Esta traducción se ofrece solo para tu comodidad. En caso de discrepancia, prevalece la versión en inglés.

Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte del acuerdo entre tú (el "Responsable del tratamiento") y Caliradi LLC, operador de Caliradi.ai (el "Encargado del tratamiento"), y se aplica cuando tratamos datos personales en tu nombre al prestar el Servicio de Caliradi.

1. Definiciones

Los términos en mayúscula inicial que no se definen aquí tienen el significado que les atribuye el GDPR (Reglamento (UE) 2016/679):

• Responsable del tratamiento — tú, el cliente de Caliradi que determina los fines y los medios del tratamiento.
• Encargado del tratamiento — Caliradi LLC, que trata datos personales en tu nombre.
• Interesado — tus clientes finales, empleados o contactos cuyos datos personales se tratan.
• Subencargado — cualquier tercero que contratemos para tratar datos personales (consulta la Sección 7).

2. Alcance y objeto

Tratamos datos personales únicamente para prestarte el Servicio de Caliradi y conforme a tus instrucciones. La duración del tratamiento es la vigencia de tu plan, más cualquier periodo de conservación exigido por la ley.

3. Categorías de datos personales y de interesados

4. Obligaciones del Encargado del tratamiento

Nos comprometemos a:

• Tratar los datos personales únicamente siguiendo tus instrucciones documentadas, también en lo relativo a las transferencias internacionales.
• Garantizar que el personal autorizado para acceder a los datos personales esté sujeto a obligaciones de confidencialidad.
• Aplicar medidas de seguridad técnicas y organizativas apropiadas (Sección 6).
• Ayudarte a responder a las solicitudes de los interesados (acceso, supresión, portabilidad, etc.).
• Ayudarte con las evaluaciones de impacto relativas a la protección de datos y con las consultas previas a las autoridades de control.
• Notificarte las violaciones de la seguridad de los datos personales sin dilación indebida y, cuando sea factible, en un plazo de 72 horas.
• Devolver o eliminar los datos personales al finalizar los servicios, salvo que la ley exija conservarlos.
• Poner a tu disposición toda la información necesaria para demostrar el cumplimiento y permitir auditorías (Sección 8).

5. Obligaciones del Responsable del tratamiento

Te comprometes a:

• Tratar los datos personales de conformidad con las leyes aplicables.
• Contar con una base jurídica válida para el tratamiento que ordenes (consentimiento, contrato, interés legítimo, etc.).
• Dar instrucciones de tratamiento exactas y lícitas.
• Informar a los Interesados sobre cómo se tratan sus datos, incluido este DPA cuando corresponda.

6. Medidas de seguridad

Aplicamos y mantenemos las siguientes medidas técnicas y organizativas:

• Cifrado. TLS 1.2+ en tránsito, AES-256 en reposo.
• Control de acceso. Acceso basado en roles, MFA para los sistemas de producción, principio de mínimo privilegio.
• Seguridad de red. WAF de Cloudflare, protección DDoS, lista blanca de IP para el acceso administrativo.
• Monitorización. Registro de auditoría, detección de intrusiones, alertas automáticas de anomalías.
• Copias de seguridad. Copias de seguridad diarias cifradas, conservación de 30 días, restauración probada cada trimestre.
• Personal. Verificación de antecedentes, acuerdos de confidencialidad firmados, formación obligatoria en seguridad.
• Gestión de proveedores. Revisión de seguridad y DPA vigente con cada subencargado.
• Respuesta a incidentes. Manual de actuación documentado, guardia 24/7, revisiones post-mortem.
• Cumplimiento. Trabajando para obtener la certificación SOC-2 Type II.

7. Subencargados

Nos autorizas a contratar a los siguientes subencargados para los fines descritos:

Te notificaremos al menos 14 días antes de añadir o sustituir un subencargado. Puedes oponerte por motivos razonables de protección de datos; si no se llega a una solución, puedes rescindir la parte afectada del Servicio.

8. Auditorías

Una vez al año, con un aviso por escrito de al menos 30 días, puedes auditar nuestro cumplimiento de este DPA. Podemos satisfacer las obligaciones de auditoría proporcionando informes de auditoría recientes de terceros (p. ej., SOC-2). Las auditorías deben respetar la confidencialidad y no interrumpir las operaciones.

9. Transferencias internacionales

Cuando se transfieran datos personales fuera del Espacio Económico Europeo, el Reino Unido o Suiza, nos basamos en las Cláusulas Contractuales Tipo de la UE (SCC, Módulo 2 — de Responsable a Encargado) y en el Addendum británico de transferencia internacional de datos, según corresponda. Estos se incorporan por referencia a este DPA.

10. Solicitudes de los interesados

Si un Interesado se pone en contacto directamente con nosotros con una solicitud para ejercer sus derechos, lo remitiremos a ti y te lo notificaremos. Te ayudaremos razonablemente a responder dentro de los plazos legales.

11. Responsabilidad

El límite de responsabilidad y las disposiciones de indemnización de nuestros Términos del Servicio se aplican a las reclamaciones derivadas de este DPA, salvo que la legislación imperativa de protección de datos disponga otra cosa.

12. Vigencia y terminación

Este DPA sigue vigente mientras tratemos datos personales en tu nombre. Las disposiciones destinadas a subsistir (confidencialidad, auditoría, responsabilidad, devolución/eliminación de datos) subsisten tras la terminación.

13. Contacto