1. Alcance y prevalencia
Este Anexo de Procesamiento de Datos ("DPA") forma parte del acuerdo entre Carras Studio LLC y el cliente empresarial que utiliza PaySentra, en la medida en que procesemos datos personales en su nombre como encargado o proveedor de servicios. En caso de conflicto entre este DPA y el acuerdo principal, este DPA prevalece en lo relativo al tratamiento de datos personales.
2. Roles de las partes
El cliente empresarial actúa como responsable del tratamiento respecto a los datos enviados al Servicio. Carras Studio LLC actúa como encargado del tratamiento únicamente para prestar el Servicio, salvo en los casos en que actuemos como responsable independiente para datos de cuenta, facturación, analítica, seguridad, prevención de fraude y cumplimiento legal.
El cliente controla qué datos se envían al sistema y es el único responsable de su legalidad.
3. Objeto y duración
El tratamiento se realiza para la prestación del Servicio, incluyendo gestión de roles, registros operativos, visibilidad de transacciones, soporte, mantenimiento, seguridad y operaciones relacionadas. El tratamiento se mantendrá durante el uso del Servicio y por el tiempo adicional necesario para copias de seguridad, cumplimiento legal, resolución de disputas y eliminación conforme a políticas internas.
4. Naturaleza y finalidad del tratamiento
Procesamos datos para alojar, almacenar, organizar, recuperar, mostrar, transmitir, proteger y operar el Servicio en nombre del cliente. Esto incluye recopilación, registro, estructuración, consulta, uso, transmisión, limitación, eliminación o destrucción de datos.
5. Tipos de datos y categorías de interesados
Los datos pueden incluir nombres, información de contacto, metadatos de transacciones, información de links de pago, datos de cuentas, roles y comunicaciones. Los interesados pueden incluir Dueños de Negocio, Trabajadores, Clientes u otras personas cuyos datos sean procesados en el Servicio.
6. Instrucciones del cliente
Procesaremos los datos únicamente conforme a instrucciones documentadas del cliente, incluyendo la configuración del sistema y solicitudes de soporte, salvo que la ley exija lo contrario. Si una instrucción viola la ley, podremos rechazarla o suspender el tratamiento afectado.
7. Confidencialidad
Nos aseguramos de que el personal autorizado esté sujeto a obligaciones de confidencialidad adecuadas.
8. Medidas de seguridad
Implementamos medidas técnicas, organizativas y administrativas razonables para proteger los datos contra accesos no autorizados, pérdida, destrucción o alteración, considerando los riesgos del tratamiento.
9. Subencargados (Subprocesadores)
El cliente autoriza el uso de subprocesadores necesarios para operar el Servicio, incluyendo proveedores de hosting, infraestructura, analítica, soporte y seguridad. Imponemos obligaciones de protección de datos adecuadas a dichos proveedores.
10. Asistencia
Proporcionaremos asistencia razonable para atender solicitudes de titulares de datos, incidentes de seguridad, evaluaciones de impacto y requerimientos regulatorios, en la medida exigida por la ley.
11. Incidentes de seguridad
Notificaremos al cliente sin demora indebida tras confirmar un incidente de seguridad relevante, salvo retrasos necesarios para investigación, mitigación o requerimientos legales.
12. Eliminación o devolución de datos
Al finalizar el Servicio o mediante solicitud válida, eliminaremos o devolveremos los datos conforme al acuerdo y la ley, sujeto a copias de seguridad, obligaciones legales y prevención de fraude.
13. Transferencias internacionales
Los datos pueden procesarse en Estados Unidos u otras jurisdicciones donde operemos nosotros o nuestros proveedores. Cuando la ley lo requiera, se implementarán mecanismos de transferencia adecuados.
14. Responsabilidades del cliente
El cliente es responsable de determinar la legalidad del uso del Servicio, proporcionar avisos de privacidad adecuados, obtener consentimientos, respetar derechos de los usuarios y asegurar que los datos se recopilan y comparten legalmente.
15. Responsabilidad
Este DPA está sujeto a las limitaciones de responsabilidad, exclusiones e indemnizaciones establecidas en el acuerdo principal, salvo que la ley disponga lo contrario.