Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos (el “Acuerdo”) se celebra entre:

• El Cliente: la organización o la persona que usa Slabsz y que decide para qué se tratan los datos personales que carga en la plataforma. Si trabajas “Solo yo”, el Cliente eres tú. Si trabajas en equipo, el Cliente es la organización, representada por su propietario. El Cliente actúa como responsable.
• Slabsz: José Manuel Campillo Romo, persona física con actividad empresarial, con Registro Federal de Contribuyentes CARM020712QCA, cuyo domicilio es el que te proporcionaremos por escrito al solicitarlo a info.slabsz@gmail.com, y quien opera bajo la marca Slabsz (en adelante, “Slabsz” o “nosotros”). Slabsz actúa como encargado. Contacto para temas de datos personales: info.slabsz@gmail.com.

Este Acuerdo forma parte de los Términos y Condiciones y lo aceptas al aceptarlos, al crear tu cuenta o tu organización y al usar la plataforma. Es el instrumento que formaliza la relación entre el responsable y el encargado que prevé el Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (art. 51). No necesitas firmar nada para que tenga efectos.

Si tu empresa necesita una versión firmada para sus expedientes o para una auditoría, pídela a info.slabsz@gmail.com con la razón social y el RFC del Cliente y el nombre de quien firma. Te enviaremos este mismo texto, con los datos de las partes, para firma.

Los términos con mayúscula que no se definen aquí tienen el significado que les dan los Términos y Condiciones. Además:

• Datos del Cliente: los datos personales de terceros que el Cliente, sus miembros o las personas con quienes comparte información cargan o generan en su organización de Slabsz, descritos en el Anexo A.
• Responsable: la persona física o moral que decide sobre el tratamiento de los datos personales. Aquí, el Cliente.
• Encargado: la persona que, sola o junto con otras, trata datos personales por cuenta del responsable. Aquí, Slabsz.
• Remisión: la comunicación de datos personales entre el responsable y el encargado, dentro o fuera de México. Una remisión no requiere informarse al titular ni su consentimiento.
• Subencargado: el proveedor al que Slabsz subcontrata una parte del servicio y que, para prestarla, trata Datos del Cliente por cuenta de Slabsz.
• Titular: la persona física a quien corresponden los datos personales.
• Vulneración de seguridad: la pérdida o destrucción no autorizada; el robo, extravío o copia no autorizada; el uso, acceso o tratamiento no autorizado, o el daño, alteración o modificación no autorizada de Datos del Cliente. No incluye los intentos fallidos que no comprometen los datos, como intentos de inicio de sesión rechazados o escaneos de red.
• Tratamiento: cualquier operación sobre datos personales, como obtenerlos, usarlos, guardarlos, consultarlos, modificarlos, comunicarlos o borrarlos.

Este Acuerdo regula el tratamiento que Slabsz hace de los Datos del Cliente para prestarle el servicio. La descripción detallada del tratamiento (titulares, datos, finalidades y duración) está en el Anexo A.

No cubre los datos que Slabsz trata como responsable, que se rigen por nuestro Aviso de Privacidad: los datos de cuenta y perfil de tus miembros, los de facturación y cobro de tu suscripción, los de uso y analítica de la plataforma, los de soporte y comentarios, y los de prospección comercial que obtenemos de fuentes públicas.

Si el Cliente trata los datos a su vez por cuenta de otro responsable (por ejemplo, una constructora que trabaja para un desarrollador), Slabsz actúa como subencargado y el Cliente se encarga de contar con la autorización de ese responsable para usar Slabsz.

Slabsz trata los Datos del Cliente solo conforme a sus instrucciones documentadas. Son instrucciones del Cliente:

• Este Acuerdo y los Términos y Condiciones.
• Lo que el Cliente y sus miembros hacen y configuran en la plataforma: capturar datos, subir archivos, compartir un presupuesto por enlace, agregar destinatarios a los reportes de avance, invitar miembros, usar Isza y aprobar sus acciones o activar su modo “Automático”, exportar o eliminar información.
• Las instrucciones adicionales que el Cliente nos dé por escrito a info.slabsz@gmail.com, siempre que quepan en el servicio. Si una instrucción exige cambiar el servicio o un trabajo que no está previsto, la acordaremos por escrito antes de cumplirla.

