Acuerdo de Procesamiento de Datos
Este Acuerdo de Procesamiento de Datos (DPA) se realiza de conformidad con el Artículo 28 del Reglamento General de Protección de Datos (RGPD) y forma parte de los Términos de Servicio. Regula el procesamiento de datos personales por ClientFlow en nombre de nuestros clientes.
Versión 2.0 | Última actualización: Diciembre 2024
1. Partes
Responsable del Tratamiento
Tú, el cliente (la entidad que determina los fines y medios del procesamiento)
Encargado del Tratamiento
ClientFlow (procesa datos personales en tu nombre)
1.1 Alcance del Procesamiento
Este DPA se aplica al procesamiento de datos personales cuando:
- ClientFlow procesa datos personales en nombre del Responsable como parte de la prestación del Servicio
- El procesamiento se relaciona con la gestión de las relaciones con clientes del Responsable
- Los interesados son los clientes y contactos comerciales del Responsable
Actividades de Procesamiento
- Almacenamiento y organización de información de contacto de clientes
- Registro y seguimiento de transacciones de pago
- Envío de comunicaciones autorizadas (recordatorios, notificaciones)
- Generación de análisis e informes basados en datos agregados
2. Categorías de Datos
| Categoría | Ejemplos | Propósito |
|---|---|---|
| Datos de Cuenta | Correo electrónico, nombre, foto de perfil | Acceso al servicio |
| Datos de Clientes | Nombres de clientes, teléfonos, correos | Funcionalidad CRM |
| Registros de Pago | Cantidades, fechas, estados | Seguimiento de pagos |
| Datos de Uso | Tiempos de inicio de sesión, uso de funciones | Seguridad, mejora |
3. Obligaciones del Encargado
Nosotros:
- Procesaremos datos solo según tus instrucciones documentadas
- Garantizaremos que el personal esté sujeto a confidencialidad
- Implementaremos medidas de seguridad apropiadas
- Asistiremos con solicitudes de interesados
- Te notificaremos de brechas de datos dentro de las 72 horas
- Eliminaremos datos tras la terminación (después del período de retención)
4. Medidas de Seguridad
Técnicas
- TLS 1.3 (tránsito)
- AES-256 (reposo)
- Autenticación OAuth 2.0
- Control de acceso basado en roles
- Monitoreo en tiempo real
Organizacionales
- Prácticas escritas de seguridad y tratamiento de datos
- Procedimiento de respuesta a incidentes
- Revisiones de proveedores y subencargados
- Obligaciones de confidencialidad para cualquier persona con acceso a los datos
- Gestión de cambios para sistemas de producción
5. Subencargados
Utilizamos los siguientes subencargados autorizados:
| Proveedor | Servicio | Ubicación | Mecanismo de transferencia |
|---|---|---|---|
| Hetzner Cloud | Infraestructura en la nube y alojamiento | Frankfurt, Germany | Tratado dentro de la UE/EEE |
| Vercel | Alojamiento y entrega del frontend | Frankfurt, Germany (FRA1) | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Cloudflare | Entrega de contenidos y almacenamiento de archivos | Global edge network (EU primary storage) | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| iyzico | Procesamiento de pagos | Istanbul, Turkey | Cláusulas Contractuales Tipo (aún no en vigor) |
| Resend | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo |
| Sentry | Supervisión de errores y diagnóstico | United States | Cláusulas Contractuales Tipo |
| Google (OAuth, Analytics) | Inicio de sesión y autenticación | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Firebase Cloud Messaging | Notificaciones push | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| WhatsApp Business API | Mensajería de WhatsApp | Ireland (contracting) + global (Meta infrastructure) | Cláusulas Contractuales Tipo |
| Apple (Sign in with Apple) | Inicio de sesión y autenticación | United States | Cláusulas Contractuales Tipo |
| Anthropic (Claude) | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| OpenAI | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Groq | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
Cambios en Subencargados
Te notificaremos de cualquier cambio previsto en los subencargados:
- Aviso previo de al menos 14 días antes de agregar o reemplazar subencargados
- Notificación por correo electrónico a tu dirección de correo de cuenta registrada
- Puedes objetar los cambios dentro de 14 días contactándonos
- Si tu objeción no puede resolverse, puedes dar por terminados los servicios afectados
5.1 Derechos de Auditoría
El Responsable tiene derecho a verificar el cumplimiento de este DPA:
- Solicitar documentación y certificaciones relevantes
- Realizar auditorías con al menos 30 días de aviso por escrito
- Las auditorías se realizarán durante el horario comercial normal
- El auditor debe firmar un acuerdo de confidencialidad
Alcance de la Auditoría
- Medidas de seguridad y salvaguardas técnicas
- Cumplimiento de subencargados
- Procedimientos de manejo de datos
- Capacidades de respuesta a incidentes
Los costos de las auditorías correrán a cargo del Responsable, a menos que la auditoría revele un incumplimiento material.
