Acuerdo de procesamiento de datos

Índice

1. 1. Ámbito, funciones y definiciones
2. 2. Detalles del Tratamiento
3. 3. Instrucciones del Cliente
4. 4. Confidencialidad de las personas autorizadas
5. 5. Medidas de seguridad
6. 6. Subencargados
7. 7. Ubicación de los datos y transferencias internacionales
8. 8. Asistencia con las solicitudes de los Interesados
9. 9. Notificación de una Violación de la Seguridad de los Datos Personales
10. 10. Evaluaciones de impacto y consulta con las autoridades reguladoras
11. 11. Información y auditorías
12. 12. Devolución y eliminación de los datos
13. 13. Solicitudes de las autoridades públicas
14. 14. Responsabilidad
15. 15. Vigencia y prelación
16. 16. Contacto de protección de datos y registro de actividades de tratamiento
17. Anexo 1: Detalles del Tratamiento
18. Anexo 2: Medidas técnicas y organizativas
19. Anexo 3: Subencargados

Versión: 1.2 · Publicado el: 16 de octubre de 2026 · En vigor: en el momento de la aceptación para los nuevos Espacios de Trabajo; para los Espacios de Trabajo que aceptaron una Versión anterior, en la fecha que STAK indique en su notificación conforme a la cláusula 20 de las Condiciones del Servicio para Clientes · Texto prevalente: Inglés (cláusula 23.9 de las Condiciones del Servicio para Clientes)

Emitido por: STAK Global, LLC, una sociedad de responsabilidad limitada constituida en el Estado de Delaware, Estados Unidos de América (número de expediente 10798493), que es titular de STAK (ستاك) y de los Servicios. Contacto: [email protected].

1. Ámbito, funciones y definiciones

1.1 El presente Acuerdo de Tratamiento de Datos forma parte integrante del Contrato conforme a la cláusula 3.1 de las Condiciones del Servicio para Clientes de STAK (las «Condiciones»). Rige el Tratamiento de los Datos Personales del Cliente por parte de STAK. Las expresiones definidas en las Condiciones tienen el mismo significado en el presente Acuerdo de Tratamiento de Datos.

1.2 El Cliente es el Responsable del Tratamiento de los Datos Personales del Cliente, y STAK es un Encargado del Tratamiento que los trata por cuenta del Cliente y siguiendo sus instrucciones.

• Responsable del Tratamiento y Encargado del Tratamiento significan sus equivalentes conforme a la Ley de Protección de Datos Aplicable, como la entidad controladora y la entidad procesadora en el Reino de Arabia Saudita.
• Si el Cliente trata los datos como encargado del tratamiento por cuenta de otro responsable, STAK los trata como encargado que actúa por cuenta del Cliente, y no es un Subencargado en el sentido de la cláusula 1.3. El Cliente se asegura de que sus instrucciones sean coherentes con las instrucciones de ese responsable.
• STAK trata los Datos de la Cuenta como Responsable del Tratamiento, según se describe en la Política de Privacidad, y el presente Acuerdo de Tratamiento de Datos no se les aplica. Ni esta referencia ni la del Anexo 3 crean obligaciones contractuales conforme a la cláusula 3.2 de las Condiciones.