Si consideramos que una instrucción es contraria a la ley, te lo diremos y podremos abstenernos de cumplirla mientras se aclara.

Conforme al artículo 50 del Reglamento, como encargado nos obligamos a:

• Tratar los datos solo conforme a tus instrucciones y únicamente para prestarte el servicio: operarlo, asegurarlo, respaldarlo y darte soporte.
• No usarlos para finalidades propias ni distintas de las que instruyes, con la única excepción descrita en la sección 6. No vendemos los Datos del Cliente, no los usamos para publicidad y no los ponemos a disposición de otras organizaciones de la plataforma.
• Aplicar medidas de seguridad administrativas, técnicas y físicas para protegerlos, descritas en el Anexo B.
• Guardar confidencialidad. Solo acceden a los Datos del Cliente las personas que lo necesitan para soporte, seguridad, cobranza o moderación, y están obligadas a guardar confidencialidad, también después de terminar su relación con Slabsz.
• Ayudarte a cumplir con las solicitudes de derechos de los titulares (sección 8) y con las vulneraciones de seguridad (sección 12).
• Suprimir los datos al terminar la relación o cuando nos lo instruyas, salvo que una ley nos obligue a conservarlos (sección 15).
• No transferirlos, salvo que tú lo instruyas, que se trate de una remisión a un subencargado autorizado (sección 9) o que lo requiera una autoridad competente (sección 13).

Cuando usas Isza o las funciones de redacción asistida, enviamos a los proveedores de modelos la parte de los Datos del Cliente que hace falta para responderte. Eso es parte del servicio que nos instruyes. La búsqueda semántica sobre tus presupuestos aprobados y tus catálogos funciona solo dentro de tu organización. Slabsz no entrena modelos de inteligencia artificial con los Datos del Cliente.

Contratamos esos modelos a través de sus interfaces para desarrolladores (API) y procuramos que nuestros proveedores no usen los datos que reciben para entrenar sus propios modelos.

Como responsable, el Cliente se obliga a:

• Tratar los Datos del Cliente de forma lícita y contar con una base legal para cargarlos en Slabsz.
• Informar a los titulares con su propio aviso de privacidad, que mencione que usa proveedores tecnológicos para administrar sus proyectos, y recabar su consentimiento cuando la ley lo exija. Esto incluye agregar correos externos a los reportes automáticos de avance y subir fotos en las que aparecen personas.
• No cargar datos personales sensibles (por ejemplo, de salud, origen étnico, creencias o afiliación sindical) salvo que sean necesarios. Si los carga, obtener antes el consentimiento expreso y por escrito del titular, como exige el artículo 8 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
• Dar instrucciones lícitas y que quepan en el servicio, y no pedirnos tratamientos que la ley prohíba.
• Atender las solicitudes de acceso, rectificación, cancelación y oposición (derechos ARCO) de sus titulares, usando las herramientas de la plataforma para consultar, corregir y eliminar la información.
• Administrar con cuidado su organización: asignar roles, permisos y alcance por proyecto a cada miembro, proteger sus contraseñas, revisar quién tiene acceso y revocar los enlaces compartidos que ya no necesite.

En la plataforma tienes lo necesario para consultar, corregir, exportar y eliminar los Datos del Cliente. Si necesitas una extracción o una eliminación que la interfaz no cubre, escríbenos a info.slabsz@gmail.com y te ayudaremos a tiempo para que respondas dentro del plazo legal, sin costo adicional.

Si un titular nos escribe directamente sobre Datos del Cliente, no le responderemos en tu nombre salvo que nos lo instruyas: le indicaremos que se dirija a ti y te reenviaremos su solicitud sin demora, a más tardar dentro de los 5 días hábiles siguientes, siempre que podamos identificar a qué organización corresponde.

El Cliente nos da una autorización general para subcontratar a los subencargados del Anexo C y a los que agreguemos conforme a esta sección, como prevén los artículos 54 y 55 del Reglamento.

