Acuerdo de Tratamiento de Datos Personales — DPA
Altezza Inbox
Versión: [Versión]
Fecha de entrada en vigor: [Fecha]
Este Acuerdo de Tratamiento de Datos Personales, en adelante el “Acuerdo” o “DPA”, se celebra entre:
El Cliente
- Nombre o razón social: [Nombre legal del Cliente]
- Domicilio: [Domicilio]
- País: [País]
- Representante: [Nombre y cargo]
- Contacto de privacidad: [Nombre o área y correo]
El Proveedor
- Nombre o razón social: [Nombre legal del operador de Altezza Inbox]
- Nombre comercial: Altezza Inbox
- Domicilio: [Domicilio]
- País: [País]
- Representante: [Nombre y cargo]
- Contacto de privacidad y seguridad: [Correo]
Ambas partes acuerdan lo siguiente.
1. Objeto y relación con el servicio
Este Acuerdo regula el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente al prestar Altezza Inbox.
Complementa los Términos y Condiciones y el contrato u oferta de servicio aceptados por las partes.
En caso de contradicción sobre el tratamiento de datos personales por cuenta del Cliente, prevalecerá este DPA, sin perjuicio de las disposiciones legales obligatorias y de los mecanismos de transferencia internacional que resulten aplicables.
Este Acuerdo no sustituye los avisos de privacidad, las bases legales ni las autorizaciones que el Cliente deba proporcionar u obtener.
2. Roles de las partes
Respecto de los datos personales incorporados por el Cliente:
- El Cliente actuará como responsable del tratamiento, cuando determine sus finalidades y medios esenciales.
- El Proveedor actuará como encargado del tratamiento, siguiendo las instrucciones documentadas del Cliente.
Si el Cliente actúa como encargado por cuenta de otra entidad, el Proveedor actuará como subencargado. En ese caso, el Cliente deberá contar con las autorizaciones necesarias para contratarlo y transmitir instrucciones válidas.
El Proveedor podrá actuar como responsable independiente respecto de los datos necesarios para administrar su relación contractual, facturación, obligaciones legales y otras finalidades propias debidamente informadas. Esos tratamientos se describen en su Política de Privacidad y quedan fuera de las instrucciones de este DPA.
3. Definiciones
Para este Acuerdo:
- Datos personales del Cliente: información relativa a personas identificadas o identificables que el Proveedor trata por cuenta del Cliente.
- Tratamiento: cualquier operación sobre esos datos, como recopilación, almacenamiento, consulta, organización, transmisión, modificación o eliminación.
- Subencargado: tercero contratado por el Proveedor para realizar parte del tratamiento por cuenta del Cliente.
- Incidente de datos personales: violación de seguridad que ocasione destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales.
- Legislación aplicable: normas de protección de datos que correspondan a cada tratamiento según las circunstancias y jurisdicciones involucradas.
La descripción de los tratamientos figura en el Anexo I.
4. Instrucciones documentadas
El Proveedor tratará los datos únicamente conforme a:
- Este Acuerdo.
- El contrato de servicio.
- Las configuraciones y acciones realizadas por los usuarios autorizados.
- Las instrucciones adicionales acordadas por escrito.
Las instrucciones deberán ser lícitas y compatibles con el servicio contratado.
El Proveedor no utilizará los datos del Cliente para publicidad propia, venta de información ni entrenamiento de modelos de inteligencia artificial de propósito general.
Si considera que una instrucción infringe la legislación aplicable, lo comunicará al Cliente y podrá suspender su ejecución mientras se aclara la situación, en la medida permitida por la ley.
Si una obligación legal exige un tratamiento distinto, el Proveedor informará al Cliente antes de realizarlo, salvo que esté legalmente prohibido.
5. Obligaciones del Cliente
El Cliente deberá:
- Contar con una base legal válida para cada tratamiento.
- Proporcionar los avisos de privacidad correspondientes.
- Obtener los consentimientos necesarios.
- Incorporar únicamente datos pertinentes para las finalidades autorizadas.
- Mantener información razonablemente exacta y actualizada.
- Administrar los permisos de sus usuarios.
- Proteger sus credenciales y cuentas conectadas.
- Atender las solicitudes de los titulares, con la asistencia que corresponda al Proveedor.
- Verificar que sus instrucciones y comunicaciones sean lícitas.
El Cliente no deberá incorporar categorías especiales de datos, datos de menores u otra información de especial protección fuera del alcance expresamente acordado en el Anexo I.
Si se detecta información no prevista, las partes coordinarán su tratamiento, restricción o eliminación conforme a la ley.
Estas obligaciones no eximen al Proveedor de sus propias responsabilidades.
