Acuerdo de Tratamiento de Datos

1. Partes y objeto

1.1. Este Acuerdo de Tratamiento de Datos (el "Acuerdo") se celebra entre el Cliente que contrata corpio (el "Cliente" o el "Responsable") y Gonzalo Vazquez, DNI 37.733.726, CUIT 20-37733726-4, con domicilio en Recta Martinolli 7500, Ciudad de Córdoba, Provincia de Córdoba, Argentina ("Corpio" o el "Encargado").

1.2. Regula el tratamiento de datos personales que Corpio realiza por cuenta del Cliente al prestar el Servicio, conforme el artículo 25 de la Ley N.° 25.326 de Protección de los Datos Personales, su Decreto Reglamentario N.° 1558/2001 y la normativa de la Agencia de Acceso a la Información Pública (AAIP).

1.3. Los términos con mayúscula no definidos aquí tienen el significado de los Términos y Condiciones. Ante contradicción en materia de datos personales, prevalece este Acuerdo.

2. Roles

2.1. El Cliente es el responsable de los datos personales que él y sus Usuarios cargan en el Servicio y decide sobre la finalidad y los medios esenciales de su tratamiento.

2.2. Corpio es encargado del tratamiento: trata esos datos sólo para prestar el Servicio y conforme a las instrucciones documentadas del Cliente. Estos Términos, la configuración que el Cliente realiza en la Consola (roles, permisos, políticas, Conexiones de IA) y los pedidos escritos del Cliente constituyen sus instrucciones.

2.3. Corpio actúa como responsable, y no como encargado, respecto de los datos que trata para gestionar la relación comercial, la facturación y los cobros, la seguridad y prevención de abuso, el soporte y el Sitio, conforme la Política de Privacidad.

3. Descripción del tratamiento

4. Obligaciones del Encargado

Corpio se obliga a:

1. tratar los datos sólo para la finalidad descripta y conforme a las instrucciones del Cliente, sin aplicarlos ni utilizarlos con un fin distinto ni cederlos a terceros, ni siquiera para su conservación, salvo los subencargados de la cláusula 6 o una obligación legal (art. 25 Ley N.° 25.326);
2. no usar los Datos del Cliente para entrenar modelos de inteligencia artificial propios ni de terceros, ni para publicidad;
3. informar al Cliente si considera que una instrucción infringe la normativa de protección de datos;
4. garantizar que las personas autorizadas a tratar los datos estén obligadas al deber de confidencialidad (art. 10 Ley N.° 25.326) y accedan sólo en la medida necesaria;
5. aplicar las medidas de seguridad de la cláusula 5;
6. asistir al Cliente, en la medida razonable y con la información disponible, para responder pedidos de los titulares y cumplir sus obligaciones ante la AAIP;
7. notificar los incidentes de seguridad conforme la cláusula 8;
8. poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo, conforme la cláusula 9.

5. Medidas de seguridad

5.1. Corpio aplica medidas técnicas y organizativas adecuadas al riesgo, en línea con el artículo 9 de la Ley N.° 25.326 y la Resolución AAIP N.° 47/2018 (medidas de seguridad recomendadas), que incluyen:

• Cifrado en tránsito: las comunicaciones con la Consola, la App (corpio Mobile), la API y las Conexiones de IA se realizan mediante HTTPS/TLS; el almacenamiento de comprobantes rechaza conexiones no cifradas.
• Cifrado en reposo: los comprobantes se guardan en un almacenamiento privado (Amazon S3) con cifrado del lado del servidor y acceso público bloqueado; la base de datos y las copias de seguridad residen en volúmenes y almacenamientos cifrados.
• Aislamiento entre clientes: cada registro está asociado a su Cliente y la base de datos aplica políticas de seguridad a nivel de fila (row-level security) que impiden que un Cliente acceda a datos de otro; las claves de los archivos se generan en el servidor bajo el espacio de cada Cliente y nunca se toman de lo que envía el usuario.
• Control de acceso y mínimo privilegio: roles y permisos por Usuario dentro de cada Cliente; las aplicaciones de la plataforma usan credenciales de base de datos sin privilegios de administración; los clientes web y móviles nunca reciben credenciales de la infraestructura.
• Autenticación: gestión de identidades de la Consola mediante Amazon Cognito (contraseñas de al menos 12 caracteres con complejidad, revocación de sesiones) y verificación contra bots; en la App, contraseñas almacenadas con hash Argon2id y sesiones que vencen a las 24 horas.
• Registro de auditoría: las acciones relevantes (por ejemplo, aprobaciones y cambios de permisos) quedan registradas.
• Copias de seguridad: copias diarias de la base de datos y de los servidores, cifradas, con conservación de aproximadamente 15 días.
• Gestión de secretos: las claves y contraseñas de servicio se guardan en almacenes de parámetros cifrados y no en el código.

