Acuerdo de Tratamiento de Datos (DPA)

1. Roles

El Cliente es el responsable/controlador de los datos personales de sus clientes finales. GIRULABS E.I.R.L. (“la Empresa”) actúa como encargado/procesador y trata dichos datos únicamente según las instrucciones documentadas del Cliente y para prestar los Servicios.

2. Objeto y duración

El tratamiento cubre las categorías de datos y titulares necesarios para los Servicios contratados (conversaciones, contactos, leads, órdenes) y dura mientras esté vigente el MSA.

3. Obligaciones del encargado

• Tratar los datos solo conforme a instrucciones del responsable.
• Garantizar confidencialidad del personal autorizado.
• Implementar medidas técnicas y organizativas adecuadas (cifrado, control de acceso, auditoría, aislamiento multi-tenant).
• Asistir al responsable en solicitudes de titulares y en evaluaciones de impacto.
• Notificar al Cliente los incidentes de seguridad sin demora indebida y a más tardar dentro de las cuarenta y ocho (48) horas de tomar conocimiento, de modo que el Cliente pueda cumplir sus propios plazos de notificación a la autoridad competente.
• Eliminar o devolver los datos al término del Servicio.

4. Subprocesadores

El Cliente autoriza el uso de subprocesadores para alojamiento (cloud), entrega de mensajería (incluyendo plataformas de Meta) y modelos de IA. La lista vigente se publica en girux.io/legal/subprocessors. La Empresa mantiene contratos con obligaciones de protección equivalentes y avisa las incorporaciones o reemplazos con al menos 30 días de antelación, permitiendo objeción fundada. Si la objeción no puede resolverse con una alternativa razonable, el Cliente podrá resolver el servicio afectado conforme al MSA.

5. Transferencias internacionales

Cuando un subprocesador esté fuera del país del responsable, se aplican salvaguardas adecuadas (cláusulas contractuales tipo u mecanismos equivalentes reconocidos por la normativa aplicable).

6. Derechos de los titulares y eliminación

La Empresa asiste al responsable para atender solicitudes de acceso, rectificación, cancelación, oposición y portabilidad. Las solicitudes de eliminación se procesan con soft-delete inmediato y purga física en un máximo de 30 días; ver /legal/data-deletion.

7. Datos de Plataforma de Meta

El tratamiento de Datos de Plataforma de Meta se realiza conforme a los Términos de Plataforma y Políticas para Desarrolladores de Meta, tal como se detalla en la Política de Privacidad (sección 3).