Anexo de Encargo de Tratamiento

Quién es quién

1. El Cliente es el responsable del tratamiento: decide qué datos entran a la plataforma, para qué, y responde frente a los titulares.
2. [RAZÓN SOCIAL] es el encargado: trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones del Cliente.
3. Las instrucciones documentadas del Cliente son estos Términos, este Anexo y lo que el Cliente configure dentro de la plataforma. Cualquier instrucción adicional se pacta por escrito.
4. Si el encargado considera que una instrucción infringe la ley, lo advertirá al Cliente y podrá suspender su ejecución.

Objeto, duración y alcance

Obligaciones del encargado

1. Tratar los datos solo para prestar el servicio, nunca para fines propios, y no cederlos a terceros fuera de lo previsto acá.
2. No usar los datos para entrenar modelos propios ni de terceros.
3. Mantener confidencialidad, y exigirla por escrito a todo el personal con acceso, incluso después de terminada su relación.
4. Limitar el acceso a quien lo necesite para su función, y registrarlo en bitácora.
5. Aplicar las medidas de seguridad de la cláusula 5 y revisarlas periódicamente.
6. Asistir al Cliente, dentro de lo razonable, cuando un titular ejerza sus derechos o cuando el Cliente deba responder a una autoridad.
7. Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento de este Anexo.

Subencargados

1. El Cliente autoriza de forma general el uso de los subencargados que figuran en la Política de Privacidad, que se mantiene actualizada.
2. Antes de incorporar uno nuevo o sustituir uno existente, el encargado lo avisará con al menos treinta (30) días de anticipación.
3. El Cliente puede oponerse por motivo razonable y fundado. Si la objeción no se resuelve, puede terminar el servicio sin penalidad.
4. El encargado impone a cada subencargado obligaciones equivalentes a las de este Anexo y responde frente al Cliente por lo que ese subencargado haga.

Medidas de seguridad

• Aislamiento por organización impuesto por el motor de base de datos, además del control de la aplicación. Una consulta sin organización en contexto devuelve cero filas, nunca todas.
• La aplicación corre con un usuario de base de datos sin privilegios de superusuario y se niega a arrancar si detecta lo contrario.
• Cifrado en tránsito (TLS) y en los respaldos.
• Contraseñas con bcrypt; credenciales de sesión en cookies inaccesibles desde JavaScript.
• Bitácora de accesos y de cambios, con identificación del actor.
• Límite de intentos en el ingreso y en el registro.
• Respaldos cifrados con prueba periódica de restauración.
• Separación de ambientes: los datos de producción no se copian a desarrollo.

Violaciones de seguridad

1. El encargado avisará al Cliente sin demora indebida y a más tardar dentro de [N] horas desde que confirme un incidente que afecte datos personales bajo su encargo.
2. El aviso incluirá la naturaleza del incidente, las categorías y el volumen aproximado de datos y titulares afectados, las consecuencias probables y las medidas adoptadas.
3. La notificación a la autoridad y a los titulares la hace el Cliente, por ser el responsable. El encargado le dará el apoyo que necesite.

Devolución y supresión

1. Terminado el servicio, el Cliente puede exportar su información durante treinta (30) días.
2. Vencido ese plazo, el encargado suprime los datos de los sistemas activos, salvo lo que deba conservar por obligación legal, que queda bloqueado y solo accesible para ese fin.
3. Las copias en respaldos se eliminan con la rotación normal, en un plazo máximo de [N] días.
4. A solicitud, el encargado emite constancia escrita de la supresión.

Auditoría

1. El Cliente puede verificar el cumplimiento de este Anexo una vez al año, con aviso de al menos treinta (30) días.
2. La verificación se hace por cuestionario documentado o, si el Cliente lo justifica, por un auditor independiente sujeto a confidencialidad y no competidor del encargado.
3. La auditoría no puede comprometer la confidencialidad ni la seguridad de otros clientes, ni acceder a sus datos.
4. Los costos del auditor los asume el Cliente, salvo que la revisión revele un incumplimiento material del encargado.

Transferencias internacionales

Parte de la infraestructura está fuera de El Salvador. El encargado se obliga a que toda transferencia cuente con un mecanismo válido conforme a la ley aplicable y a informar al Cliente de dónde se alojan sus datos. [CONFIRMAR con abogado el mecanismo exigible y si hace falta cláusula tipo, autorización previa o consentimiento del titular.]

Cómo se suscribe

Este Anexo aplica por referencia a todo Cliente desde la aceptación de los Términos. El Cliente que necesite un ejemplar firmado —porque su área legal o su propio cliente se lo exige— lo pide a avisos@marvinn.io y se emite con los datos de ambas Partes.