Anexo de tratamiento de datos de Wefta

Roles

El cliente es el responsable del tratamiento (business, según la CCPA) y decide las finalidades y los medios del tratamiento. Wefta es el encargado del tratamiento (service provider) y actúa únicamente según las instrucciones documentadas del cliente, que los Términos de servicio y la configuración de la cuenta expresan.

Wefta avisará al cliente si una instrucción parece infringir la legislación de protección de datos aplicable, y puede negarse a ejecutarla.

Wefta es responsable del tratamiento independiente, y no encargado, respecto de los registros de cuenta, facturación, seguridad y soporte descritos en la Política de privacidad. Esos registros no están cubiertos por este anexo.

Lo que Wefta nunca hará con tus datos

Este es el compromiso que el resto del documento existe para proteger.

• Ningún uso de los datos personales del cliente para finalidades propias de Wefta, de ningún tipo.
• Nada de publicidad, elaboración de perfiles, predicción de conducta ni puntuación.
• Ninguna venta, cesión ni licencia de los datos a nadie.
• Ningún entrenamiento de modelos de aprendizaje automático, nuestros o de terceros, con prompts, contenido del espacio de trabajo o salidas. Esta obligación se traslada a todos los subencargados.
• Ninguna combinación de los datos del cliente con datos de otra fuente, salvo cuando el cliente lo instruya.

Objeto, duración, naturaleza y finalidad

Objeto: la prestación del servicio Wefta. Duración: mientras la suscripción del cliente esté activa, más el plazo de eliminación indicado abajo. Naturaleza y finalidad: alojar, almacenar, organizar, recuperar y transmitir contexto a los sistemas de IA que el cliente conecte, además de la actividad de soporte y de seguridad necesaria para mantener eso en funcionamiento.

Categorías de datos y de interesados

Categorías de datos personales: datos de cuenta y de contacto, contenido del espacio de trabajo, mensajes de soporte, registros de uso y seguridad, y cualquier dato personal que el cliente decida colocar en el contexto que almacena.

Categorías de interesados: los usuarios y los empleados del cliente, y los clientes, contratistas y contactos comerciales sobre los que el cliente escribe en su espacio de trabajo.

El cliente decide qué entra en el espacio de trabajo. Wefta no requiere —y pide al cliente que no almacene— datos de categorías especiales (salud, biometría, convicciones políticas o religiosas, orientación sexual, afiliación sindical) ni datos de menores, porque el servicio no está diseñado para contenerlos.

Confidencialidad

El acceso se limita a las personas cuyas funciones lo exigen, cada una sujeta a una obligación de confidencialidad que sobrevive al fin de su vínculo. El acceso se concede según el principio de mínimo privilegio y se revisa cuando cambia un rol.

Medidas de seguridad

Wefta mantiene medidas técnicas y organizativas adecuadas al riesgo, que incluyen como mínimo:

• Cifrado de los datos en tránsito y de las credenciales en reposo.
• Autenticación multifactor en los accesos administrativos y control de acceso de mínimo privilegio.
• Aislamiento lógico entre clientes, con la autorización comprobada a nivel de cada objeto y no solo en el inicio de sesión.
• Registro de los eventos administrativos y de los relevantes para la seguridad.
• Copias de seguridad diarias, conservadas 7 días, con la restauración verificada.
• Revisión de código antes de publicar, y monitorización de dependencias y vulnerabilidades.
• Un procedimiento documentado de respuesta a incidentes.

Aislamiento multicliente

Wefta es multicliente: los clientes comparten infraestructura, con separación lógica entre sus datos. El riesgo característico de ese diseño es que un cliente alcance los datos de otro por una verificación de autorización ausente o equivocada, la clase de defecto conocida como broken object level authorization o insecure direct object reference.

Lo nombramos aquí porque es el fallo que importa en esta arquitectura, y porque nombrarlo es lo que lo convierte en un requisito: cada solicitud que resuelve un registro comprueba que ese registro pertenece al cliente que la hace, y esa comprobación forma parte de la revisión de código.

Subencargados

El cliente otorga una autorización general para que Wefta contrate subencargados. La lista vigente se publica en la Política de privacidad.

Todo subencargado queda vinculado por condiciones escritas que imponen obligaciones de protección de datos no menos estrictas que las de este anexo, y Wefta sigue siendo plenamente responsable ante el cliente por su actuación.

