Este Acuerdo de procesamiento de datos ("DPA") regula el tratamiento de datos personales que PROCCESS, ANALYTICS AND INNOVATIONS SpA ("Adereso") realiza por cuenta del Cliente para prestar sus servicios de software como servicio ("Servicios").

Este DPA forma parte de los Términos y condiciones, contrato de prestación de servicios SaaS, orden de servicio u otro acuerdo maestro celebrado entre Adereso y el Cliente que lo incorpore o haga referencia a él (el "Acuerdo").

En caso de conflicto entre este DPA y el Acuerdo respecto del tratamiento de datos personales, prevalecerá este DPA únicamente en la medida de dicho conflicto. Los términos definidos en el Acuerdo conservarán su significado en este DPA.

Adereso dispone de este DPA estándar como fuente pública y canónica de sus compromisos en calidad de Encargado del Tratamiento. El documento cubre el objeto y finalidad del tratamiento, su duración, las categorías de datos personales y titulares, las instrucciones documentadas del Cliente, las medidas de seguridad, la notificación de brechas dentro de 48 horas, las transferencias internacionales, los derechos de los titulares, los subencargados y la devolución o eliminación de los datos.

Cuando el Cliente requiera utilizar su propio DPA o anexos de seguridad, Adereso estará disponible para revisarlos y, en principio, suscribirlos. Su aceptación definitiva quedará sujeta a la revisión y aprobación formal de Legal y a que sus disposiciones sean compatibles con los Servicios contratados, la legislación aplicable y las obligaciones asumidas por Adereso frente a sus proveedores y subencargados. Una vez firmados, dichos instrumentos formarán parte del Acuerdo y su orden de prevalencia deberá constar expresamente.

Para licitaciones, evaluaciones de proveedores y procesos de debida diligencia, la URL pública de esta página constituye la evidencia canónica y permite verificar la versión vigente. Podrá generarse una copia en PDF únicamente cuando el portal o proceso correspondiente exija un archivo adjunto.

Para los tratamientos efectuados en el marco de los Servicios:

Cada parte cumplirá las obligaciones que le correspondan conforme a la Ley N.º 19.628 sobre protección de la vida privada, modificada por la Ley N.º 21.719, y demás normativa de protección de datos personales que resulte aplicable.

El Cliente conservará todos los derechos, titularidad e intereses que legal y contractualmente le correspondan sobre los Datos del Cliente, sin perjuicio de los derechos de los titulares de datos personales y de los canales o plataformas de terceros.

Se consideran Datos del Cliente la información proporcionada, recopilada, generada, almacenada o tratada mediante los Servicios por su cuenta, incluyendo contactos, conversaciones, mensajes, archivos, configuraciones, metadatos, métricas y reportes específicos de su operación.

Adereso no adquiere derechos de propiedad sobre estos datos. Recibe únicamente una autorización limitada, no exclusiva y temporal para tratarlos conforme a las instrucciones del Cliente y para prestar los Servicios. Esta disposición no transfiere al Cliente derechos sobre el software ni la propiedad intelectual preexistente de Adereso.

Adereso tratará datos personales únicamente en la medida necesaria para prestar, mantener, proteger y dar soporte a los Servicios contratados, incluyendo, según corresponda:

Adereso no tratará los datos personales para finalidades propias incompatibles con las instrucciones del Cliente.

El tratamiento se realizará durante la vigencia del Acuerdo y por el tiempo adicional estrictamente necesario para ejecutar las instrucciones de devolución, exportación, conservación restringida o eliminación previstas en este DPA.

Dependiendo de los Servicios y canales configurados por el Cliente, el tratamiento puede comprender:

El Cliente no deberá instruir el tratamiento de datos sensibles o categorías especiales salvo que exista una base de licitud aplicable, resulte necesario para los Servicios contratados y se hayan acordado las medidas correspondientes.

Los titulares pueden incluir:

El Cliente declara y garantiza que cuenta con una base de licitud suficiente para recopilar, utilizar, comunicar y encargar el tratamiento de los datos personales, incluyendo el consentimiento cuando corresponda.

Adereso tratará los datos personales solamente conforme a las instrucciones documentadas del Cliente, incluidas las contenidas en el Acuerdo, sus anexos, configuraciones y solicitudes autorizadas relacionadas con los Servicios.

Si Adereso considera que una instrucción infringe la normativa aplicable, lo informará al Cliente y podrá suspender su ejecución mientras las partes revisan la instrucción.

Adereso mantendrá la confidencialidad de los datos personales y limitará su acceso al personal que lo requiera para prestar los Servicios, sujeto a deberes de confidencialidad y acceso bajo necesidad de conocimiento.

