Anexo de tratamiento de datos

1. Cuándo se aplica y quién es quién

Este anexo forma parte de los Términos y condiciones. Aceptarlos implica aceptar este anexo. Cuando ambos difieran en cuanto al tratamiento de datos personales, prevalece este anexo.

Se aplica cuando ingresas en Theruka Decision Memory datos personales de otras personas: un colega nombrado como responsable de un hito, una parte interesada en la lista de un proyecto, alguien a quien invitas, alguien a quien envías un enlace para compartir. Respecto de esos datos, tú eres el responsable del tratamiento y TECNOLOGIAS DE LA INFORMACION THERUKA SPA es tu encargado del tratamiento.

No se aplica a los datos de tu propia cuenta: tu dirección de inicio de sesión y tus registros de facturación. De esos datos somos responsables nosotros, y se rigen por la política de privacidad.

Si eres una persona que usa el producto para sí misma y no conservas en él datos personales de nadie más, nada de lo dispuesto aquí se activa.

2. Qué tratamos y durante cuánto tiempo

Objeto: la operación del producto para ti. Duración: mientras exista tu cuenta, y no más; consulta la cláusula 9.

Naturaleza y finalidad: almacenar, mostrar, organizar y exportar el contenido de programa que ingresas, compartirlo con las personas que designes, generar reportes y borradores de IA cuando una persona de tu cuenta lo solicite, y mantener copias de seguridad.

Tipos de datos personales: nombres, direcciones de correo electrónico, roles y cargos, y cualquier otra cosa que decidas escribir en un proyecto, hito, riesgo, decisión, comentario o archivo cargado. No exigimos ninguno de ellos y no tenemos ningún campo que los solicite.

Categorías de titulares de los datos: los miembros de tu equipo y cualquier tercero que nombres en el contenido de tus programas (partes interesadas, proveedores, clientes tuyos).

3. Actuamos solo según tus instrucciones

Tratamos estos datos personales solo conforme a tus instrucciones documentadas, que son: estos términos, este anexo y tu uso de las funciones del producto.

No los usamos para fines propios. No los vendemos, no los usamos para entrenar ni ajustar (fine-tuning) modelos de IA, no construimos perfiles a partir de ellos y no los combinamos con datos personales de otro cliente.

La biblioteca de patrones descrita en la política de privacidad no es una excepción a esa oración, porque nada de lo que contiene son datos personales: guarda cuatro valores por cada mitigación evaluada (dos clasificaciones, un veredicto y un mes), todos tomados de listas fijas, sin texto libre, sin identificadores y sin ningún campo que describa el programa. Si eso dejara de ser cierto, esta cláusula tendría que cambiar, y no ha cambiado.

Si alguna vez la ley nos exige tratarlos de otro modo, te lo informaremos antes de hacerlo, salvo que la ley nos prohíba informártelo.

4. Confidencialidad

Todas las personas que pueden acceder a tus datos están sujetas a obligaciones de confidencialidad, y el acceso se limita a quienes lo necesitan para operar el servicio o darle soporte.

El acceso se controla en el servidor en cada solicitud, no en el navegador, y se limita a la cuenta a la que pertenece el registro.

5. Seguridad

Cada registro pertenece a una cuenta y se lee y escribe mediante el identificador de esa cuenta, con el alcance limitado en el servidor en cada solicitud. Los datos de una cuenta nunca se combinan con los de otra, nunca se agrupan para producir un resultado compartido y nunca se usan para responder la solicitud de otra cuenta.

Los datos se cifran en tránsito. Las credenciales que conservamos por cuenta tuya (por ejemplo, un token de la API de Jira) se cifran en reposo con AES-256-GCM y nunca se devuelven a un navegador; de esos tokens solo pueden mostrarse los últimos cuatro caracteres.

No hay contraseñas que robar: el inicio de sesión es con Google o con un enlace de un solo uso enviado por correo, y una sesión es una cookie firmada y no un registro en el servidor.

Consulta la cláusula 11 para ver lo que no ofrecemos.

6. Subencargados

Autorizas a los subencargados indicados en la política de privacidad, que nombra a cada uno, qué gestiona y dónde se encuentra. Esa lista es pública y se mantiene actualizada.

Te avisaremos con al menos 60 días de anticipación antes de agregar o reemplazar un subencargado que trate datos personales por cuenta tuya. Si te opones por motivos razonables de protección de datos dentro de ese plazo, trabajaremos contigo para encontrar una solución; si no se encuentra, puedes dar por terminada la parte afectada del servicio y recibir un reembolso proporcional de cualquier período pagado y no utilizado.

Cada subencargado está sujeto a términos no menos protectores que estos, y seguimos siendo responsables ante ti por su cumplimiento.

