Acuerdo de Procesamiento de Datos (DPA) conforme al GDPR

Este DPA se aplica al tratamiento de los datos personales que el Responsable (el Facilitador) decida incluir en el Contenido del Usuario: nombres de sesión, figuras, notas y etiquetas de los tableros. La Plataforma es una herramienta de propósito general: el Encargado no solicita, exige, revisa ni clasifica el contenido introducido, y no tiene la intención ni la necesidad de tratar categorías especiales de datos. El Responsable determina en exclusiva los fines y medios del tratamiento y se obliga, conforme a los Términos de Servicio, a seudonimizar toda referencia a personas físicas dentro de sus tableros.

El Encargado tratará el Contenido del Usuario exclusivamente siguiendo las instrucciones documentadas del Responsable —que se entienden dadas mediante el uso de las funciones de la Plataforma— y con el único fin de prestar el almacenamiento en la nube, la sincronización y la visualización del servicio.

Este DPA no es un acuerdo de socio comercial (Business Associate Agreement) conforme a HIPAA. El Encargado no presta un servicio conforme a HIPAA y el Responsable no introducirá información de salud protegida (PHI) en la Plataforma (Términos §7).

El Responsable reconoce y consiente expresamente que el Contenido del Usuario se almacena en MongoDB Atlas, en servidores ubicados en los Estados Unidos de América, y se procesa en tránsito en las funciones de Vercel. Firebase sólo autentica la cuenta del Responsable y no recibe el Contenido.

Cuando el Responsable esté sujeto al Reglamento General de Protección de Datos (GDPR) o a una norma equivalente que lo exija, las partes incorporan por referencia a este DPA las Cláusulas Contractuales Estándar aprobadas por la Decisión de Ejecución (UE) 2021/914, Módulo Dos (responsable → encargado), en su texto oficial, con estas opciones: la cláusula 7 no se aplica; en la cláusula 9, autorización general de subencargados con el preaviso del §3; en la cláusula 11 no se incluye la opción; la autoridad de control de la cláusula 13 es la competente respecto del Responsable; y, en las cláusulas 17 y 18, rigen la ley y los tribunales del Estado miembro en que esté establecido el Responsable o, si no lo está en ninguno, los de Irlanda. El Responsable actúa como exportador y Codigo Origen 22 LLC como importador; los Anexos I, II y III de este DPA completan el Apéndice. En caso de conflicto prevalecen las SCC. El Responsable que necesite un ejemplar con sus datos de identificación completos puede solicitarlo en soporte@yosoysistemica.com.

Cuando la ley del Responsable exija un contrato para encargar o transmitir datos personales a un encargado en el extranjero —por ejemplo, el contrato de transmisión de la normativa colombiana—, este DPA recoge las obligaciones del Encargado a esos efectos. Obtener la base legal o la autorización de los interesados corresponde al Responsable.

Cuando los subencargados cuenten con certificación vigente bajo el Marco de Privacidad de Datos UE–EE. UU., dicha certificación opera como garantía adicional; las SCC constituyen en todo caso el mecanismo primario de transferencia.

El Responsable autoriza al Encargado a contratar a los siguientes subencargados técnicos. No todos tratan el Contenido del Usuario: la columna «Contenido del Usuario» indica cuál lo hace. Los demás prestan servicios a los tratamientos propios de Codigo Origen 22 LLC como responsable —cuenta, autenticación, correo y soporte—, descritos en la Política de Privacidad, y figuran aquí por transparencia y porque pueden recibir Contenido de forma excepcional.

Resend y Spacemail sólo reciben Contenido cuando el propio Responsable lo incluye en una solicitud de soporte; en ese caso actúan como subencargados de este DPA respecto de ese Contenido.

Los pagos no forman parte del tratamiento del Contenido del Usuario regulado por este DPA: son un tratamiento propio de Codigo Origen 22 LLC como responsable, descrito en la Política de Privacidad, y se mencionan aquí sólo para delimitarlos. Stripe, LLC y las afiliadas de Stripe que resulten aplicables intervienen en el procesamiento de los pagos. Su función no es única: depende del tratamiento concreto, conforme al Acuerdo de Tratamiento de Datos de Stripe. En los tratamientos que realiza por cuenta del Encargado para prestar el servicio de pago, Stripe puede actuar como encargado o subencargado según corresponda. Para sus propias finalidades —regulatorias, de prevención del fraude, financieras y de cumplimiento normativo— Stripe actúa como responsable independiente del tratamiento. Los datos de la tarjeta se recogen directamente en los sistemas de Stripe y no pasan por los sistemas del Encargado.

