Acuerdo de tratamiento de datos

1. Partes, alcance y prioridad

Este acuerdo complementa los Términos del servicio entre Startit Services LLC («Proveedor») y el titular de la cuenta («Cliente»). Se aplica a datos personales introducidos o recogidos en la cuenta para gestionar la actividad del Cliente. El Cliente actúa como responsable o negocio y el Proveedor como encargado, proveedor de servicios o contratista, según la ley aplicable. Los datos que Startit necesita para su propia facturación, seguridad y relación contractual se rigen por la Política de privacidad.

En caso de conflicto sobre este tratamiento por cuenta del Cliente, prevalece este acuerdo. No crea una relación entre Startit y el brokerage del Cliente ni convierte a Startit en responsable de los fines comerciales que decida el Cliente.

2. Descripción del tratamiento

3. Instrucciones y obligaciones del Cliente

Las instrucciones documentadas son el contrato, la configuración, las acciones legítimas del Cliente y las propuestas expresamente aprobadas. El Cliente garantiza que tiene una base válida para facilitar los datos y ordenar el tratamiento, que ofrece los avisos exigidos y que mantiene los datos y permisos actualizados. No ordenará actuaciones ilegales ni utilizará la plataforma para evitar derechos de personas.

El Proveedor trata los datos exclusivamente para prestar el servicio y conforme a esas instrucciones, salvo obligación legal; en ese caso avisará cuando la ley lo permita. Informará si considera que una instrucción infringe la normativa aplicable y podrá suspender su ejecución mientras se aclara.

4. Limitaciones y confidencialidad

El Proveedor no vende ni comparte estos datos para publicidad conductual entre sitios, no los utiliza para fines comerciales ajenos al servicio y no los combina con información de otras fuentes para perfilar consumidores fuera de lo permitido por el contrato y la ley. No utiliza el CRM para entrenar modelos propios de IA.

El acceso se limita a personas autorizadas sujetas a deberes de confidencialidad. El Proveedor notificará si determina que ya no puede cumplir sus obligaciones y permitirá al Cliente adoptar medidas razonables para detener y corregir un uso no autorizado. Estas restricciones incluyen las obligaciones aplicables a proveedores de servicios o contratistas bajo las leyes estatales de privacidad.

5. Medidas técnicas y organizativas

Las medidas incluyen separación por cuenta en consultas y operaciones, autenticación, comprobación de plan y permisos, control de sesiones, validación de entradas, protección CSRF, límites contra abuso, registro de acciones sensibles, configuración privada de secretos y respaldo. El servicio público utiliza cifrado de transporte y los documentos privados requieren acceso autorizado.

La revisión de seguridad contempla cambios en el producto y riesgos razonables. Estas medidas pueden evolucionar sin reducir sustancialmente el nivel global de protección. El Cliente mantiene la seguridad de sus dispositivos, credenciales, integraciones y decisiones de compartir. Ninguna medida elimina todos los riesgos.

6. Proveedores y conexiones elegidas

El Cliente autoriza el uso de los proveedores necesarios identificados en el registro de proveedores, sujetos a obligaciones de protección apropiadas. Startit informará de incorporaciones materiales con antelación razonable, normalmente al menos 15 días cuando sea posible, para permitir una objeción fundada en protección de datos. Si no puede resolverse, las partes podrán acordar una alternativa o terminar la función afectada.

Los clientes de IA, registradores u otros servicios conectados directamente por el Cliente pueden ser proveedores propios del Cliente. Su autorización no permite a Startit ampliar el tratamiento. El Cliente debe revisar sus condiciones y la licitud de las transferencias que ordena.

7. Derechos, incidentes y cooperación

Startit ayudará de forma razonable, teniendo en cuenta la naturaleza del tratamiento, a atender solicitudes de acceso, corrección, portabilidad, eliminación, oposición o limitación. Si recibe una solicitud relativa a los datos del Cliente, la remitirá o coordinará con él salvo prohibición legal. No resolverá por su cuenta decisiones que correspondan al responsable.

Al confirmar una violación de seguridad que afecte datos personales del Cliente, Startit lo notificará sin dilación indebida con la información disponible y facilitará actualizaciones pertinentes: naturaleza, categorías afectadas cuando se conozcan, consecuencias probables, medidas y contacto. La notificación inicial no requiere esperar a una investigación completa ni constituye reconocimiento de culpa. El Cliente decide y cumple las notificaciones que le correspondan ante personas o autoridades, con asistencia razonable del Proveedor.

Startit cooperará con evaluaciones de impacto y consultas regulatorias relacionadas con el servicio cuando sean legalmente necesarias, en proporción a la información que controle.

8. Información y revisión

Previa solicitud razonable, Startit facilitará información necesaria para demostrar el cumplimiento de este acuerdo. Las revisiones se realizarán con confidencialidad, aviso suficiente, alcance relacionado con el servicio y sin acceder a secretos ni datos de otras cuentas. Cuando sea necesario y la documentación no sea suficiente, las partes acordarán una revisión proporcionada. Una cláusula de auditoría no autoriza pruebas de intrusión sin coordinación.

9. Ubicación, transferencias y finalización

El servicio se dirige inicialmente a profesionales de Estados Unidos. Si el Cliente pretende transferir datos sujetos a mecanismos internacionales obligatorios, deberá comunicarlo antes de hacerlo para establecer las salvaguardas necesarias. Este documento no sustituye cláusulas contractuales tipo, anexos territoriales ni acuerdos exigidos por ley; no afirma una certificación en un marco de transferencias.

Al terminar el servicio, el Proveedor devolverá o eliminará los datos según la instrucción válida del Cliente y las capacidades de exportación, salvo conservación exigida por ley. Acordará el período de cierre y notificará excepciones de conservación. Las copias de respaldo quedarán restringidas y se eliminarán según su rotación. Las obligaciones de confidencialidad y protección sobreviven mientras se conserven datos.

Prueba de instrucciones y conservación limitada

Las versiones contractuales, aceptaciones y justificantes de publicación documentan instrucciones y obligaciones. Los datos estrictamente necesarios para la relación contractual propia, seguridad y defensa de reclamaciones de Startit se rigen por la Política de privacidad y no se reutilizan para fines incompatibles. La terminación no exige destruir pruebas cuya conservación sea obligatoria o necesaria y proporcionada; se restringe su acceso y se atienden los derechos aplicables. Las copias de contenido del Cliente conservadas por instrucción de este mantienen las protecciones de este acuerdo.