Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Tratamiento de Datos ("DPA") aplica entre SlateCore App (el Encargado del tratamiento) y el Cliente (el Responsable del tratamiento) cuando el Cliente trata datos personales mediante el Servicio. Forma parte de los Términos de Servicio y de la Política de Privacidad.

Este DPA está pre-aprobado y aplica automáticamente cuando un Cliente requerido por su jurisdicción a tener un acuerdo escrito (típicamente clientes en la Unión Europea bajo GDPR) usa el Servicio. No requiere firma adicional — el alta del workspace constituye aceptación. Si tu organización requiere un DPA firmado en hoja membretada, escribe a legal@slatecore.app.

• Cliente / Responsable: la persona o entidad que contrata el Servicio.
• SlateCore App / Encargado: el operador del Servicio.
• Datos Personales: cualquier información identificable o identificable referida a una persona física, según la definición de la legislación aplicable (LFPDPPP, GDPR, CCPA, etc.).
• Tratamiento: cualquier operación realizada sobre Datos Personales (recopilación, almacenamiento, consulta, modificación, supresión, etc.).
• Subprocesador: cualquier tercero contratado por SlateCore App para tratar Datos Personales en nombre del Cliente. La lista vigente está en /subprocessors.

El Cliente es el Responsable del tratamiento de los Datos Personales que sube o procesa a través del Servicio (incluyendo Datos de su equipo, colaboradores, contactos del directorio, leads del CRM, invitados a data rooms, autores de submissions, etc.). SlateCore App actúa como Encargado y trata los Datos Personales únicamente conforme a las instrucciones documentadas del Cliente, que se materializan en la elección de funcionalidades del Servicio.

Objeto: prestación del servicio SlateCore App al Cliente conforme a los Términos de Servicio.

Naturaleza: almacenamiento, organización, indexación, mostrado y procesamiento limitado de los Datos Personales para que el equipo del Cliente pueda trabajar con ellos.

Duración: mientras la cuenta del Cliente esté activa, más los plazos de conservación posteriores a la cancelación descritos en la Política de Privacidad.

Categorías de titulares: usuarios del workspace del Cliente, colaboradores invitados, contactos del directorio, leads, invitados a data rooms, visitantes de booking público, remitentes de submissions.

Categorías de datos: las descritas en §3 del Aviso de Privacidad.

SlateCore App se obliga a:

• Tratar los Datos Personales únicamente conforme a las instrucciones documentadas del Cliente.
• NO usar los Datos Personales para finalidades propias (no vender, no perfilar, no entrenar modelos de IA, no compartir con anunciantes).
• Garantizar que el personal con acceso a Datos Personales esté sujeto a obligaciones de confidencialidad apropiadas.
• Implementar medidas técnicas y organizativas de seguridad razonables (ver /security).
• Asistir al Cliente en el cumplimiento de sus obligaciones de respuesta a derechos de los titulares (ARCO, GDPR, CCPA, LGPD, etc.).
• Notificar al Cliente sin demora indebida de cualquier brecha de seguridad que afecte sus Datos Personales.
• Devolver o eliminar los Datos Personales al término del Servicio según las instrucciones del Cliente, sujeto a los plazos de conservación legales aplicables.

El Cliente autoriza a SlateCore App a contratar Subprocesadores para la prestación del Servicio. La lista vigente está disponible en /subprocessors.

SlateCore App notificará cualquier alta o cambio sustancial de Subprocesador con al menos 15 días de anticipación a las cuentas activas vía correo electrónico. El Cliente puede oponerse a un nuevo Subprocesador por motivos razonables relacionados con la protección de Datos Personales escribiendo a legal@slatecore.app dentro de los 15 días siguientes a la notificación. Si la oposición no puede resolverse, el Cliente podrá rescindir el Servicio sin penalidad.

Para clientes en México: las transferencias a Subprocesadores ubicados en Estados Unidos se consideran consentidas bajo LFPDPPP al aceptar este DPA y la Política de Privacidad para la prestación del Servicio.

Para clientes en la Unión Europea: las transferencias internacionales se cubren mediante las Cláusulas Contractuales Estándar (Módulo 2: Responsable a Encargado) aprobadas por la Comisión Europea (Decisión 2021/914/UE), que se incorporan a este DPA por referencia. La copia firmada está disponible bajo solicitud escribiendo a legal@slatecore.app.

SlateCore App proporciona al Cliente herramientas técnicas razonables para responder a solicitudes de los titulares (acceso, rectificación, cancelación, oposición, portabilidad). Cuando una solicitud llegue directamente a SlateCore App referida a Datos Personales bajo el control del Cliente, SlateCore App orientará al titular a contactar al Cliente y notificará al Cliente cuando sea apropiado.

El Cliente puede solicitar información razonable sobre las medidas de seguridad y cumplimiento de SlateCore App escribiendo a security@slatecore.app. Para auditorías formales requeridas por la legislación aplicable, las partes coordinarán de buena fe los términos (alcance, calendario, costos del auditor, confidencialidad). SlateCore App podrá satisfacer las obligaciones de auditoría mediante reportes de auditoría existentes de sus Subprocesadores (e.g. SOC 2 de Supabase) cuando sean adecuados.

SlateCore App notificará al Cliente sin demora indebida (y dentro de las 72 horas cuando sea técnicamente viable) ante el descubrimiento de cualquier brecha de seguridad que afecte sus Datos Personales. La notificación incluirá: naturaleza del incidente, categorías y volumen aproximado de Datos Personales afectados, posibles consecuencias, medidas adoptadas y propuestas para mitigar el daño.

Al término del Servicio, el Cliente cuenta con un periodo de gracia de 30 días para exportar sus datos. Pasado ese plazo, los Datos Personales del Cliente se eliminan progresivamente del Servicio según los plazos de retención descritos en la Política de Privacidad §12. Los respaldos cifrados se sobrescriben dentro del ciclo de retención (hasta 12 semanas).

Este DPA entra en vigor con la aceptación de los Términos de Servicio y permanece vigente mientras el Cliente use el Servicio. Las cláusulas que por su naturaleza deban sobrevivir a la terminación (confidencialidad, responsabilidad, ley aplicable) seguirán vigentes después.

Este DPA se rige por la misma ley aplicable a los Términos de Servicio del Cliente. Cuando aplique GDPR u otra normativa local imperativa, sus disposiciones prevalecen sobre cualquier disposición incompatible de este DPA.

• Privacidad y derechos ARCO: privacy@slatecore.app
• Seguridad e incidentes: security@slatecore.app
• Asuntos legales y solicitud de DPA firmado: legal@slatecore.app