Wefta avisa al cliente con al menos 30 días de antelación antes de que un nuevo subencargado empiece a tratar sus datos. Dentro de ese plazo el cliente puede oponerse por motivos de protección de datos razonables y documentados. Trabajaremos para atender la objeción; si no lo conseguimos, el cliente puede rescindir la parte afectada del servicio sin penalización y recibir el reembolso del período no utilizado.

Transferencias internacionales

Los datos cruzan fronteras, porque la infraestructura es global. Cada transferencia lleva asociada una garantía.

Fuera de Brasil: una decisión de adecuación de la ANPD cuando corresponda y, en su defecto, las cláusulas contractuales tipo emitidas conforme a la Resolución CD/ANPD nº 19, de 23 de agosto de 2024, que se incorporan a este anexo.

Fuera del Espacio Económico Europeo y de Suiza: una decisión de adecuación cuando corresponda y, en su defecto, las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), módulo dos (responsable a encargado), incorporadas a este anexo.

Fuera del Reino Unido: el Addendum de Transferencia Internacional de Datos del Reino Unido a esas cláusulas.

Para las transferencias ulteriores a un país sin decisión de adecuación se realiza una evaluación de impacto de la transferencia y se aplican medidas complementarias cuando esa evaluación lo exige.

Asistencia al cliente

Wefta asiste al cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, en: responder a las solicitudes de interesados que reciba directamente; realizar evaluaciones de impacto relativas a la protección de datos y consultas previas; y demostrar el cumplimiento de estas obligaciones.

Si un interesado se dirige directamente a Wefta por datos que pertenecen al espacio de trabajo de un cliente, Wefta no responde en nombre del cliente. Redirigimos la solicitud al cliente y se lo comunicamos al interesado, sin dilación indebida.

Incidentes de seguridad

Wefta notifica al cliente sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a la confirmación de una violación de seguridad de los datos personales que afecte a sus datos. La notificación describe lo que se conoce: la naturaleza del incidente, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

Ese plazo existe para que el responsable del tratamiento conserve margen suficiente dentro de sus propias 72 horas bajo el RGPD, y dentro del plazo razonable bajo la LGPD, para comunicar a la autoridad y a las personas afectadas.

Wefta no notifica a las autoridades de control ni a los interesados en nombre del cliente, salvo que el cliente lo pida por escrito.

Auditoría

A solicitud, y no más de una vez al año salvo que un incidente o una autoridad exijan otra cosa, Wefta facilita la información necesaria para demostrar el cumplimiento de este anexo.

Cuando exista un informe de auditoría independiente o una certificación, se entrega en primer lugar y satisface la obligación de auditoría. El cliente o un auditor independiente sujeto a confidencialidad pueden realizar una auditoría presencial, con 30 días de aviso, en horario laboral, sin interrumpir el servicio y a costa del cliente.

Devolución y eliminación

El cliente puede exportar sus datos en cualquier momento mientras la suscripción esté activa. Tras la terminación, los datos siguen disponibles para exportación durante 30 días.

Pasado ese plazo, Wefta elimina los datos personales del cliente, incluidos los de las copias de seguridad a medida que expira su ciclo de 7 días, salvo que una ley exija conservarlos; en ese caso los datos permanecen protegidos por este anexo y se tratan únicamente para esa finalidad legal.

Responsabilidad

La limitación de responsabilidad de los Términos de servicio se aplica a este anexo, incluido el tope separado y más alto para incidentes de seguridad y fallos de protección de datos.

Dicho eso, un límite no traslada la responsabilidad. Según el artículo 42 de la LGPD, el encargado del tratamiento responde solidariamente cuando incumple las normas de seguridad o va más allá de las instrucciones lícitas, y este anexo no intenta contratar por fuera de eso.

Cuando una exposición de datos personales se origina del lado del cliente —credenciales compartidas o filtradas, accesos no revocados, una integración que el cliente autorizó, una configuración que el cliente eligió o contenido que el cliente no tenía derecho a subir—, las consecuencias son del cliente, no de Wefta.

Orden de prelación

En materia de datos personales, este anexo prevalece sobre los Términos de servicio. Un acuerdo firmado entre Wefta y el cliente prevalece sobre ambos, en la medida en que trate la misma materia.