• Cada subencargado trata los Datos del Cliente solo para la parte del servicio que le encargamos y bajo condiciones de protección de datos no menos protectoras que las de este Acuerdo, en lo que aplique a su servicio. Asume las obligaciones de un encargado.
• Seguimos siendo responsables ante el Cliente de lo que hagan nuestros subencargados con los Datos del Cliente, como si lo hiciéramos nosotros.
• La lista vigente está publicada en Proveedores y Encargados. Cuando agreguemos o cambiemos un subencargado, actualizaremos esa página y, si el cambio es relevante (un proveedor nuevo que reciba el contenido de tus proyectos), avisaremos además por correo al propietario de cada organización con al menos 15 días naturales de anticipación.
• Puedes objetar un subencargado nuevo por motivos razonables de protección de datos, escribiendo a info.slabsz@gmail.com dentro de esos 15 días. Buscaremos de buena fe una solución; si no la hay, puedes dejar de usar el servicio y cancelar tu suscripción sin penalización, y eliminar o exportar tus datos antes de que el subencargado empiece a tratarlos.

Nuestros subencargados operan principalmente en Estados Unidos y, en algunos casos, en otros países. Por eso los Datos del Cliente se guardan y se procesan fuera de México. Estas comunicaciones son remisiones del encargado a sus subencargados, por cuenta del Cliente: no son transferencias a terceros para sus propios fines.

Al aceptar este Acuerdo, el Cliente autoriza esas remisiones. Los servicios de infraestructura que usamos son de cómputo en la nube; elegimos proveedores que publican sus condiciones de protección de datos, no se atribuyen la titularidad de la información, guardan confidencialidad y permiten suprimir los datos, en línea con el artículo 52 del Reglamento.

Mantenemos las medidas del Anexo B, tomando en cuenta el riesgo, la sensibilidad de los datos, el estado de la técnica y el costo. Podemos cambiarlas para mejorarlas o adaptarlas a la ley, siempre que no reduzcan el nivel general de protección.

La seguridad es compartida: el Cliente responde de cómo configura y usa su organización, de sus contraseñas y dispositivos, y de a quién comparte información. Con la información de este Acuerdo, el Cliente evalúa si las medidas son adecuadas para sus necesidades.

Si confirmamos una vulneración de seguridad que afecte Datos del Cliente, te avisaremos sin demora indebida al correo del propietario de la organización, para que puedas informar de forma inmediata a los titulares cuyos derechos patrimoniales o morales se vean afectados de manera significativa, como exige el artículo 19 de la Ley. El aviso incluirá, en la medida en que lo sepamos:

• La naturaleza del incidente.
• Los datos personales comprometidos.
• Las recomendaciones para que los titulares protejan sus intereses.
• Las acciones correctivas que aplicamos de inmediato.
• El medio para obtener más información.

Te iremos completando la información conforme avance la investigación y colaboraremos razonablemente contigo. Avisar o responder a una vulneración no implica reconocer culpa. Informar a los titulares le corresponde al Cliente como responsable; si el aviso menciona a Slabsz, te pedimos que nos lo compartas antes para verificar que los datos sobre nuestra intervención sean correctos.

Si una autoridad competente nos requiere Datos del Cliente, te lo avisaremos antes de entregarlos, salvo que la ley o la propia autoridad lo prohíban, para que puedas defender tus intereses. Entregaremos solo lo que el requerimiento exija y verificaremos que provenga de una autoridad con facultades para pedirlo.

Para verificar que cumplimos este Acuerdo, el Cliente puede enviarnos, una vez al año, un cuestionario por escrito sobre el tratamiento de los Datos del Cliente y nuestras medidas de seguridad. Lo responderemos de buena fe en un plazo razonable, que normalmente no excederá de 30 días naturales.

• El Cliente guarda confidencialidad sobre nuestras respuestas y las usa solo para verificar el cumplimiento de este Acuerdo o de sus obligaciones legales.
• Cada parte cubre sus costos; si el Cliente contrata a un tercero para revisar las respuestas, el costo es del Cliente.
• No compartiremos información que ponga en riesgo la seguridad de la plataforma o los datos de otras organizaciones.
• No hay auditorías presenciales ni accesos a nuestros sistemas, salvo que lo ordene una autoridad competente.
• Podrá haber un cuestionario adicional en el año cuando lo exija una autoridad o después de una vulneración de seguridad que haya afectado Datos del Cliente.

No contamos con certificaciones de seguridad propias. Nuestros principales proveedores de infraestructura publican las suyas.

