Anexo de tratamiento de datos

Este anexo de tratamiento de datos ("DPA") forma parte de los Términos del servicio entre Weesify ("Weesify", "Encargado") y el cliente titular de un espacio de trabajo de Weesify ("Cliente", "Responsable"). Se aplica siempre que Weesify trate datos personales en nombre del Cliente. Está diseñado para cumplir el artículo 28 del GDPR y del UK GDPR y los requisitos aplicables a los encargados del tratamiento de la CCPA, la NDPA, la PDPL de los EAU y la POPIA. Entra en vigor automáticamente; los titulares de espacios de trabajo también pueden aceptarlo en los ajustes del espacio de trabajo para sus registros.

1. Definiciones

Términos como "datos personales", "tratamiento", "responsable", "encargado", "interesado" y "violación de la seguridad de los datos personales" tienen el significado que les atribuye el GDPR. "Datos Personales del Cliente" significa los datos personales que Weesify trata en nombre del Cliente a través del Servicio. "Subencargado" significa un tercero contratado por Weesify para tratar Datos Personales del Cliente.

2. Funciones

2.1. El Cliente es el responsable (o un encargado que actúa por cuenta de su propio responsable) de los Datos Personales del Cliente. Weesify es el encargado (o subencargado).

2.2. Weesify es un responsable independiente de los datos relativos a la cuenta, la facturación, los registros de seguridad y la prevención del fraude del Cliente, que se rigen por nuestra Política de privacidad.

2.3. Conforme a la CCPA, Weesify es un "proveedor de servicios". No venderá ni compartirá los Datos Personales del Cliente, no los conservará, usará ni divulgará fuera de la relación comercial directa, ni los combinará con otros datos, salvo en lo que permita la CCPA.

3. Detalles del tratamiento

Elemento	Descripción
Objeto	Prestación del Servicio de Weesify
Duración	Durante la vigencia de los Términos más el período de eliminación de la sección 11
Naturaleza y finalidad	Alojamiento, almacenamiento, visualización, analíticas, comunicaciones (email), comercio y pago, impartición de cursos y comunidades, eventos y reservas, funciones asistidas por IA, soporte
Interesados	Visitantes, suscriptores, contactos, compradores, alumnos, miembros, asistentes, afiliados y miembros del equipo del Cliente
Categorías de datos	Identificadores y datos de contacto, datos de pedidos y transacciones, progreso en cursos, respuestas a formularios, mensajes, datos de reservas y asistencia, datos del dispositivo y de analíticas sin cookies, y cualquier otro dato que el Cliente decida recopilar
Categorías especiales	Solo si el Cliente decide recopilarlas, en cuyo caso el Cliente es responsable de contar con una base jurídica

4. Obligaciones de Weesify

Weesify:

4.1. tratará los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente (estos Términos, la configuración del Servicio por parte del Cliente e instrucciones por escrito), salvo que la ley exija otra cosa, en cuyo caso Weesify informará previamente al Cliente, a menos que la ley lo prohíba;

4.2. informará al Cliente si considera que una instrucción infringe la normativa de protección de datos;

4.3. garantizará que todas las personas autorizadas para tratar los datos estén sujetas a confidencialidad;

4.4. aplicará las medidas de seguridad de la sección 6;

4.5. asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, en las solicitudes de los interesados, las evaluaciones de impacto relativas a la protección de datos y las consultas previas;

4.6. pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías según lo descrito en la sección 10.

5. Subencargados

5.1. El Cliente otorga una autorización general para que Weesify recurra a subencargados. Weesify impone a cada subencargado condiciones de protección de datos al menos tan protectoras como este DPA y sigue siendo responsable de su actuación.

5.2. Categorías actuales de subencargados:

Categoría	Finalidad	Ubicación habitual
Alojamiento en la nube y base de datos	Ejecutar la aplicación y almacenar datos	Región elegida para el despliegue, con copias de seguridad en la misma región o en una región adecuada
Almacenamiento de objetos y distribución de contenido	Almacenar y servir contenido multimedia y archivos	Red perimetral global
Envío de emails	Enviar emails transaccionales y de marketing	UE / EE. UU.
Procesamiento de pagos (Stripe, Paystack, Flutterwave, PayPal)	Procesar pagos, pagos al creador y controles antifraude (en parte como responsables independientes)	Global
Proveedores de modelos de IA	Generar resultados de IA bajo solicitud; sin entrenamiento con datos del Cliente	EE. UU. / UE
Monitorización de errores y registros	Diagnosticar fallos	UE / EE. UU.
Herramientas de atención al cliente	Responder solicitudes de soporte	UE / EE. UU.

