1. Objeto y roles

Este anexo integra el contrato entre la organización cliente, como responsable de los datos que incorpora a CAMPO 360, y AROHADEVELOPERS, como encargado o proveedor de tratamiento. Para los datos propios de cuenta, seguridad, soporte y facturación, cada parte puede actuar como responsable independiente según la política de privacidad.

2. Instrucciones y alcance

El encargado tratará datos únicamente para prestar, proteger, mantener, respaldar y soportar los módulos contratados, durante la vigencia y por los plazos de devolución, bloqueo o eliminación acordados. Las categorías y personas involucradas se describen en la política de privacidad y en la configuración del Cliente.

El Cliente garantiza que sus instrucciones son lícitas, que informa a los titulares y que cuenta con bases legales suficientes. Si una instrucción parece contraria a la ley o incrementa materialmente el riesgo, el encargado lo advertirá y podrá suspender esa operación hasta aclararla.

3. Deberes del encargado

• Limitar el acceso al personal y proveedores que necesiten intervenir y estén sujetos a confidencialidad.
• Aplicar medidas técnicas y organizativas proporcionales al riesgo y revisarlas periódicamente.
• Ayudar razonablemente al Cliente con solicitudes de titulares, evaluaciones de impacto, auditorías e incidentes.
• Informar al Cliente sin demora indebida sobre incidentes confirmados que afecten sus datos, con la información disponible.
• No vender los datos ni utilizarlos para publicidad conductual propia.
• Devolver, exportar, bloquear, anonimizar o eliminar los datos al terminar, salvo obligación legal de conservación.

4. Subencargados y transferencias

El Cliente autoriza de manera general a los siguientes subencargados, limitados a los servicios descritos:

• Servicio de alojamiento

Proveedor de alojamiento: HOSTINGER. Lugares declarados de procesamiento: CHIPRE.

Se informarán cambios materiales para que el Cliente pueda plantear objeciones fundadas en protección de datos. Cada subencargado deberá asumir obligaciones equivalentes de confidencialidad, seguridad, cooperación y eliminación.

5. Seguridad e incidentes

Las medidas incluyen, según el riesgo y servicio: control de acceso, privilegio mínimo, protección de sesiones, cifrado en tránsito, gestión de vulnerabilidades y actualizaciones, copias de respaldo, registro de eventos, segregación lógica, minimización, continuidad y procedimientos de respuesta a incidentes.

El Cliente conserva la responsabilidad sobre la configuración de usuarios, legitimidad de los datos, dispositivos bajo su control y revisión de exportaciones. Las partes conservarán evidencia suficiente y coordinarán comunicaciones a titulares o autoridades cuando correspondan.

6. Solicitudes, auditoría y eliminación

El encargado remitirá al Cliente las solicitudes relacionadas con datos bajo control de este último y no responderá en su nombre salvo instrucción o deber legal. A pedido razonable, proporcionará información sobre controles y proveedores. Las auditorías presenciales requerirán acuerdo previo, confidencialidad y medidas para no comprometer a otros clientes.

Al finalizar el servicio, el Cliente podrá solicitar una exportación dentro del plazo contractual. Luego se aplicará la conservación configurada: Durante la relación contractual y hasta 5 años después de su finalización, salvo un plazo legal distinto.. Los registros mínimos de seguridad, contrato y auditoría podrán mantenerse por 5 años desde el registro o cierre de la relación, salvo obligación legal distinta. o el plazo legal aplicable, con acceso restringido.

7. Prevalencia y firma

Este anexo debe incorporarse o firmarse junto con el contrato comercial. La publicación web facilita transparencia, pero no sustituye la identificación del Cliente, la descripción específica de servicios, los contactos de seguridad, la fecha y la aceptación formal cuando sean necesarias.