Acuerdo de tratamiento de datos

Este acuerdo de tratamiento de datos ("Acuerdo") forma parte de los términos del servicio entreAPUAMA TECNOLOGIA LTDA, CNPJ 55.038.380/0001-45, Rua Deputado Lacerda Franco, 144, São Paulo/SP, 05418-000, Brasil ("Pingwell" o "nosotros") y el cliente que usa Pingwell para una empresa ("tú"). Se aplica a los datos personales que tratamos en tu nombre al prestar el Servicio y entra en vigor cuando aceptas los términos. Palabras como responsable, encargado (operador), dato personal y titular tienen el sentido que les da la ley de protección de datos aplicable: la LGPD de Brasil y, cuando correspondan, el RGPD de la Unión Europea y del Reino Unido.

1. Roles y alcance

• Tú eres el responsable de los datos personales que ingresas en tus espacios de trabajo, o un encargado que actúa para tu propio cliente; nosotros somos tu encargado (operador). Para tu cuenta, la facturación y nuestro sitio web somos responsables, como explica nuestrapolítica de privacidad, y este Acuerdo no se aplica a esos datos.
• Objeto y duración: la prestación del Servicio según los términos, mientras exista tu cuenta y hasta que los datos se eliminen como describe la sección 8.
• Naturaleza y finalidad: almacenar, ejecutar y mostrar lo que configuras: verificaciones de los sistemas que indicas, pings de heartbeats, alertas a los destinatarios que eliges, páginas de estado e incidentes.
• Titulares: los miembros de tus espacios de trabajo, los destinatarios de tus alertas y cualquier persona cuyos datos aparezcan en lo que monitoreas, envías o publicas.
• Datos personales: nombres y direcciones de correo electrónico, identificadores de chat y de webhook, direcciones IP y user agents de quienes envían heartbeats, y lo que pongas en la configuración de monitores, los cuerpos de heartbeats, las páginas de estado o los incidentes. El Servicio no está pensado para datos personales sensibles; no los envíes.

2. Nuestras obligaciones

• Tratamos los datos personales solo según tus instrucciones documentadas: los términos, este Acuerdo y lo que configuras en el Servicio. Si consideramos que una instrucción infringe la ley, te avisamos. Si una ley que nos aplica nos obliga a tratar los datos de otro modo (para datos sujetos al RGPD de la Unión Europea o del Reino Unido, solo cuenta el derecho de la Unión, de un Estado miembro o del Reino Unido), te avisamos antes, salvo que esa ley lo prohíba.
• Todas las personas de Pingwell con acceso a los datos están obligadas a mantenerlos en confidencialidad.
• Te ayudamos, con los medios que ofrece el Servicio y respondiéndote en [email protected], a atender las solicitudes de los titulares, a mantener los datos seguros y con las evaluaciones de impacto en la protección de datos y las consultas a las autoridades sobre el tratamiento. Una solicitud que un titular nos envíe sobre tus datos, te la remitimos sin responderla nosotros.

3. Seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• HTTPS en toda conexión con el Servicio por internet, y TLS en las conexiones a nuestra base de datos desde fuera de su red privada;
• inicio de sesión con segundo factor obligatorio, y claves de API guardadas solo como hashes;
• acceso a los sistemas de producción limitado a las personas que operan el Servicio;
• copias de seguridad diarias de la base de datos, cifradas en reposo en nuestro proveedor de almacenamiento, conservadas durante 14 días;
• informes de errores de los que quitamos cuerpos de solicitudes, cookies y secretos conocidos antes de que salgan de nuestros servidores.

4. Subencargados

Autorizas a los subencargados que siguen. Cada uno está obligado por términos escritos que protegen los datos al menos como este Acuerdo, y seguimos siendo responsables ante ti por su trabajo. Stripe, que gestiona nuestra facturación, trata nuestros propios datos como responsable, no los tuyos, y no es uno de ellos.