5.3. Puede solicitarse una lista nominal actualizada a privacy@weesify.com. Weesify notificará con al menos 30 días de antelación la incorporación de un nuevo subencargado, por email o en la app. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo; si no podemos resolver la objeción, el Cliente podrá rescindir el servicio afectado y recibir un reembolso prorrateado de las tarifas prepagadas.

6. Medidas de seguridad

Weesify mantiene medidas técnicas y organizativas apropiadas, entre ellas:

• cifrado en tránsito (TLS 1.2 o superior) y en reposo;
• contraseñas almacenadas con un hash unidireccional robusto; autenticación en dos pasos para las cuentas, obligatoria para el acceso del personal;
• separación lógica de los datos de cada espacio de trabajo y comprobaciones de autorización en cada solicitud;
• acceso del personal basado en roles y en el principio de mínimo privilegio, con registro de auditoría;
• protección de red, limitación de solicitudes y detección de abusos;
• copias de seguridad periódicas y restauración probada;
• desarrollo seguro, revisión de código, actualización de dependencias y gestión de vulnerabilidades, incluido un programa de divulgación responsable;
• analíticas sin cookies que utilizan hashes con sal que cambian cada día en lugar de identificadores;
• acuerdos de confidencialidad y formación en seguridad para el personal;
• procedimientos de respuesta a incidentes.

7. Violaciones de la seguridad de los datos personales

7.1. Weesify notificará al Cliente sin dilación indebida y, en cualquier caso, en un plazo de 72 horas tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente.

7.2. La notificación describirá, en la medida en que se conozcan, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. La información podrá facilitarse por fases.

7.3. Weesify adoptará medidas razonables para contener y subsanar la violación y cooperará con las obligaciones de notificación propias del Cliente. La notificación no constituye un reconocimiento de culpa.

8. Transferencias internacionales

8.1. Weesify solo podrá transferir Datos Personales del Cliente fuera del EEE, el Reino Unido, Suiza u otro país con normas sobre transferencias si existen garantías adecuadas.

8.2. Cuando sea necesario, las partes acuerdan que las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión), Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado), según corresponda, se incorporan por referencia, incluida la Cláusula 7 (cláusula de incorporación), con la opción 2 de la Cláusula 9 (autorización general, preaviso de 30 días), omitiendo el texto opcional de la Cláusula 11, y con las Cláusulas 17 y 18 regidas por la legislación y los tribunales de Irlanda. Los anexos se completan con la información de las secciones 3, 5 y 6 de este DPA.

8.3. Para las transferencias desde el Reino Unido se aplica el UK International Data Transfer Addendum a las SCC; para las transferencias desde Suiza, se aplican las SCC con las referencias adaptadas a la FADP suiza. Para las transferencias sujetas a la NDPA, la PDPL de los EAU o la POPIA, las SCC se utilizan como garantía adecuada en la medida en que dichas leyes las reconozcan, junto con las medidas de la sección 6.

9. Solicitudes de los interesados

Si Weesify recibe una solicitud de un interesado relativa a Datos Personales del Cliente, la trasladará al Cliente y no responderá por sí misma, salvo para confirmar que la solicitud ha sido trasladada. El Servicio incluye herramientas para buscar, exportar, corregir y eliminar datos de contactos.

10. Auditorías

Weesify responderá una vez al año a cuestionarios razonables por escrito sobre seguridad y cumplimiento, y facilitará resúmenes de las certificaciones o informes de auditoría de terceros pertinentes cuando estén disponibles. Si esto no basta para demostrar el cumplimiento, o si una autoridad de control lo exige, el Cliente podrá realizar una auditoría con un preaviso de 30 días, a su cargo, en horario laboral, con sujeción a confidencialidad y sin acceso a los datos de otros clientes.

11. Devolución y eliminación

Tras la terminación, el Cliente podrá exportar sus datos durante 30 días. A continuación, Weesify eliminará los Datos Personales del Cliente de los sistemas activos en un plazo de 30 días y de las copias de seguridad en un plazo adicional de 35 días, salvo que la ley exija conservarlos, en cuyo caso se protegerán y se tratarán únicamente con esa finalidad.

12. Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este DPA está sujeta a los límites establecidos en los Términos, salvo cuando la ley no lo permita. Si este DPA entra en conflicto con los Términos, este DPA prevalece en lo relativo al tratamiento de los Datos Personales del Cliente; si entra en conflicto con las SCC, prevalecen las SCC.

13. Contacto

Encargado: Weesify, the address shown on your invoice. Delegado de protección de datos: privacy@weesify.com.