acuerdo de tratamiento de datos

Los términos "dato personal", "titular", "tratamiento", "responsable", "encargado", "transmisión", "transferencia", "dato sensible" e "incidente de seguridad" tienen el significado que les da la ley aplicable. "Subencargado" es el tercero al que Unbound confía parte del tratamiento. "Ley aplicable" es, según el caso, la Ley 1581 de 2012 y sus decretos reglamentarios en Colombia, la ley federal mexicana de protección de datos personales en posesión de los particulares y su reglamento, el RGPD y el RGPD del Reino Unido, y cualquier otra norma de protección de datos que se aplique al tratamiento.

Unbound trata los Datos Personales del Cliente solo por cuenta del Cliente y según sus instrucciones documentadas. El Cliente imparte sus instrucciones mediante estos documentos, la configuración de su workspace y el uso que él, sus usuarios y los agentes que conecta hacen de la Plataforma. La descripción del tratamiento está en el anexo 1.

Unbound no tratará los Datos Personales del Cliente para fines propios, no los venderá, no los usará para publicidad ni para entrenar modelos de inteligencia artificial, y no los comunicará a terceros salvo a sus subencargados conforme a este Acuerdo, o cuando lo exija una ley o una autoridad competente. En este último caso avisará al Cliente antes, salvo que la ley lo prohíba.

Si Unbound considera que una instrucción infringe la ley aplicable, se lo informará al Cliente y podrá abstenerse de cumplirla.

El Cliente es responsable de:

• contar con la autorización previa, expresa e informada de los titulares, o con otra base legal válida, para el tratamiento que realiza con la Plataforma, y conservar prueba de ella;
• informar a los titulares mediante su propio aviso de privacidad y su propia política de tratamiento;
• obtener el consentimiento que la ley exige antes de enviar comunicaciones comerciales, y respetar las solicitudes de baja;
• no cargar datos sensibles ni datos de niños, niñas y adolescentes, salvo que cuente con la autorización especial que la ley exige y que el tratamiento sea necesario;
• atender las consultas, los reclamos y los derechos ARCO de los titulares, con la asistencia de Unbound prevista en este Acuerdo;
• cumplir sus propias obligaciones de registro, como la inscripción de bases de datos en el Registro Nacional de Bases de Datos en Colombia cuando le aplique.

Unbound se obliga a:

1. tratar los datos conforme a los principios de la ley aplicable, en especial los de finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad;
2. tratar los datos solo para las actividades descritas en el anexo 1 y según las instrucciones del Cliente, aplicando la política de tratamiento del Cliente y solo para las finalidades que los titulares autorizaron;
3. aplicar las medidas de seguridad técnicas, humanas y administrativas del anexo 2 para impedir la adulteración, la pérdida, la consulta, el uso o el acceso no autorizado o fraudulento;
4. garantizar que las personas autorizadas para tratar los datos están obligadas a guardar confidencialidad, incluso después de terminar su relación con Unbound;
5. permitir el acceso a los datos solo a quienes lo necesiten para prestar el servicio, darle soporte o mantener su seguridad, y registrar los accesos de soporte;
6. actualizar, rectificar o suprimir los datos cuando el Cliente lo indique o lo haga desde la Plataforma;
7. abstenerse de circular datos que estén en discusión por un reclamo del titular, cuando el Cliente se lo informe;
8. informar al Cliente sobre los incidentes de seguridad conforme a la sección de incidentes;
9. suprimir o devolver los datos al terminar el servicio, conforme a la sección de devolución y eliminación;
10. no transferir ni remitir los datos a terceros distintos de los subencargados autorizados;
11. cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio, de la Secretaría Anticorrupción y Buen Gobierno de México y de cualquier otra autoridad de protección de datos que le apliquen.

El Cliente autoriza de forma general a Unbound a contratar los subencargados de la lista publicada. Unbound celebrará con cada uno un contrato escrito que le imponga obligaciones de protección de datos al menos equivalentes a las de este Acuerdo, y responde ante el Cliente por el cumplimiento de sus subencargados.

Unbound avisará con al menos 30 días de antelación antes de agregar o reemplazar un subencargado, publicando el cambio en la lista y escribiendo al propietario del workspace. El Cliente puede objetar el cambio por motivos razonables de protección de datos escribiendo a hello@withunbound.com dentro de ese plazo. Si las partes no encuentran una solución, el Cliente puede terminar el servicio afectado y recibir el reembolso proporcional del periodo pagado y no usado.