1.3 Las siguientes expresiones tienen el significado que se indica junto a cada una:

• Datos Personales del Cliente: Los Datos Personales contenidos en los Datos del Cliente, incluidos los datos sobre los Clientes Finales, los empleados, los proveedores y los Usuarios del Cliente, distintos de los Datos de la Cuenta.
• Datos Personales Sensibles: los datos de salud y clínicos, y cualquier dato que la Ley de Protección de Datos Aplicable clasifique como sensible.
• Tratamiento: toda operación realizada con Datos Personales, como su recopilación, registro, almacenamiento, consulta, utilización, comunicación, transferencia y eliminación.
• Subencargado: toda parte a la que STAK encomienda tratar Datos Personales del Cliente con el fin de prestar los Servicios.
• Interesado: la persona física a la que se refieren los Datos Personales.
• Incidente de Seguridad: todo evento que amenace, o se sospeche que amenaza, la confidencialidad, integridad o disponibilidad de los Servicios.
• Violación de la Seguridad de los Datos Personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a ellos.
• Copia de Seguridad: toda copia de los Datos del Cliente realizada con fines de recuperación, conforme a la cláusula 12.3 y al Anexo 2.
• Entorno de Producción: los sistemas y bases de datos en los que se ejecutan los Servicios y que utiliza el Cliente, excluidas las Copias de Seguridad.
• Ley de Protección de Datos Aplicable: la legislación de protección de datos personales que se aplica al Tratamiento, cada una en la medida en que sea aplicable, incluida la siguiente:
  • en el Estado de Kuwait: la Ley n.º 20 de 2014 sobre Transacciones Electrónicas, y el Reglamento de Protección de la Privacidad de los Datos, el Marco Regulatorio de Computación en la Nube y la Política de Clasificación de Datos emitidos por la Autoridad Reguladora de Comunicaciones y Tecnología de la Información, cada uno dentro de su propio ámbito;
  • la Ley de Protección de Datos Personales del Reino de Arabia Saudita, promulgada por el Decreto Real n.º (M/19) de fecha 9/2/1443 AH, con sus modificaciones, su Reglamento de Desarrollo y el Reglamento sobre la Transferencia de Datos Personales fuera del Reino;
  • en los Emiratos Árabes Unidos: el Decreto-Ley Federal n.º (45) de 2021 sobre la Protección de Datos Personales, la Ley Federal n.º (2) de 2019 sobre el Uso de las Tecnologías de la Información y la Comunicación en los Ámbitos de la Salud, y las leyes de protección de datos del Centro Financiero Internacional de Dubái y del Abu Dhabi Global Market para quienes estén sujetos a ellas;
  • Ley n.º (30) de 2018 por la que se promulga la Ley de Protección de Datos Personales del Reino de Baréin;
  • Ley n.º (13) de 2016 sobre la Protección de la Privacidad de los Datos Personales del Estado de Catar;
  • la Ley de Protección de Datos Personales promulgada por el Decreto Real n.º (6/2022) del Sultanato de Omán;
  • el Reglamento General de Protección de Datos de la Unión Europea (Reglamento (UE) 2016/679), cuando se aplique al Cliente;
  • el Reglamento General de Protección de Datos del Reino Unido y la Data Protection Act 2018; la Ley Federal suiza de Protección de Datos; la California Consumer Privacy Act en su versión modificada, y las demás leyes estatales integrales de privacidad de los Estados Unidos de América; la Personal Information Protection and Electronic Documents Act de Canadá y las leyes provinciales; la Lei Geral de Proteção de Dados de Brasil (Ley n.º 13.709/2018); la Digital Personal Data Protection Act, 2023 de la India; la Ley n.º 6698 de Turquía sobre la Protección de Datos Personales; la Ley n.º 151 de 2020 de Egipto; la Protection of Personal Information Act, 2013 de Sudáfrica; la Personal Data Protection Act 2012 de Singapur; la Privacy Act 1988 de Australia; y cualquier otra ley de protección de datos personales que se aplique al Tratamiento.

2. Detalles del Tratamiento

El Anexo 1 establece el objeto, la duración, la naturaleza y la finalidad del Tratamiento, las categorías de Interesados y las categorías de Datos Personales.

3. Instrucciones del Cliente

3.1 STAK trata los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente. Esas instrucciones son:

• el Contrato;
• los ajustes del Espacio de Trabajo;
• las acciones que los Usuarios realizan dentro de los Servicios;
• cualesquiera otras instrucciones escritas que acuerden las Partes.

3.2 STAK puede tratar los datos de forma distinta a estas instrucciones cuando la Ley Aplicable lo exija. Lo notifica al Cliente de antemano salvo que la ley prohíba la notificación.

3.3 STAK notifica al Cliente si considera que una instrucción infringe la Ley de Protección de Datos Aplicable. Puede negarse a ejecutar esa instrucción hasta que el Cliente la modifique para eliminar la infracción, o la confirme por escrito con una declaración de su base jurídica que STAK acepte razonablemente.

3.4 El Cliente es responsable de la licitud de sus instrucciones y de contar con una base jurídica para recopilar y tratar Datos Personales del Cliente. Esto incluye informar a los Interesados y obtener su consentimiento cuando sea necesario, incluido el consentimiento para la transferencia de sus datos conforme a la cláusula 7.

4. Confidencialidad de las personas autorizadas

STAK limita el acceso a los Datos Personales del Cliente a los empleados y contratistas que lo necesitan para su trabajo, y los obliga a la confidencialidad. Los empleados y contratistas de STAK acceden a los Datos del Cliente únicamente en los siguientes casos, y se registra el inicio de cada uno de esos accesos al Entorno de Producción:

• (a) para prestar el soporte que el Cliente solicite;
• (b) para operar y mantener los Servicios y restaurarlos a partir de las Copias de Seguridad;
• (c) para investigar un Incidente de Seguridad o una presunta infracción de la Política de Uso Aceptable;
• (d) cuando la ley lo exija.

