Acuerdo de Tratamiento de Datos

1. Partes, alcance e incorporación

Este Acuerdo de Tratamiento de Datos (el "DPA") forma parte de los Términos y Condiciones celebrados entre LaPyme, LLC ("LA PYME") y el Cliente. Se aplica cuando LA PYME trata datos personales contenidos en los Datos del Cliente para prestar los Servicios.

El DPA entra en vigor cuando el Cliente acepta los Términos, contrata los Servicios o incorpora Datos del Cliente, lo que ocurra primero. Quien lo acepta por una organización declara tener facultades para obligarla.

2. Definiciones y leyes aplicables

"Datos Personales", "tratamiento", "responsable", "encargado" y términos equivalentes tienen el significado previsto por las leyes de protección de datos aplicables. Esto incluye, cuando corresponda, la Ley argentina 25.326, sus normas reglamentarias y las leyes de privacidad estatales de Estados Unidos aplicables a las partes o a las personas cuyos datos se tratan.

"Incidente de Seguridad" significa una vulneración confirmada que produzca destrucción, pérdida, alteración, divulgación o acceso no autorizado a Datos Personales tratados por LA PYME por cuenta del Cliente.

3. Roles e instrucciones

Respecto de los Datos Personales incluidos por el Cliente, el Cliente actúa como responsable y LA PYME como encargado o proveedor de servicios. Cada parte cumplirá las obligaciones que le correspondan según su rol.

LA PYME tratará esos datos únicamente para prestar, mantener, asegurar y dar soporte a los Servicios; ejecutar las instrucciones documentadas del Cliente; y cumplir obligaciones legales. Los Términos, la configuración de la cuenta, el uso de las funciones y las solicitudes de soporte constituyen instrucciones documentadas.

Si una instrucción infringe manifiestamente una norma aplicable, LA PYME podrá suspender su ejecución e informar al Cliente. El Cliente es responsable de la legalidad, exactitud y origen de los datos, de las bases legales del tratamiento y de los avisos a las personas involucradas.

4. Uso limitado y confidencialidad

LA PYME no venderá los Datos del Cliente ni los utilizará para publicidad dirigida ajena a la prestación de los Servicios. El acceso queda limitado a personal y proveedores que lo necesiten para cumplir las finalidades autorizadas y que estén sujetos a deberes de confidencialidad apropiados. LA PYME no combinará los Datos del Cliente con datos recibidos de terceros para finalidades incompatibles con este DPA.

5. Seguridad del tratamiento

LA PYME mantendrá medidas técnicas y organizativas razonables y proporcionales al riesgo, incluyendo controles de acceso, autenticación, cifrado de comunicaciones, separación lógica por organización, respaldo, registro técnico, gestión de vulnerabilidades y procedimientos de respuesta a incidentes.

El Cliente debe configurar permisos, proteger credenciales, revisar integraciones y utilizar los mecanismos de seguridad disponibles. Ninguna medida elimina completamente el riesgo de un sistema conectado a Internet.

6. Subencargados

El Cliente otorga autorización general para que LA PYME utilice subencargados necesarios para prestar los Servicios. La lista vigente está publicada en Subencargados. LA PYME impondrá a cada subencargado obligaciones de protección sustancialmente equivalentes para el tratamiento que realice.

LA PYME informará cambios materiales por la lista pública, correo u otro medio razonable. El Cliente podrá formular una objeción fundada en protección de datos dentro de los diez días corridos del aviso. Las partes procurarán una alternativa razonable; si no existe, el Cliente podrá dejar de usar la función afectada o terminar la parte afectada de los Servicios.

7. Transferencias internacionales

El Cliente autoriza el tratamiento en Estados Unidos y en las demás ubicaciones indicadas en la lista de Subencargados, sujeto a las garantías exigidas por la normativa aplicable.