• Amazon Web Services: inicio de sesión, envío de correos y las propias verificaciones (Estados Unidos, Alemania, Brasil, Singapur, Australia, Japón, India).
• Hetzner Online: servidores de la aplicación y base de datos (Ashburn, Virginia, Estados Unidos).
• Cloudflare: DNS, protección de red, alojamiento de las páginas de estado y almacenamiento de copias de seguridad (red global).
• Sentry: informes de errores (Estados Unidos).

Avisamos por correo electrónico a los propietarios de tus espacios de trabajo con al menos 30 días de anticipación antes de agregar o reemplazar un subencargado. Si te opones por motivos razonables de protección de datos y no podemos resolver la objeción, puedes cerrar tu plan de pago antes del cambio, y te reembolsamos la parte no utilizada del período.

5. Incidentes de seguridad

Si un incidente de seguridad afecta tus datos personales, avisamos a los propietarios de tus espacios de trabajo sin demora indebida, y dentro de las 48 horas siguientes a que tengamos conocimiento de él, con lo que sepamos: su naturaleza, los datos y los titulares afectados, sus consecuencias probables y lo que estamos haciendo al respecto. Agregamos detalles a medida que los conocemos, y te ayudamos a cumplir tus propios deberes de notificar a las autoridades y a los titulares.

6. Transferencias internacionales

Los datos se tratan en Brasil, en Estados Unidos y en los demás países listados en la sección 4. Cuando la ley exija una garantía para esas transferencias, las partes incorporan las cláusulas contractuales estándar aprobadas por la Resolución CD/ANPD n.º 19/2024, íntegras, para los datos sujetos a la LGPD; las cláusulas contractuales tipo de la Unión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión), para los datos sujetos al RGPD de la Unión Europea, con el módulo dos cuando seas responsable y el módulo tres cuando seas encargado, la cláusula 7 opcional, la opción 2 de la cláusula 9 con el plazo de aviso de la sección 4, la autoridad de control que indique la cláusula 13, y la ley y los tribunales de Irlanda para las cláusulas 17 y 18; y el International Data Transfer Addendum del Reino Unido, para los datos sujetos al RGPD del Reino Unido, completado con esas mismas cláusulas. En todos esos conjuntos, las partes y sus datos son los indicados al inicio de este Acuerdo, la descripción de la transferencia es la sección 1, las medidas de seguridad son la sección 3 y los subencargados son la sección 4. Si esas cláusulas contradicen este Acuerdo, prevalecen las cláusulas.

7. Auditorías

Ponemos a tu disposición la información necesaria para demostrar que cumplimos este Acuerdo, y respondemos un cuestionario escrito razonable de seguridad una vez al año. Una inspección en nuestras instalaciones solo ocurre cuando una autoridad lo exige o la información que dimos no basta, con 30 días de aviso (o el aviso más breve que exijan una autoridad o un incidente de seguridad), en horario laboral, a tu cargo y bajo confidencialidad.

8. Fin del tratamiento

Puedes obtener tus datos mediante la API en cualquier momento y, cuando se cierre tu cuenta, puedes elegir que antes te devolvamos una copia de todos ellos. Dentro de los 30 días siguientes al cierre, eliminamos los datos personales, salvo lo que una ley que nos aplica nos obligue a conservar (para datos sujetos al RGPD de la Unión Europea o del Reino Unido, el derecho de la Unión, de un Estado miembro o del Reino Unido); las copias en nuestras copias de seguridad se eliminan a medida que estas expiran, dentro de los 14 días siguientes.

9. Disposiciones generales

La responsabilidad de cada parte bajo este Acuerdo está sujeta a los límites de los términos, en la medida en que la ley lo permita. En materia de protección de datos personales, este Acuerdo prevalece sobre los términos. Se rige por la ley y el foro que indican los términos, salvo cuando las cláusulas de la sección 6 exijan otra cosa. Podemos actualizar este Acuerdo como lo permiten los términos; un cambio que reduzca la protección de tus datos requiere tu conformidad.