Las integraciones que el Cliente decide conectar (por ejemplo Google Calendar, Meta, su propia cuenta de Stripe o el proveedor del modelo de IA que conecte por MCP) no son subencargados de Unbound: el Cliente las contrata directamente y los datos se comunican a ellas por su instrucción.

Los Datos Personales del Cliente se alojan en los Estados Unidos (anexo 3). Al contratar, el Cliente instruye y autoriza a Unbound a tratarlos allí y en los países de sus subencargados.

Colombia. La comunicación de datos del Cliente a Unbound y de Unbound a sus subencargados es una transmisión internacional, porque Unbound trata los datos por cuenta del Cliente. Conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, este Acuerdo es el contrato de transmisión y señala el alcance del tratamiento, las actividades que Unbound realiza por cuenta del Cliente y las obligaciones de Unbound frente al Cliente y a los titulares. En virtud de ese contrato, la transmisión no requiere que el Cliente informe al titular ni obtenga su autorización específica para ella.

México. La comunicación de datos del Cliente a Unbound, como persona encargada, no es una transferencia (artículo 35 de la ley) y no requiere el consentimiento del titular. Unbound no realiza transferencias de los Datos Personales del Cliente a terceros por cuenta propia.

Unión Europea, Espacio Económico Europeo y Reino Unido. Cuando el RGPD o el RGPD del Reino Unido se apliquen a los datos y estos se traten fuera de esas jurisdicciones, las partes celebran las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 (módulo 2, de responsable a encargado, o módulo 3, de encargado a encargado) y, para el Reino Unido, el Adéndum de transferencias internacionales, que se incorporan por referencia con las opciones del anexo 4. Unbound no está adherido al Marco de Privacidad de Datos UE-EE. UU. Para las transferencias posteriores a sus subencargados, Unbound se basa en la adhesión del subencargado a ese Marco cuando exista, o en las cláusulas contractuales tipo.

La Plataforma permite al Cliente consultar, corregir, exportar y suprimir los datos de sus titulares. Si un titular se dirige a Unbound para ejercer sus derechos respecto de Datos Personales del Cliente, Unbound trasladará la solicitud al Cliente dentro de los 5 días hábiles siguientes y no la contestará en el fondo salvo instrucción del Cliente o deber legal.

Unbound prestará al Cliente la asistencia razonable que necesite para responder dentro de los plazos legales: en Colombia, 10 días hábiles para consultas y 15 días hábiles para reclamos; en México, 20 días hábiles para responder las solicitudes de derechos ARCO y 15 días hábiles para hacer efectiva la decisión (artículo 31 de la ley); y en la Unión Europea, un mes.

Si Unbound tiene conocimiento de un incidente de seguridad que afecte Datos Personales del Cliente, lo notificará al propietario del workspace sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento de él. La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que no se conozca de inmediato se entregará por fases.

Unbound tomará de inmediato las medidas razonables para contener el incidente y mitigar sus efectos, y colaborará con el Cliente para que este cumpla sus deberes de notificar a la autoridad y a los titulares, como el reporte de incidentes a la Superintendencia de Industria y Comercio en Colombia dentro de los 15 días hábiles siguientes a su detección, el aviso inmediato a los titulares que exige el artículo 19 de la ley mexicana o la notificación del artículo 33 del RGPD. La notificación de un incidente no implica que Unbound acepte responsabilidad.

Unbound proporcionará la información razonable que el Cliente necesite para evaluar el impacto del tratamiento en la protección de datos, consultar a una autoridad o demostrar su propio cumplimiento, y mantendrá un registro de las actividades de tratamiento que realiza por cuenta de sus clientes.

Al terminar la suscripción se aplica el calendario de los Términos: el workspace sigue abierto 14 días más sin borrar nada, luego se suspende y los datos se conservan durante el plazo de conservación posterior a la suspensión. En ese tiempo el Cliente puede exportar sus datos o pedir a Unbound una exportación completa en un formato estructurado y de uso común.

