Acuerdo de Procesamiento de Datos (DPA)

Este Acuerdo de Procesamiento de Datos ("DPA") complementa los Términos de Servicio y regula el tratamiento de datos personales que ACORD.AR S.A.S. ("Encargado") realiza por cuenta del Usuario ("Responsable") en el marco de la prestación del servicio de firma electrónica, conforme al Artículo 28 del Reglamento General de Protección de Datos (GDPR) y a la Ley 25.326 de Protección de Datos Personales de la República Argentina.

Este DPA se aplica cuando el Usuario carga documentos que contienen datos personales de terceros a la Plataforma.

El Usuario (Responsable / Controller): determina los fines y medios del tratamiento de los datos personales contenidos en los documentos. Es responsable de obtener el consentimiento o la base legal necesaria para el tratamiento de dichos datos conforme al Art. 6 del GDPR.

ACORD.AR S.A.S. (Encargado / Processor): trata los datos personales únicamente según las instrucciones del Responsable y con el fin exclusivo de proveer el servicio de firma electrónica, conforme al Art. 28 del GDPR.

Conforme al Art. 28(3) del GDPR, el Encargado se compromete a:

a) Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluyendo las transferencias de datos a terceros países (Art. 28(3)(a) GDPR).

Garantizar que el personal autorizado para tratar datos personales se haya comprometido a respetar la confidencialidad (Art. 28(3)(b) GDPR).

Implementar medidas de seguridad técnicas y organizativas adecuadas conforme al Art. 32 del GDPR.

No recurrir a otro encargado del tratamiento sin la autorización previa del Responsable (Art. 28(2) GDPR). Los sub-encargados actuales se listan en la sección 4.

Asistir al Responsable en el cumplimiento de sus obligaciones frente a los titulares de los datos (Arts. 15-22 GDPR) y en las evaluaciones de impacto (Art. 35 GDPR).

Suprimir o devolver todos los datos personales al finalizar la prestación del servicio (Art. 28(3)(g) GDPR), salvo obligación legal de conservación.

Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías (Art. 28(3)(h) GDPR).

Los actuales sub-encargados del tratamiento son:

- Proveedores de infraestructura en la nube: almacenamiento y procesamiento de datos (certificación SOC 2 Type II, ISO 27001).

Proveedores de servicios de correo electrónico: envío de notificaciones transaccionales.

Proveedores de servicios de pago: procesamiento de transacciones financieras (certificación PCI DSS).

El Responsable será notificado con treinta (30) días de anticipación ante cualquier cambio en los sub-encargados. El Responsable podrá oponerse a un nuevo sub-encargado conforme al Art. 28(2) del GDPR.

Conforme al Art. 33 del GDPR, el Encargado notificará al Responsable sin dilación indebida, y en todo caso dentro de las setenta y dos (72) horas siguientes a tener conocimiento de una brecha de seguridad que afecte datos personales.

La notificación incluirá:

La naturaleza de la brecha, incluyendo las categorías y número aproximado de titulares afectados.

Los datos de contacto del delegado de protección de datos o punto de contacto.

Las consecuencias probables de la brecha.

Las medidas adoptadas o propuestas para remediar la brecha.

El Encargado colaborará con el Responsable en la investigación, mitigación y notificación a la autoridad de control y a los titulares afectados cuando sea requerido.

Este DPA permanece vigente mientras el Encargado trate datos personales por cuenta del Responsable. Las obligaciones de confidencialidad y las derivadas del GDPR subsisten indefinidamente.