiciones (SOW) de conformidad con el alcance establecido en el presente anexo y con la periodicidad acordada entre el representante designado por el cliente y el responsable de cumplimiento de GDPRLocal, teniendo en cuenta la naturaleza, el alcance, el contexto y el perfil de riesgo de la estrategia de gobernanza de la IA del cliente.
2.2 Asesoramiento e informes. GDPRLocal proporcionará asesoramiento, recomendaciones e informes dentro de los plazos acordados entre las partes en el pliego de condiciones, teniendo en cuenta la complejidad y la urgencia del asunto. La forma, la frecuencia y el calendario de los informes, reuniones u otros entregables serán los establecidos en el pliego de condiciones correspondiente.
Además de las obligaciones establecidas en el artículo 6 del MSA, el Cliente deberá:
3.1 designar a una persona de contacto principal encargada de coordinarse con GDPRLocal en relación con los Servicios;
3.2 garantizar el acceso oportuno a las partes interesadas pertinentes, incluidos los representantes de los departamentos de Datos e Ingeniería, TI, Asuntos Jurídicos, Gestión de Riesgos, RR. HH. y cualquier otro departamento pertinente, en la medida en que sea razonablemente necesario para la prestación de los Servicios;
3.3 determinar o confirmar, con periodicidad mensual, las prioridades y las áreas de interés de los Servicios;
3.4 facilitar, en el plazo oportuno, todos los datos, la información, las instrucciones, las autorizaciones, el acceso y cualquier otra forma de colaboración que sea razonablemente necesaria para que GDPRLocal preste los Servicios; y
3.5 Asumir la responsabilidad exclusiva de la identificación, evaluación, aceptación, mitigación y notificación de los riesgos e incidentes relacionados con la IA, así como de la adopción, aplicación y funcionamiento continuo de cualquier política, procedimiento o documentación facilitada por GDPRLocal.
4.1 GDPRLocal ofrece únicamente servicios de supervisión, diseño de marcos normativos y asesoramiento, y no asume ninguna función operativa, de gestión ni de toma de decisiones dentro de la organización del cliente.
4.2 GDPRLocal no actúa como responsable de riesgos de IA ni como responsable de incidentes de IA. La responsabilidad última en cuanto a la identificación, evaluación, aceptación, mitigación y notificación de los riesgos e incidentes relacionados con la IA recae exclusivamente en el cliente.
4.3 Los Servicios consisten en asesoramiento en materia de gobernanza y cumplimiento normativo y no constituyen asesoramiento jurídico formal ni dictámenes jurídicos. El Cliente es responsable de obtener un análisis jurídico independiente de todas las políticas, procedimientos y documentación antes de su adopción o aplicación.
4.4 Los Servicios no incluyen asesoramiento ni orientación relacionados con la implementación técnica ni con actividades de desarrollo de productos, incluyendo, entre otros, la programación, la realización de pruebas de software o de seguridad, la creación o el entrenamiento de modelos, el diseño de arquitecturas de sistemas, ni el desempeño de funciones como desarrolladores, ingenieros o científicos de datos.
4.5 La investigación específica sobre la evolución de la normativa en materia de IA y la legislación aplicable, así como el asesoramiento al Cliente sobre las actualizaciones de los AIMS necesarias para mantener la conformidad con los requisitos en constante evolución, quedan fuera del alcance de los Servicios y se considerarán un Servicio Adicional con arreglo a la cláusula 5.
4.6 Cualquier servicio que no entre dentro del ámbito de aplicación de las cláusulas 1 y 2 podrá solicitarse como «Servicios adicionales» facturables, de conformidad con la cláusula 5.
5.1 Ámbito de aplicación. Los Servicios se limitan a los resultados y actividades establecidos en el pliego de condiciones correspondiente.
5.2 Servicios adicionales. En caso de que GDPRLocal detecte una solicitud o un requisito que quede fuera del alcance del pliego de condiciones (incluidos cualquiera de los elementos enumerados en la cláusula 4.5), GDPRLocal lo notificará al Cliente por escrito (bastará con un correo electrónico), junto con una estimación de buena fe del tiempo o coste adicional que ello suponga. Los servicios adicionales no se iniciarán hasta que el Cliente los haya autorizado por escrito (bastará con un correo electrónico).
5.3 Facturación. Los servicios adicionales autorizados en virtud de la cláusula 5.2 se facturarán según la tarifa vigente en la Lista de tarifas, salvo que las partes acuerden expresamente por escrito una tarifa diferente antes de que se inicien los trabajos.
5.4 Modificación del pliego de condiciones. Cuando los servicios adicionales supongan una ampliación sustancial del encargo, las partes acordarán por escrito una modificación del pliego de condiciones en la que se recojan el alcance, el calendario y los honorarios revisados.
5.5 Registros. GDPRLocal mantiene registros del tiempo y las actividades realizadas en el marco del pliego de condiciones, y los pondrá a disposición del Cliente siempre que este lo solicite de forma razonable.