6. Obligaciones del Proveedor y confidencialidad
El Proveedor deberá:
- Limitar el acceso a quienes lo necesiten para prestar el servicio.
- Sujetar a las personas autorizadas a obligaciones de confidencialidad.
- Aplicar las medidas de seguridad acordadas.
- Mantener controles sobre sus subencargados.
- Colaborar en la atención de derechos e incidentes.
- Facilitar información para demostrar el cumplimiento de este Acuerdo.
- Devolver o eliminar los datos conforme a las condiciones acordadas.
La confidencialidad continuará después de finalizar el servicio mientras la información conserve ese carácter y durante los periodos exigidos por la ley.
7. Medidas de seguridad
El Proveedor aplicará medidas técnicas y organizativas apropiadas al riesgo, considerando la naturaleza de los datos, el alcance del tratamiento y las posibles consecuencias para las personas.
Las medidas concretas se describen en el Anexo II.
El Proveedor evaluará y actualizará esas medidas cuando resulte necesario. No reducirá sustancialmente el nivel de protección acordado durante la vigencia del tratamiento.
El Cliente deberá aplicar las medidas que le correspondan, especialmente respecto de usuarios, dispositivos, permisos e integraciones bajo su control.
Este Acuerdo no implica una garantía de seguridad absoluta ni sustituye la verificación de los controles efectivamente implementados.
8. Subencargados
El Cliente autoriza a los subencargados identificados y aprobados en el Anexo III.
El Proveedor deberá:
- Evaluar sus garantías de protección de datos.
- Formalizar obligaciones contractuales apropiadas.
- Limitar el tratamiento a las funciones encomendadas.
- Exigir obligaciones de protección de datos equivalentes a las que correspondan conforme a este Acuerdo y a la legislación aplicable.
El Proveedor seguirá siendo responsable frente al Cliente por las obligaciones de tratamiento que encomiende a sus subencargados, en los términos exigidos por la ley.
Cambios de subencargados
El Proveedor notificará por escrito las incorporaciones o sustituciones con una anticipación mínima de [Plazo].
El Cliente podrá presentar una objeción razonada relacionada con la protección de datos dentro de [Plazo]. Los plazos deberán permitir examinar y resolver la objeción antes de iniciar el nuevo tratamiento.
Las partes procurarán una alternativa razonable. Si no se alcanza una solución, acordarán la suspensión o terminación de la parte afectada del servicio y sus consecuencias contractuales.
9. Integraciones e inteligencia artificial
Las funciones contratadas pueden requerir tratar información mediante proveedores de correo, infraestructura, autenticación o inteligencia artificial.
Antes de autorizar una función, deberán identificarse:
- Su finalidad.
- Los datos que utiliza.
- El proveedor que interviene.
- La ubicación y las condiciones de tratamiento.
- El mecanismo de transferencia internacional, si corresponde.
Cuando se utilicen funciones de IA, el contenido enviado podrá incluir mensajes, instrucciones e información empresarial necesarios para generar borradores, resúmenes o sugerencias.
El Proveedor no permitirá que los datos personales del Cliente se utilicen para entrenar modelos de propósito general. Las condiciones de los proveedores utilizados deberán ser compatibles con esta obligación antes de habilitar ese tratamiento.
Las integraciones contratadas directamente por el Cliente podrán estar sujetas a una relación contractual propia. No se considerará automáticamente subencargado del Proveedor a todo servicio que el Cliente conecte.
10. Transferencias internacionales
El Proveedor informará las ubicaciones relevantes de tratamiento y acceso en el Anexo III.
Cuando exista una transferencia internacional sujeta a restricciones legales, las partes identificarán y formalizarán el mecanismo válido antes de realizarla.
Según corresponda, podrá requerirse una decisión de adecuación, cláusulas contractuales tipo, una adenda u otra garantía reconocida por la legislación aplicable.
La firma de este DPA no incorpora automáticamente cláusulas contractuales tipo ni acredita que una transferencia esté autorizada.
Mecanismo aplicable y documentación complementaria: [Completar o indicar justificadamente que no corresponde].
11. Solicitudes de titulares
El Proveedor asistirá al Cliente, considerando la naturaleza del tratamiento y la información disponible, para atender solicitudes de acceso, rectificación, eliminación, oposición, limitación, portabilidad u otros derechos aplicables.
Si recibe directamente una solicitud relativa a datos tratados por cuenta del Cliente:
- La remitirá al contacto designado sin demora injustificada.
- No decidirá sobre su procedencia por cuenta propia, salvo instrucción válida u obligación legal.
- Preservará los plazos y la información necesarios para que pueda atenderse.
Las partes verificarán la identidad del solicitante de forma proporcional y evitarán solicitar documentos o información innecesarios.
Canal de coordinación: [Correo].
