Anexo de Procesamiento de Datos y subencargados

DRAFT — requires attorney review BORRADOR: requiere revisión de un abogado. No es asesoría legal. Este anexo no está vigente hasta que un abogado lo apruebe, se publique una fecha de entrada en vigor y el cliente lo acepte.

Este anexo ("DPA") forma parte de los Términos de Servicio entre TODO(owner): legal entity name ("Mopful", "nosotros") y la empresa que usa Mopful ("Cliente"). Si ambos documentos se contradicen respecto de la información personal, prevalece este DPA.

1. Funciones

Respecto de la información personal de los registros de trabajo del Cliente (los Datos del Cliente, descritos en la sección 3), el Cliente es el responsable del tratamiento o la "empresa" ("business") y Mopful es el encargado del tratamiento o "proveedor de servicios" ("service provider"). Respecto de los datos de cuenta, facturación, sitio web y marketing, Mopful decide cómo se usan los datos, según se describe en la Política de Privacidad.

2. Instrucciones

Procesamos los Datos del Cliente solo para prestar, proteger, respaldar y dar soporte al servicio al Cliente, para generar y entregar los informes que el Cliente solicita, y según las instrucciones del Cliente dadas mediante el producto y su configuración, o por escrito. Si creemos que una instrucción infringe la ley, se lo diremos al Cliente. No venderemos los Datos del Cliente, no los compartiremos para publicidad conductual entre contextos, ni los conservaremos, usaremos o divulgaremos fuera de la relación comercial directa con el Cliente, ni los combinaremos con otros datos, salvo en lo que la ley permita a un proveedor de servicios.

3. Qué se procesa

• Personas: los propietarios, gerentes, supervisores, limpiadores, observadores y usuarios cliente del Cliente, y las personas nombradas en los registros del Cliente (por ejemplo, contactos de los sitios).
• Datos: nombres, correos electrónicos o números de teléfono, roles, hashes de PIN, registros de trabajo y sus horas, una lectura de ubicación en la llegada, una en la salida y una al iniciar la inspección, fotos, notas, códigos de acceso a sitios (cifrados), historial de actividad e identificadores de dispositivo.
• No previstos: información de salud protegida, números de tarjeta de pago, identificadores gubernamentales o datos biométricos. El Cliente no debe subirlos. No firmamos acuerdos de asociado comercial.

4. Confidencialidad y personal

Las personas que pueden acceder a los Datos del Cliente están sujetas a confidencialidad y solo obtienen acceso en la medida necesaria para operar y dar soporte al servicio.

5. Seguridad

Mantenemos las medidas de la sección 12. Buscan ser adecuadas al riesgo, y las actualizamos con el tiempo sin reducir el nivel general de protección.

6. Subencargados

El Cliente acepta que usemos los subencargados de la sección 13. Avisaremos al Cliente de un subencargado nuevo o de un reemplazo con al menos TODO(owner): notice period for new sub-processors, for example 30 days de anticipación, por correo al propietario de la cuenta o actualizando esta página. El Cliente puede objetar, por motivos razonables de protección de datos, dentro de ese plazo. Si no podemos resolver la objeción, el Cliente puede cancelar el servicio afectado y le reembolsaremos la parte prepagada no usada del período en curso. Seguimos siendo responsables de nuestros subencargados y los obligamos a condiciones no menos protectoras que este DPA.

7. Dónde se guardan los datos y quién puede acceder

Los Datos del Cliente se guardan en Estados Unidos. Los subencargados y nuestro equipo de soporte pueden acceder a ellos desde otros países, bajo contrato y solo en la medida necesaria para prestar y dar soporte al servicio. TODO(attorney): confirm whether any transfer mechanism or notice is needed for this access, and whether state law requires more.