Adereso implementará y mantendrá medidas técnicas y organizativas razonables y apropiadas para proteger la integridad, confidencialidad y disponibilidad de los datos personales frente al tratamiento no autorizado o ilícito, y frente a su pérdida, alteración, destrucción o daño accidental.

El Cliente será responsable de administrar adecuadamente sus usuarios, permisos y credenciales, y de utilizar los Servicios de acuerdo con la normativa aplicable.

Adereso notificará al Cliente, sin dilación indebida y a más tardar dentro de las 48 horas siguientes a tomar conocimiento, de una violación de seguridad que afecte datos personales tratados en virtud del Acuerdo.

La notificación incluirá la información razonablemente disponible para que el Cliente pueda evaluar el incidente y cumplir sus obligaciones. Adereso colaborará en la investigación, contención y mitigación conforme a la naturaleza del incidente y a sus responsabilidades como Encargado.

Al incorporar este DPA al Acuerdo, el Cliente autoriza de forma específica, expresa y por escrito a los subencargados individualizados en la versión del Listado de Subencargados de Tratamiento de Datos vigente en la fecha efectiva del Acuerdo. Dicha versión forma parte del DPA y deberá quedar identificada en el registro contractual o de autorizaciones del Cliente.

Antes de que un nuevo subencargado trate datos personales del Cliente, Adereso le comunicará su identidad, servicio, finalidad, categorías de datos, ubicación y condiciones aplicables. El Cliente deberá aprobar o rechazar por escrito la incorporación dentro de los 5 días corridos siguientes a la comunicación. La aprobación podrá constar en contrato, anexo, correo electrónico, portal u otro medio electrónico verificable.

La falta de respuesta no constituye autorización. Adereso no permitirá que el nuevo subencargado trate datos personales del Cliente mientras no exista aprobación escrita. Si el Cliente rechaza fundadamente la incorporación, las partes evaluarán de buena fe una alternativa razonable; la prestación del servicio podrá verse afectada cuando no exista una alternativa técnica o comercialmente viable.

Adereso mantendrá evidencia de la autorización del Cliente y del contrato o DPA aplicable con cada subencargado, impondrá obligaciones de protección de datos sustancialmente equivalentes a las establecidas en este DPA y seguirá siendo responsable frente al Cliente por el cumplimiento de las obligaciones que les haya delegado.

El Cliente autoriza a Adereso a realizar transferencias internacionales de datos personales cuando sean necesarias para la prestación de los Servicios, siempre que se utilicen las salvaguardas exigidas por la legislación aplicable.

Los países y proveedores involucrados podrán identificarse en el listado vigente de subencargados.

El Cliente es responsable de atender las solicitudes de ejercicio de derechos de los titulares.

Adereso prestará asistencia razonable, mediante medidas técnicas y organizativas adecuadas, para que el Cliente pueda responder solicitudes de acceso, rectificación, supresión, oposición, portabilidad, bloqueo u otros derechos reconocidos por la normativa aplicable.

Si Adereso recibe directamente una solicitud relacionada con datos tratados por cuenta del Cliente, la comunicará al Cliente sin responderla, salvo instrucción documentada o exigencia legal.

Durante la vigencia del Acuerdo y hasta por un máximo de 30 días después del término efectivo de los Servicios, Adereso mantendrá disponibles los mecanismos, documentación y APIs necesarios para que el Cliente exporte una copia de su información, incluyendo formatos XLSX y JSON cuando corresponda.

Al finalizar la prestación, y a elección del Cliente, Adereso devolverá o eliminará los datos personales y sus copias, salvo que:

Cuando el Cliente imparta dicha instrucción, la conservación restringida podrá extenderse por un máximo de 3 años desde el término efectivo de los Servicios, siempre que exista una base de licitud aplicable. Durante ese período, los datos:

Cumplido el período aplicable, Adereso eliminará de forma segura o anonimizará irreversiblemente los datos y sus copias, incluyendo su expiración de los respaldos conforme a los ciclos aplicables. A solicitud del Cliente, Adereso certificará por escrito la eliminación realizada.

Cada parte será responsable por los perjuicios derivados de sus propios actos u omisiones en el tratamiento de datos personales.

El Cliente mantendrá indemne a Adereso respecto de reclamaciones derivadas de:

Adereso responderá frente al Cliente por los daños directos derivados del incumplimiento comprobado de las medidas de seguridad y demás obligaciones que le correspondan como Encargado, sujeto a las limitaciones de responsabilidad establecidas en el Acuerdo y permitidas por la ley.

Este DPA permanecerá vigente mientras Adereso trate datos personales por cuenta del Cliente.

Adereso podrá actualizar este DPA para reflejar cambios legales, regulatorios, técnicos u operacionales. Las modificaciones materiales serán comunicadas o publicadas con antelación razonable y no reducirán sustancialmente el nivel de protección comprometido durante la vigencia del Acuerdo.