Condiciones de tratamiento de datos por encargo

1. Partes y objeto

Este acuerdo integra el contrato entre KMSOFT, propietaria y proveedora de CatalogoCR, cédula jurídica 3-102-066857, identificada en los Términos y Condiciones de Uso, y el Cliente identificado en su contratación. Regula los datos de personas que el Cliente administra mediante CatalogoCR y que KMSOFT trata bajo sus instrucciones. El Cliente actúa como responsable de las finalidades del negocio y KMSOFT como prestador que procesa por encargo, en el alcance que reconozca la ley aplicable.

La denominación contractual no determina por sí sola el papel legal. Si una parte decide un uso propio o ambas determinan conjuntamente una finalidad, se documentará el papel y acuerdo que correspondan antes de ese tratamiento. Los datos propios de cuenta, facturación del plan y demás finalidades independientes declaradas por KMSOFT se rigen también por su política de privacidad.

2. Descripción del encargo

Una nueva finalidad o categoría de riesgo requiere revisar el encargo antes de utilizarla. Los datos en un texto libre o adjunto siguen sujetos a este acuerdo; no quedan fuera de protección por su formato.

3. Instrucciones y legalidad

La configuración, acciones de usuarios autorizados y solicitudes de soporte documentadas constituyen instrucciones dentro de los permisos y del contrato. KMSOFT limitará su actuación a ellas, salvo una obligación legal que deba cumplir; informará de esa obligación cuando la ley lo permita.

El Cliente debe definir finalidades lícitas, calidad y minimización de datos, informar a las personas, obtener las autorizaciones necesarias y acreditar la legitimidad de las campañas y transferencias que instruya. KMSOFT no podrá asumir que cualquier instrucción es legal: si identifica una instrucción contraria a los requisitos aplicables, debe advertirla y abstenerse de ejecutarla en el alcance necesario hasta su aclaración.

KMSOFT no utilizará bases del Cliente para construir bases comerciales propias, publicidad de terceros o entrenamiento ajeno al encargo mediante una autorización genérica. El uso de IA se limitará a la tarea aprobada y a proveedores documentados.

4. Personal, accesos y confidencialidad

Las personas con acceso deben estar autorizadas, sujetas a confidencialidad y formadas para sus funciones. El acceso de soporte debe responder a una necesidad concreta, quedar trazable y utilizar el menor alcance apropiado. Las cuentas compartidas y accesos permanentes amplios deben sustituirse por permisos personales y revisables.

El Cliente debe revisar los permisos de su equipo. KMSOFT debe revisar los de su propio equipo y proveedores. Las dos obligaciones son complementarias y no permiten atribuir a una parte los accesos indebidos causados por la otra.

5. Medidas de seguridad

KMSOFT mantendrá medidas documentadas, proporcionadas al volumen, naturaleza y riesgos del tratamiento. El anexo de seguridad identificará, como mínimo, autenticación y permisos, aislamiento entre comercios, protección de credenciales y secretos, cifrado de comunicaciones, controles de almacenamiento, actualizaciones, registros de seguridad, respaldos, restauración, eliminación y respuesta a incidentes.

Los controles actuales incluyen autenticación, permisos por rol, separación lógica por comercio y comunicaciones HTTPS. No se ofrece una certificación de seguridad ni un plazo de recuperación distinto del expresamente contratado. La necesidad de respaldo del Cliente no exonera de las medidas del proveedor.

Las medidas se revisarán al cambiar las funciones, los riesgos o los proveedores. El cumplimiento se acreditará con documentos, registros pertinentes y comprobaciones; no se exigirá divulgar llaves, datos de otros comercios ni detalles cuya revelación comprometa seguridad.

6. Proveedores que procesan datos

El registro anexo indicará nombre legal, función, datos, países de alojamiento y acceso, contrato, retención y medidas de cada proveedor. El Cliente autorizará los proveedores de su encargo antes de utilizarlos, con el mecanismo específico o general informado que la ley permita.

Para autorizaciones generales para autorizaciones generales, se avisará un cambio con al menos veinte días naturales de anticipación y se dará un canal para una objeción fundada de privacidad. Si no puede resolverse con una alternativa adecuada, se permitirá terminar la función afectada antes de transferir datos al nuevo proveedor, con la restitución que corresponda. La urgencia técnica no dispensa de requisitos legales de autorización y transferencia.

KMSOFT impondrá al proveedor condiciones de protección acordes al encargo y seguirá siendo responsable en el alcance legal por los proveedores que contrate. Una integración contratada directamente por el Cliente puede tener un papel independiente, que se documentará por separado; no se asumirá que toda pasarela o red social es subencargada de KMSOFT.

7. Transferencias internacionales

El encargo no autoriza automáticamente transferir información a cualquier país. Antes de permitir alojamiento o acceso fuera del territorio correspondiente se determinarán las reglas aplicables y se establecerán los mecanismos requeridos, incluidas cláusulas, información, autorizaciones o evaluaciones.