5.2. Corpio puede actualizar estas medidas siempre que no disminuya el nivel de protección.

6. Subencargados

6.1. El Cliente autoriza de forma general a Corpio a contratar los siguientes subencargados para prestar el Servicio:

6.2. Proveedores elegidos por el Cliente. Si el Cliente habilita las Conexiones de IA y un Usuario conecta un asistente (por ejemplo, Claude, de Anthropic, PBC, u OpenAI, de OpenAI, L.L.C.), los datos que el asistente consulta se envían a ese proveedor por decisión del Cliente. Ese proveedor no es subencargado de Corpio: el Cliente o el Usuario lo contratan directamente y se rige por sus propios términos.

6.3. Corpio impone a sus subencargados obligaciones de protección de datos no menos exigentes que las de este Acuerdo, en la medida en que lo permitan las condiciones estándar de esos proveedores, y responde frente al Cliente por su cumplimiento conforme la ley.

6.4. Corpio informará al Cliente, con al menos 30 (treinta) días de anticipación y por correo electrónico o aviso en la Consola, la incorporación o sustitución de subencargados. El Cliente podrá oponerse por motivos razonables; si no se encuentra una solución, podrá dar de baja el plan y obtener la devolución proporcional del período pago no utilizado.

7. Transferencia internacional

7.1. El Cliente toma conocimiento de que los datos se alojan y tratan en los Estados Unidos de América, país que la AAIP no considera con nivel de protección adecuado (Disposición DNPDP N.° 60/2016 y sus actualizaciones).

7.2. La transferencia se realiza conforme el artículo 12 de la Ley N.° 25.326 y el artículo 12 del Decreto N.° 1558/2001, exigiendo a los subencargados medidas de seguridad y confidencialidad. El Cliente puede pedir más información a hola@corpio.ar.

7.3. El Cliente se obliga a informar a sus Usuarios y empleados de esta transferencia y, si correspondiera, a obtener su consentimiento.

8. Incidentes de seguridad

8.1. Corpio notificará al Cliente, sin demora indebida desde que tome conocimiento, todo incidente de seguridad que afecte Datos del Cliente, por correo electrónico a los administradores registrados.

8.2. La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información podrá entregarse en etapas.

8.3. Corpio colaborará con el Cliente para que este cumpla, en su caso, sus deberes de notificación a la AAIP y a los titulares, incluidos los derivados del Convenio 108 modernizado (Ley N.° 27.699).

9. Información y auditoría

9.1. Corpio pondrá a disposición del Cliente, a su pedido y con una frecuencia razonable (no más de una vez por año, salvo incidente o requerimiento de autoridad), la información necesaria para demostrar el cumplimiento de este Acuerdo, por ejemplo mediante cuestionarios y documentación de seguridad.

9.2. Las auditorías presenciales o técnicas requerirán acuerdo previo sobre alcance, fecha, confidencialidad y costos, y no podrán comprometer la seguridad ni los datos de otros Clientes.

10. Devolución y eliminación

10.1. Mientras su cuenta esté activa, el Cliente puede exportar sus gastos desde la Consola en formatos Excel o CSV. Si la cuenta está bloqueada, Corpio entregará una copia a pedido del Cliente.

10.2. Al terminar el Servicio, y a pedido del Cliente o vencido el plazo de conservación previsto en los Términos, Corpio eliminará los Datos del Cliente dentro de los plazos de la Ley N.° 25.326, salvo que la ley exija conservarlos (art. 25 inc. 2 Ley N.° 25.326). Los datos subsistentes en copias de seguridad se eliminarán por rotación automática en aproximadamente 15 días. A pedido del Cliente, Corpio confirmará la eliminación por escrito.

11. Derechos de los titulares

11.1. Si Corpio recibe directamente un pedido de acceso, rectificación, actualización o supresión de un titular cuyos datos trata por cuenta del Cliente, lo derivará al Cliente sin demora y no responderá por sí, salvo instrucción del Cliente.

11.2. Dado que los plazos legales son breves (10 días corridos para el acceso y 5 días hábiles para la rectificación, actualización o supresión, arts. 14 y 16 Ley N.° 25.326), Corpio asistirá al Cliente con la diligencia necesaria para cumplirlos. Muchos de estos pedidos pueden resolverse directamente desde la Consola (por ejemplo, editar o desactivar un Usuario o un empleado).

12. Responsabilidad y vigencia

12.1. Cada parte responde por el incumplimiento de sus obligaciones bajo este Acuerdo y la normativa aplicable. Se aplican las limitaciones de responsabilidad de los Términos en la medida permitida por la ley.

12.2. Este Acuerdo rige mientras Corpio trate Datos del Cliente y subsiste respecto de las obligaciones de confidencialidad y eliminación.

13. Firma

Este Acuerdo se acepta electrónicamente junto con los Términos. A pedido del Cliente, las partes pueden suscribir un ejemplar.