Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos (“Acuerdo”) forma parte de los Términos del Servicio de Selfware entre Jara Service Group LLC, c/o Republic Registered Agent LLC, 262 Chapman Rd, Suite 240, Newark, DE 19702, EE. UU. (“Encargado”, “nosotros”) y el cliente empresa que acepta esos Términos (“Cliente”, “tú”). Se aplica siempre que tratamos datos personales por tu cuenta al prestar Narratia, Sitekeeper o trabajos de estudio.

1. Roles y términos

1.1 Tú eres el responsable del tratamiento de los datos personales descritos en el Anexo 1. Nosotros somos tu encargado.

1.2 “Datos personales”, “tratamiento”, “titular” e “incidente de seguridad” tienen el sentido que les da la ley de protección de datos aplicable al tratamiento, incluidas, según corresponda: en Chile, la Ley 19.628 y, desde el 1 de diciembre de 2026, la Ley 21.719; en México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025); en Colombia, la Ley 1581 de 2012 y el Decreto 1074 de 2015; en Argentina, la Ley 25.326; en Brasil, la Ley 13.709 (LGPD); y las leyes estatales de EE. UU. aplicables (“Ley de Protección de Datos”).

2. Instrucciones

2.1 Tratamos los datos personales solo según tus instrucciones documentadas: estos Términos, este Acuerdo, tu configuración en el producto y las solicitudes que haces a través de él (por ejemplo, un estudio que lanzas o un cambio que confirmas). No los tratamos para fines propios, no los vendemos y no los usamos para entrenar modelos de IA propios. Nuestros proveedores de IA los tratan en las condiciones descritas en el Anexo 3.

2.2 Si creemos que una instrucción infringe la Ley de Protección de Datos, te lo decimos y podemos suspender esa instrucción.

2.3 Si la ley nos obliga a tratar los datos de otra forma, te avisamos antes, salvo que la ley lo prohíba.

3. Tus obligaciones

Confirmas que tienes una base legal para el tratamiento, que das a los titulares los avisos que exige la ley (en Narratia, el aviso al participante se muestra antes de cada entrevista; en las reservas de Sitekeeper, el aviso de privacidad de tu propio sitio) y que no nos envías datos sensibles ni datos de menores de 18 años, salvo que lo hayamos acordado por escrito.

4. Confidencialidad

Todas las personas de nuestra empresa y de nuestros proveedores que pueden acceder a los datos personales están obligadas a guardar confidencialidad.

5. Seguridad

Aplicamos las medidas técnicas y organizativas del Anexo 2 y las mantenemos a un nivel adecuado al riesgo.

6. Proveedores

6.1 Nos autorizas a usar los proveedores del Anexo 3.

6.2 Cada proveedor está obligado por sus condiciones escritas, que incluyen obligaciones de protección de datos. Cuando esas condiciones le permiten usar el contenido para mejorar sus propios modelos, el Anexo 3 lo indica. Seguimos siendo responsables ante ti por nuestros proveedores.

6.3 Avisamos con al menos 15 días de antelación (por correo y actualizando el Anexo 3) antes de agregar o reemplazar un proveedor. Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo; si no podemos resolver la objeción, puedes terminar el producto afectado y te devolvemos lo pagado por adelantado por el período o los créditos que no puedas usar. Cuando la ley que te aplica exige una autorización específica y por escrito para cada proveedor, el Anexo 3 es esa autorización para los proveedores indicados, y te pedimos tu autorización por escrito antes de agregar uno nuevo.

7. Transferencias internacionales

7.1 Los datos personales se guardan en servidores en Helsinki, Finlandia, y nuestros proveedores pueden tratarlos en Estados Unidos y en los otros países indicados en el Anexo 3.

7.2 Cuando la Ley de Protección de Datos exija una garantía específica para una transferencia (por ejemplo, las cláusulas contractuales tipo aprobadas por la autoridad argentina o el contrato de transmisión que exige la ley colombiana), este Acuerdo junto con el Anexo 4 es esa garantía, y firmaremos cualquier formulario adicional que exija la ley.

