Anexo de Tratamiento de Datos

1. Alcance, estado y prelación

Este Anexo de Tratamiento de Datos (el "Anexo") forma parte de los Términos de Servicio entre Breneshold LLC, sociedad de responsabilidad limitada constituida bajo las leyes del Estado de Florida, Estados Unidos ("Witnio", el encargado) y el cliente identificado en la Orden ("Cliente", el responsable), y aplica siempre que Witnio trate datos personales por cuenta del Cliente.

Está redactado para cumplir el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y, cuando apliquen el RGPD del Reino Unido o la LPD suiza, para leerse junto con los anexos correspondientes.

En caso de conflicto, este Anexo prevalece sobre los Términos de Servicio y la Política de Privacidad respecto del tratamiento realizado por cuenta del Cliente. Cuando apliquen las Cláusulas Contractuales Tipo, estas prevalecen sobre este Anexo.

Se vuelve vinculante cuando ambas partes lo suscriben o cuando se incorpora expresamente a una Orden. El bloque de firmas, los datos de las entidades y la fecha de vigencia se completan en la copia firmada de este Adendum.

2. Definiciones y roles

"Responsable", "encargado", "interesado", "datos personales", "tratamiento" y "violación de datos personales" tienen el significado que les da el RGPD.

El Cliente es el responsable de los datos personales contenidos en la Evidencia y la configuración que envía, y garantiza contar con una base lícita para ese tratamiento y haber dado todo aviso y obtenido todo consentimiento requerido.

Witnio es el encargado de esos datos y los trata únicamente conforme a las instrucciones documentadas del Cliente.

Witnio es responsable independiente respecto de los datos de cuenta, facturación, soporte y sitio web, y de los registros de seguridad y auditoría que debe conservar. La Política de Privacidad rige ese tratamiento, no este Anexo.

3. Objeto, duración, naturaleza y finalidad

Objeto: la prestación de los servicios de observación con dispositivos reales y de evidencia que el Cliente ordena.

Duración: la vigencia de los Términos de Servicio, más los plazos de exportación y eliminación indicados abajo.

Naturaleza y finalidad: ejecutar chequeos en dispositivos físicos; registrar lo observado; enmascarar y minimizar lo capturado; generar, hashear y firmar Evidencia; almacenar y servir Evidencia al Cliente; alertar; y dar soporte.

Operaciones de tratamiento: recolección, registro, organización, estructuración, almacenamiento, recuperación, consulta, uso, limitación, supresión y destrucción.

4. Categorías de interesados y de datos personales

Categorías de interesados: el personal y los usuarios autorizados del Cliente; las personas cuyos identificadores aparecen en el tráfico que el Cliente dirige a un número de Witnio; y cualquier persona visible en una captura o grabación de un objetivo que el Cliente configure.

Categorías de datos personales: números telefónicos e identificadores de remitente, almacenados enmascarados; contenido de mensajes, almacenado enmascarado y truncado con un hash del original; marcas de tiempo y latencia; contexto de dispositivo, sistema operativo, marcador telefónico, SIM, operador y corredor; resultados de solicitudes web, cadenas de redirección, cookies y estado de consentimiento observados en un objetivo; capturas y, para algunos productos, video de la pantalla del dispositivo; y el manifiesto firmado que los une.

Categorías especiales de datos personales: no se solicitan, y el Cliente no debe configurar un chequeo que provoque su tratamiento. Si aun así se capturan datos de categoría especial, el Cliente debe informarlo a Witnio sin demora para que se eliminen.

Frecuencia: continua, mientras los chequeos del Cliente estén activos.

5. Instrucciones del Cliente

Witnio trata los datos personales únicamente conforme a las instrucciones documentadas del Cliente, que son este Anexo, los Términos de Servicio, la Orden y la configuración que el Cliente establece en el servicio — salvo que una ley a la que Witnio esté sujeto exija otra cosa, en cuyo caso Witnio informará al Cliente antes de tratar los datos, a menos que esa ley lo prohíba.

Witnio informará al Cliente si, en su opinión, una instrucción infringe el RGPD u otra disposición de protección de datos, y podrá suspender el tratamiento afectado hasta que la instrucción se corrija.

El Cliente instruye a Witnio a aplicar a todo lo capturado el enmascarado y la minimización descritos en la Política de Privacidad, y reconoce que ello reduce los datos personales efectivamente almacenados.

El Cliente no enviará datos personales más allá de lo que el chequeo requiera, y usará tráfico de prueba en lugar de las comunicaciones reales de usuarios finales.

6. Confidencialidad del personal

Witnio asegura que toda persona autorizada a tratar datos personales bajo este Anexo esté sujeta a un deber de confidencialidad que sobrevive al fin de su relación, esté capacitada en sus obligaciones y tenga acceso únicamente a los datos que necesita.