Para Europa y otros mercados con exigencias específicas se completarán anexos por origen, destino y papel de las partes. Un contrato costarricense ordinario no se denominará «cláusulas contractuales tipo» ni sustituirá los instrumentos oficiales que correspondan.

8. Derechos de las personas

KMSOFT debe facilitar al Cliente información y capacidades para atender derechos y tramitar una petición que reciba respecto de datos del encargo. KMSOFT debe remitirla al contacto del Cliente dentro de un día hábil, sin retrasar las obligaciones directas de KMSOFT ni los plazos legales.

La verificación de identidad será proporcional. Se conservará evidencia de recepción y respuesta. Si el Cliente no responde, KMSOFT evaluará qué debe hacer legalmente y no utilizará la falta de coordinación como una denegación automática al titular. Las solicitudes relativas a los datos propios de KMSOFT se atenderán directamente por esta.

9. Incidentes

Al conocer un incidente que afecte datos del encargo, KMSOFT notificará al contacto designado del Cliente sin demora indebida. La primera comunicación se realizará sin demora indebida y dentro del plazo legal que corresponda; se informará con los datos disponibles sin esperar a concluir la investigación. No se esperará certeza sobre toda la magnitud del incidente.

La comunicación describirá lo conocido sobre naturaleza, datos y personas afectados, momento, riesgos, medidas y contacto de seguimiento. Se enviarán ampliaciones al investigar. La primera comunicación no constituye por sí sola admisión de responsabilidad.

Cada parte cumplirá las notificaciones que le correspondan ante personas y autoridades. KMSOFT asistirá al Cliente y conservará evidencia lícita; no presumirá que corresponde solo al Cliente informar. Las obligaciones y cómputo de plazos se determinarán por el régimen aplicable; no se adoptará un plazo universal de setenta y dos horas para todos los países.

El Cliente mantendrá un contacto de incidentes operativo. La falta de ese contacto no autoriza al proveedor a omitir avisos legales que deba realizar directamente.

10. Verificación y cooperación

KMSOFT facilitará información suficiente para comprobar el encargo y cooperará con autoridades competentes. Una revisión del Cliente se coordinará con alcance razonable, confidencialidad y respeto a datos de terceros. Una investigación urgente o requerimiento legal no podrá impedirse con una limitación contractual ordinaria de calendario.

Los gastos de una auditoría extraordinaria solicitada por el Cliente se acordarán antes de incurrir en ellos cuando legalmente proceda. No se cobrará por ejercer derechos gratuitos ni por corregir incumplimientos atribuibles a KMSOFT.

11. Devolución, eliminación y conservación

Al concluir el encargo se devolverán o eliminarán los datos según la instrucción válida del Cliente y las obligaciones legales. El Cliente puede solicitar la devolución y eliminación por [email protected]. Se mantendrá una ventana de treinta días naturales para solicitar recuperación segura después del cierre, sin reducir los períodos legales de acceso o conservación fiscal. La eliminación se confirmará indicando las categorías afectadas y las excepciones legales. Los respaldos con conservación legal o necesarios para una controversia concreta permanecerán restringidos y se informará el criterio aplicable.

Las excepciones por ley o preservación de una reclamación se documentarán por categoría, motivo y duración o criterio. Los datos conservados se restringirán y no se seguirán utilizando comercialmente. Se proporcionará confirmación de la actuación realizada y se identificarán las excepciones.

La restauración de un respaldo debe reponer las instrucciones de supresión y restricción. Los documentos fiscales no se borrarán por una cancelación si existe deber de conservarlos o de facilitar su acceso.

12. Responsabilidad

Cada parte responde por sus incumplimientos y debe colaborar en reducir el daño. La asignación entre las partes se hará conforme a su contribución y a la ley. Este acuerdo no limita derechos de las personas, facultades de autoridades, responsabilidad legal frente a terceros ni obligaciones personales que no se puedan transferir. La indemnidad de los Términos y Condiciones de Uso no autoriza trasladar al Cliente una falla de KMSOFT.

13. Información del encargo y proveedores

El encargo dura mientras la cuenta y sus funciones permanezcan activas y durante la devolución o conservación legal posterior. Abarca alojamiento, organización, consulta, transmisión y eliminación de los datos que el Cliente introduzca para sus módulos. Las categorías de personas y datos figuran en la Política de Privacidad. Las instrucciones, contacto del Cliente, país y módulos se identifican con la cuenta, configuración y registro de aceptación. Los proveedores e integraciones actuales se identifican en la Política de Privacidad; no se autoriza un destino nuevo sin cumplir las exigencias legales de información y transferencia. Una solicitud de información adicional puede dirigirse a [email protected].