8. Solicitudes de las personas y ayuda de nuestra parte

El producto permite al Cliente exportar, corregir y eliminar datos. Si una persona nos consulta directamente sobre los Datos del Cliente, la remitiremos al Cliente, salvo que la ley exija otra cosa. Daremos ayuda razonable para las respuestas del Cliente a solicitudes de privacidad, evaluaciones de privacidad y consultas de autoridades, con TODO(owner): cost terms for assistance beyond the product's tools.

9. Brecha de datos personales

Notificaremos al Cliente sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a que tengamos conocimiento de una brecha de datos personales que afecte los Datos del Cliente. El aviso se envía al correo del propietario de la cuenta e indicará lo que sepamos: qué ocurrió, los datos y las personas afectados, las consecuencias probables, lo que hemos hecho y lo que el Cliente puede hacer. Mantendremos informado al Cliente y daremos más detalles a medida que los tengamos. El Cliente es responsable de los avisos a sus propios empleados, clientes y autoridades.

10. Devolución y eliminación

• Durante la vigencia: el Cliente puede exportar y eliminar datos en el producto.
• Eliminación de la cuenta: cuando el Cliente pide eliminar la cuenta de la empresa, el cobro se detiene de inmediato, la cuenta se desactiva durante un período de gracia de 30 días y luego los Datos del Cliente se eliminan de nuestros sistemas en vivo (base de datos, almacenamiento de archivos multimedia y enlaces de informes).
• Respaldos: conservamos copias de respaldo continuas durante 30 días. Un registro eliminado puede permanecer en un respaldo hasta 30 días después de la eliminación, más una ejecución diaria, y luego vence. Los datos de respaldo no se usan para ningún otro fin y no se restauran salvo para recuperarnos de una falla nuestra.
• Conservación según el plan: las fotos de evidencia se eliminan al cumplirse el período de conservación del plan del Cliente (12, 24 o 36 meses), y el historial de actividad a los 36 meses.
• Registros de las personas que se van: el nombre de una persona se reemplaza por "Exmiembro del equipo" en los registros del Cliente cuando esa persona elimina su cuenta; los registros del Cliente se quedan con el Cliente.
• Ley: podemos conservar datos cuando la ley lo exija, y solo para ese fin.

11. Auditorías

Previa solicitud por escrito, no más de una vez al año, daremos al Cliente la información razonablemente necesaria para demostrar que cumplimos este DPA, como un resumen de nuestras prácticas de seguridad y de nuestros contratos con subencargados. TODO(attorney): decide whether to offer third-party audit reports or on-site audits, and who pays.

12. Medidas de seguridad

• Controles de acceso por rol y por sitio asignado, con una desactivación que cierra la sesión de la persona.
• PIN guardados como hashes con sal; límites de intentos de ingreso y de PIN por cuenta, dispositivo y dirección.
• Códigos de acceso a sitios cifrados en reposo; cada consulta queda registrada.
• Cifrado en tránsito; enlaces firmados y con vencimiento para fotos e informes.
• Separación de los datos de cada empresa y pruebas automáticas de las reglas de acceso.
• Respaldos diarios continuos conservados 30 días, con las credenciales de solo lectura del respaldo de archivos multimedia separadas de las del sistema en vivo.
• Registro de las acciones administrativas; monitoreo de errores.
• Secretos guardados en un almacén de secretos administrado, no en el código fuente.

13. Lista de subencargados

Las etiquetas de analítica y publicidad del sitio web (Google Analytics 4, Google Ads, Microsoft Advertising) funcionan solo con consentimiento en nuestro sitio de marketing. No reciben Datos del Cliente de la app y se describen en la Política de Privacidad.

14. Responsabilidad y vigencia

La responsabilidad bajo este DPA está sujeta a los límites de los Términos de Servicio. TODO(attorney): confirm whether data-protection claims should have a separate cap. Este DPA dura mientras procesemos Datos del Cliente.

15. Contacto

Preguntas sobre este DPA o para recibir una copia firmada: support@mopful.com. Dirección postal: TODO(owner): US postal address for legal notices and CAN-SPAM.