8. Ayuda con las solicitudes de los titulares

8.1 Si un titular nos contacta directamente, te trasladamos la solicitud sin demora indebida y no la respondemos nosotros, salvo que nos lo pidas.

8.2 Te ayudamos a responder solicitudes de acceso, rectificación, supresión, oposición, portabilidad o revocación del consentimiento, con las herramientas del producto (por ejemplo, eliminar una entrevista o una reserva) o a pedido tuyo en support@selfwarehq.com.

9. Incidentes de seguridad

Te avisamos sin demora indebida, y en todo caso dentro de las 48 horas desde que tengamos conocimiento de un incidente de seguridad que afecte tus datos personales. Te describimos lo ocurrido, los datos y las personas probablemente afectados, las consecuencias probables y las medidas adoptadas, y te ayudamos con cualquier notificación que debas hacer a una autoridad o a los titulares.

10. Colaboración

Te damos la información razonablemente necesaria para realizar una evaluación de impacto o consultar a una autoridad sobre el tratamiento de este Acuerdo.

11. Supresión y devolución

11.1 Los datos personales se conservan durante los plazos del Anexo 1 y luego se eliminan.

11.2 Cuando termina el producto, o antes si nos lo indicas, eliminamos los datos personales, salvo que la ley nos obligue a conservarlos. Antes de la eliminación puedes exportar o copiar lo que el producto permita. Las copias de seguridad se eliminan dentro de 30 días.

12. Auditorías

Ponemos a tu disposición la información necesaria para demostrar el cumplimiento de este Acuerdo. Una vez al año, o después de un incidente de seguridad, puedes pedir un cuestionario de auditoría por escrito; una auditoría presencial, si la ley la exige, se hace con 30 días de aviso, en horario laboral, a tu cargo y bajo confidencialidad.

13. Responsabilidad y vigencia

La responsabilidad en virtud de este Acuerdo está sujeta a la sección 13 de los Términos, salvo cuando la Ley de Protección de Datos no permita limitarla. Este Acuerdo dura mientras tratemos datos personales por tu cuenta.

Anexo 1 — Descripción del tratamiento

Anexo 2 — Medidas de seguridad

• Servidores en un centro de datos de Hetzner en Helsinki, Finlandia; acceso a los servidores solo con llaves SSH, sin acceso por contraseña.
• Cifrado en tránsito (HTTPS/TLS) para todo el tráfico de los productos.
• Accesos a sitios y tokens de calendario guardados cifrados (cifrado simétrico, con la llave fuera de la base de datos).
• Acceso a los datos del cliente limitado a las personas y sistemas que lo necesitan para prestar el servicio.
• Cada cambio en el sitio del cliente hecho con Sitekeeper queda registrado con “antes” y “después” y se puede deshacer.
• Los enlaces de participante son personales, vencen a los 30 días y se pueden revocar.
• Los registros se guardan sin el cuerpo de los mensajes cuando es posible.
• Las copias de la base de datos hechas antes de actualizar el software se eliminan dentro de 30 días.

Anexo 3 — Proveedores

Telegram no es nuestro proveedor: si tú o tus clientes usan nuestro bot de Telegram, Telegram Messenger Inc. trata esos mensajes como un servicio independiente, según su propia política de privacidad.

Anexo 4 — Cláusulas de transferencia

Para las transferencias de datos personales sujetas a la ley argentina, las partes incorporan las cláusulas contractuales tipo para transferencias internacionales entre responsable y encargado aprobadas por la autoridad argentina de protección de datos (AAIP, Resolución 198/2023), con los Anexos 1 a 3 de este Acuerdo como sus anexos. Para las transferencias sujetas a la ley colombiana, este Acuerdo es el contrato de transmisión del Decreto 1074 de 2015 (artículo 2.2.2.25.5.2). Para las transferencias sujetas a la ley chilena, las partes firmarán, a pedido, las cláusulas contractuales tipo aprobadas conforme a la Ley 21.719 (Resolución Exenta 202503748 del Ministerio de Economía) o las que adopte después la Agencia de Protección de Datos Personales. Para las transferencias sujetas a la ley mexicana o brasileña, este Acuerdo establece las garantías que ofrece el encargado.