6.1 Carácter consultivo. Las partes reconocen que los Servicios tienen carácter consultivo. GDPRLocal no garantiza el resultado de ninguna evaluación de riesgos de IA, evaluación de impacto de IA, revisión o actividad de gobernanza, y no asume responsabilidad alguna por ninguna decisión tomada o acción realizada por el Cliente basándose en el asesoramiento o los resultados proporcionados por GDPRLocal. El Cliente sigue siendo el único responsable de la adopción, la implementación y el funcionamiento de cualquier política, procedimiento o recomendación proporcionada por GDPRLocal.
6.2 Limitación de responsabilidad. Sin perjuicio de lo dispuesto en la cláusula 6.4, la responsabilidad total de cualquiera de las partes en virtud del presente Anexo no excederá el importe total de los honorarios pagados o pagaderos por el Cliente en relación con los Servicios durante el período de doce (12) meses inmediatamente anterior al hecho que haya dado lugar a la reclamación. Ninguna de las partes será responsable de pérdidas indirectas, consecuentes, especiales o punitivas.
6.3 Responsabilidad del cliente. Sin perjuicio de lo dispuesto en la cláusula 6.2, GDPRLocal no asumirá responsabilidad alguna, y el cliente será el único responsable de: cualquier perjuicio, daño o pérdida causados por los propios sistemas de IA del cliente, sus resultados, su rendimiento o su seguridad, o que se deriven de ellos; cualquier multa, penalización o sanción reglamentaria impuesta al cliente; cualquier pérdida derivada del incumplimiento por parte del Cliente de la obligación de aplicar, adoptar o mantener las políticas, procedimientos o controles recomendados por GDPRLocal; y cualquier pérdida atribuible a la inactividad, el retraso o la falta de cooperación del Cliente, tal y como se describe en la cláusula 6.5 o en el artículo 5.9 del MSA.
6.4 Exclusiones de la limitación. El límite de responsabilidad establecido en la cláusula 6.2 no se aplica a: la responsabilidad por fallecimiento o lesiones personales causadas por negligencia; el fraude o la tergiversación fraudulenta; ni a cualquier otra responsabilidad que no pueda limitarse en virtud de la legislación aplicable.
6.5 Falta de cooperación (específico del servicio). En caso de que el Cliente deje de responder o no facilite las prioridades mensuales requeridas o la información necesaria a tiempo, se aplicará el artículo 5.9 del MSA (Falta de cooperación). Para este servicio, el periodo de servicio pertinente a efectos del artículo 5.9 del MSA es el periodo de servicio mensual.
7.1 Duración. El presente Anexo entrará en vigor en la Fecha de inicio del servicio y tendrá una duración inicial de doce (12) meses (el «Plazo inicial»), salvo que se rescinda antes de conformidad con la presente cláusula 7 o con el artículo 12 del MSA. Se renovará automáticamente por períodos de renovación sucesivos de doce (12) meses, salvo que una de las partes notifique por escrito su intención de no renovarlo, de conformidad con la cláusula 7.2.
7.2 Rescisión por conveniencia. Sin perjuicio de lo dispuesto en el artículo 12.3 del MSA, cualquiera de las partes podrá rescindir el presente Anexo por conveniencia mediante notificación previa por escrito, enviada por correo electrónico a la otra parte con al menos treinta (30) días de antelación; dicha notificación surtirá efecto antes del inicio del siguiente ciclo de facturación mensual.
7.3 Exportación tras la rescisión. Tras la rescisión, y siempre que se hayan abonado todas las cuotas pendientes, GDPRLocal facilitará al Cliente una exportación final del AI Tracker.
7.4 Supervivencia. Las cláusulas 4, 6 y la presente cláusula 7 seguirán vigentes tras la rescisión del contrato.
La presente Declaración de trabajo («SOW») se adjunta al Anexo 5 de servicios (Servicios de gobernanza de la IA) y forma parte del mismo, el cual, a su vez, forma parte del Contrato marco de servicios entre el Cliente y GDPRLocal Ltd. Los términos en mayúsculas tienen el mismo significado que en el Anexo o en el Contrato.
GDPRLocal genera y registra el pliego de condiciones (SOW) en el momento de la activación del servicio. Los campos de marcador de posición que aparecen entre corchetes se rellenan con datos procedentes de la cuenta del cliente y del registro de activación del servicio.
