Acuerdo de tratamiento de datos
En pocas palabras
- Los datos de los clientes del estudio son del estudio. La plataforma los trata sólo para prestarle el servicio y siguiendo sus instrucciones.
- No se usan para otra cosa, no se ceden, no se usan para entrenar inteligencia artificial y nadie de la plataforma entra a verlos sin permiso del estudio.
- Si hay un incidente de seguridad, se le avisa al estudio dentro de las 72 horas.
- Cuando el estudio se va, se lleva sus datos y después se borran.
1. Partes y objeto
Este acuerdo se celebra entre el estudio que usa la plataforma waybe (el «Estudio»), como responsable de los datos personales de sus clientes, y Contabilidad y Gestión S.R.L., CUIT 30-71936496-5 (el «Proveedor»), como encargado del tratamiento, en los términos del artículo 25 de la Ley 25.326 de Protección de los Datos Personales (prestación de servicios informatizados de datos personales) y su reglamentación.
Regula el tratamiento de los datos personales que el Estudio, sus Usuarios y sus clientes cargan en la plataforma o que la plataforma obtiene por cuenta del Estudio (por ejemplo, desde ARCA con las claves que el Estudio autoriza) (los «Datos»). Los términos no definidos acá tienen el significado de los Términos y condiciones.
2. Qué datos y de quiénes
- Titulares: clientes del Estudio (personas humanas y representantes de personas jurídicas), sus empleados, socios, administradores y familiares a cargo, y otras personas que aparecen en su documentación.
- Tipos de datos: identificatorios y de contacto; fiscales (CUIT, inscripciones, declaraciones, liquidaciones, comprobantes); laborales (legajos, remuneraciones, licencias, aportes); patrimoniales y financieros (bienes, cuentas, extractos, inversiones); societarios (estatutos, actas, libros), y los demás que el Estudio decida cargar.
- Datos sensibles: la plataforma no está pensada para tratar datos sensibles. Si la documentación laboral incluye datos de salud (por ejemplo, certificados de licencias) o afiliación sindical, el Estudio los carga sólo en la medida necesaria para la liquidación y bajo su responsabilidad.
3. Obligaciones del Proveedor
El Proveedor se compromete a:
- tratar los Datos sólo para prestar el servicio y según las instrucciones del Estudio, que son las que surgen de los Términos, de la configuración de la plataforma y del uso que hacen sus Usuarios;
- no usar los Datos para fines propios ni distintos del servicio, no cederlos, no venderlos y no usarlos para entrenar modelos de inteligencia artificial;
- no usar los Datos para contactar a los clientes del Estudio ni para ofrecerles servicios;
- mantener la confidencialidad de los Datos y exigirla a todas las personas que trabajan para él, aun después de terminado este acuerdo (artículo 10 de la Ley 25.326);
- aplicar las medidas de seguridad de la cláusula 6 (artículo 9 de la Ley 25.326);
- entrar a los Datos de un Estudio sólo cuando el Estudio lo habilita desde la plataforma para recibir soporte, o cuando sea necesario para la seguridad del servicio o lo exija una autoridad competente; cada acceso queda registrado;
- ayudar al Estudio, en lo que esté a su alcance, a responder los pedidos de acceso, rectificación y supresión de los titulares, y reenviarle sin demora los pedidos que le lleguen directamente;
- avisar al Estudio si considera que una instrucción suya es contraria a la ley.
4. Obligaciones del Estudio
- Contar con una base legal para tratar los Datos y cargarlos en la plataforma, incluido, cuando corresponda, el consentimiento o la información a sus clientes y a los empleados de sus clientes.
- Cumplir sus propias obligaciones como responsable, entre ellas la inscripción de sus bases de datos ante la Agencia de Acceso a la Información Pública cuando corresponda.
- Cargar sólo los Datos necesarios, gestionar los accesos de sus Usuarios y dar de baja los que ya no correspondan.
- Usar Claude con cuentas propias, contratadas bajo las condiciones de Anthropic que el Estudio considere adecuadas para los datos de sus clientes.
