Acuerdo de tratamiento de datos
Anexo contractual entre la empresa cliente, como responsable, e Inventra Personas, como encargado.
Objeto e instrucciones
Inventra tratará los datos personales únicamente para prestar, asegurar, respaldar y soportar el servicio conforme a las instrucciones documentadas del cliente y la legislación aplicable. Informará si considera que una instrucción infringe obligaciones de protección de datos.
Personas y categorías
Pueden incluir empleados, candidatos, excolaboradores, proveedores, clientes y usuarios; datos de identificación, contacto, laborales, financieros, patrimoniales, ubicación contextual, desempeño, capacitación, seguridad, evidencias y, sólo cuando sea necesario, datos sensibles.
Confidencialidad y acceso
El acceso se limitará a personal autorizado sujeto a deber de confidencialidad aun después de terminar su relación. Se aplicarán privilegios mínimos, separación por organización y trazabilidad de acciones sensibles.
Seguridad
Inventra mantendrá medidas proporcionales al riesgo, incluyendo HTTPS, contraseñas robustas, doble factor disponible, control de roles, archivos privados, registros de auditoría, actualización de componentes, respaldos cifrados o protegidos y pruebas periódicas de restauración.
Subencargados
Inventra podrá utilizar proveedores de infraestructura, correo, monitoreo o soporte bajo obligaciones equivalentes. Mantendrá una relación actualizada y notificará cambios materiales para permitir al cliente plantear objeciones justificadas.
Incidentes
Inventra notificará al cliente sin demora indebida después de confirmar un incidente que comprometa datos del cliente, indicando naturaleza, información afectada, medidas tomadas y recomendaciones disponibles. El cliente decide las comunicaciones a titulares y autoridades salvo obligación directa de Inventra.
Derechos de titulares
Inventra asistirá razonablemente al cliente para localizar, exportar, rectificar, bloquear o eliminar información necesaria para atender solicitudes. No responderá por cuenta del cliente salvo instrucción o deber legal.
Retención, devolución y eliminación
Durante el servicio se conservarán datos conforme a la política acordada. Al terminar, se permitirá exportación y después se eliminarán o devolverán los datos y copias, salvo conservación legal obligatoria; lo retenido quedará bloqueado y protegido.
Transferencias internacionales
La región de alojamiento y cualquier transferencia internacional se documentarán antes de producción. Inventra no cambiará la ubicación material del tratamiento sin informar al cliente y establecer salvaguardas contractuales y legales.
Auditoría y evidencia
Inventra proporcionará información razonable para demostrar cumplimiento y atenderá auditorías acordadas, protegiendo secretos, seguridad y datos de otros clientes. Hallazgos se corregirán mediante un plan proporcional al riesgo.
Responsabilidad del cliente
El cliente define finalidades, bases jurídicas, avisos, plazos, roles y exactitud de los datos; evita cargas excesivas o ilícitas; atiende derechos; configura accesos y comunica bajas. Debe informar a Inventra requisitos sectoriales antes de cargar datos regulados.