Data Processing Agreement (DPA)

    Acuerdo de Tratamiento de Datos conforme a RGPD y LOPDP.

    脷ltima actualizaci贸n: 8 de noviembre de 2025

    1. Introducci贸n y Prop贸sito

    Este Data Processing Agreement (DPA) o Acuerdo de Tratamiento de Datos complementa los T茅rminos y Condiciones y la Pol铆tica de Privacidad de CRMHUB. Establece la relaci贸n entre CRMHUB (encargado del tratamiento) y el Cliente (responsable del tratamiento) conforme al Reglamento General de Protecci贸n de Datos (RGPD) de la UE (Art铆culo 28) y la Ley Org谩nica de Protecci贸n de Datos Personales (LOPDP) de Ecuador.

    La fecha de efectividad de este DPA coincide con el momento en que el Cliente acepta los T茅rminos y Condiciones y comienza a utilizar nuestros servicios para procesar Datos Personales.

    2. Definiciones

    • Datos Personales: Cualquier informaci贸n relacionada con una persona f铆sica identificada o identificable ("Interesado").
    • Tratamiento / Procesamiento: Cualquier operaci贸n o conjunto de operaciones realizadas sobre Datos Personales.
    • Responsable del Tratamiento (Controller): La entidad (el Cliente) que determina los fines y medios del tratamiento de los Datos Personales.
    • Encargado del Tratamiento (Processor): La entidad (CRMHUB) que trata Datos Personales por cuenta del Responsable.
    • Subencargado (Sub-processor): Cualquier tercero contratado por el Encargado para asistir en el tratamiento de Datos Personales.
    • Datos del Cliente: Datos Personales cargados, enviados o generados dentro de CRMHUB por el Cliente o sus usuarios.
    • Interesado: La persona f铆sica a quien pertenecen los Datos Personales.
    • Violaci贸n de Seguridad: Una brecha de seguridad que ocasione la destrucci贸n, p茅rdida, alteraci贸n, divulgaci贸n o acceso no autorizado a Datos Personales transmitidos, conservados o tratados de otra forma.
    • Cl谩usulas Contractuales Est谩ndar (SCCs): Cl谩usulas tipo de protecci贸n de datos adoptadas por la Comisi贸n Europea.

    3. Alcance y Aplicabilidad

    Este DPA se aplica cuando el Cliente utiliza CRMHUB para tratar Datos Personales de residentes de la UE/EEE o de Ecuador. En caso de conflicto entre este DPA y los T茅rminos y Condiciones, prevalecer谩n las disposiciones de este DPA en lo referente a protecci贸n de datos.

    En esta relaci贸n, CRMHUB act煤a exclusivamente como Encargado del Tratamiento, y el Cliente act煤a como Responsable del Tratamiento de los Datos del Cliente.

    4. Obligaciones de CRMHUB (Encargado)

    • Procesamiento Conforme a Instrucciones: CRMHUB procesar谩 los Datos Personales 煤nicamente siguiendo las instrucciones documentadas del Cliente (como se describe en los T茅rminos y Condiciones y mediante el uso de la plataforma), incluyendo la naturaleza, finalidad, tipos de datos y duraci贸n del tratamiento.
    • Confidencialidad: CRMHUB garantiza que el personal autorizado para tratar los Datos Personales se ha comprometido a respetar la confidencialidad, ha recibido capacitaci贸n adecuada y tiene acceso restringido seg煤n el principio de "necesidad de conocer".
    • Medidas de Seguridad T茅cnicas y Organizativas: CRMHUB implementa medidas de seguridad robustas que incluyen cifrado en tr谩nsito (TLS 1.2+) y en reposo (AES-256), control de acceso basado en roles, autenticaci贸n multifactor, monitoreo 24/7, pruebas de penetraci贸n y un plan de recuperaci贸n ante desastres. M谩s detalles en nuestro Centro de Seguridad.
    • Subencargados: CRMHUB mantendr谩 una lista actualizada de Subencargados, notificar谩 cambios al Cliente con 30 d铆as de anticipaci贸n y le permitir谩 objetar cambios significativos. CRMHUB impondr谩 a los Subencargados obligaciones de protecci贸n de datos equivalentes a las establecidas en este DPA.
    • Asistencia al Cliente: CRMHUB asistir谩 al Cliente en el ejercicio de los derechos de los Interesados, el cumplimiento de las obligaciones de transparencia, la realizaci贸n de Evaluaciones de Impacto en la Privacidad (DPIA) y la notificaci贸n de violaciones de seguridad.
    • Notificaci贸n de Violaciones: CRMHUB notificar谩 al Cliente sin demora indebida (en un m谩ximo de 48 horas) tras tener conocimiento de una Violaci贸n de Seguridad, proporcionando informaci贸n sobre la naturaleza, datos afectados, interesados y medidas tomadas.
    • Auditor铆a y Certificaci贸n: CRMHUB permitir谩 y contribuir谩 a las auditor铆as (incluidas inspecciones) realizadas por el Cliente o un auditor independiente, y proporcionar谩 acceso a las certificaciones de seguridad pertinentes (ej. SOC 2, ISO 27001).
    • Devoluci贸n o Eliminaci贸n de Datos: Al t茅rmino del contrato, CRMHUB devolver谩 o eliminar谩 de forma segura los Datos Personales, a elecci贸n del Cliente, salvo que la ley exija su conservaci贸n.