Para transferencias desde Argentina a países o entidades sin nivel adecuado, las partes incorporan, en la medida aplicable, las cláusulas contractuales modelo para transferencias a encargados aprobadas por la Agencia de Acceso a la Información Pública mediante la Disposición 60-E/2016 y sus modificaciones. Esas cláusulas prevalecen si entran en conflicto con este DPA.

Las partes completarán anexos o suscribirán documentos adicionales cuando una autoridad competente o una norma aplicable lo requiera. LA PYME podrá adoptar otro mecanismo válido que otorgue un nivel de protección equivalente y lo informará al Cliente.

8. Solicitudes de personas y cooperación

Teniendo en cuenta la naturaleza del tratamiento, LA PYME brindará asistencia razonable para que el Cliente responda solicitudes de acceso, rectificación, actualización, supresión, oposición u otros derechos aplicables. Si LA PYME recibe una solicitud relativa a Datos del Cliente, la remitirá al Cliente salvo prohibición legal. También brindará información razonable para evaluaciones de impacto, consultas regulatorias y demostración de cumplimiento.

9. Incidentes de seguridad

LA PYME notificará al Cliente sin demora indebida después de tomar conocimiento de un Incidente de Seguridad que afecte Datos del Cliente. La notificación incluirá la información razonablemente disponible sobre naturaleza, categorías de datos, consecuencias, medidas de contención y punto de contacto. LA PYME podrá entregar información por etapas y cooperará razonablemente con la respuesta del Cliente. La notificación no implica admisión de culpa o responsabilidad.

10. Devolución, eliminación y conservación

Durante la vigencia, el Cliente puede utilizar las funciones de exportación disponibles. Al terminar los Servicios, LA PYME eliminará o devolverá los Datos del Cliente conforme a los períodos operativos informados, salvo que una ley, una disputa o una obligación de seguridad exija conservarlos. Los respaldos se eliminan durante sus ciclos normales y permanecen protegidos y sin uso activo mientras subsistan.

11. Información y auditoría

A solicitud razonable, LA PYME facilitará información disponible sobre sus medidas de seguridad y cumplimiento, como cuestionarios, resúmenes o informes de terceros. Si esa información no resulta suficiente y la ley exige una auditoría, las partes acordarán alcance, fecha, confidencialidad y costos para evitar riesgos a otros clientes y a la seguridad de los Servicios. Salvo incidente relevante o exigencia de una autoridad, no se requerirá más de una auditoría por año.

12. Vigencia, conflicto y responsabilidad

Este DPA permanece vigente mientras LA PYME trate Datos del Cliente. En caso de conflicto sobre protección de esos datos, prevalecen primero las cláusulas obligatorias de transferencia, luego este DPA y finalmente los Términos. Las limitaciones de responsabilidad de los Términos se aplican en la máxima medida permitida, sin limitar derechos o responsabilidades que legalmente no puedan limitarse.

Anexo I. Detalles del tratamiento

• Objeto: prestación, soporte, seguridad y mejora de las funciones contratadas.
• Duración: vigencia de los Servicios y períodos limitados de devolución, respaldo y conservación legal.
• Personas: usuarios, empleados, clientes, prospectos, proveedores, contactos y otras personas cuyos datos incorpore el Cliente.
• Datos: identificación, contacto, relación comercial, productos, compras, ventas, pagos, facturación, inventario, contabilidad, soporte, integraciones y registros técnicos.
• Datos sensibles: los Servicios no están diseñados para datos de salud, biométricos u otras categorías sensibles salvo acuerdo escrito específico.
• Frecuencia: continua mientras el Cliente use las funciones correspondientes.

Anexo II. Medidas generales

• autenticación y controles de acceso por cuenta y rol;
• separación lógica de datos por organización;
• cifrado de comunicaciones mediante protocolos vigentes;
• gestión de secretos y acceso limitado a producción;
• respaldos, monitoreo y registros técnicos;
• gestión de incidentes y vulnerabilidades;
• selección y revisión razonable de proveedores;
• confidencialidad del personal autorizado.