Anexo de tratamiento de datos

1. Partes, objeto y vigencia

Este Anexo se celebra entre la empresa identificada en la suscripción (“Cliente”) y CotiBit, servicio operado bajo la marca Ignite Studio (“Encargado”). Regula el tratamiento de datos personales que CotiBit realiza por cuenta del Cliente al prestar la plataforma.

Entra en vigor con la suscripción y permanece aplicable mientras CotiBit trate datos por cuenta del Cliente. Prevalece sobre disposiciones contradictorias de los Términos únicamente respecto del tratamiento encargado.

2. Roles y responsabilidades

El Cliente determina las finalidades y medios esenciales del tratamiento de la información que carga, incluyendo datos de sus prospectos, clientes, proveedores y contactos. Es responsable de su licitud, exactitud, transparencia, minimización y plazos.

CotiBit procesa esos datos únicamente para prestar, asegurar, mantener y soportar la plataforma según instrucciones documentadas. CotiBit es responsable independiente de los datos que necesita para sus propias cuentas, facturación, seguridad, cumplimiento y relación comercial, según la Política de Privacidad.

3. Instrucciones documentadas

Los Términos, este Anexo, la configuración y las acciones autorizadas dentro de la aplicación constituyen instrucciones documentadas. CotiBit no tratará datos para una finalidad incompatible, salvo obligación legal; en tal caso informará al Cliente antes, si la ley no lo prohíbe.

Si una instrucción parece infringir una norma aplicable o comprometer derechos, CotiBit podrá advertirlo y suspender esa acción mientras las partes la aclaran.

4. Compromisos de CotiBit

• limitar el acceso a personal y proveedores que lo necesiten para su función;
• sujetar a confidencialidad a quienes accedan a datos;
• aplicar medidas técnicas y organizativas razonables;
• mantener separación lógica por empresa y permisos por rol;
• asistir razonablemente al Cliente en solicitudes, incidentes y cumplimiento;
• no vender los datos ni utilizarlos para publicidad de terceros;
• eliminar o devolver datos al terminar, con las excepciones de este Anexo.

5. Medidas de seguridad

Las medidas aplicables incluyen, según la función y riesgo:

• cifrado de comunicaciones mediante HTTPS y almacenamiento administrado;
• autenticación, recuperación segura y sesiones con vigencia limitada;
• autorización por membresía, rol, empresa y políticas de acceso a nivel de datos;
• registros de auditoría para acciones administrativas y sesiones de soporte;
• copias de respaldo y controles de disponibilidad provistos por la infraestructura;
• minimización de acceso, actualización de dependencias y revisión de vulnerabilidades;
• procedimientos de respuesta, contención, investigación y comunicación de incidentes.

Las medidas evolucionarán con el servicio, la tecnología y el riesgo sin reducir materialmente el nivel general de protección.

6. Subencargados

El Cliente autoriza de forma general a CotiBit a utilizar proveedores especializados para infraestructura, autenticación, almacenamiento, correo, soporte y pagos. Los principales subencargados actuales son Supabase, Vercel y Resend. Calendly y WhatsApp operan cuando la persona inicia esas interacciones.

CotiBit exigirá obligaciones de protección adecuadas al servicio contratado. Informará cambios materiales mediante la Política de Privacidad, el centro legal o un aviso razonable. El Cliente puede presentar una objeción fundada; las partes buscarán una alternativa y, si no existe, cualquiera podrá terminar la función afectada o la suscripción conforme al contrato.

7. Incidentes de seguridad

CotiBit notificará al Cliente sin demora indebida después de confirmar un incidente que comprometa datos tratados por su cuenta. La comunicación incluirá, a medida que esté disponible, naturaleza, categorías afectadas, consecuencias probables, medidas tomadas y contacto de seguimiento.

La notificación no implica admisión de culpa. El Cliente decidirá sobre comunicaciones a titulares o autoridades, y CotiBit brindará asistencia razonable. Ambas partes preservarán evidencia y evitarán divulgar información que aumente el riesgo.

8. Solicitudes de personas

Si CotiBit recibe una solicitud relacionada con datos controlados por el Cliente, la remitirá al Cliente cuando pueda identificarlo y no responderá sustantivamente salvo instrucción o obligación legal. Proporcionará funciones y asistencia razonables para acceso, corrección, exportación, oposición o eliminación.

9. Procesamiento internacional

El Cliente reconoce que los subencargados pueden procesar información en países donde operan centros de datos o personal autorizado. CotiBit utilizará proveedores con compromisos razonables de seguridad y privacidad y limitará la información transferida a lo necesario.

10. Devolución, eliminación y continuidad

Durante la vigencia, el Cliente puede exportar información mediante las funciones disponibles o una solicitud razonable. Al terminar, CotiBit eliminará o desidentificará los datos conforme a sus ciclos, salvo conservación necesaria por ley, cobro, seguridad, defensa de derechos o respaldo.

La empresa debe conservar por separado los originales fiscales y documentos que la ley le exija. CotiBit no es un archivo fiscal permanente ni sustituye los sistemas oficiales o del certificador.

11. Información de cumplimiento y auditoría

A solicitud razonable, CotiBit proporcionará información disponible sobre sus medidas y subencargados. Si es insuficiente, las partes podrán acordar una revisión remota o auditoría limitada, con aviso, confidencialidad, alcance proporcional y sin comprometer la seguridad o datos de otras empresas. Los costos extraordinarios serán asumidos por el Cliente salvo incumplimiento material comprobado.

12. Detalle del tratamiento