1. Introducción y alcance
Este Acuerdo de Procesamiento de Datos (DPA) complementa los Términos de Servicio y el EULA de Leaxio y aplica cuando el cliente (Controlador) utiliza Leaxio para procesar datos personales sujetos al Reglamento General de Protección de Datos (GDPR) de la Unión Europea o legislación similar de protección de datos.
Este DPA se considera parte integral del contrato de servicios y prevalece en caso de conflicto con otros términos en materia de protección de datos.
2. Definiciones
- Controlador de Datos: El cliente de Leaxio que determina los propósitos y medios del procesamiento de datos personales
- Procesador de Datos: Leaxio, que procesa datos personales en nombre del Controlador
- Datos Personales: Cualquier información relacionada con una persona física identificada o identificable procesada mediante Leaxio
- Procesamiento: Cualquier operación realizada sobre datos personales, incluyendo recopilación, almacenamiento, consulta, divulgación, eliminación
- Interesado: La persona física identificada o identificable a quien se refieren los datos personales
- Subprocesador: Cualquier procesador contratado por Leaxio para procesar datos personales en nombre del Controlador
3. Roles y responsabilidades
3.1 Rol del Controlador (Cliente)
El Controlador:
- Determina los propósitos y medios del procesamiento de datos personales
- Es responsable de obtener bases legales válidas para el procesamiento
- Debe informar a los interesados sobre el procesamiento de sus datos
- Es responsable de responder a ejercicios de derechos de los interesados
- Debe cumplir con la legislación aplicable de protección de datos
3.2 Rol del Procesador (Leaxio)
Leaxio, como Procesador:
- Procesa datos personales únicamente según instrucciones documentadas del Controlador
- Garantiza que las personas autorizadas a procesar datos estén sujetas a confidencialidad
- Implementa medidas técnicas y organizativas apropiadas para proteger los datos
- Asiste al Controlador en responder a solicitudes de ejercicio de derechos
- Notifica al Controlador sobre violaciones de datos personales sin demora indebida
4. Instrucciones de procesamiento
Leaxio procesará datos personales únicamente basándose en instrucciones documentadas del Controlador, excepto cuando sea requerido por ley aplicable. Las instrucciones de procesamiento incluyen:
- Proveer los servicios de Leaxio conforme a los Términos de Servicio y EULA
- Cumplir con instrucciones específicas proporcionadas por escrito por el Controlador
- Implementar las configuraciones de procesamiento establecidas por el Controlador en la plataforma
Si Leaxio considera que una instrucción infringe el GDPR u otra legislación de protección de datos, informará inmediatamente al Controlador.
5. Tipos de datos procesados
Leaxio puede procesar las siguientes categorías de datos personales:
- Datos de contacto: Nombres, direcciones de email, teléfonos, direcciones físicas
- Datos de identificación: Número de identificación fiscal, documentos de identidad
- Datos financieros: Información de pago, historial de transacciones
- Datos laborales: Información de empleados ingresada por el Controlador
- Datos de uso: Información sobre el uso de la plataforma, registros de actividad
Los tipos específicos de datos dependen de cómo el Controlador utilice la plataforma Leaxio.
6. Subprocesadores
6.1 Autorización de subprocesadores
El Controlador autoriza a Leaxio a contratar subprocesadores para procesar datos personales. Leaxio se asegurará de que los subprocesadores estén sujetos a obligaciones de protección de datos sustancialmente similares a las de este DPA.
6.2 Lista de subprocesadores actuales
- Supabase Inc. - Hosting de base de datos y autenticación (USA, con infraestructura en múltiples regiones)
- Vercel Inc. - Hosting de aplicación web (USA, con CDN global)
- Stripe Inc. - Procesamiento de pagos (USA, Irlanda para clientes EU)
- Sentry - Monitoreo de errores y rendimiento (USA)
- Upstash - Almacenamiento de caché y rate limiting (múltiples regiones)
6.3 Notificación de cambios
Leaxio notificará al Controlador con al menos 30 días de anticipación sobre la adición o reemplazo de subprocesadores mediante email o anuncio en la plataforma. El Controlador puede objetar por causas legítimas relacionadas con protección de datos dentro de 14 días siguientes a la notificación.
7. Medidas de seguridad
Leaxio implementa medidas técnicas y organizativas apropiadas para proteger los datos personales, incluyendo:
7.1 Medidas técnicas
- Encriptación de datos en tránsito (TLS 1.3) y en reposo (AES-256)
- Autenticación multifactor disponible para usuarios
- Aislamiento de datos entre organizaciones mediante Row-Level Security (RLS)
- Logs de auditoría de acceso y modificaciones de datos
- Respaldos automáticos cifrados con retención definida
- Protección contra ataques DDoS y otras amenazas de seguridad
7.2 Medidas organizativas
- Política de control de acceso basado en necesidad y roles
- Acuerdos de confidencialidad con personal autorizado
- Procedimientos de gestión de incidentes de seguridad
- Revisiones periódicas de seguridad
- Gestión de vulnerabilidades y parches de seguridad
Leaxio revisa y actualiza estas medidas regularmente para mantener un nivel de seguridad apropiado al riesgo.
