Acuerdo de encargo del tratamiento (DPA)
Última revisión legal: [pendiente: fecha de revisión por abogado].
Este acuerdo regula el tratamiento de datos personales que [pendiente: razón social de Alzantia] («Encargado», RNC [pendiente: RNC], domicilio [pendiente: domicilio]) realiza por cuenta de la organización cliente («Responsable») al prestar Cofrely. Se basa en el art. 28 del RGPD y en la Ley 172-13 de República Dominicana. En los planes distintos de Empresa se entiende aceptado al aceptar los Términos de servicio; en el plan Empresa puede formalizarse como documento firmado por separado [pendiente: procedimiento de firma].
1. Objeto y duración
Alojamiento y sincronización del contenido que el Responsable guarda en Cofrely (notas, fichas, tareas, adjuntos, datos de equipo). Dura mientras el Responsable use el servicio.
2. Naturaleza del tratamiento
- El Responsable decide qué datos introduce y es responsable de su licitud, de informar a los interesados y de su base legal.
- El contenido de espacios de clientes se sella de extremo a extremo en el dispositivo: el Encargado lo almacena cifrado y no puede leerlo. Es opaco para el Encargado, que no puede acceder, corregir ni suprimir su contenido individual; el Responsable lo hace desde la aplicación.
- Categorías de interesados y de datos: las que el Responsable introduzca (por ejemplo, clientes y contactos del Responsable), más datos de las personas usuarias (correo, rol, registros de auditoría).
3. Instrucciones
El Encargado trata los datos solo para prestar el servicio y conforme a las instrucciones documentadas del Responsable (estos términos y el uso de las funciones de la aplicación). Avisará si cree que una instrucción infringe la ley.
4. Confidencialidad
El personal con acceso a datos está sujeto a obligación de confidencialidad [pendiente: confirmar medidas internas].
5. Medidas técnicas y organizativas
- Cifrado de extremo a extremo por defecto en espacios de clientes (libsodium); claves en poder del Responsable (frase personal y clave de recuperación de la organización).
- Enmascarado de datos sensibles en el dispositivo antes de cualquier envío a proveedores de IA.
- Aislamiento por organización con seguridad a nivel de fila forzada en todas las tablas; pruebas automáticas.
- Doble factor obligatorio; contraseñas con huella; cifrado en tránsito.
- Auditoría de solo inserción que registra qué cambió, nunca valores.
- Agentes/API con tokens y firma de peticiones; webhooks firmados.
- La IA es BYOK: del navegador al proveedor elegido por el Responsable, sin pasar por el Encargado, que no es encargado de ese tratamiento.
No se declara ninguna certificación de seguridad (por ejemplo, ISO 27001 o SOC 2) [pendiente: indicar solo si existen].
6. Subencargados
El Responsable autoriza con carácter general los subencargados siguientes:
| Subencargado | Función | Ubicación |
|---|---|---|
| Supabase (sobre AWS) | Base de datos, autenticación, almacenamiento | EE. UU. (us-east-1) |
| [pendiente: alojamiento] | Alojamiento de la aplicación | [pendiente] |
| [pendiente: CardNET o Azul] | Cobros (cuando se active) | República Dominicana |
El Encargado avisará de altas o cambios con [pendiente: plazo, p. ej. 30 días] de antelación; el Responsable podrá oponerse con motivo razonable y, si no hay solución, terminar el servicio. Impondrá a los subencargados obligaciones equivalentes y responderá de ellos.
7. Transferencias internacionales
Los datos se alojan en EE. UU. Para datos sujetos al RGPD se aplicará [pendiente: mecanismo de transferencia].
8. Asistencia al Responsable
El Encargado ayudará, en lo razonable, a atender solicitudes de derechos de los interesados (la exportación está en la aplicación), evaluaciones de impacto y consultas a autoridades, teniendo en cuenta que no puede leer el contenido sellado.
9. Brechas de seguridad
El Encargado notificará al Responsable sin dilación indebida y, como máximo, en 72 horas desde que tenga conocimiento de una brecha que afecte a sus datos, con la información disponible (naturaleza, datos afectados, medidas). Contacto para avisos: [pendiente: correo de seguridad].
10. Devolución y supresión
Al terminar, el Responsable puede exportar sus datos; tras la baja, el Encargado los suprimirá en [pendiente: plazo], salvo que la ley exija conservarlos. Las copias técnicas se purgan en [pendiente: plazo].
11. Auditorías
El Encargado pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con preaviso, durante horario laboral y sujetas a confidencialidad [pendiente: costes y frecuencia].
12. Responsabilidad y ley aplicable
Rigen los límites de responsabilidad, ley aplicable y jurisdicción de los Términos de servicio, sin perjuicio de lo que la normativa de protección de datos imponga. [pendiente: revisión legal]
13. Contacto del Encargado
Delegado de protección de datos / privacidad: [pendiente: correo de privacidad / DPO].