Sold through Link, LLC actúa como merchant of record únicamente en las transacciones procesadas mediante Stripe Managed Payments. Respecto de las finalidades que determina en esa condición —cobro, impuestos indirectos, prevención del fraude, emisión de recibos y facturas, soporte transaccional, disputas y reembolsos— actúa como responsable independiente del tratamiento, y no como subencargado del Responsable ni del Encargado. Por eso no figura en el Anexo III, que enumera exclusivamente a quienes tratan datos por cuenta del Encargado. Sus condiciones están en los términos de Sold through Link y en su política de privacidad.

Los datos que se transmiten para procesar un pago se limitan a los de contacto, facturación, dirección, identificadores fiscales cuando procedan, medio de pago y detalles de la orden o de la suscripción. No se transmiten notas, etiquetas, nombres de sesión ni ningún otro Contenido del Usuario, ni dato alguno de los consultantes del Responsable: el flujo de pago no los recibe ni está autorizado a recibirlos.

El soporte transaccional de una compra procesada mediante Managed Payments lo atiende el soporte de Link, bajo su propia responsabilidad. El soporte sobre el uso, el funcionamiento y el contenido de la Plataforma corresponde siempre a Codigo Origen 22 LLC y se rige por este DPA.

Estos tratamientos pueden implicar transferencias internacionales, incluido el tratamiento en Estados Unidos. Al tratarse de responsables independientes, cada uno aplica sus propios mecanismos de transferencia; el Encargado no promete una localización regional determinada para los datos de la transacción.

El Encargado mantendrá la lista de subencargados actualizada en esta página y notificará al Responsable por correo electrónico, con al menos 15 días de antelación, la incorporación o sustitución de los subencargados directos contratados por Codigo Origen 22 LLC. El Responsable podrá oponerse por motivos razonables y fundados relacionados con la protección de datos; si la objeción no puede resolverse, el Responsable podrá cancelar su suscripción como único remedio.

Ese plazo de 15 días corresponde a los subencargados directos. Los proveedores ulteriores contratados por un subencargado operan en un nivel distinto: Resend comunica los cambios de sus propios proveedores conforme a su DPA, actualmente con 14 días de antelación, y Codigo Origen 22 LLC trasladará al Responsable cualquier cambio relevante cuando sea informado de él.

El Encargado asistirá al Responsable en el cumplimiento de sus obligaciones respecto a los derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación y oposición) dentro de los plazos establecidos por el GDPR.

Para ejercer estos derechos, contacta en soporte@yosoysistemica.com.

El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de seguridad que afecte a datos personales tratados bajo este DPA y, en todo caso, en un plazo no superior a 48 horas, proporcionando la información razonablemente disponible sobre la naturaleza de la violación, las categorías afectadas y las medidas adoptadas, de modo que el Responsable pueda cumplir su propia obligación de notificación de 72 horas ante la autoridad de control.

Este DPA permanecerá en vigor mientras exista la cuenta del Responsable en Yo Soy Sistémica, incluido el periodo en que, sin suscripción activa, sus tableros se conservan en modo de solo lectura. A su terminación, el Encargado eliminará o devolverá los datos personales conforme a las instrucciones del Responsable y a las obligaciones legales aplicables. La cuenta termina cuando el Responsable solicita su eliminación o cuando se elimina por inactividad conforme al §13 de los Términos, tras un aviso por correo con 30 días de antelación.

El Responsable puede solicitar la devolución de sus datos en un formato estructurado de uso común en cualquier momento antes de la eliminación, incluido el plazo de 30 días del aviso por inactividad. Una eliminación solicitada se ejecuta en un máximo de 30 días; tras ella, el Encargado eliminará los datos personales de sus sistemas activos, sin perjuicio de las copias de seguridad que existan, que se eliminan conforme a los ciclos de rotación de cada proveedor, y de las obligaciones legales de conservación.

El Encargado garantiza que las personas autorizadas para tratar los datos están sujetas a compromisos de confidencialidad y que el acceso se limita a lo estrictamente necesario para operar, mantener y dar soporte al servicio.

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28 del GDPR, incluidas las certificaciones y los informes de auditoría de sus subencargados (SOC 2 / ISO 27001 de Google, MongoDB y Vercel, según disponibilidad). Las auditorías directas se limitarán a una vez al año, con preaviso razonable de 30 días, sin acceso a datos de otros clientes, y a costa del Responsable.

Este DPA se incorpora por referencia a los Términos de Servicio y se acepta electrónicamente junto con ellos. La Plataforma conserva evidencia de la aceptación contractual conforme al mecanismo descrito en los Términos. Los clientes del plan Escuela pueden solicitar una versión firmable en soporte@yosoysistemica.com.

Cada subencargado contrata a su vez a sus propios proveedores ulteriores. Esa lista posterior pertenece al subencargado y es él quien la mantiene, por lo que no se reproduce dentro de este DPA: copiarla generaría una versión desactualizada. Plus Five Five, Inc. publica la suya en resend.com/legal/subprocessors.