El acceso a datos de producción está limitado a personal nominado, se autentica con autenticación multifactor y queda registrado.

7. Medidas de seguridad

Witnio implementa las medidas técnicas y organizativas del Anexo II de abajo, considerando el estado de la técnica, el costo de aplicación, y la naturaleza, alcance, contexto y fines del tratamiento, así como el riesgo para los interesados.

Witnio puede cambiar una medida siempre que el cambio no reduzca el nivel general de seguridad. Las medidas vigentes en cada momento se publican en la página de Seguridad de este sitio, que forma parte del Anexo II.

8. Subencargados

El Cliente otorga a Witnio una autorización general escrita para contratar subencargados. Los contratados a la fecha de este Anexo se listan en la Política de Privacidad, junto con su función.

Witnio impone a todo subencargado, por contrato escrito, obligaciones de protección de datos no menos protectoras que las de este Anexo, y sigue siendo plenamente responsable frente al Cliente por el desempeño del subencargado.

Witnio dará al Cliente al menos 30 días de aviso antes de agregar o reemplazar un subencargado, por correo al contacto de la cuenta y actualizando la lista publicada. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; las partes discutirán la objeción de buena fe y, si no puede resolverse, el Cliente puede terminar la suscripción afectada y recibir el reembolso de las tarifas prepagadas no usadas.

Los subencargados nombrados en este documento (Stripe, PayPal, Cloudflare, la infraestructura propia de Witnio y Telegram solo para alertas internas); los clientes reciben avisos de cambio escribiendo a [email protected]

9. Asistencia con los derechos de los interesados

Witnio asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, en el cumplimiento de su obligación de responder a solicitudes de ejercicio de derechos de los interesados.

Cuando un interesado contacte directamente a Witnio sobre datos tratados por cuenta del Cliente, Witnio no responderá al fondo y trasladará la solicitud al Cliente sin demora indebida.

El servicio provee al Cliente funciones de exportación y eliminación, que son el medio principal para atender solicitudes de acceso, portabilidad y supresión. La asistencia que exceda eso se cobra a las tarifas razonables de Witnio cuando el esfuerzo sea más que trivial.

10. Asistencia en seguridad, evaluaciones de impacto y violaciones

Witnio asistirá al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, incluyendo la entrega de la información necesaria para una evaluación de impacto y para una consulta previa.

Witnio notificará al Cliente una violación de datos personales que afecte sus datos personales sin demora indebida y en todo caso dentro de las 72 horas siguientes a tomar conocimiento, describiendo la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados en la medida en que se conozcan, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto para más información. La información adicional se entrega conforme avanza la investigación.

Witnio no notificará a una autoridad de control ni a un interesado por cuenta del Cliente, salvo que el Cliente lo instruya y las partes acuerden la redacción.

11. Eliminación y devolución

Al terminar el servicio, Witnio devolverá o eliminará, a elección del Cliente, los datos personales tratados por su cuenta.

Los Datos del Cliente quedan disponibles para exportación desde el servicio durante 30 días después de la terminación. Vencido ese plazo, Witnio los elimina o los anonimiza de forma irreversible, salvo en la medida en que una ley a la que esté sujeto exija conservarlos, en cuyo caso Witnio los mantiene confidenciales y los trata únicamente para ese fin.

Las copias presentes solo en respaldos se eliminan cuando esos respaldos se sobrescriben en su ciclo normal. Witnio confirmará la eliminación por escrito a solicitud.

12. Auditorías e información

Witnio pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD.

El Cliente puede satisfacer su derecho de auditoría revisando la documentación que Witnio publica y entrega — incluida la página de Seguridad, el esquema de firma de evidencia y las respuestas escritas de Witnio a un cuestionario de seguridad, que Witnio devolverá dentro de los 30 días siguientes a una solicitud razonable.

Cuando eso no baste para atender un requerimiento regulatorio demostrado, el Cliente puede realizar, o designar a un auditor independiente sujeto a confidencialidad para que realice, una auditoría in situ una vez cada doce meses, con al menos 30 días de aviso escrito, en horario hábil, sin disrupción irrazonable y a costo del Cliente, incluido el tiempo razonable de Witnio. Una autoridad de control puede auditar conforme lo disponga la ley.

El auditor no puede ser competidor de Witnio, y no puede acceder a datos de otro cliente, al código fuente de Witnio ni a credencial alguna.

13. Transferencias internacionales

Witnio trata datos personales en infraestructura que opera en Costa Rica y usa subencargados establecidos en Estados Unidos y en otros países.