7. Violación de datos personales: 72 horas

Si tomamos conocimiento de una violación de datos personales que afecte datos personales que tratamos por cuenta tuya, te lo notificaremos sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a haber tomado conocimiento de ella.

La notificación describirá lo que sepamos: la naturaleza de la violación, las categorías y el número aproximado de registros afectados, las consecuencias probables y lo que estamos haciendo al respecto. Si todavía no tenemos toda esa información, enviaremos lo que tengamos en lugar de esperar, y haremos el seguimiento.

Las 72 horas se cuentan desde que NOSOTROS tomamos conocimiento, y es deliberadamente el mismo plazo que la normativa te da para tu propia notificación, para que no descubras una violación con tu plazo ya agotado.

No notificaremos a tu autoridad de control ni a los titulares de los datos en tu nombre. Esa decisión te corresponde a ti, y te daremos lo que necesites para tomarla.

8. Ayudarte a responder a las personas

La mayor parte de esto puedes hacerlo tú mismo, de inmediato, sin pedírnoslo: el producto te permite encontrar, corregir y eliminar cualquier registro de tu espacio de trabajo, y descargar sus reportes en PDF. Una copia completa y legible por máquina del espacio de trabajo no es de autoservicio: la generamos a pedido, sin costo, dentro de 30 días.

Cuando alguien ejerza un derecho y el producto no permita atenderlo, te ayudaremos, sin costo para un volumen razonable de solicitudes.

Si un titular de los datos se comunica directamente con nosotros por datos que conservamos por cuenta tuya, no responderemos sobre el fondo: le diremos que se comunique contigo y te avisaremos que nos contactó.

También te daremos la información que razonablemente necesites para una evaluación de impacto relativa a la protección de datos o para una consulta previa con una autoridad de control, en lo que respecta a nuestro tratamiento.

9. Eliminación al final

Puedes eliminarlo todo tú mismo, en cualquier momento, desde dentro del producto. Cuando el propietario de una cuenta la elimina, se borra de forma permanente el espacio de trabajo y todo lo que contiene: proyectos, portafolios, hitos, riesgos, mitigaciones, decisiones, reportes, integraciones y enlaces para compartir. Es inmediato y no se puede deshacer, ni por ti ni por nosotros.

No hay período de retención ni archivo. No guardamos una copia oculta.

Lo que se conserva es tu registro de facturación y el registro de que aceptaste estos documentos, porque estamos obligados a conservar el primero y porque el segundo es la prueba de este acuerdo. Ninguno de los dos contiene el contenido de tus programas.

Las copias de seguridad se sobrescriben en su ciclo habitual.

10. Transferencias internacionales

Todo el tratamiento se realiza en los Estados Unidos. Cuando se transfieren datos personales fuera del Espacio Económico Europeo, el Reino Unido o Suiza, la transferencia está cubierta por las Cláusulas Contractuales Tipo de la Comisión Europea, con el Addendum del Reino Unido y las modificaciones suizas, según corresponda.

La política de privacidad lo expone en detalle, incluido cómo obtener una copia de las garantías.

11. Lo que no ofrecemos, dicho con claridad

No tenemos un informe SOC 2, ni un certificado ISO 27001, ni ninguna auditoría de terceros equivalente. Si tu proceso de compras exige uno, hoy no lo cumplimos, y preferimos que lo sepas ahora y no después de un cuestionario.

No ofrecemos auditorías presenciales ni auditorías físicas realizadas por terceros. Responderemos un cuestionario de seguridad por escrito y proporcionaremos la información razonablemente necesaria para demostrar el cumplimiento de este anexo, una vez en cualquier período de doce meses, y con mayor frecuencia si una autoridad de control lo exige.

No ofrecemos una cifra de disponibilidad garantizada ni un compromiso de nivel de servicio, en coherencia con los términos.

No firmaremos un Business Associate Agreement, y el producto no es adecuado para datos cubiertos por HIPAA. Nunca almacenamos datos de titulares de tarjeta, por lo que ninguna parte del producto está dentro del alcance de PCI DSS.

Son límites, no aspiraciones. Si alguno de ellos cambia, este anexo cambia con él y recibe una nueva versión.

12. Responsabilidad, cambios y prelación

Las disposiciones sobre responsabilidad de los Términos y condiciones se aplican a este anexo, y ambos constituyen un solo acuerdo para ese fin.

Podemos actualizar este anexo. Cada versión tiene una fecha, y la versión vigente cuando aceptaste los términos queda registrada en tu cuenta. Cuando un cambio reduzca tu protección, te pediremos que lo aceptes antes de que se te aplique.

Preguntas, o una copia firmada por ambas partes para tus registros: support@theruka.com.