5. Medidas de seguridad

5.1 STAK aplica medidas técnicas y organizativas adecuadas para proteger los Datos Personales del Cliente, teniendo en cuenta la naturaleza y los riesgos del Tratamiento. Estas incluyen, como mínimo, las medidas del Anexo 2.

5.2 STAK puede actualizar estas medidas, siempre que no disminuya el nivel general de protección.

5.3 El Cliente es responsable de las medidas de seguridad que están bajo su propio control, como la gestión de Usuarios y permisos, la activación del inicio de sesión en dos pasos, la protección de sus dispositivos y equipos y la custodia segura de los datos que exporta.

6. Subencargados

6.1 El Cliente autoriza a STAK a contratar a los Subencargados enumerados en el Anexo 3.

6.2 STAK debe celebrar un contrato escrito con cada Subencargado. El contrato debe imponer obligaciones de protección de datos que ofrezcan un nivel de protección adecuado al Tratamiento y sustancialmente equivalente al del presente Acuerdo de Tratamiento de Datos. STAK sigue siendo responsable frente al Cliente del cumplimiento de las obligaciones de sus Subencargados.

6.3 STAK notifica al Cliente cualquier nuevo Subencargado al menos 30 días antes de que empiece a tratar Datos Personales del Cliente, dentro de los Servicios o por correo electrónico.

6.4 Durante el plazo de preaviso, el Cliente puede oponerse por escrito al nuevo Subencargado por motivos razonables de protección de datos. Si las Partes no pueden acordar una solución, el Cliente puede terminar la suscripción afectada, o el Contrato, antes de que comience el Tratamiento y recibir el reembolso de las Tarifas prepagadas correspondientes al período restante.

6.5 Los Proveedores Conectados que el Cliente conecta a través de sus propias cuentas no son Subencargados de STAK. Entre ellos se incluyen los Proveedores de Servicios de Pago, Meta en lo que respecta a la propia cuenta de WhatsApp Business del Cliente, y las plataformas de reparto. El envío de datos a estos por instrucción del Cliente es una transferencia realizada por indicación del Cliente y por cuenta de este.

6.6 Los datos se envían al proveedor de las Funciones de IA solo cuando un Usuario solicita una de esas funciones, cuando un Usuario carga un documento para que una de ellas lo lea, como un recibo, o cuando una automatización que un Usuario ha configurado ejecuta un paso que utiliza IA, y solo se envían los datos necesarios para llevar a cabo esa solicitud o paso. El proveedor no puede utilizarlos para entrenar sus modelos. Los Datos Personales Sensibles solo se le envían si la propia solicitud o paso los contiene.

7. Ubicación de los datos y transferencias internacionales

7.1 Los Servicios se alojan, y los Datos Personales del Cliente se almacenan principalmente, en el Entorno de Producción de Amazon Web Services en la región de Fráncfort, en la República Federal de Alemania. Las Copias de Seguridad se conservan en la misma región, y se hacen copias de ellas en una región distinta de Amazon Web Services en la República de Irlanda.

7.2 El Cliente reconoce lo siguiente y autoriza expresamente las transferencias que de ello resulten:

• (a) el alojamiento se realiza en la Unión Europea, que puede estar fuera del país en el que el Cliente está establecido o realiza su actividad;
• (b) Cloudflare trata el tráfico de red a través de su red global en todo momento;
• (c) los demás Subencargados enumerados en el Anexo 3 tratan datos en otros países, incluidos los Estados Unidos de América, solo cuando se utiliza el servicio correspondiente;
• (d) los empleados de STAK pueden acceder a los datos desde el Estado de Kuwait, solo en los casos previstos en la cláusula 4.

7.3 Para las transferencias de Datos Personales del Cliente fuera del país en el que se recopilaron, STAK aplica las siguientes garantías:

• (a) los contratos a que se refiere la cláusula 6.2, incluidas las cláusulas contractuales tipo que STAK tiene suscritas con Subencargados fuera de la Unión Europea;
• (b) el cifrado en tránsito y en reposo;
• (c) los mecanismos de transferencia reconocidos por la Ley de Protección de Datos Aplicable cuando esta los exija, incluidos los de la cláusula 7.6.

7.4 El Cliente debe obtener el consentimiento o la autorización que la ley de su país exija para transferir Datos Personales del Cliente fuera de ese país, ya sea de una autoridad reguladora o de los Interesados. STAK facilita la información necesaria para ello a petición.