• Exportación: mientras tu organización exista puedes descargar tus presupuestos en PDF y Excel y los demás documentos que tu plan permita. Si necesitas una copia completa y estructurada de la información de tu organización, el propietario o un administrador puede pedirla a info.slabsz@gmail.com y la entregaremos dentro de los 20 días hábiles siguientes.
• Terminar la suscripción no borra tus datos: si cancelas o bajas al plan Gratis, tu organización y su información siguen ahí, con los límites de ese plan.
• Supresión: cuando el propietario elimina la organización, se borran de forma definitiva su información y sus archivos, incluidos los índices de búsqueda semántica y los patrones anonimizados que hubiera aportado. Antes de eliminarla, exporta lo que quieras conservar: después no podremos recuperarlo. También puedes borrar en cualquier momento datos concretos desde la plataforma.
• Respaldos: los respaldos de la base de datos los administra nuestro proveedor de infraestructura y pueden conservar información ya eliminada durante un periodo adicional corto, hasta que se rotan. Mientras tanto, los protegemos con las mismas medidas y no los usamos para nada más.
• Conservación legal: conservaremos solo lo que una ley nos obligue a guardar, por el plazo que exija y únicamente para ese fin.

La responsabilidad de cada parte por este Acuerdo se rige por las limitaciones y exclusiones de los Términos y Condiciones, en la medida en que la ley lo permita. Nada de este Acuerdo limita los derechos que la ley reconoce a los titulares ni a los consumidores.

Este Acuerdo está vigente mientras Slabsz trate Datos del Cliente, aunque terminen los Términos y Condiciones, y termina cuando los datos se hayan suprimido conforme a la sección 15. Las obligaciones de confidencialidad y seguridad siguen vigentes mientras conservemos cualquier Dato del Cliente.

Podemos actualizar este Acuerdo para adaptarlo a la ley o a cambios del servicio, sin reducir de forma importante la protección de los Datos del Cliente. Publicaremos la nueva versión en esta página con su fecha y, si el cambio es relevante, avisaremos por correo al propietario de cada organización antes de que entre en vigor. Si no estás de acuerdo, puedes cancelar tu suscripción sin penalización antes de esa fecha.

En materia de datos personales, si este Acuerdo y los Términos y Condiciones dicen cosas distintas, prevalece este Acuerdo. En todo lo demás aplican los Términos y Condiciones.

Este Acuerdo se rige por las leyes de los Estados Unidos Mexicanos, en particular por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento en lo que no se le oponga. Para cualquier controversia se aplican las reglas de jurisdicción de los Términos y Condiciones.

• Aislamiento por organización: reglas de seguridad a nivel de base de datos (seguridad por filas) que impiden que una organización lea los datos de otra.
• Roles y permisos: propietario, administrador y miembro, con permisos por miembro (incluido ver o no los precios) y alcance por proyecto, aplicados en la base de datos.
• Cifrado en tránsito: TLS en todas las conexiones.
• Contraseñas: las de las cuentas las guarda nuestro proveedor de autenticación, nunca en texto legible; las de los enlaces compartidos se guardan con funciones criptográficas de derivación. Los enlaces pueden tener vencimiento y revocarse.
• Bitácora de auditoría: registro de los cambios sobre la información, con usuario, fecha y detalle.
• Protección contra bots: verificación invisible (BotID) y un campo trampa en el registro y en la recuperación de contraseña, y bloqueo de recuperaciones sobre cuentas recién creadas sin confirmar.
• Acceso interno limitado: solo los administradores de Slabsz que lo necesitan, para soporte, seguridad, cobranza y moderación, con obligación de confidencialidad.
• Almacenamiento privado: los archivos (Baúl, fotos de avance, modelos 3D, adjuntos de Isza) se guardan en almacenamiento privado ligado a la organización.
• Monitoreo de errores: reportes de errores del navegador y del servidor para detectar y corregir fallas.

El Cliente autoriza a los siguientes subencargados. La lista vigente, con cualquier cambio posterior, está siempre en Proveedores y Encargados. Los proveedores de prospección comercial que aparecen ahí no reciben Datos del Cliente.

Estructura basada en la plantilla de Data Processing Addendum de General Legal (CC0), adaptada a la legislación mexicana.