Acuerdo de encargado del tratamiento

1. Partes

Responsable del tratamiento ("el Cliente"): la empresa que contrata Friolink, identificada en la sección de firmas o en el contrato comercial.

Encargado del tratamiento ("AREAINFO"): AREAINFO SAS, RUT 218998030010, con domicilio en Av. Italia 4663, apto. 103, Montevideo, Uruguay, representada por Rafael Mauricio Favaro Eula. Contacto: [email protected].

Este acuerdo forma parte de los Términos y condiciones del servicio y del contrato comercial, si lo hay. Si se contradicen en materia de datos personales, prevalece este acuerdo.

2. Objeto

AREAINFO trata datos personales por cuenta del Cliente solo para prestarle el servicio Friolink de monitoreo de cadena de frío: registrar lecturas, enviar avisos de alarma, llevar los registros de atención, firmas y auditoría, generar informes y dar soporte. El detalle está en el Anexo I.

Este acuerdo se rige por la Ley 18.331 de Uruguay (en especial sus artículos 10, 11 y 30) y su reglamentación. Cuando el Cliente esté en Argentina o en Brasil, se aplica además lo indicado en la cláusula 13.

3. Instrucciones del Cliente

AREAINFO trata los datos solo según las instrucciones documentadas del Cliente. Son instrucciones este acuerdo, el contrato y la configuración que el Cliente hace en la plataforma (usuarios, contactos, canales de aviso, retención de lecturas, integraciones).

AREAINFO no usa los datos para fines propios ni los comunica a terceros, salvo a los subencargados de la cláusula 6 o cuando una ley lo exija; en ese caso avisa al Cliente antes, si la ley lo permite.

Si una instrucción le parece contraria a la ley, AREAINFO lo informa al Cliente y puede suspender su ejecución hasta que se aclare.

El Cliente es responsable de tener una base legal para los datos que carga y de informar a las personas afectadas.

4. Confidencialidad

AREAINFO garantiza que las personas autorizadas a tratar los datos están obligadas a guardar secreto (Ley 18.331, art. 11), que acceden solo a lo necesario para su tarea y que esa obligación sigue después de terminada su relación con AREAINFO.

5. Seguridad

AREAINFO aplica medidas técnicas y organizativas adecuadas al riesgo para proteger los datos contra la pérdida, el acceso no autorizado, la alteración o la difusión (Ley 18.331, art. 10). Las principales están en el Anexo II.

AREAINFO puede actualizar esas medidas siempre que no bajen el nivel de protección.

6. Subencargados

El Cliente autoriza a AREAINFO a usar los subencargados del Anexo III para prestar el servicio.

AREAINFO avisa al Cliente por correo con 30 días de anticipación antes de sumar o cambiar un subencargado. El Cliente puede oponerse por motivos razonables de protección de datos; si no se encuentra una solución, puede dar de baja el servicio afectado sin penalidad.

AREAINFO elige subencargados que ofrecen garantías suficientes, les impone por contrato obligaciones de protección equivalentes a las de este acuerdo y responde ante el Cliente por su cumplimiento.

7. Transferencias internacionales

Los datos se guardan en servidores de AREAINFO en Uruguay. Algunos subencargados tratan datos en otros países (Anexo III). Esas transferencias se hacen solo en los casos que admite el artículo 23 de la Ley 18.331 y con las garantías contractuales que ofrece cada subencargado. El Cliente, al aceptar este acuerdo, instruye a AREAINFO a hacer las transferencias necesarias para prestar el servicio.

8. Ayuda con los derechos de las personas

Si una persona le pide a AREAINFO el acceso, la rectificación, la actualización, la inclusión o la supresión de datos que trata por cuenta del Cliente, AREAINFO le pasa el pedido al Cliente en un plazo de 2 días hábiles y no lo contesta por su cuenta, salvo que el Cliente se lo pida.

AREAINFO ayuda al Cliente a responder, con las funciones de la plataforma (perfil editable, borrado de cuentas, exportaciones) o con la información que haga falta.

9. Incidentes de seguridad

Si AREAINFO conoce un incidente de seguridad que afecte datos personales del Cliente, se lo comunica sin demora y como máximo dentro de las 48 horas de conocerlo, para que el Cliente pueda cumplir con sus propias obligaciones de comunicación ante la URCDP y las personas afectadas (Ley 19.670, art. 38, y su reglamentación).