7.5 STAK puede trasladar el alojamiento principal o las Copias de Seguridad a otra región tras notificarlo al Cliente con al menos 30 días de antelación, y el Cliente puede oponerse conforme a la cláusula 6.4, de modo que cualquier terminación conforme a esa cláusula surta efecto antes de la fecha del traslado. La ejecución temporal de los Servicios desde las Copias de Seguridad en la República de Irlanda tras la pérdida de la región de alojamiento principal no es un traslado a los efectos de esta cláusula, y STAK lo notifica al Cliente sin demora.

7.6 Mecanismos de transferencia exigidos por la ley: sin perjuicio de la cláusula 7.4:

• (a) Cuando el Reglamento General de Protección de Datos de la Unión Europea se aplica al Cliente, las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea (las «CCT de la UE») se incorporan por referencia al presente Acuerdo de Tratamiento de Datos: el Módulo Dos (de responsable a encargado del tratamiento) cuando el Cliente es un responsable del tratamiento, y el Módulo Tres (de encargado a encargado del tratamiento) cuando trata los datos por cuenta de otro responsable. El Cliente es el exportador de datos y STAK el importador de datos. Se aplica la Cláusula 7 (cláusula de incorporación). En virtud de la Cláusula 9(a), se aplica la Opción 2 (autorización general por escrito), con el plazo de preaviso previsto en la cláusula 6.3. No se aplica la redacción facultativa de la Cláusula 11(a). En virtud de las Cláusulas 17 y 18, se aplican la ley y los tribunales de la República de Irlanda. La autoridad de control competente se determina con arreglo a la Cláusula 13. Sus anexos se completan mediante los Anexos 1, 2 y 3. Prevalecen sobre el Contrato en caso de conflicto entre ambos.
• (b) Cuando la Ley de Protección de Datos Personales del Reino de Arabia Saudita se aplica al Cliente, las Cláusulas Contractuales Tipo para la Transferencia de Datos Personales emitidas por la Autoridad Saudita de Datos e Inteligencia Artificial, Segunda Plantilla (de responsable a encargado), se incorporan por referencia al presente Acuerdo de Tratamiento de Datos. El Cliente es el exportador de datos y STAK el importador de datos, y sus apéndices se completan mediante los Anexos 1, 2 y 3. STAK proporciona al Cliente la información que necesita para la evaluación del riesgo de la transferencia que debe realizar conforme al Reglamento sobre la Transferencia de Datos Personales fuera del Reino. Prevalecen sobre el Contrato en caso de conflicto entre ambos.
• (c) Cuando el Decreto-Ley Federal n.º (45) de 2021 de los Emiratos Árabes Unidos se aplica al Cliente, STAK aplica a los datos transferidos las disposiciones, medidas y controles de dicha ley, en la medida en que sean aplicables a un encargado del tratamiento.
• (d) Cuando el Reglamento General de Protección de Datos del Reino Unido se aplica al Cliente, se incorpora por referencia la Adenda sobre Transferencia Internacional de Datos (International Data Transfer Addendum) a las CCT de la UE emitida por el Information Commissioner del Reino Unido (versión B1.0, en vigor desde el 21 de marzo de 2022, con sus modificaciones posteriores). Las Tablas 1 a 3 se completan con los datos de las Partes que constan en el Contrato y en los Anexos 1 a 3. Respecto de la Tabla 4, cualquiera de las Partes puede poner fin a la Adenda según lo permite su Sección 19.
• (e) Cuando la Ley Federal suiza de Protección de Datos se aplica al Cliente, las CCT de la UE se aplican con estas modificaciones: el Comisionado Federal suizo de Protección de Datos y de Información es la autoridad de control competente para las transferencias reguladas por dicha Ley; las referencias al RGPD incluyen dicha Ley; y «Estado miembro» se entiende de modo que los interesados en Suiza puedan presentar reclamaciones en Suiza.
• (f) Cuando otra Ley de Protección de Datos Aplicable exige un instrumento de transferencia determinado, como las cláusulas contractuales tipo de la autoridad nacional de protección de datos de Brasil o el contrato tipo previsto en la Ley n.º 6698 de Turquía, STAK firma o incorpora ese instrumento a petición del Cliente, completando sus datos a partir de los Anexos 1 a 3.
• (g) Cuando se aplica la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act) o una ley estatal de privacidad similar de los Estados Unidos, STAK actúa como proveedor de servicios, contratista o encargado del tratamiento del Cliente. STAK no vende ni comparte los Datos Personales del Cliente. No los conserva, utiliza ni divulga para ninguna finalidad distinta de la prestación de los Servicios conforme al Contrato, ni fuera de la relación comercial directa con el Cliente. No los combina con información personal procedente de otras fuentes, salvo en la medida en que esas leyes lo permitan. Cumple esas leyes y ofrece el mismo nivel de protección de la privacidad que ellas exigen. Informa al Cliente si deja de poder cumplir estas obligaciones. El Cliente puede adoptar medidas razonables para detener y subsanar cualquier uso no autorizado. STAK certifica que comprende estas restricciones.