Vencido ese plazo, o antes si el Cliente lo pide por escrito, Unbound suprimirá los Datos Personales del Cliente de sus sistemas activos dentro de los 30 días siguientes, y de las copias de seguridad cuando estas se reemplacen en su ciclo normal de rotación. Mientras existan en una copia de seguridad, los datos quedan protegidos por este Acuerdo y no se tratan para ningún otro fin. Unbound puede conservar lo que la ley le obligue a guardar, con el mismo nivel de protección. A solicitud, Unbound certificará la supresión.

Unbound pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo, en primer lugar respondiendo por escrito cuestionarios razonables de seguridad y privacidad. Si eso no basta, o si una autoridad lo exige, el Cliente puede realizar o encargar una auditoría, con un aviso de al menos 30 días, no más de una vez cada 12 meses salvo después de un incidente, en horario hábil, sin acceso a datos de otros clientes, a su cargo y por medio de un auditor sujeto a confidencialidad. Unbound no cuenta hoy con certificaciones de seguridad de terceros, como SOC 2 o ISO 27001.

La responsabilidad de cada parte bajo este Acuerdo está sujeta a la sección de limitación de responsabilidad de los Términos, salvo cuando la ley aplicable no permita limitarla frente a los titulares o las autoridades. Este Acuerdo rige mientras Unbound trate Datos Personales del Cliente, incluso después de terminados los Términos.

• Aislamiento entre clientes. Cada consulta a la base de datos pasa por un cliente que filtra las lecturas y marca las escrituras con el workspace de la solicitud. Las tablas de negocio llevan el identificador del workspace y un disparador que lo protege. Hay pruebas automáticas de aislamiento entre workspaces.
• Control de acceso a la base de datos. Seguridad a nivel de fila activada en todas las tablas, sin políticas públicas. El navegador nunca consulta la base de datos directamente: toda lectura y escritura pasa por rutas del servidor.
• Autenticación. Inicio de sesión con código o enlace de un solo uso enviado al correo, con contraseña guardada como hash bcrypt, o con Google cuando se active. Sesiones en cookies firmadas, httpOnly y limitadas al dominio de la aplicación. Las sesiones no contienen el código de acceso.
• Permisos. Roles y permisos por persona y por módulo. Los agentes conectados por MCP actúan solo con los permisos de quien los conectó, y el workspace puede exigir revisión humana de sus acciones.
• Cifrado. Tráfico cifrado con HTTPS. Las credenciales de terceros y los tokens de integraciones que la Plataforma guarda se cifran con AES-256-GCM con una clave propia, distinta de las demás. La base de datos y el almacenamiento usan el cifrado en reposo de la infraestructura del proveedor, según su documentación.
• Secretos. Las claves de servicio y de integraciones viven solo en variables de entorno del servidor, nunca en el código ni en los registros.
• Abuso. Límites de solicitudes por dirección IP y por correo en los puntos públicos, y campos trampa contra envíos automatizados.
• Registro. Registro de auditoría de las entradas de soporte, de los cambios de estado de los workspaces y de las acciones de los agentes.
• Copias de seguridad. Copia completa de la base de datos antes de cada cambio de esquema, con simulacro de restauración. Se conservan las 10 más recientes en equipos controlados por Unbound, fuera del repositorio de código y con un rol de base de datos de solo lectura. [SEED: confirmar cifrado en reposo del disco donde se guardan las copias]
• Personas. Acceso a datos de producción limitado a quien lo necesita, con deber de confidencialidad.
• Desarrollo. Cambios de esquema versionados, idempotentes y revisados, con pruebas automáticas antes de cada despliegue.

La lista vigente, con la función y la ubicación de cada subencargado, está en la página de subencargados, que forma parte de este Acuerdo.

• Módulo 2 cuando el Cliente es responsable, y módulo 3 cuando el Cliente es a su vez encargado de un tercero.
• Cláusula 7 (cláusula de adhesión): no se aplica.
• Cláusula 9: autorización general de subencargados, con el aviso de 30 días de este Acuerdo.
• Cláusula 11: no se aplica la opción de organismo independiente de resolución.
• Cláusulas 17 y 18: ley y tribunales de Irlanda. [SEED: confirmar el Estado miembro elegido para las cláusulas tipo]
• Anexo I de las cláusulas: las partes y el anexo 1 de este Acuerdo. Anexo II: el anexo 2. Anexo III: el anexo 3.
• Para el Reino Unido, el Adéndum de transferencias internacionales de la ICO, con las partes y las opciones anteriores.