Anexo and tratamiento de datos

El presente Anexo sobre el tratamiento de datos («DPA») se celebra entre la entidad que firma o acepta este documento («Cliente» o«Responsable del tratamiento») y Manatal ( «Empresa» o«Encargado del tratamiento»). El presente DPA complementa el Contrato de suscripción o los Términos y condiciones https://www.manatal.com/terms-and-conditions («Contrato») entre las partes.

‍1. Definiciones 

● Por «Legislación aplicable en materia de protección de datos» se entiende todas las leyes mundiales sobre privacidad y protección de datos aplicables al tratamiento de datos personales en virtud del Acuerdo, incluidas el RGPD de la UE/Reino Unido y la Ley de Privacidad del Consumidor de California (CCPA/CPRA), en su versión modificada.
● «Datos personales»: cualquier información relativa a una persona física identificada o identificable que Manatal trate en nombre del Cliente en relación con los Servicios.
● «Interesado»: la persona física a la que se refieren los datos personales (por ejemplo, solicitantes de empleo, candidatos, empleados).
● «Incidente de seguridad»: cualquier destrucción, pérdida, alteración, divulgación no autorizada o acceso malintencionado, reales y confirmados, de los datos personales del Cliente. 

2. Ámbito de aplicación y funciones de las partes 

● 2.1 Relación: Las partes reconocen y acuerdan que, en lo que respecta al tratamiento de datos personales, el Cliente es el responsable del tratamiento y Manatal es el encargado del tratamiento.
● 2.2 Instrucciones del Cliente: Manatal solo tratará los datos personales en nombre del Cliente y de conformidad con las instrucciones documentadas de este, incluso en lo que respecta a las transferencias de datos personales, salvo que la legislación aplicable lo exija. El Contrato y el presente DPA constituyen las instrucciones completas del Cliente. 

3. Medidas técnicas y organizativas (seguridad) 

● 3.1 Programa de seguridad: Manatal aplicará y mantendrá las medidas técnicas y organizativas adecuadas destinadas a proteger los datos personales frente al tratamiento no autorizado o ilícito, así como frente a la pérdida accidental, la destrucción, el daño, la alteración o la divulgación.
● 3.2 Confidencialidad: Manatal garantiza que todo el personal autorizado para tratar datos personales se haya comprometido a respetar la confidencialidad o esté sujeto a una obligación legal de confidencialidad adecuada. 

4. Subencargados del tratamiento 

● 4.1 Autorización previa: El cliente concede a Manatal una autorización general por escrito para que contrate a subencargados del tratamiento con el fin de prestar servicios de infraestructura, alojamiento y software básico. Puede consultarse aquí una lista actualizada de los subencargados del tratamiento:
● 4.2 Notificación de cambios: El cliente puede activar notificaciones recibir información sobre cambios o sustituciones relativos a los subencargados del tratamiento de Manatal, lo que le brinda la oportunidad de oponerse por motivos razonables relacionados con la protección de datos.
● 4.3 Transmisión a terceros: Manatal impondrá a cualquier subencargado del tratamiento que contrate obligaciones en materia de protección de datos que no sean menos restrictivas que las obligaciones contractuales impuestas a Manatal en virtud del presente DPA. 

5. Derechos de los interesados y cooperación 

● 5.1 Asistencia: Teniendo en cuenta naturaleza del tratamiento, Manatal prestará una asistencia razonable al Cliente, en la medida de lo posible, para que este pueda responder a las solicitudes de los interesados que ejerzan sus derechos (por ejemplo, solicitudes de acceso, supresión o portabilidad).
● 5.2 Solicitudes directas: Si un interesado contactos directamente contactos en relación con datos personales pertenecientes al Cliente, Manatal remitirá la solicitud al Cliente sin demora injustificada y no responderá directamente, salvo que así lo exija la ley. 

6. Gestión y notificación de incidentes 

● 6.1 Notificación: Manatal notificará al Cliente sin demora injustificada y, en cualquier caso, en un plazo de setenta y dos (72) horas, tras tener conocimiento de un incidente de seguridad confirmado.
● 6.2 Detalles: La notificación contendrá información suficiente para que el Cliente pueda cumplir con sus obligaciones en virtud de la legislación aplicable en materia de protección de datos, incluyendo la naturaleza de la violación, las categorías de datos afectados y las medidas de mitigación adoptadas o previstas. 

7. Derechos de auditoría 

● 7.1 documentación: Manatal pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente DPA.
● 7.2 Auditorías formales: En la medida en que el Cliente requiera una auditoría para verificar el cumplimiento, podrá solicitar un certificado de seguridad o un informe de auditoría de terceros (SOC 2 Tipo 2) del que disponga Manatal. Si la ley exigiera una inspección adicional, esta se llevará a cabo durante el horario laboral habitual, como máximo una vez al año, a cargo del Cliente y sujeta a estrictos acuerdos de confidencialidad.