7.7 Datos que deben permanecer en un país determinado: el Cliente no debe conservar en los Servicios datos que la Ley Aplicable exija almacenar o tratar dentro de un país determinado, salvo que los Servicios indiquen, conforme a la cláusula 9.5 de las Condiciones, que el alojamiento en ese país está disponible para la Aplicación de que se trate. Esto se deriva de la cláusula 13.4 de las Condiciones y de la cláusula 5.4 de la Política de Uso Aceptable.

8. Asistencia con las solicitudes de los Interesados

8.1 Los Servicios ofrecen al Cliente herramientas para ver, exportar y rectificar los Datos Personales de sus Clientes Finales, una herramienta para suprimirlos sustituyendo su identidad por un alias y conservando los registros que la ley exige conservar, y herramientas para ver y rectificar los datos de sus empleados. El Cliente utiliza estas herramientas para atender las solicitudes de los Interesados, y STAK presta asistencia conforme a la cláusula 8.3 en todo aquello que no cubran, incluida la exportación y eliminación de los datos de los empleados.

8.2 Si STAK recibe directamente de un Interesado una solicitud relativa a Datos Personales del Cliente, la transmite al Cliente sin demora y responde únicamente conforme a las instrucciones del Cliente.

8.3 STAK presta al Cliente una asistencia razonable en todo aquello que las herramientas disponibles no cubran.

9. Notificación de una Violación de la Seguridad de los Datos Personales

9.1 STAK notifica al Cliente sin demora injustificada tras tener conocimiento de cualquier Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente. Lo hace en un plazo de 24 horas desde que tiene conocimiento de ella cuando sea factible, y en cualquier caso en un plazo de 48 horas.

9.2 La notificación incluye, en la medida en que la información esté disponible:

• (a) la naturaleza de la violación;
• (b) las categorías de datos y de Interesados y su número aproximado;
• (c) las posibles consecuencias;
• (d) las medidas adoptadas y propuestas para hacer frente a la violación;
• (e) un punto de contacto en STAK.

STAK proporciona información adicional en cuanto esté disponible.

9.3 STAK adopta de inmediato medidas razonables para contener la violación y limitar sus efectos. Coopera con el Cliente en la notificación a las autoridades reguladoras y a los Interesados cuando el Cliente deba hacerlo, teniendo en cuenta los plazos que la ley fija para el Cliente. Cuando la Ley Aplicable exija a la propia STAK notificar la violación a una autoridad reguladora, STAK lo hace dentro del plazo exigido e informa al Cliente.

9.4 La notificación de una violación por parte de STAK, o su cooperación para hacerle frente, no constituye un reconocimiento de culpa ni de responsabilidad.

10. Evaluaciones de impacto y consulta con las autoridades reguladoras

A petición del Cliente, STAK facilita la información razonable necesaria para realizar una evaluación de impacto relativa a la protección de datos o para consultar a una autoridad reguladora, en la medida en que afecte a los Servicios.

11. Información y auditorías

11.1 A petición del Cliente, STAK facilita la información razonablemente necesaria para demostrar su cumplimiento del presente Acuerdo de Tratamiento de Datos. Esto incluye documentación de seguridad y respuestas a un cuestionario de seguridad al año.

11.2 El Cliente puede, a su propio cargo, realizar una auditoría, o hacer que la realice un auditor independiente sujeto a confidencialidad, en los siguientes casos:

• (a) cuando lo exija un regulador;
• (b) tras una Violación de la Seguridad de los Datos Personales que afecte a sus datos;
• (c) cuando la información facilitada conforme a la cláusula 11.1 no sea suficiente.

La auditoría está sujeta a estas condiciones:

• El Cliente notifica la auditoría a STAK con al menos 30 días de antelación.
• Se realiza durante el horario laboral en los Días Hábiles.
• Una auditoría conforme al apartado (c) se realiza como máximo una vez al año.
• Ninguna auditoría se extiende a las instalaciones de los Subencargados. En su lugar bastan sus certificaciones e informes independientes.
• Ninguna auditoría incluye el acceso a los datos de otros clientes ni a nada que afecte a su seguridad.