| Nombre de la empresa | [Nombre de la empresa] |
| Domicilio social | [Domicilio social] |
| Persona de contacto principal | [Nombre de la persona de contacto] |
| Función | [Función de contacto] |
| Correo electrónico | [Correo electrónico de contacto] |
| Teléfono | [Número de contacto] |
| Cobertura de AIMS | [lista de unidades de negocio, funciones o sistemas de IA incluidos en el ámbito de aplicación del AIMS] |
| Áreas prioritarias en las que centrarse en el momento de la puesta en marcha | [prioridades iniciales acordadas durante la incorporación] |
| Frecuencia de las reuniones mensuales | [por ejemplo, el primer jueves de cada mes a las 14:00 (hora del Reino Unido)] |
| Frecuencia de presentación de informes | [por ejemplo, informe mensual por escrito sobre la situación; resumen trimestral] |
| Ámbito de actuación | [jurisdicciones en las que se han implantado los sistemas de IA del Cliente o en las que se puede acceder a ellos] |
Todas las tarifas de este servicio se recogen en la lista de tarifas del MSA. El servicio comprende las siguientes categorías de tarifas:
| Suscripción a «AI Governance» | Según se establece en la tarifa. Pagadero mensualmente a partir de la fecha de inicio del servicio. |
| Servicios adicionales (investigación normativa, trabajos de proyecto o de consultoría que excedan el alcance de la suscripción, o elementos del alcance identificados expresamente como «Servicios adicionales» en el apartado 4.5 del anexo) | Según la tarifa vigente en la Lista de tarifas, previa autorización por escrito con arreglo al apartado 5 del anexo. |
| Periodicidad de facturación | [mensual / anual] |
| Moneda | GBP, sin IVA ni otros impuestos aplicables. |
| Responsable de gobernanza de la IA local en el marco del RGPD | [Nombre que se indicará al activarse] |
| Entidad local en el marco del RGPD | GDPRLocal Ltd |
| Domicilio social | Suite delantera de la primera planta, 27-29 North Street, Brighton, Inglaterra, BN1 1EB |
| Correo electrónico | [email protected] |
| Tel. | +44 1772 217 800 |
Cada parte deberá notificar a la otra cualquier cambio permanente en su personal designado en un plazo de treinta (30) días hábiles a partir de la fecha en que se produzca dicho cambio.
En la tabla siguiente se detallan los distintos resultados esperados en materia de gobernanza de la IA que pueden proporcionarse en el marco de este pliego de condiciones, en función de las prioridades acordadas en las reuniones mensuales y confirmadas en los planes mensuales.
| Área de servicio de AIMS | Resultados esperados |
|---|---|
| Gobernanza y rendición de cuentas en materia de IA | Política de IA Política de gobernanza de la IA Política sobre el ámbito de aplicación de AIMS Matriz de funciones y responsabilidades Política de apoyo y operaciones de IA Proceso de recursos de IA Alineación de la política de privacidad con AIMS Alineación de los términos y condiciones con AIMS Alineación del plan de continuidad del negocio con AIMS Registro de requisitos legales y normativos alineado con AIMS |
| Gestión de riesgos relacionados con la IA | Registro de riesgos de IA Política de gestión de riesgos de IA Proceso de evaluación del impacto de la IA Metodología de evaluación de riesgos de IA Plantilla de evaluación de riesgos de IA (NIST) Tratamiento de riesgos de IA Plan de tratamiento de riesgos de IA Metodología de evaluación del impacto de la IA Plantilla de evaluación del impacto de la IA (Microsoft) Informe de evaluación del impacto de la IA Proceso de aprobación de herramientas de IA Evaluación de riesgos de herramientas de IA Registro de herramientas de IA Plan de respuesta ante incidentes de IA Lista de comprobación para la respuesta ante incidentes de IA Registro de incidentes de IA Esquema de clasificación de incidentes de IA |
| Ética y transparencia | Ficha del modelo de IA (externa)Política de uso operativo del modelo de IA (interna)Política de uso de la IA (externa)Política de uso aceptable de la IA (interna)Proceso de formación en IA con formularios de apoyoPlan de formación en IAManual del empleado sobre formación en IA |
| Seguimiento y mejora continuos | Política de mejora de la IA. Seguimiento de la IA. Evaluación del rendimiento de la IA. Formulario de medidas correctivas de la IA. Plan de seguimiento poscomercialización del sistema de IA. Proceso de auditoría interna con formularios de apoyo (Programa de auditoría interna, Informe de auditoría interna, Lista de comprobación de auditoría interna). |
Nota: la investigación específica sobre la evolución de la normativa en materia de IA y la legislación aplicable, así como el asesoramiento al Cliente sobre las actualizaciones de los AIMS necesarias para mantener la conformidad con los requisitos en constante evolución, quedan fuera del alcance de la suscripción y se consideran un servicio adicional con arreglo al artículo 5 del anexo (véase también el artículo 4.5 del anexo).
El presente pliego de condiciones podrá revisarse y actualizarse mediante acuerdo por escrito entre las partes cuando sea necesario para reflejar cambios sustanciales en los objetivos del cliente (AIMS), los requisitos del servicio o las prioridades de cumplimiento. Cualquier actualización de este tipo se registrará como un pliego de condiciones revisado asociado a la cuenta del cliente.
Se considerará que el Cliente ha aceptado el presente pliego de condiciones en el momento de la activación del servicio (ya sea mediante activación a través del portal o mediante una confirmación por escrito aceptada por GDPRLocal).