    5. Obligaciones del Cliente (Responsable)

    • Legalidad del Tratamiento: El Cliente es el 煤nico responsable de determinar la base legal del tratamiento, obtener el consentimiento de los Interesados (cuando sea requerido), informarles sobre el tratamiento y cumplir con las normativas de marketing.
    • Instrucciones: El Cliente debe proporcionar a CRMHUB instrucciones claras y documentadas sobre el tratamiento, y garantizar que dichas instrucciones cumplen con la ley aplicable.
    • Datos Correctos: El Cliente es responsable de la exactitud de los Datos Personales, la legalidad de sus fuentes y de contar con los derechos y consentimientos necesarios.
    • Notificaci贸n a Interesados: El Cliente debe notificar a los Interesados sobre c贸mo se tratan sus datos, los derechos disponibles y el punto de contacto para ejercerlos.
    • Respuesta a Solicitudes de Derechos: El Cliente es responsable de recibir y responder a las solicitudes de los Interesados dentro de los plazos legales, validando su identidad y coordinando con CRMHUB para la obtenci贸n de los datos.
    • Notificaci贸n a Autoridades: El Cliente notificar谩 a las autoridades de protecci贸n de datos sobre Violaciones de Seguridad y cambios significativos en el tratamiento, cuando as铆 lo exija la ley.

    6. Transferencias Internacionales de Datos

    • Ubicaci贸n de Procesamiento: Los datos se procesan principalmente en Estados Unidos (a trav茅s de proveedores como Google Cloud Platform o Amazon Web Services) y otros pa铆ses seg煤n la necesidad operativa.
    • Mecanismos de Protecci贸n: CRMHUB implementa Cl谩usulas Contractuales Est谩ndar (SCCs) aprobadas por la Comisi贸n Europea, cifrado de extremo a extremo y medidas t茅cnicas adicionales para mitigar el acceso gubernamental, conforme a las evaluaciones de riesgo (Schrems II).
    • Cl谩usulas Contractuales Est谩ndar (SCCs): Este DPA incorpora por referencia las SCCs, permitiendo las transferencias legales de Datos Personales desde la UE hacia terceros pa铆ses.
    • Derecho del Cliente: El Cliente puede solicitar informaci贸n sobre las transferencias, objetar transferencias a pa铆ses espec铆ficos y terminar el contrato si las transferencias resultan inaceptables legalmente.

    7. Subencargados (Sub-processors)

    • Lista de Subencargados: CRMHUB mantiene una lista actualizada de Subencargados (con nombre, servicio, ubicaci贸n y categor铆a) en el Centro de Seguridad.
    • Cambios en Subencargados: CRMHUB notificar谩 cualquier cambio con 30 d铆as de anticipaci贸n, permitiendo al Cliente objetar cambios significativos.
    • Objeci贸n a Subencargados: Si el Cliente objeta, CRMHUB intentar谩 resolver la objeci贸n. Si no es posible, el Cliente podr谩 terminar el contrato sin penalizaci贸n y CRMHUB devolver谩 los Datos Personales.
    • Obligaciones de Subencargados: CRMHUB asegura que los Subencargados implementan medidas de seguridad equivalentes y cumplen con las obligaciones de confidencialidad y protecci贸n de datos exigidas al Encargado.

    8. Derechos de Interesados

    • Derechos Disponibles: Los Interesados tienen derecho de acceso, rectificaci贸n, eliminaci贸n, limitaci贸n del tratamiento, portabilidad, oposici贸n y protecci贸n contra decisiones automatizadas.
    • Procedimiento de Solicitud: El Interesado contactar谩 al Cliente (Responsable). El Cliente validar谩 la identidad y coordinar谩 con CRMHUB para obtener los datos necesarios. CRMHUB proporcionar谩 los datos dentro de los plazos especificados para que el Cliente pueda responder.
    • Plazos de Respuesta: 30 d铆as para RGPD (extendible a 90 d铆as en casos complejos), 10 d铆as h谩biles para LOPDP, y 30 d铆as (acceso) o 60 d铆as (enmienda) para HIPAA.
    • Contacto de CRMHUB: privacy@crmhubplatform.com para asistencia en solicitudes de derechos.