12. Incidentes de datos personales
El Proveedor notificará al Cliente sin dilación indebida desde que tenga conocimiento de un incidente que afecte a sus datos personales.
Plazo máximo contractual de notificación, si se acuerda: [Plazo realista].
La notificación inicial no se retrasará únicamente por no contar con todos los detalles. La información podrá completarse progresivamente.
Cuando esté disponible, se comunicará:
- Naturaleza del incidente.
- Fecha o periodo aproximado.
- Categorías de datos y personas afectadas.
- Volumen aproximado, si se conoce.
- Posibles consecuencias.
- Medidas adoptadas o propuestas.
- Contacto para seguimiento.
El Proveedor adoptará medidas razonables para contener el incidente, investigarlo, preservar evidencia y reducir sus efectos.
El Cliente determinará las notificaciones a autoridades o titulares que le correspondan como responsable, con la asistencia del Proveedor. Cada parte cumplirá también sus obligaciones legales propias.
Los plazos legales de notificación a autoridades no deben confundirse con el plazo de aviso entre Proveedor y Cliente.
13. Evaluaciones y consultas
El Proveedor prestará asistencia razonable al Cliente para:
- Evaluar riesgos relacionados con el servicio.
- Realizar evaluaciones de impacto cuando sean exigibles.
- Atender consultas previas con autoridades.
- Responder requerimientos vinculados con el tratamiento.
La asistencia considerará la naturaleza del servicio y la información disponible.
Condiciones de asistencia extraordinaria y costos, si existen: [Definir].
Cualquier costo deberá ser transparente, razonable y acordado cuando corresponda. No podrá utilizarse para impedir el cumplimiento de obligaciones legales.
14. Información y auditorías
El Proveedor facilitará información razonablemente necesaria para demostrar el cumplimiento de este DPA y permitirá las auditorías o inspecciones exigibles conforme a la legislación aplicable.
Podrán utilizarse primero documentos, evidencias técnicas o informes existentes cuando resulten suficientes. No se presumirá la existencia de certificaciones que no hayan sido obtenidas.
Las revisiones se coordinarán para proteger:
- Los datos de otros clientes.
- La confidencialidad de terceros.
- Las credenciales y secretos de seguridad.
- La continuidad del servicio.
Las condiciones de aviso, alcance, auditor independiente y costos se definirán en [Procedimiento o anexo], sin impedir las facultades legales del Cliente o de las autoridades.
15. Devolución y eliminación
Al finalizar el tratamiento, el Cliente podrá elegir la devolución o eliminación de sus datos, salvo obligación legal de conservación.
Las condiciones serán:
- Canal para comunicar la elección: [Canal].
- Plazo para solicitar devolución: [Plazo].
- Formato y alcance de entrega: [Formato y datos incluidos].
- Plazo de eliminación de sistemas activos: [Plazo].
- Periodo de rotación de respaldos: [Plazo].
- Evidencia de eliminación disponible: [Descripción].
Los datos conservados por obligación legal permanecerán protegidos y no se utilizarán para finalidades incompatibles.
Las copias de respaldo pendientes de eliminación quedarán sujetas a restricciones de uso y a su ciclo de conservación. Si se restauran, deberán reaplicarse las instrucciones de eliminación pertinentes.
Los plazos deberán ser coherentes con el contrato y la Política de Privacidad.
16. Requerimientos de autoridades
Si una autoridad solicita acceso a datos del Cliente, el Proveedor evaluará la validez y el alcance del requerimiento y limitará la entrega a lo legalmente exigible.
Informará al Cliente cuando esté permitido y colaborará razonablemente en la protección de sus derechos.
Este apartado no obliga a incumplir una orden legal ni permite divulgaciones voluntarias ajenas a las finalidades autorizadas.
17. Vigencia, incumplimientos y responsabilidad
Este Acuerdo permanecerá vigente mientras el Proveedor trate datos personales por cuenta del Cliente, incluidas las etapas de devolución, eliminación o conservación legal.
Las partes comunicarán los incumplimientos relevantes y adoptarán medidas correctivas.
Si no puede mantenerse un tratamiento conforme a la ley, se suspenderá la operación afectada o se acordará su terminación.
Las reglas de responsabilidad del contrato principal serán aplicables únicamente en la medida permitida por la legislación. No limitarán derechos de los titulares ni obligaciones que legalmente no puedan excluirse.
Ley aplicable y mecanismo de resolución de controversias: [Completar].
18. Aceptación
Las partes aceptan este Acuerdo y sus anexos mediante firma o mediante el mecanismo de aceptación electrónica que identifique la versión y permita conservar evidencia.
