Acuerdo de tratamiento de datos
Versión preliminar, sujeta a revisión jurídica.
1. Roles
Este acuerdo vale para los datos personales que la empresa suscriptora (el cliente) registra en Taboza: inversionistas, proveedores, clientes, usuarios y demás. El cliente decide qué registra y para qué (es el responsable; en las leyes estatales de EE. UU., el "business"). Taboza trata esos datos solo en su nombre (es el encargado; en las leyes de EE. UU., el "service provider" o "processor"). Este acuerdo forma parte de los términos de uso y prevalece sobre ellos en lo que toca a los datos personales.
2. Instrucciones
Tratamos los datos solo para prestar el servicio, según los términos de uso, la configuración que el cliente hace en el sistema y sus instrucciones escritas. Si una instrucción nos parece contraria a la ley, lo avisamos.
3. Lo que no hacemos
No vendemos ni compartimos los datos personales del cliente, no los usamos para nuestros propios fines (incluida la publicidad) ni los combinamos con datos de otras fuentes, salvo lo que la ley permita a un prestador de servicios. Si dejamos de poder cumplir este acuerdo, avisamos al cliente.
4. Confidencialidad y acceso
Quien trabaja en Taboza tiene deber de confidencialidad y solo accede a los datos de un cliente cuando lo necesita. El acceso del soporte a los datos de la empresa depende de la autorización de su administrador, dentro del propio sistema, por tiempo limitado, y queda registrado.
5. Seguridad
Mantenemos medidas técnicas y organizativas adecuadas: conexión cifrada (TLS), base de datos y copias de seguridad cifradas, documentos (SSN, EIN, CPF, CNPJ) cifrados campo por campo, aislamiento de los datos de cada empresa en la base, verificación en dos pasos, registro de auditoría, copias de seguridad diarias y monitoreo con alertas.
6. Subencargados
Usamos los subencargados de la lista publicada en este sitio. Avisamos al administrador del cliente por correo al menos 30 días antes de incluir o cambiar uno; si el cliente se opone por un motivo razonable y no llegamos a una solución, puede cancelar la suscripción sin penalidad. Cada subencargado asume obligaciones de protección de datos equivalentes a las de este acuerdo.
7. Pedidos de las personas
El sistema da al administrador del cliente las herramientas para atender los pedidos de las personas: el informe con los datos de una persona, la corrección, la anonimización y la exportación completa. Si una persona nos busca directamente, enviamos el pedido al cliente.
8. Incidentes de seguridad
Avisamos al cliente sin demora indebida, y en hasta 72 horas después de confirmar que sus datos personales fueron afectados, con lo que sepamos hasta ese momento, y seguimos informando. Ayudamos al cliente con los avisos que la ley le exija.
9. Fin del contrato
Cuando la cuenta se suspende o se cancela, los datos se guardan 90 días, en los que el cliente puede pedir la exportación completa o reactivar la cuenta. Después se borran para siempre, y salen de las copias de seguridad en hasta 90 días. Guardamos solo nuestros propios registros de cobro.
10. Comprobación
Respondemos cuestionarios de seguridad razonables y damos la información necesaria para mostrar que cumplimos este acuerdo. Cuando tengamos un informe de auditoría independiente (como SOC 2), reemplaza las auditorías en el lugar.
11. Dónde están los datos
Los datos están en Amazon Web Services, en la región us-east-1 (Virginia, Estados Unidos). El equipo de Taboza puede acceder a ellos desde Brasil, para soporte y operación, bajo este acuerdo.