12. Devolución y eliminación de los datos

12.1 El Cliente puede exportar los Datos Personales del Cliente en cualquier momento, y durante 30 días después de que termine el Contrato, conforme a la cláusula 19.5 de las Condiciones.

12.2 Una vez transcurrido el período de exportación, STAK elimina los Datos Personales del Cliente del Entorno de Producción en un plazo de 30 días, salvo que la Ley Aplicable exija conservarlos, y sin perjuicio de la retención prevista en la cláusula 19.5 de las Condiciones mientras se haya notificado a STAK un litigio judicial, una investigación o una solicitud de una autoridad competente.

12.3 Las Copias de Seguridad se conservan durante los siguientes plazos de conservación:

• (a) la recuperación a un punto en el tiempo y las Copias de Seguridad diarias: 35 días desde la fecha en que se realiza cada Copia de Seguridad;
• (b) Copias de Seguridad lógicas nocturnas de la base de datos (volcados de la base de datos): 35 días;
• (c) Copias de Seguridad mensuales: 12 meses desde la fecha en que se realiza cada Copia de Seguridad;
• (d) las versiones anteriores de los archivos cargados: 90 días desde la fecha en que se sustituyen o eliminan.

Reglas aplicables a estas Copias de Seguridad:

• Las Copias de Seguridad diarias y mensuales y sus copias se conservan en bóvedas de copias de seguridad cuya política impide que nadie, incluido el propio personal de STAK, elimine una Copia de Seguridad antes de que termine su plazo de conservación o modifique dicho plazo, y cuyo bloqueo en el modo de cumplimiento (compliance mode) del proveedor de alojamiento impide la eliminación de cualquier Copia de Seguridad durante al menos sus primeros 35 días.
• Las Copias de Seguridad lógicas nocturnas están protegidas contra alteración y eliminación hasta que termina su plazo de conservación.
• STAK no elimina ninguna Copia de Seguridad antes de que termine su plazo de conservación, ni siquiera a petición del Cliente.
• Todas las Copias de Seguridad quedan fuera de uso y se utilizan únicamente para la recuperación técnica, sin perjuicio de la cláusula 12.4, o cuando la ley lo exija.
• Todas las Copias de Seguridad que contienen datos eliminados caducan al término de estos plazos, es decir, en un máximo de 12 meses, y los datos eliminados se destruyen entonces de forma permanente.
• A petición, STAK comunica al Cliente la fecha en que caduca la última Copia de Seguridad que contiene datos eliminados, para que el Cliente pueda informar al Interesado.

12.4 Si STAK restaura una Copia de Seguridad durante esos plazos, vuelve a aplicar, antes de que los datos estén disponibles, las supresiones efectuadas conforme a la cláusula 8.1 y las eliminaciones realizadas conforme a la cláusula 12.2 con posterioridad a la fecha de esa Copia de Seguridad, utilizando los registros que conserva de esas operaciones.

13. Solicitudes de las autoridades públicas

Si STAK recibe una solicitud vinculante de una autoridad gubernamental o judicial para divulgar Datos Personales del Cliente, lo notifica al Cliente salvo que la ley prohíba la notificación. STAK limita la divulgación al mínimo que exija la solicitud. Impugna las solicitudes que considere razonablemente ilícitas, por los medios legales disponibles.

14. Responsabilidad

La responsabilidad de cada Parte conforme al presente Acuerdo de Tratamiento de Datos, incluida su responsabilidad frente a la otra Parte conforme a las cláusulas contractuales tipo de la cláusula 7.6, está sujeta a las disposiciones sobre limitación de responsabilidad de la cláusula 16 de las Condiciones, en la medida en que dichas cláusulas lo permitan y sin perjuicio de los derechos de los Interesados conforme a ellas.

15. Vigencia y prelación

15.1 El presente Acuerdo de Tratamiento de Datos se aplica mientras STAK trate Datos Personales del Cliente.

15.2 En caso de conflicto entre el presente Acuerdo de Tratamiento de Datos y las Condiciones, prevalece en las materias relativas a los Datos Personales del Cliente.

15.3 Cuando la Ley de Protección de Datos Aplicable imponga una obligación imperativa más estricta que la del presente Acuerdo de Tratamiento de Datos, esa obligación se aplica dentro de su ámbito.

16. Contacto de protección de datos y registro de actividades de tratamiento

STAK ha designado un contacto de protección de datos, al que se puede escribir por correo electrónico a [email protected]. STAK mantiene un registro de las actividades de tratamiento que realiza por cuenta de sus clientes, y lo facilita a la autoridad reguladora competente cuando la ley lo exige.