Por el Cliente
Nombre o razón social: [Nombre]
Representante: [Nombre y cargo]
Firma o mecanismo de aceptación: [Completar]
Fecha: [Fecha]
Por el Proveedor
Nombre o razón social: [Nombre legal]
Representante: [Nombre y cargo]
Firma o mecanismo de aceptación: [Completar]
Fecha: [Fecha]
Anexo I. Descripción del tratamiento
A. Objeto y finalidades
Prestación de las funciones de Altezza Inbox contratadas por el Cliente, que pueden comprender:
- Gestión de contactos y conversaciones.
- Recepción y administración de formularios.
- Sincronización y envío de correo mediante integraciones autorizadas.
- Notas, asignaciones y seguimiento comercial.
- Recordatorios y notificaciones.
- Generación de borradores, resúmenes y sugerencias mediante IA, cuando esté habilitada.
Funciones concretas autorizadas: [Completar].
B. Operaciones
Recopilación, recepción, almacenamiento, organización, consulta, modificación, recuperación, transmisión y eliminación, en la medida necesaria para las finalidades autorizadas.
C. Categorías de personas
Según el uso del Cliente:
- Contactos y prospectos.
- Clientes y representantes de empresas.
- Personas que envían formularios.
- Remitentes y destinatarios de mensajes.
- Colaboradores cuyos datos aparezcan en el contenido gestionado.
Categorías adicionales o exclusiones: [Completar].
D. Categorías de datos
- Nombres y datos de contacto.
- Identificadores empresariales o de cuenta.
- Contenido de mensajes y formularios.
- Metadatos de comunicaciones.
- Notas, etiquetas, asignaciones e historial comercial.
- Instrucciones y contenido empresarial que incluyan datos personales.
Datos adicionales autorizados: [Completar].
E. Datos especialmente protegidos
Categorías autorizadas y garantías adicionales: [Definir o indicar que no forman parte del alcance contratado].
No deberá asumirse que el servicio está preparado para información sanitaria, biométrica, financiera sensible, de menores u otras categorías especiales sin una evaluación y acuerdo específicos.
F. Duración y frecuencia
Duración: [Periodo contractual y conservación posterior].
Frecuencia: [Continua, periódica o según acciones autorizadas].
Anexo II. Medidas técnicas y organizativas
Este anexo debe describir controles realmente implementados. Las medidas pendientes no deben presentarse como operativas ni como garantías existentes.
| Área | Medida efectiva y alcance |
|---|---|
| Autenticación | [Mecanismos utilizados y condiciones de acceso] |
| Autorización | [Roles, permisos y restricciones] |
| Separación de clientes | [Controles de aislamiento y verificación] |
| Acceso del personal | [Autorización, revisión y retirada de permisos] |
| Confidencialidad | [Compromisos y formación aplicables] |
| Seguridad en tránsito | [Protocolos y cobertura verificados] |
| Seguridad del almacenamiento | [Controles y cifrado, si están verificados] |
| Credenciales y secretos | [Gestión y protección] |
| Registros de seguridad | [Eventos registrados y conservación] |
| Respaldos | [Frecuencia, ubicación, acceso y retención] |
| Restauración | [Procedimiento y validaciones] |
| Actualizaciones | [Gestión de vulnerabilidades y cambios] |
| Incidentes | [Detección, respuesta y notificación] |
| Eliminación | [Sistemas activos, respaldos y evidencias] |
| Proveedores | [Evaluación y condiciones contractuales] |
Responsable de mantener este anexo: [Área o persona].
Fecha de última revisión: [Fecha].
Anexo III. Subencargados y ubicaciones
La siguiente es una lista de trabajo. Antes de aprobarla, deben confirmarse la entidad contratante, el rol, los países, las funciones habilitadas y las condiciones contractuales de cada proveedor.
| Proveedor candidato | Función | Datos involucrados | Entidad legal, ubicaciones y garantías |
|---|---|---|---|
| Replit | Infraestructura, alojamiento, base de datos o almacenamiento | Datos alojados en el servicio | [Confirmar] |
| Clerk | Autenticación y sesiones | Identificación y acceso | [Confirmar] |
| Anthropic | Funciones de IA autorizadas | Contenido e instrucciones enviados para procesamiento | [Confirmar] |
| Resend | Comunicaciones habilitadas | Destinatarios y contenido de los mensajes enviados | [Confirmar] |
Subencargados efectivamente aprobados: [Identificar expresamente].
Google/Gmail y Stripe deberán clasificarse según la relación contractual y el tratamiento concreto. No se incorporarán automáticamente como subencargados para todas sus actividades.
Registro de integraciones contratadas directamente por el Cliente: [Completar].
Mecanismos de transferencia internacional aplicables: [Completar por proveedor y tratamiento].
Canal de aviso de cambios: [Correo o ubicación accesible al Cliente].