Acuerdo de Tratamiento de Datos (DPA)

1. Definiciones

• Responsable: el Cliente, que determina los fines y medios del tratamiento.
• Encargado: Ideas Dinamicas LLC, operando como MAKOVA, que trata datos personales por cuenta del Responsable. A efectos de la CCPA/CPRA, MAKOVA actúa como service provider.
• Subencargado: tercero contratado por el Encargado para tratar datos personales.
• Datos Personales: cualquier información sobre una persona física identificada o identificable tratada en el Servicio.
• Brecha: violación de seguridad que afecte la confidencialidad, integridad o disponibilidad de Datos Personales.

2. Objeto, duración y alcance

MAKOVA tratará Datos Personales únicamente para prestar el Servicio conforme a las instrucciones documentadas del Responsable, incluidas las configuraciones que este realice en el Servicio. La duración coincide con la vigencia del contrato principal más los plazos de eliminación previstos.

3. Naturaleza y finalidad

Alojamiento, almacenamiento, consulta, organización, análisis y transmisión de datos para operar el CRM, los checkouts y links de pago, el cálculo de comisiones, el área de miembros y LMS, las campañas de comunicación, las funciones de inteligencia artificial, el soporte técnico, la seguridad y el cumplimiento legal.

4. Categorías de datos e interesados

• Interesados: usuarios del Cliente, sus clientes y contactos, leads, alumnos, compradores finales, afiliados y vendedores.
• Categorías: identificación y contacto, datos comerciales y de pipeline, datos transaccionales y de pago (sin datos completos de tarjeta), progreso formativo y actividad en la comunidad, contenido de comunicaciones y datos técnicos de uso.
• No se tratan categorías especiales de datos ni datos de menores, salvo que el Responsable decida cargarlos bajo su exclusiva responsabilidad y con base legal válida.

5. Obligaciones del Encargado

• Tratar los datos solo conforme a instrucciones documentadas del Responsable, salvo obligación legal, en cuyo caso lo informará si la ley lo permite.
• Informar al Responsable si considera que una instrucción infringe la normativa aplicable.
• Garantizar la confidencialidad del personal autorizado, con compromisos escritos y formación.
• Aplicar y mantener las medidas técnicas y organizativas del Anexo II.
• Asistir al Responsable en la atención de derechos de los interesados y en las evaluaciones de impacto.
• No vender ni compartir Datos Personales, ni usarlos para finalidades propias distintas de la prestación del Servicio y de la generación de estadísticas agregadas y anonimizadas.
• Devolver o eliminar los datos al término del contrato y poner a disposición la información necesaria para demostrar el cumplimiento.

6. Obligaciones del Responsable

• Contar con base legal válida para los datos que carga y para las comunicaciones que envía.
• Informar a sus interesados y atender sus derechos en primera instancia.
• Configurar correctamente roles, permisos, retención y accesos dentro de su workspace.
• No cargar categorías especiales de datos ni información innecesaria para la finalidad.

7. Subencargados

El Responsable autoriza con carácter general a los subencargados listados en la Lista de Subprocesadores. MAKOVA impone a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y responde de su actuación. Los cambios se notifican con al menos 30 días de anticipación y el Responsable puede objetar por motivos razonables de protección de datos.

8. Transferencias internacionales

Cuando se transfieran Datos Personales fuera del EEE, Reino Unido, Brasil, Colombia u otras jurisdicciones con restricciones, MAKOVA aplicará las Cláusulas Contractuales Tipo de la Comisión Europea (módulo responsable a encargado), el Addendum del Reino Unido, las cláusulas de la ANPD o garantías equivalentes, incorporadas por referencia a este DPA, junto con medidas suplementarias como el cifrado y la minimización.

9. Asistencia al Responsable

• Atender solicitudes de derechos (acceso, rectificación, supresión, portabilidad, oposición y limitación) mediante las funciones del Servicio o, si no es posible, con asistencia razonable.
• Apoyar evaluaciones de impacto (DPIA) y consultas previas a las autoridades.
• Facilitar la información necesaria sobre el tratamiento realizado por el Encargado.

10. Notificación de incidentes

MAKOVA notificará al Responsable cualquier brecha de seguridad confirmada que afecte sus Datos Personales sin dilación indebida y en un máximo de 72 horas desde su conocimiento, informando naturaleza, categorías y volumen aproximado de datos e interesados afectados, consecuencias probables, medidas adoptadas y punto de contacto. La notificación a autoridades e interesados corresponde al Responsable.

11. Auditoría

MAKOVA pondrá a disposición del Responsable la documentación de seguridad, certificaciones y resúmenes de auditorías disponibles. Podrán coordinarse auditorías adicionales una vez al año, con preaviso de 30 días, en horario laboral, sin interferir en la operación, con costo a cargo del Responsable y bajo acuerdo de confidencialidad.

12. Devolución y eliminación

Al término del contrato, el Responsable dispone de 30 días para exportar sus datos. Transcurrido ese plazo, MAKOVA eliminará o anonimizará los Datos Personales, salvo obligación legal de conservación. Los backups se purgan según el ciclo técnico de retención, de hasta 90 días.

13. Responsabilidad y ley aplicable

La responsabilidad de cada parte se rige por los Términos principales y por la legislación de protección de datos aplicable. Este DPA se rige por la ley de los Términos; para Responsables sujetos al RGPD prevalecerán sus disposiciones imperativas.

14. Aceptación

Este DPA se considera aceptado al utilizar el Servicio para tratar Datos Personales de terceros. Para una versión firmada, escribe a dpo@makova.io.

Anexo I — Detalle del tratamiento

• Objeto: operación de una plataforma comercial multi-tenant.
• Duración: vigencia del contrato más los plazos de eliminación.
• Naturaleza: almacenamiento, consulta, organización, análisis, generación de contenido y transmisión.
• Finalidad: prestación del Servicio descrita en los Términos.
• Tipo de datos: identificación, contacto, comerciales, transaccionales, formativos, de comunicación y de uso.
• Interesados: usuarios, clientes y contactos, leads, alumnos, compradores finales, afiliados y vendedores del Responsable.
• Frecuencia: continua durante la vigencia del contrato.

Anexo II — Medidas técnicas y organizativas

• Cifrado en tránsito (TLS 1.2+) y en reposo; cifrado adicional de credenciales de pasarelas y secretos.
• Row Level Security por workspace y por rol, con funciones de seguridad definidas y principio de mínimo privilegio.
• Autenticación con MFA opcional, políticas de contraseñas y control de sesiones.
• Registros de auditoría de acciones críticas y monitoreo de eventos de seguridad.
• Límites de tasa, protección antiabuso, validación estricta de entradas y bloqueo geográfico configurable.
• Backups diarios con retención definida y pruebas periódicas de restauración.
• Separación de entornos de desarrollo, previsualización y producción; gestión centralizada de secretos.
• Escaneo continuo de dependencias y vulnerabilidades, revisión de código y procedimiento documentado de respuesta a incidentes.
• Formación en privacidad y seguridad del personal con acceso a sistemas productivos.

Anexo III — Subencargados

La lista vigente de subencargados, con su finalidad, ubicación y salvaguardas, está disponible en la Lista de Subprocesadores y se incorpora por referencia a este DPA.