Anexo 1: Detalles del Tratamiento

• Objeto: prestar los Servicios al Cliente conforme a las Condiciones.
• Duración: la duración del Contrato, el período de exportación y eliminación posterior conforme a la cláusula 12, los plazos de conservación de las Copias de Seguridad de la cláusula 12.3 y los plazos de conservación de los Subencargados establecidos en el Anexo 3.
• Naturaleza y finalidad:
  • almacenar y alojar los Datos del Cliente;
  • procesar ventas, pedidos, reservas y facturas;
  • gestionar el inventario, la contabilidad, los recursos humanos y las nóminas;
  • enviar los mensajes que el Cliente solicita a través de sus propias cuentas con Proveedores Conectados, o a través de los proveedores de mensajería que STAK utiliza una vez que figuren en el Anexo 3;
  • prestar las Funciones de IA cuando se utilizan;
  • Copias de Seguridad, seguridad y Soporte.
• Categorías de Interesados:
  • los Clientes Finales, huéspedes y pacientes del Cliente;
  • sus empleados y los candidatos a un empleo;
  • Usuarios;
  • sus proveedores y los contactos de estos;
  • conductores y repartidores.
• Categorías de Datos Personales:
  • datos de identidad y de contacto, como nombre, teléfono, correo electrónico, dirección y lugar de entrega;
  • los registros de transacciones, pedidos, reservas y facturas;
  • las referencias vinculadas a los pagos, sin números de tarjeta completos;
  • los datos de fidelización, las preferencias y los consentimientos;
  • los datos de los empleados del Cliente, como el número de identificación civil, los datos de residencia, el salario, el número de cuenta bancaria internacional (IBAN), la asistencia y los permisos;
  • las fotos y los documentos que el Cliente carga;
  • los registros de mensajes y la pista de auditoría.
• Datos Personales Sensibles: los datos de salud y clínicos cuando se utilizan las Aplicaciones para clínicas, sin perjuicio de la cláusula 7.7 y de la cláusula 13.4 de las Condiciones, conforme a la cual las funciones de historial de pacientes no deben utilizarse para pacientes que reciban servicios de salud en el Estado de Kuwait o en los Emiratos Árabes Unidos; y los datos de salud de los archivos de recursos humanos, como los justificantes médicos. Los historiales clínicos y los archivos de recursos humanos se cifran con claves independientes, y estos datos solo son visibles para los Usuarios que tengan los roles autorizados para verlos. Los códigos de diagnóstico y de procedimiento de las reclamaciones de seguros y de las autorizaciones previas, y las imágenes de las tarjetas de seguro, están protegidos por el cifrado de la base de datos y del almacenamiento descrito en el Anexo 2.