8. Violaciones de datos personales
En caso de una violación de datos personales, Leaxio:
- Notificará al Controlador sin demora indebida y, cuando sea posible, dentro de 72 horas desde que tenga conocimiento de la violación
- Proporcionará información disponible sobre la naturaleza de la violación, categorías y número aproximado de interesados afectados, y datos personales comprometidos
- Describirá las medidas tomadas o propuestas para abordar la violación y mitigar posibles efectos adversos
- Proporcionará datos de contacto para obtener más información
- Cooperará razonablemente con el Controlador en la investigación y remediación
9. Asistencia al Controlador
9.1 Ejercicio de derechos de los interesados
Leaxio asistirá al Controlador mediante medidas técnicas y organizativas apropiadas para cumplir con solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición, limitación del procesamiento).
La plataforma proporciona funcionalidades para que el Controlador pueda atender directamente muchas de estas solicitudes. Para asistencia adicional, el Controlador debe contactar a Leaxio a través de los canales de soporte.
9.2 Evaluaciones de impacto y consultas previas
Leaxio asistirá razonablemente al Controlador en realizar evaluaciones de impacto de protección de datos (DPIA) y consultas previas con autoridades supervisoras cuando sea requerido, proporcionando información sobre medidas de seguridad, procesamiento realizado y medidas de mitigación de riesgos.
10. Eliminación y devolución de datos
Al finalizar la prestación de servicios de procesamiento, Leaxio, a elección del Controlador:
- Eliminará todos los datos personales procesados en nombre del Controlador, excepto cuando la ley requiera retención
- Devolverá todos los datos personales al Controlador en formato estructurado y comúnmente utilizado (típicamente JSON o CSV)
El Controlador debe hacer esta elección dentro del período de retención establecido (típicamente 30 días después de la cancelación). Después de este período, Leaxio eliminará permanentemente los datos.
11. Auditorías e inspecciones
Leaxio pondrá a disposición del Controlador la información necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a auditorías, incluidas inspecciones, conducidas por el Controlador o un auditor autorizado por el Controlador, sujeto a:
- Notificación por escrito con al menos 30 días de anticipación
- Frecuencia no mayor a una vez al año, excepto en caso de violación de datos
- Firma de acuerdo de confidencialidad por parte del auditor
- Coordinación para minimizar la interrupción de operaciones
- Costos razonables de auditoría a cargo del Controlador
Leaxio proporcionará documentación de certificaciones de seguridad obtenidas (cuando aplique) como evidencia de cumplimiento.
12. Transferencias internacionales de datos
Los datos personales pueden ser transferidos y procesados en jurisdicciones fuera del Espacio Económico Europeo (EEE). Cuando esto ocurra, Leaxio garantiza protecciones apropiadas mediante:
- Uso de subprocesadores que cumplan con decisiones de adecuación de la Comisión Europea, o
- Implementación de Cláusulas Contractuales Estándar (SCC) aprobadas por la Comisión Europea, o
- Certificaciones como Privacy Shield (cuando aplique y sea válido), o
- Otras medidas legalmente reconocidas bajo GDPR
Leaxio proporcionará copias de las medidas de protección aplicables a solicitud del Controlador.
13. Duración y terminación
Este DPA entra en vigor cuando el Controlador comienza a usar Leaxio para procesar datos personales sujetos a GDPR y permanece vigente hasta que todo el procesamiento de datos personales haya cesado de acuerdo con la Sección 10 (Eliminación y devolución de datos).
Las obligaciones que por su naturaleza deben sobrevivir la terminación (como confidencialidad, limitación de responsabilidad, ley aplicable) continuarán vigentes.
14. Ley aplicable y jurisdicción
Este DPA se rige por las mismas leyes que los Términos de Servicio de Leaxio. Sin embargo, nada en este DPA limita los derechos del Controlador bajo GDPR o legislación aplicable de protección de datos.
15. Orden de precedencia
En caso de conflicto o inconsistencia entre este DPA y otros acuerdos con Leaxio (Términos de Servicio, EULA), este DPA prevalecerá en lo relativo al procesamiento de datos personales.
16. Contacto
Para consultas relacionadas con este DPA o ejercicio de derechos bajo GDPR, contacta a contacto@leaxio.com.