5. Subencargados
El Estudio autoriza al Proveedor a usar los siguientes subencargados para prestar el servicio:
| Subencargado | Servicio | Ubicación de los datos |
|---|---|---|
| Google LLC – Google Cloud y Firebase | Servidores, bases de datos, almacenamiento de documentos, copias de seguridad e inicio de sesión | Principalmente Brasil (región San Pablo); algunos servicios, como el inicio de sesión, en Estados Unidos |
| Google LLC – Gemini | Lectura de documentos en algunas funciones (por ejemplo, convenios y escalas salariales) | Estados Unidos |
| Resend | Envío de correos de la plataforma | Estados Unidos |
El Proveedor exige a cada subencargado obligaciones de confidencialidad y seguridad equivalentes a las de este acuerdo y responde por su cumplimiento. Si agrega o reemplaza un subencargado, actualiza esta lista y lo avisa en la plataforma con al menos 15 días de anticipación; si el Estudio tiene un motivo razonable para oponerse, puede dar de baja el servicio sin costo.
Anthropic no es subencargado del Proveedor: el Estudio lo contrata directamente para usar Claude, y la información que comparte en esas conversaciones se rige por su relación con Anthropic. Tampoco lo son ARCA, los bancos u otros organismos con los que la plataforma se conecta por instrucción del Estudio.
6. Seguridad
El Proveedor aplica, como mínimo, estas medidas:
- cifrado de los datos en tránsito (HTTPS/TLS) y en reposo, y cifrado adicional de claves fiscales y credenciales;
- aislamiento de los datos de cada estudio con controles a nivel de base de datos, y acceso de cada Usuario limitado a los clientes y apps que el Estudio le asigna;
- doble factor de autenticación obligatorio para entrar a la plataforma;
- bases de datos sin acceso público, con acceso administrativo restringido y registrado;
- copias de seguridad automáticas con posibilidad de recuperación a un momento anterior;
- registro de las acciones relevantes sobre los Datos, incluidas las que hace Claude por los conectores;
- revisiones periódicas de seguridad y de los accesos.
7. Incidentes de seguridad
Si el Proveedor toma conocimiento de un incidente que afecte la confidencialidad, integridad o disponibilidad de los Datos, lo comunica al Estudio sin demora y dentro de las 72 horas, con la información disponible sobre qué pasó, qué datos y titulares pueden estar afectados y qué medidas se tomaron. Colabora con el Estudio para que pueda cumplir sus propias obligaciones de aviso a los titulares y a la autoridad.
8. Transferencias internacionales
El Estudio autoriza que los Datos se alojen y procesen en los países indicados en la cláusula 5. El Proveedor hace esas transferencias con las garantías del artículo 12 de la Ley 25.326 y de la normativa de la AAIP, incluidas cláusulas contractuales con cada subencargado que aseguran un nivel de protección adecuado.
9. Fin del servicio: devolución y supresión
- Durante el servicio y hasta 30 días después de la baja, el Estudio puede descargar sus Datos y documentos desde la plataforma o pedírselos al Proveedor en un formato de uso común.
- Pasado ese plazo, el Proveedor elimina los Datos de las bases activas dentro de los 30 días siguientes. Las copias de seguridad se eliminan a medida que vencen sus ciclos de conservación; mientras tanto siguen protegidas por este acuerdo y no se usan.
- El Proveedor sólo conserva lo que una ley le obligue a guardar, y lo hace con las medidas de seguridad de este acuerdo y únicamente para ese fin (artículo 25, inciso 2, de la Ley 25.326).
10. Constancias y auditoría
A pedido del Estudio, y no más de una vez por año salvo que haya un incidente, el Proveedor le informa por escrito las medidas de seguridad vigentes, los subencargados y los accesos de soporte a sus Datos, y responde los cuestionarios razonables de seguridad que el Estudio necesite para sus propias obligaciones.
11. Vigencia
Este acuerdo rige mientras el Proveedor trate Datos por cuenta del Estudio. Las obligaciones de confidencialidad y supresión siguen vigentes después de terminado el servicio. En lo no previsto se aplican los Términos y condiciones, incluidas la ley aplicable y la jurisdicción.