Anexo 2: Medidas técnicas y organizativas

1. Cifrado:
   • Los datos en tránsito se cifran con TLS versión 1.2 o posterior, y la identidad del servidor de la base de datos se verifica en cada conexión.
   • Los datos en reposo en bases de datos, discos, archivos, Copias de Seguridad y el almacén de secretos se cifran con AES-256, mediante claves gestionadas a través del AWS Key Management Service (AWS KMS) o por el proveedor de alojamiento.
   • Los archivos de recursos humanos y los historiales clínicos se cifran además dentro de la aplicación con claves independientes, y los datos de conexión de los Proveedores Conectados se conservan en un almacén de secretos independiente, cifrado con una clave independiente.
2. Aislamiento de los datos de cada cliente: cada registro de Datos del Cliente lleva el identificador del Negocio al que pertenece. Las políticas de seguridad a nivel de fila de la base de datos se aplican al rol de la aplicación, y el rol de la aplicación no tiene permiso para eludirlas. Las restricciones de clave compuesta impiden que los registros de un Negocio se vinculen con los de otro.
3. Control de acceso:
   • El acceso se concede conforme al principio de mínimo privilegio.
   • El acceso al Entorno de Producción se limita a empleados de STAK designados nominalmente, exige autenticación multifactor y se registra el inicio de cada acceso.
   • El acceso administrativo a los servidores se realiza únicamente a través de AWS Systems Manager, sin inicio de sesión directo (SSH).
4. Seguridad del inicio de sesión de los Usuarios:
   • Para los Usuarios, los Servicios ofrecen claves de acceso (passkeys), aplicaciones de autenticación y códigos de verificación enviados a un teléfono verificado.
   • Para el Cliente, ofrecen roles y permisos personalizables, acceso restringido por Sucursal y, en los Planes que los incluyen, reglas de inactividad de sesión y alertas a los Propietarios por inicios de sesión desde dispositivos nuevos.
5. Pista de auditoría: se mantiene una pista de auditoría de los cambios que ningún Usuario puede alterar ni eliminar. Registra el autor, la hora, el origen y la dirección IP. Cuando el Cliente suprime los Datos Personales de un Cliente Final conforme a la cláusula 8.1, las entradas pierden los datos identificativos de esa persona pero conservan lo que se hizo, quién lo hizo y cuándo. La pista de auditoría se elimina con los Datos del Cliente conforme a la cláusula 12. Los asientos contables se encadenan de forma que cualquier manipulación queda de manifiesto.
6. Copias de Seguridad y recuperación:
   • las Copias de Seguridad continuas y automatizadas permiten la recuperación a un punto en el tiempo dentro de los 35 días;
   • las Copias de Seguridad diarias se conservan durante 35 días y las mensuales durante 12 meses, y se copian en una región geográfica distinta de la República de Irlanda. La política de las bóvedas de copias de seguridad impide su eliminación antes de que termine su plazo de conservación o cualquier modificación de dicho plazo, y un bloqueo en modo de cumplimiento (compliance mode) impide la eliminación de cualquier Copia de Seguridad durante al menos sus primeros 35 días;
   • cada noche se realiza una Copia de Seguridad lógica de la base de datos que se conserva durante 35 días en un almacenamiento protegido contra alteración y eliminación;
   • la restauración de la base de datos a partir de las Copias de Seguridad se prueba cada mes.
7. Datos de pago: los Servicios están diseñados para que STAK no almacene números de tarjeta completos. Los pagos se realizan en páginas alojadas por los Proveedores de Servicios de Pago o en sus terminales y aplicaciones certificados de aceptación de tarjetas. Las pantallas de los Servicios no contienen campos para introducir datos de tarjeta, y los Servicios permiten al Cliente analizar los campos de texto libre en busca de números de tarjeta introducidos por error para poder eliminarlos.
8. Red e infraestructura: las bases de datos se ejecutan en redes privadas no accesibles públicamente, detrás de cortafuegos. Un cortafuegos de aplicaciones web y protección contra ataques de denegación de servicio se proporcionan a través de Cloudflare.
9. Gestión de vulnerabilidades y desarrollo seguro: el código se revisa y se ejecutan pruebas automatizadas antes de cada versión. Las bibliotecas de software se comprueban y las actualizaciones de seguridad se aplican sin demora.
10. Supervisión y respuesta a incidentes:
    • la infraestructura en la nube se supervisa automáticamente las veinticuatro horas del día, con alertas inmediatas;
    • cada acción administrativa en la infraestructura en la nube se registra, y las amenazas y los permisos excesivos se detectan automáticamente mediante servicios específicos de Amazon (AWS CloudTrail, GuardDuty e IAM Access Analyzer);
    • se aplican procedimientos documentados para responder a los Incidentes de Seguridad y para la notificación conforme a la cláusula 9.
11. Continuidad del negocio: se aplican planes de continuidad y recuperación, en línea con los objetivos de recuperación del Acuerdo de Nivel de Servicio.
12. Personal: Los empleados y contratistas de STAK están obligados a la confidencialidad y reciben formación de concienciación en materia de seguridad.
13. Eliminación segura: los datos se eliminan conforme a la cláusula 12, y el proveedor de alojamiento destruye los soportes de acuerdo con sus normas.

Anexo 3: Subencargados

Proveedores utilizados solo cuando se activan. STAK tiene configurados los siguientes proveedores, pero hoy no los utiliza para tratar Datos Personales del Cliente. Solo empieza a utilizar alguno de ellos tras notificarlo conforme a la cláusula 6.3, con al menos 30 días de antelación, y la notificación indica dónde trata los datos el proveedor y durante cuánto tiempo los conserva.

Una vez que STAK active su propio número de WhatsApp, Meta envía desde él códigos de inicio de sesión a los Usuarios y códigos de verificación a los Clientes Finales que verifican sus números de teléfono en las Páginas Públicas. Al hacerlo, trata datos que STAK trata como Responsable del Tratamiento conforme a la Política de Privacidad, no Datos Personales del Cliente.

Aparte de los proveedores anteriores, STAK no utiliza proveedores de mensajes de texto, notificaciones push, billeteras digitales, ni de búsqueda, verificación y cartografía de direcciones para tratar Datos Personales del Cliente.