Data Processing Agreement

1. Partes y términos

El DPA se celebra entre el Customer (responsable del tratamiento) y Unimoni (encargado del tratamiento). Se aplica como complemento de los Términos de servicio.

2. Objeto

Unimoni trata los datos personales que el Customer transmite a través del Servicio, únicamente para prestar el Servicio conforme a las instrucciones documentadas del Customer.

3. Categorías de datos

• Identificadores (email, nombre) — de los miembros de la organización del Customer
• Métricas y metadatos de infraestructura — el contenido lo determina el Customer
• Registros de acciones del audit log

4. Interesados

• Empleados del Customer (que usan el cabinet)
• End users del Customer (si sus identificadores aparecen en las métricas — la configuración de la cardinality es del lado del Customer)

5. Medidas de seguridad

• Encryption in transit (TLS 1.2+) y at rest (AES-256-GCM)
• Principio de mínimo privilegio
• Auditorías de acceso periódicas
• 2FA obligatorio para los empleados
• Registro de todas las acciones administrativas
• Disaster recovery testing una vez por trimestre

6. Subprocessors

Lista de subprocessors actuales:

AWS — Hosting de infraestructura — EU / US (a elección)

Stripe — Procesamiento de pagos — US, EU

SES — Transactional email — EU / US

Cloudflare — CDN + protección DDoS — Global

Postmark — Backup transactional email — US

Los cambios en la lista de subprocessors se notifican con 30 días de antelación. El Customer puede oponerse.

7. Notificación de breach

En caso de detectar una violación de la seguridad de los datos, se notifica al Customer sin demora injustificada (a más tardar 72 horas desde la detección), con una descripción de:

• La naturaleza y el alcance
• Los interesados afectados y las categorías de datos
• Las medidas adoptadas y previstas

8. Supresión y devolución

Al terminar la suscripción, el Customer puede solicitar una exportación de todos los datos en un plazo de 30 días. Después, los datos se eliminan de forma irreversible (incluidos los backups) en un plazo de 90 días.

9. Auditoría

El Customer puede solicitar una auditoría de cumplimiento del DPA una vez al año. La auditoría se realiza sobre la base de los informes proporcionados por Unimoni (SOC2, pen-test summaries) o, por acuerdo, mediante una inspección on-site (a cargo del Customer).

10. Firma

Para los planes Business y Enterprise, el DPA se firma por separado. Solicita una copia contrafirmada en [email protected].