Acuerdo de Procesamiento de Datos
1. Partes
Este Acuerdo de Procesamiento de Datos ("DPA") forma parte integrante de los Terminos de Servicio entre Fynory LLC("DataCred" o el "Encargado del Tratamiento") y el Cliente empresarial ("Responsable del Tratamiento"). Este DPA establece los terminos y condiciones bajo los cuales DataCred procesara los datos personales por cuenta del Cliente en el contexto de la prestacion de los servicios de la plataforma DataCred.
2. Definiciones
A los efectos de este DPA, se aplicaran las siguientes definiciones:
"Datos Personales": cualquier informacion sobre una persona natural identificada o identificable, segun la definicion de la LOPDP de Venezuela.
"Tratamiento": cualquier operacion o conjunto de operaciones realizadas sobre datos personales, incluyendo recoleccion, organizacion, almacenamiento, consulta, uso, divulgacion y eliminacion.
"Violacion de Datos": toda violacion de la seguridad que ocasione la destruccion, perdida o alteracion accidental o ilicita de datos personales transmitidos, conservados o tratados, o la comunicacion o acceso no autorizados a dichos datos.
3. Obligaciones del Encargado
DataCred, como Encargado del Tratamiento, se compromete a: (a) tratar los datos personales unicamente siguiendo las instrucciones documentadas del Responsable del Tratamiento; (b) garantizar que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o esten sujetas a una obligacion legal de confidencialidad apropiada; (c) implementar las medidas tecnicas y organizativas adecuadas para proteger los datos personales; (d) notificar al Responsable del Tratamiento sin dilacion indebida cualquier violacion de datos; (e) asistir al Responsable en el cumplimiento de sus obligaciones ARCO y de evaluacion de impacto; y (f) eliminar o devolver todos los datos personales al finalizar la prestacion de los servicios.
4. Subencargados
El Cliente autoriza a DataCred a contratar subencargados del tratamiento para la prestacion de los servicios. DataCred mantiene una lista actualizada de subencargados autorizados que incluye: Google Cloud Platform (infraestructura cloud y almacenamiento), proveedores de servicios de verificacion de identidad, y proveedores de servicios de analitica. DataCred notificara al Cliente con al menos treinta (30) dias de antelacion sobre cualquier sustitucion o incorporacion de nuevos subencargados. El Cliente podra oponerse a dichos cambios dentro de los quince (15) dias siguientes a la notificacion.
5. Medidas de Seguridad
DataCred implementa las siguientes medidas tecnicas y organizativas para proteger los datos personales: cifrado de datos en reposo mediante AES-256; cifrado de datos en transito mediante TLS 1.3; controles de acceso basados en roles y principio de minimo privilegio; autenticacion multifactor para acceso administrativo; monitoreo continuo de seguridad con deteccion de intrusiones; auditorias de seguridad periodicas; pruebas de penetracion anuales realizadas por terceros independientes; programa de gestion de vulnerabilidades; y procedimientos de respuesta a incidentes documentados y probados periodicamente.
6. Notificacion de Violaciones
En caso de una violacion de datos que afecte a datos personales tratados por cuenta del Cliente, DataCred se compromete a: (a) notificar al Cliente dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de la violacion; (b) proporcionar una descripcion detallada de la naturaleza de la violacion, las categorias y el volumen aproximado de datos afectados; (c) describir las medidas adoptadas o propuestas para remediar la violacion; y (d) cooperar plenamente con el Cliente en la gestion de la violacion y las notificaciones a las autoridades competentes.
7. Transferencias Internacionales
Los datos personales tratados por DataCred pueden ser transferidos y almacenados en servidores ubicados en Estados Unidos y otras jurisdicciones donde operan los subencargados autorizados. DataCred garantiza que todas las transferencias internacionales de datos se realizan cumpliendo con las garantias adecuadas, incluyendo clausulas contractuales tipo u otros mecanismos de transferencia reconocidos por la LOPDP de Venezuela.
8. Duracion y Terminacion
Este DPA entrara en vigor en la fecha de aceptacion de los Terminos de Servicio por parte del Cliente y permanecera vigente mientras DataCred preste servicios al Cliente. Al terminar la relacion contractual, DataCred eliminara o devolvera todos los datos personales del Cliente en un plazo maximo de treinta (30) dias, salvo que la ley aplicable exija su conservacion.
9. Contacto
Para consultas sobre este Acuerdo de Procesamiento de Datos:
Fynory LLC
Correo: dpa@datacred.org
Web: datacred.org