La comunicación incluye, en la medida en que se conozcan: qué pasó, qué datos y cuántas personas pueden estar afectados, las consecuencias probables, las medidas tomadas o propuestas y un contacto. AREAINFO completa la información a medida que avanza la investigación y documenta el incidente.

10. Devolución y borrado al terminar

Al terminar el servicio, AREAINFO entrega al Cliente, si lo pide, una exportación completa de sus datos en formatos abiertos (CSV y PDF) dentro de 15 días hábiles.

Después conserva los datos 90 días para permitir una recuperación y luego los borra o los anonimiza, incluso en las copias de seguridad cuando se renuevan, salvo lo que una ley obligue a conservar. A pedido del Cliente, AREAINFO le confirma el borrado por escrito.

11. Información y auditoría

AREAINFO pone a disposición del Cliente la información necesaria para demostrar que cumple este acuerdo: la documentación de seguridad, las respuestas a cuestionarios de seguridad y el registro de cambios.

El Cliente puede hacer, o encargar a un auditor obligado a confidencialidad, una auditoría una vez por año, con 30 días de aviso, en horario hábil y sin afectar el servicio ni los datos de otros clientes. Cada parte se hace cargo de sus costos. Se puede hacer una auditoría adicional después de un incidente grave.

12. Responsabilidad y duración

Cada parte responde por sus propios incumplimientos de este acuerdo y de la ley, con los límites de los Términos y condiciones del servicio, en la medida en que la ley lo permita.

Este acuerdo rige mientras AREAINFO trate datos por cuenta del Cliente y hasta que se completen la devolución y el borrado.

13. Argentina y Brasil

Argentina: cuando el Cliente esté en Argentina, AREAINFO actúa como prestadora de servicios de tratamiento por cuenta de terceros según el artículo 25 de la Ley 25.326: usa los datos solo para lo previsto en este acuerdo, no los cede a otros y los destruye al terminar, salvo autorización expresa del Cliente para conservarlos. Las medidas de seguridad son las del Anexo II.

Brasil: cuando se apliquen la LGPD (Lei 13.709/2018), el Cliente es controlador y AREAINFO es operadora (art. 39); las transferencias internacionales se hacen con las garantías del art. 33 y los incidentes se comunican al Cliente en el plazo de la cláusula 9 para que pueda avisar a la ANPD y a los titulares.

14. Ley aplicable y jurisdicción

Este acuerdo se rige por las leyes de la República Oriental del Uruguay y cualquier controversia se somete a los tribunales de la ciudad de Montevideo, salvo que una norma que no se pueda dejar de lado disponga otra cosa.

Anexo I. Detalle del tratamiento

Anexo II. Medidas de seguridad

• Cifrado en tránsito: HTTPS con TLS 1.2 o superior, HSTS; los equipos se conectan por MQTT con TLS, con usuario y clave propios por equipo y permisos limitados a sus datos.
• Red: los servidores no exponen el puerto web a internet; el acceso pasa por el túnel y el firewall de aplicaciones de Cloudflare. La administración se hace solo por red interna o VPN.
• Acceso: contraseñas solo como hash; bloqueo después de 5 intentos fallidos; verificación en dos pasos; aviso por correo de ingresos desde dispositivos nuevos; sesiones visibles y revocables; sesión web en cookie HttpOnly, Secure y SameSite=Strict.
• Permisos: roles por módulo y alcance por sitio; un cliente nunca ve datos de otro; revisión periódica de las rutas de la API.
• Integridad: lecturas que la aplicación solo puede agregar, sello diario encadenado con hash; registros de cumplimiento y auditoría de solo agregar; firmas electrónicas que vuelven a pedir la clave.
• Disponibilidad: copias de seguridad diarias, réplica en vivo en un segundo sitio en Uruguay y monitoreo del servicio cada minuto.
• Secretos: fuera del código, con permisos restringidos; búsqueda automática de claves en cada cambio del código.
• Personal: acceso mínimo necesario y obligación de confidencialidad.
• Incidentes: procedimiento de respuesta, registro y comunicación según la cláusula 9.

Anexo III. Subencargados

Además, los servicios que el propio Cliente conecte (por ejemplo, su centro de monitoreo o un webhook) reciben los datos de los avisos por instrucción del Cliente y no son subencargados de AREAINFO.