‍8. Transferencias internacionales de datos 

● 8.1 Mecanismos de transferencia: En la medida en que la prestación de los Servicios implique una transferencia de datos personales procedentes del EEE, el Reino Unido o Suiza a un país que no esté reconocido como país que ofrece un nivel adecuado de protección, las partes acuerdan que se aplicarán las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea, las cuales se incorporan al presente documento por referencia. 

9. Devolución y supresión de datos 

● 9.1 Rescisión: En caso de rescisión o vencimiento del Contrato, Manatal deberá, a elección y a cargo del Cliente, eliminar o devolver todos los datos personales que se encuentren en su poder, custodia o control, salvo que la legislación aplicable exija el almacenamiento continuado de dichos datos personales.

Anexo A: Detalles del tratamiento 

‍

Anexo B: Medidas de seguridad técnicas y organizativas 

Manatal mantiene un sólido sistema de seguridad de nivel empresarial, diseñado para garantizar la confidencialidad, la integridad y la disponibilidad de los datos de los clientes. La empresa revisa y mejora continuamente estas medidas, manteniendo el cumplimiento de las normas SOC 2 Tipo II. 

1. Cifrado de datos y privacidad 

Datos en tránsito: Toda la comunicación entre usuarios del cliente usuarios los servidores de producción de Manatal debe realizarse obligatoriamente a través de HTTPS, utilizando protocolos de cifrado SSL/TLS 1.2 o superiores. 

Datos en reposo: Todas las bases de datos y archivos principales de los clientes están totalmente cifrados en reposo mediante algoritmos de cifrado AES-256, que son el estándar del sector. 

Seguridad de las credenciales: las credenciales usuario se transforman de forma segura mediante algoritmos avanzados de hash criptográfico unidireccional; las contraseñas en texto plano nunca se almacenan en ninguna parte del sistema.

2. Seguridad de la infraestructura y el alojamiento 

Infraestructura en la nube de primer nivel: todos los servicios se ejecutan exclusivamente en un entorno de red seguro de varios niveles alojado en Amazon Web Services (AWS) en Estados Unidos. 

Cumplimiento normativo de los centros de datos: Los centros de infraestructura física son gestionados por AWS y cumplen estrictamente con las normas internacionales, estando acreditados según las normas ISO 27001, SOC 1, SOC 2, SSAE 16 e ISAE 3402. 

Resiliencia y tiempo de actividad: Diseñado con una infraestructura moderna de recuperación ante desastres y conmutación por error para garantizar un nivel contractual de tiempo de actividad del servicio del 99,9 % o superior. 

3. Continuidad del negocio y ciclo de vida de las copias de seguridad 

Instantáneas diarias: Manatal realiza copias de seguridad diarias completas y automatizadas de todas las bases de datos del sistema para protegerse frente a incidentes catastróficos. 

Integridad de las copias de seguridad: Las copias de seguridad se cifran de forma segura, se almacenan aisladas de los entornos de producción y se someten a rigurosas pruebas para garantizar su disponibilidad inmediata. 

Política de retención: Todas las copias de seguridad automáticas diarias se sobrescriben de forma permanente y se eliminan de forma natural siguiendo un ciclo de retención estricto de 7 días. 

4. Identidad y control de acceso 

Restricciones internas de personal: El acceso a los sistemas subyacentes y a los entornos de los clientes está estrictamente limitado a un grupo reducido de personal técnico clave autorizado, según el principio de «necesidad de conocer», y se rige por acuerdos de confidencialidad corporativos firmados. 

Acceso privilegiado al sistema: El acceso operativo interno a AWS, GitHub y los backends de producción está sujeto al cumplimiento estricto de políticas de contraseñas complejas y a la autenticación multifactorial (MFA / 2FA) obligatoria. 

Control de acceso basado en roles de los clientes (RBAC): La plataforma de software ofrece permisos personalizables y de varios niveles usuario , lo que garantiza que los datos de los clientes se dividan internamente de tal forma que usuarios solo usuarios ver los registros a los que tengan autorización explícita para acceder. 

5. Gestión e ingeniería de vulnerabilidades 

Prácticas de desarrollo seguro: Los equipos de ingeniería aplican estrictas prácticas de programación segura, estrechamente alineadas con la protección frente a los 10 principales riesgos de seguridad de las aplicaciones web según OWASP. 

Detección continua: Implantación de software de detección automática de vulnerabilidades y análisis de seguridad en tiempo real para supervisar de forma activa los cambios en el entorno. 

Mitigación proactiva de amenazas: Supervisión continua de la infraestructura con alertas automáticas de amenazas en tiempo real, configuradas para señalar inmediatamente cualquier anomalía a los equipos de ingeniería de guardia. 

Divulgación responsable: Mantenimiento de un programa de divulgación de vulnerabilidades activo y supervisado que permite a los investigadores de seguridad acreditados notificar de forma responsable los errores de día cero directamente a los ingenieros de seguridad a través de canales específicos (vulnerability-report@manatal.com).