    9. Violaciones de Seguridad

    • Notificaci贸n Inmediata: CRMHUB notificar谩 al Cliente sin demora indebida (m谩ximo 48 horas) sobre cualquier acceso, modificaci贸n o destrucci贸n no autorizada de Datos Personales, informando la naturaleza del incidente, los datos afectados y las medidas tomadas.
    • Investigaci贸n: CRMHUB investigar谩 la causa ra铆z, documentar谩 la l铆nea de tiempo, identificar谩 los datos afectados e implementar谩 medidas correctivas inmediatas.
    • Asistencia al Cliente: CRMHUB asistir谩 al Cliente en la evaluaci贸n de riesgos para los Interesados y en la notificaci贸n a las autoridades y a los Interesados, si fuera requerido por la ley.
    • Contacto de Seguridad: security@crmhubplatform.com.

    10. Auditor铆a y Certificaci贸n

    • Auditor铆as por Cliente: El Cliente puede solicitar auditor铆as de cumplimiento, para las cuales CRMHUB cooperar谩 con notificaci贸n previa razonable. El Cliente cubrir谩 los costos de auditor铆as adicionales a las est谩ndar.
    • Auditor铆as por Terceros: El Cliente puede designar a un auditor independiente (obligado a confidencialidad) con el cual CRMHUB cooperar谩.
    • Certificaciones de Seguridad: CRMHUB mantiene y proporcionar谩 copias de certificaciones como SOC 2 Type II, ISO 27001 e ISO 27018 (anuales).
    • Acceso a Registros: El Cliente tiene acceso a los registros de tratamiento (accesos, cambios, auditor铆a) que se retienen seg煤n los requisitos legales.

    11. Devoluci贸n y Eliminaci贸n de Datos

    • Opciones al T茅rmino: Al finalizar el contrato, el Cliente puede elegir entre la devoluci贸n de sus Datos Personales en formato estructurado o su eliminaci贸n segura.
    • Devoluci贸n de Datos: Se proporcionar谩n en formatos como CSV, JSON o XML dentro de los 30 d铆as posteriores a la solicitud, acompa帽ados de un certificado de devoluci贸n.
    • Eliminaci贸n de Datos: Se realizar谩 de forma segura conforme a los est谩ndares de la industria dentro de los 30 d铆as posteriores a la solicitud, proporcionando un certificado de eliminaci贸n (salvo que la ley exija su conservaci贸n).
    • Backups: Las copias de seguridad se eliminar谩n conforme a la pol铆tica de retenci贸n (30 d铆as) y los datos no se recuperar谩n de los backups despu茅s de su eliminaci贸n.

    12. Duraci贸n y Terminaci贸n

    • Duraci贸n: Este DPA continuar谩 vigente mientras exista una relaci贸n contractual entre el Cliente y CRMHUB.
    • Terminaci贸n: El DPA termina cuando finaliza el contrato principal, el Cliente solicita la terminaci贸n, o CRMHUB suspende definitivamente los servicios.
    • Efectos: Las obligaciones de confidencialidad continuar谩n indefinidamente. El Cliente elegir谩 la devoluci贸n o eliminaci贸n de sus datos al momento de la terminaci贸n.

    13. Enmiendas y Actualizaciones

    • Cambios en Ley u Operaciones: Si cambios en el RGPD, LOPDP u otras leyes aplicables, o en las operaciones de CRMHUB, requieren modificaciones al DPA, CRMHUB notificar谩 al Cliente.
    • Consentimiento y Continuidad: El Cliente deber谩 consentir los cambios significativos. Si el Cliente no consiente, podr谩 terminar el contrato sin penalizaci贸n.

    14. Contactos

    Para consultas relacionadas con este DPA y la protecci贸n de datos, utilice los siguientes contactos:

    Ap茅ndice: Cl谩usulas Contractuales Est谩ndar (SCCs)

    Las Cl谩usulas Contractuales Est谩ndar adoptadas por la Comisi贸n Europea se incorporan por referencia a este DPA para legitimar las transferencias de Datos Personales hacia pa铆ses que no cuentan con una decisi贸n de adecuaci贸n, asegurando un nivel de protecci贸n equivalente al exigido por el RGPD.

    Para obtener una copia firmada del DPA y las SCCs aplicables a su cuenta, por favor contacte a compliance@crmhubplatform.com.