Acuerdo de Tratamiento de Datos

1. Definiciones

"Ley de Protección de Datos Aplicable" significa todas las leyes aplicables al tratamiento de Datos Personales bajo este DPA, incluidos, según corresponda, el Reglamento General de Protección de Datos de la UE 2016/679 ("RGPD"), el RGPD del Reino Unido, la Ley de Privacidad del Consumidor de California y sus modificaciones ("CCPA"), y la Ley chilena N.º 19.628 modificada por la Ley N.º 21.719. "Datos Personales", "tratamiento", "titular de los datos", "responsable", "encargado", "empresa" y "proveedor de servicios" tienen el significado que les da la Ley de Protección de Datos Aplicable. "Datos Personales del Cliente" significa los Datos Personales contenidos en el Contenido del Cliente tratados por Snapflow por cuenta del Cliente. "Subencargado" significa un tercero contratado por Snapflow para tratar Datos Personales del Cliente. "CCT" significa las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.

2. Roles y alcance

El Cliente es el responsable (o un encargado que actúa por cuenta de otro responsable) y Snapflow es el encargado del tratamiento de los Datos Personales del Cliente. Cada parte cumplirá sus obligaciones bajo la Ley de Protección de Datos Aplicable. El detalle del tratamiento se establece en el Anexo A. Cuando se aplique la CCPA, Snapflow actúa como "proveedor de servicios", no venderá ni compartirá los Datos Personales del Cliente, y no los conservará, utilizará ni revelará para ningún fin distinto de prestar el Servicio o de lo permitido por la CCPA.

3. Instrucciones del Cliente

Snapflow tratará los Datos Personales del Cliente solo conforme a las instrucciones documentadas del Cliente, incluidas las establecidas en el Acuerdo, en este DPA y en la configuración y el uso del Servicio por parte del Cliente, salvo que la ley exija otra cosa (en cuyo caso Snapflow informará al Cliente, salvo prohibición legal). Snapflow informará al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos Aplicable. El Cliente es responsable de la licitud de los Datos Personales que envía y de entregar los avisos y obtener los consentimientos que se requieran.

4. Confidencialidad y personal

Snapflow asegura que las personas autorizadas a tratar Datos Personales del Cliente estén sujetas a obligaciones de confidencialidad y accedan a los Datos Personales del Cliente solo en la medida necesaria para prestar el Servicio.

5. Seguridad

Snapflow implementará y mantendrá medidas técnicas y organizativas adecuadas para proteger los Datos Personales del Cliente frente a la destrucción accidental o ilícita, la pérdida, la alteración, la revelación o el acceso no autorizados, según se describe en el Anexo B. Snapflow puede actualizar estas medidas siempre que el nivel general de protección no se reduzca de forma material.

6. Subencargados

El Cliente otorga autorización general para que Snapflow contrate a los Subencargados listados en el Anexo C. Snapflow impondrá a los Subencargados obligaciones de protección de datos no menos protectoras que las de este DPA y responde por su desempeño. Snapflow dará al Cliente al menos 30 días de aviso previo de cualquier nuevo Subencargado (actualizando su lista de subencargados y entregando un mecanismo de notificación); el Cliente puede oponerse por motivos razonables de protección de datos, en cuyo caso las partes trabajarán de buena fe para resolver la objeción y, si no puede resolverse, el Cliente puede terminar la parte afectada del Servicio y recibir un reembolso prorrateado de las tarifas pagadas y no utilizadas. Los proveedores externos de IA o de nube cuyas credenciales el Cliente conecta al Servicio ("claves propias") son contratados directamente por el Cliente, actúan bajo los acuerdos propios del Cliente con ellos, y no son Subencargados de Snapflow.

7. Solicitudes de titulares de datos

Considerando la naturaleza del tratamiento, Snapflow asistirá al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, en el cumplimiento de la obligación del Cliente de responder a las solicitudes de titulares de datos (acceso, rectificación, supresión, limitación, portabilidad, oposición). Si un titular de datos contacta directamente a Snapflow respecto de Datos Personales del Cliente, Snapflow redirigirá la solicitud al Cliente con prontitud y no responderá salvo que la ley lo exija.

8. Violación de datos personales

Snapflow notificará al Cliente sin dilación indebida y, en todo caso, dentro de 72 horas desde que tome conocimiento de una violación de Datos Personales que afecte a los Datos Personales del Cliente, y entregará la información razonablemente disponible para asistir al Cliente en el cumplimiento de sus obligaciones de notificación, seguida de actualizaciones oportunas conforme avance la investigación.

9. Asistencia

Considerando la naturaleza del tratamiento y la información disponible para ella, Snapflow prestará asistencia razonable al Cliente en las evaluaciones de impacto en protección de datos y en las consultas previas a las autoridades de control, cuando la Ley de Protección de Datos Aplicable las exija al Cliente.