Para transferencias de datos personales desde el Espacio Económico Europeo, el Reino Unido o Suiza hacia un país sin decisión de adecuación, las partes incorporan por referencia las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914, aplicando el Módulo Dos (responsable a encargado) entre el Cliente como exportador y Witnio como importador, con la cláusula de acoplamiento aplicable, siendo la autoridad de control y la ley aplicable las del lugar de establecimiento del Cliente, y con los Anexos I y II de este Anexo poblando los anexos correspondientes de esas Cláusulas.

Para el Reino Unido aplica el Addendum de Transferencia Internacional de Datos del Reino Unido a esas Cláusulas. Para Suiza, las referencias al RGPD se leen como referencias a la LPD y el Comisionado Federal de Protección de Datos y Transparencia es la autoridad competente.

Witnio notificará al Cliente si deja de poder cumplir esas Cláusulas, y el Cliente podrá entonces suspender la transferencia o terminar.

Breneshold LLC como importador de datos bajo el Módulo 2 (responsable a encargado) de las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, sin la cláusula opcional de adhesión; se documenta una evaluación de impacto de la transferencia antes de la primera transferencia desde la UE.

14. Responsabilidad

La responsabilidad de cada parte bajo este Anexo está sujeta a las exclusiones y al tope agregado de los Términos de Servicio, y ese tope es único y combinado entre los Términos de Servicio y este Anexo, no uno separado.

Nada en este Anexo limita los derechos de un interesado frente a cualquiera de las partes, ni la responsabilidad de una parte cuando la ley aplicable no permita limitarla. Cuando apliquen las Cláusulas Contractuales Tipo, nada en esta sección limita la responsabilidad bajo ellas frente a un interesado.

15. Anexo I — detalles del tratamiento

Exportador de datos: el Cliente identificado en la Orden, actuando como responsable. Contacto: el contacto de cuenta registrado en el servicio.

Importador de datos: Breneshold LLC (Florida, Estados Unidos), [email protected]; la dirección postal consta en la cuenta y en las facturas, actuando como encargado, prestando servicios de observación con dispositivos reales y de evidencia.

Categorías de interesados, categorías de datos personales, categorías especiales, frecuencia, naturaleza y finalidad, duración y detalles de subencargados: según las secciones 3, 4, 8 y 11 de este Anexo.

Autoridad de control competente: la del lugar de establecimiento del Cliente en el Espacio Económico Europeo o, cuando el Cliente no esté establecido allí, la del Estado miembro donde esté establecido su representante o donde se encuentren los interesados.

16. Anexo II — medidas técnicas y organizativas

Control de acceso: autenticación multifactor; control de acceso basado en roles; autorización denegar-por-defecto; alcance por tenant en toda consulta de datos de tenant; tokens de vida corta con rotación de refresh; sesiones revocables; inventario de sesiones y dispositivos; protección contra fuerza bruta; y llaves de API con alcance limitado, rotables y con cuotas y límites de tasa.

Red y plataforma: toda interfaz pública tratada como hostil; gateway de borde y límites de tasa delante del control plane; la granja de dispositivos nunca expuesta directamente a internet; y encabezados de seguridad en cada respuesta.

Minimización y enmascarado: códigos de un solo uso, números de terceros, contenido sensible, tokens, cookies e identificadores innecesarios enmascarados o minimizados antes del almacenamiento y antes de cualquier tratamiento con IA; cuerpos de mensaje almacenados enmascarados y truncados, con un hash del original.

Integridad: hash SHA-256 por artefacto; manifiestos JSON canónicos firmados con una llave Ed25519 conservada fuera del repositorio en el host firmante; llave pública publicada para que un manifiesto pueda verificarse de forma independiente; y detección de manipulación en la verificación.

Confidencialidad de secretos: ninguna credencial, código de un solo uso, cookie ni token de sesión en el repositorio, en logs ni en trazas; secretos en un gestor de secretos.

Pruebas y aseguramiento: escaneo de dependencias, secretos, contenedores y configuraciones inseguras por defecto en cada release; pruebas de regresión de abuso de autenticación y de acceso cruzado entre tenants; y validación de la configuración de origen cruzado.

Disponibilidad y resiliencia: controles de suspensión focalizados que aíslan una llave, un usuario o un tenant abusivo sin dar de baja la plataforma; Evidencia preservada durante una suspensión; y procedimientos documentados de recuperación ante fallas de dispositivo, de red y de carga de evidencia.

Gobernanza: registro de auditoría de acciones privilegiadas; procedimiento documentado de incidente de detectar, contener, revocar, preservar evidencia, análisis de causa raíz, corregir, prueba de regresión, reprobar y documentar; y límites de retención aplicados por un proceso automático de retención.

Las medidas vigentes en cada momento se publican en la página de Seguridad de Witnio, que forma parte de este Anexo.

17. Contacto

Consultas y notificaciones de protección de datos bajo este Anexo: [email protected].

Delegado de protección de datos o representante en la UE/Reino Unido, cuando se designe: Breneshold LLC, [email protected].