Acuerdo de Tratamiento de Datos

Este Acuerdo se celebra entre la Agencia titular de una Organización en Cl4rity (en adelante, «la Agencia» o «el Responsable») y Cl4rity (en adelante, «el Proveedor» o «el Encargado»).

Su objeto es regular, conforme al art. 25 de la Ley 25.326 y su Decreto Reglamentario 1558/2001, el tratamiento de datos personales que el Proveedor realiza por cuenta de la Agencia al prestarle el Servicio. Los términos no definidos aquí tienen el significado de los Términos y Condiciones.

• Titulares: clientes de la Agencia y sus contactos, usuarios del Portal Cliente, revisores por enlace y cualquier otra persona cuyos datos la Agencia cargue.
• Categorías de datos: datos identificatorios y de contacto, datos de acceso al Portal Cliente, archivos y entregables, mensajes y comentarios, aprobaciones y pedidos de cambio, presupuestos, planes de pago, cuotas y datos bancarios, y los demás que la Agencia decida cargar.
• Operaciones: almacenamiento, organización, consulta, visualización a las personas que la Agencia habilite, envío de notificaciones, copia de respaldo y supresión.
• Finalidad: exclusivamente prestar el Servicio a la Agencia.
• Duración: mientras la Organización esté activa, y hasta la devolución o supresión prevista en la sección 11.

El Proveedor tratará los datos únicamente según las instrucciones documentadas de la Agencia. Se consideran instrucciones la configuración y el uso que la Agencia hace del Servicio (qué carga, a quién invita, qué comparte y qué elimina), estos documentos y las indicaciones escritas adicionales que sean compatibles con el Servicio. El Proveedor no aplicará ni utilizará los datos con un fin distinto, ni los comunicará a terceros, ni siquiera para su conservación, salvo a los subencargados de la sección 6 o por obligación legal. Si una instrucción le pareciera contraria a la ley, lo informará a la Agencia.

• Es responsable de la licitud de los datos que carga y de contar con una base legal para tratarlos (consentimiento de los titulares u otra prevista en el art. 5 de la Ley 25.326).
• Debe informar a sus clientes y a las demás personas cuyos datos carga sobre el tratamiento, sus finalidades, el uso de Cl4rity como proveedor y las transferencias internacionales descriptas en la sección 7, y obtener su consentimiento cuando sea necesario.
• Debe cargar sólo los datos necesarios y abstenerse de cargar datos sensibles que no sean imprescindibles.
• Es responsable de la exactitud de los datos bancarios, presupuestos y condiciones de pago que publica en el Portal Cliente, y de gestionar los accesos de sus Miembros y clientes.
• Debe atender las solicitudes de los titulares respecto de sus datos, con la asistencia del Proveedor.

El Proveedor mantendrá la confidencialidad de los datos y garantizará que las personas autorizadas a tratarlos se hayan comprometido a guardar secreto, obligación que subsiste aun después de finalizada su relación con el Proveedor (art. 10 de la Ley 25.326). El acceso del personal a los datos de una Organización se limita a lo necesario para dar soporte, mantener la seguridad o cumplir una obligación legal.

La Agencia autoriza al Proveedor a utilizar los siguientes subencargados:

• Supabase: Base de datos, autenticación y almacenamiento de archivos. Ubicación: Brasil (São Paulo).
• Cloudflare: Hosting de la aplicación y de la API, red de distribución. Ubicación: Global (Estados Unidos y otros).
• Resend: Envío de correos transaccionales y de notificación. Ubicación: Estados Unidos.
• Google: Inicio de sesión con cuenta de Google (sólo si el usuario lo elige). Ubicación: Estados Unidos.

El Proveedor exigirá a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo y responderá frente a la Agencia por su cumplimiento. Informará cualquier incorporación o reemplazo de subencargados con al menos 30 días de anticipación por correo electrónico y en esta página. La Agencia podrá oponerse por motivos razonables vinculados a la protección de datos; si no se encontrara una solución, podrá dar de baja la Organización sin costo antes de que el cambio se haga efectivo.

Los datos se alojan y procesan en Brasil y en los Estados Unidos, países no incluidos entre los de protección adecuada según la Disposición DNPDP 60-E/2016. Estas transferencias se amparan en cláusulas contractuales con los subencargados conforme a la Disposición 60-E/2016 y a la Resolución AAIP 198/2023. La Agencia, en su carácter de responsable, debe informar estas transferencias a los titulares y obtener su consentimiento cuando corresponda.

El Proveedor aplicará medidas técnicas y organizativas adecuadas al riesgo, conforme al art. 9 de la Ley 25.326 y a la normativa de la AAIP, entre ellas:

• cifrado de las comunicaciones en tránsito;
• aislamiento lógico de los datos por Organización y control de acceso por rol;
• autenticación de Usuarios y almacenamiento de contraseñas mediante hash;
• acceso restringido y registrado del personal a los sistemas de producción;
• copias de respaldo y procedimientos de recuperación.

Si el Proveedor toma conocimiento de un incidente de seguridad que afecte datos de la Agencia, se lo notificará sin demora indebida, a su correo registrado, con la información disponible sobre la naturaleza del incidente, los datos y titulares afectados, sus posibles consecuencias y las medidas adoptadas o propuestas. Completará la información a medida que la obtenga y colaborará con la Agencia para cumplir sus propias obligaciones de notificación a titulares o autoridades.

El Proveedor asistirá a la Agencia, en la medida de lo razonable y mediante las funciones del Servicio, para responder solicitudes de acceso, rectificación, actualización y supresión dentro de los plazos legales (10 días corridos para el acceso y 5 días hábiles para rectificación, actualización o supresión). Si un titular se dirige directamente al Proveedor por datos cargados por una Agencia, el Proveedor derivará la solicitud a la Agencia sin demora y no la responderá por sí salvo instrucción de ella u obligación legal.

Antes de dar de baja la Organización, la Agencia podrá solicitar una copia de su información a info.cl4rity@gmail.com. Finalizada la relación, el Proveedor suprimirá los datos de la Agencia dentro de los 30 días, incluidas las copias en sus sistemas activos, salvo que una norma exija conservarlos; en ese caso los conservará bloqueados y sólo para ese fin. Las copias de respaldo se eliminarán en sus ciclos habituales de rotación. A pedido, el Proveedor confirmará por escrito la supresión.

El Proveedor pondrá a disposición de la Agencia la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo. La Agencia podrá solicitar, con un preaviso de al menos 30 días y no más de una vez por año salvo incidente o requerimiento de autoridad, una auditoría realizada por ella o por un auditor independiente obligado a confidencialidad, en horario y forma que no afecten la seguridad ni la operación del Servicio ni la confidencialidad de otros clientes. Los costos de la auditoría estarán a cargo de la Agencia.

Cada parte responde por el incumplimiento de sus obligaciones bajo este Acuerdo y bajo la Ley 25.326. Si el Proveedor destinara los datos a otra finalidad, los comunicara o los utilizara incumpliendo este Acuerdo, será considerado también responsable del tratamiento, conforme al art. 25 de la Ley 25.326.

Este Acuerdo rige mientras el Proveedor trate datos por cuenta de la Agencia. En caso de contradicción entre este Acuerdo y los Términos y Condiciones en materia de protección de datos, prevalece este Acuerdo. Sus modificaciones siguen el procedimiento de aviso previo y re-aceptación previsto en los Términos. Se aplican la ley y la jurisdicción allí establecidas.