6. Retención y Eliminación de Datos
Conservamos los datos personales únicamente durante el tiempo necesario para los fines descritos, o según lo exija la ley aplicable (por ejemplo, la Ley de Procedimiento Fiscal turca y el Código de Comercio turco, que exigen la conservación de registros contables y comerciales hasta 10 años).
| Cronología | Acción |
|---|---|
| A solicitud de eliminación de la cuenta | Los datos activos de los clientes se eliminan o anonimizan en un plazo de 30 días Las facturas, recibos y presupuestos que emites a tus propios clientes son tus registros: se eliminan con tu cuenta tras el periodo de gracia de 30 días. |
| Hasta 10 años | Los registros contables propios de ClientFlow sobre tu suscripción (nuestras facturas a ti), anonimizados tras el borrado de la cuenta, se conservan mientras lo exija la legislación fiscal y mercantil. |
| Al finalizar | Los datos personales se devuelven o eliminan en un plazo de 30 días, salvo que existan obligaciones legales de conservación |
7. Disposiciones CCPA
Bajo CCPA, actuamos como "Proveedor de Servicios" y:
- Procesamos datos solo para fines comerciales especificados
- No vendemos información personal
- Asistimos con solicitudes de derechos del consumidor
- Implementamos medidas de seguridad razonables
8. Notificación de Violación de Datos
En caso de una violación de datos personales, nos comprometemos a lo siguiente:
Cronograma de Notificación
- Notificarte dentro de las 72 horas de conocer una violación
- Proporcionar una evaluación inicial del alcance e impacto de la violación
- Entregar una notificación escrita detallada dentro de 5 días hábiles
Contenido de la Notificación
- Naturaleza de la brecha, incluyendo las categorías y el número aproximado de interesados afectados
- Datos de contacto de privacidad para preguntas de seguimiento
- Descripción de las consecuencias probables de la brecha
- Medidas adoptadas o propuestas para abordar la brecha
- Medidas para mitigar posibles efectos adversos
Cooperaremos plenamente con tu investigación y cualquier consulta regulatoria, y asistiremos con las notificaciones de violación a las autoridades supervisoras y los interesados afectados según lo requiera la ley aplicable.
9. Transferencias Internacionales de Datos
Cuando los datos personales se transfieren fuera del Espacio Económico Europeo (EEE), garantizamos salvaguardas apropiadas:
Mecanismos de Transferencia
Decisiones de Adecuación de la UE
Transferencias a países considerados adecuados por la Comisión Europea
Marco de Privacidad de Datos UE-EE.UU.
Para procesadores con sede en EE.UU. certificados bajo el DPF
Cláusulas Contractuales Estándar (CCE)
Cláusulas aprobadas por la Comisión UE (versión 2021) para otras transferencias
Realizamos evaluaciones de impacto de transferencias cuando sea necesario e implementamos medidas complementarias (técnicas, organizativas y contractuales) cuando sea necesario para garantizar un nivel de protección esencialmente equivalente.
Puedes solicitar copias de los mecanismos de transferencia relevantes bajo petición.
10. Responsabilidad e Indemnización
Responsabilidad del Encargado
ClientFlow será responsable de los daños causados por el procesamiento que no cumpla con este DPA o cuando hayamos actuado fuera o en contra de las instrucciones legales del Responsable.
Responsabilidad del Responsable
El Responsable será responsable de los daños causados por el procesamiento que viole la ley de protección de datos aplicable o no cumpla con las obligaciones del Responsable bajo este DPA.
Limitaciones
- Ninguna parte será responsable de daños indirectos, incidentales o consecuentes
- La responsabilidad total agregada bajo este DPA está limitada a las tarifas pagadas en los 12 meses anteriores a la reclamación
- Estas limitaciones no se aplican a violaciones de confidencialidad, mala conducta intencional o negligencia grave
Cada parte se compromete a indemnizar a la otra contra reclamaciones de terceros que surjan del incumplimiento de este DPA o de las leyes de protección de datos aplicables por la parte indemnizadora.
11. Terminación y Devolución de Datos
Duración
Este DPA permanece vigente durante la duración del Acuerdo de Servicio y mientras procesemos datos personales en tu nombre.
Tras la Terminación
- A tu elección, devolveremos o eliminaremos todos los datos personales dentro de 30 días
- Puedes solicitar la exportación de datos en un formato de uso común y legible por máquina
- Certificaremos la eliminación bajo petición
- Los datos pueden conservarse cuando lo requiera la ley aplicable
Las secciones relacionadas con confidencialidad, responsabilidad y derechos de protección de datos sobrevivirán a la terminación de este DPA.