10. Transferencias internacionales

Snapflow trata los Datos Personales del Cliente principalmente en los Estados Unidos. Cuando Datos Personales del Cliente protegidos por el RGPD, el RGPD del Reino Unido o la ley suiza se transfieran a Snapflow en un país sin decisión de adecuación, las partes incorporan las CCT (Módulo Dos: responsable a encargado) a este DPA por referencia, con el Cliente como exportador de datos y Snapflow como importador de datos; se aplica la cláusula facultativa de adhesión; se aplica la opción 2 de la Cláusula 9(a) con el plazo de aviso de la Sección 6; la ley aplicable y el foro son los de Irlanda; los Anexos A a C sirven como anexos de las CCT; y, para transferencias desde el Reino Unido, se aplica el Anexo de Transferencia Internacional de Datos del Reino Unido. Para transferencias desde Chile u otras jurisdicciones con requisitos de transferencia, las partes se apoyan en las garantías de este DPA y en las CCT mutatis mutandis, en la medida en que sean reconocidas.

11. Auditorías

Snapflow pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA, incluidas respuestas a cuestionarios de seguridad razonables y las certificaciones de sus proveedores de infraestructura. Si esa información no basta para demostrarlo, Snapflow permitirá y contribuirá a auditorías realizadas por el Cliente o su auditor independiente, a costo del Cliente, no más de una vez al año (salvo después de una violación de Datos Personales), con al menos 30 días de aviso, en horario hábil, sujeto a confidencialidad y sin interrupción irrazonable de las operaciones de Snapflow.

12. Devolución y eliminación

Al terminar el Acuerdo, Snapflow, a elección del Cliente, pondrá los Datos Personales del Cliente a disposición para su exportación durante 30 días y luego los eliminará, salvo que la ley exija su conservación, en cuyo caso Snapflow los protegerá y los tratará solo según lo exija la ley. La eliminación de los respaldos ocurre en el curso ordinario de la rotación de respaldos.

13. Responsabilidad y prelación

La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones y exclusiones de responsabilidad del Acuerdo. En caso de conflicto entre este DPA y el Acuerdo respecto del tratamiento de Datos Personales del Cliente, prevalece este DPA; en caso de conflicto entre este DPA y las CCT, prevalecen las CCT.

Anexo A: Detalle del tratamiento

• Objeto y duración: tratamiento de Datos Personales del Cliente para prestar el Servicio, por la vigencia del Acuerdo más el período de exportación y eliminación.
• Naturaleza y finalidad: alojamiento, almacenamiento, transmisión, visualización, compilación y generación asistida por IA sobre el Contenido del Cliente, para prestar la plataforma de design systems y el soporte relacionado.
• Categorías de titulares de datos: usuarios autorizados del Cliente; personal y contratistas del Cliente; personas cuyos datos aparezcan en el Contenido del Cliente.
• Categorías de Datos Personales: nombres, datos de contacto profesional, identificadores de cuenta y datos de uso de los usuarios autorizados; cualquier Dato Personal que el Cliente decida incluir en el Contenido del Cliente. No se contempla tratar categorías especiales de datos, y el Cliente se obliga a no enviarlas.
• Frecuencia: continua, según el uso que el Cliente haga del Servicio.

Anexo B: Medidas técnicas y organizativas

• Cifrado de los datos en tránsito (TLS) y en reposo.
• Controles de acceso basados en mínimo privilegio; permisos por rol; autenticación multifactor para el acceso administrativo.
• Registro y monitoreo de los sistemas de producción; alertas ante actividad anómala.
• Respaldos periódicos gestionados por nuestros proveedores de infraestructura, con rotación y eliminación segura.
• Gestión de vulnerabilidades, actualización de dependencias y prácticas de desarrollo seguro, incluida la revisión de código.
• Compromisos de confidencialidad del personal y concientización en seguridad.
• Alojamiento en centros de datos en la nube gestionados profesionalmente (Amazon Web Services), con controles de seguridad física certificados bajo marcos reconocidos.
• Procedimientos de respuesta a incidentes que cubren identificación, contención, remediación y notificación.

Anexo C: Subencargados

• Amazon Web Services, Inc.: cómputo y almacenamiento de la plataforma: Estados Unidos.
• Cloudflare, Inc.: red, DNS, entrega y protección de la plataforma: Estados Unidos (red global).
• Google LLC (Google Workspace): correo electrónico de soporte y comunicaciones con el Cliente: Estados Unidos.
• Stripe, Inc.: procesamiento de pagos (solo datos de facturación), cuando se habiliten los planes pagos: Estados Unidos.