Adenda de tratamiento de datos

Esta Adenda de Tratamiento de Datos (la «Adenda» o «DPA») forma parte de los Términos del Servicio entre tú (el «Cliente» o «Tenant») y Startit Services LLC («Startit»), y regula el tratamiento de los datos personales de los clientes de tu joyería (los «Datos de Clientes») que se tratan en Jewelry OS.

En caso de conflicto entre esta Adenda y los Términos respecto del tratamiento de Datos de Clientes, prevalecerá esta Adenda.

• Naturaleza y finalidad: alojamiento, procesamiento, almacenamiento, transmisión, respaldo y demás operaciones necesarias para prestar el Servicio (catálogo, ventas, apartados, reparaciones, compra de oro, tasaciones, portal de seguimiento y funciones de IA que el Cliente active).
• Duración: mientras esté vigente la suscripción del Cliente, más los periodos de conservación descritos en la sección de devolución y eliminación.
• Instrucciones: Startit trata los Datos de Clientes conforme a las instrucciones documentadas del Cliente, que incluyen el uso del Servicio conforme a los Términos. Startit informará al Cliente si, en su opinión, una instrucción infringe la ley aplicable.

Categorías de titulares

• Clientes finales de la joyería del Cliente.
• Contactos y representantes que el Cliente registre en el Servicio.

Tipos de datos personales

• Datos de identificación y contacto: nombre, correo, teléfono, dirección.
• Identificador fiscal (tax ID) cuando el Cliente lo registre.
• Historial transaccional: compras, apartados, reparaciones, compra de oro y tasaciones.
• Imágenes cargadas por el Cliente y procesadas, en su caso, por funciones de IA.

El Cliente no debe introducir categorías de datos sensibles innecesarias para el Servicio. No se procesan a través del Servicio números completos de tarjetas de pago.

Startit, como encargado, se compromete a:

• Tratar los Datos de Clientes solo según las instrucciones documentadas del Cliente y la ley aplicable.
• Garantizar que el personal autorizado a tratar los datos está sujeto a deberes de confidencialidad.
• Implantar medidas técnicas y organizativas adecuadas al riesgo (véase la sección de seguridad y la página de Seguridad).
• Asistir razonablemente al Cliente para responder a las solicitudes de los titulares (acceso, corrección, eliminación, portabilidad, exclusión), teniendo en cuenta la naturaleza del tratamiento.
• Notificar sin demora indebida al Cliente al tener conocimiento de una brecha de seguridad que afecte a los Datos de Clientes, y asistirle en sus obligaciones de notificación, incluida la Florida Information Protection Act.
• Poner a disposición del Cliente la información razonable para acreditar el cumplimiento de esta Adenda.

Startit mantiene medidas técnicas y organizativas que incluyen, según corresponda:

• Cifrado en tránsito (TLS) y cifrado de credenciales de integraciones.
• Aislamiento lógico de datos por organización (por tenant).
• Control de acceso basado en roles y almacenamiento de contraseñas con hash.
• Copias de seguridad y registros de actividad para diagnóstico y seguridad.

Startit puede actualizar estas medidas siempre que no disminuya el nivel general de protección.

El Cliente otorga a Startit una autorización general para contratar subprocesadores que presten servicios de infraestructura y funcionalidad necesarios para el Servicio. La lista actualizada está disponible en Subprocesadores.

• Startit impondrá a cada subprocesador obligaciones de protección de datos sustancialmente equivalentes a las de esta Adenda.
• Startit avisará de los cambios (altas o sustituciones) de subprocesadores por medios razonables, dando al Cliente la posibilidad de oponerse por motivos razonables de protección de datos.
• Startit responde del cumplimiento de sus subprocesadores en lo relativo a esta Adenda.

Los Datos de Clientes se tratan principalmente en Estados Unidos y pueden ser tratados por subprocesadores en otras ubicaciones indicadas en la lista de Subprocesadores. Dado que el Servicio se dirige a Estados Unidos y América Latina y no al EEE ni al Reino Unido, no resultan aplicables los mecanismos de transferencia del RGPD europeo. Startit adoptará las salvaguardas razonables y exigidas por la ley aplicable para las transferencias que realice.

A solicitud razonable y con aviso previo, Startit pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de esta Adenda. Las auditorías se realizarán con una frecuencia razonable (no más de una vez al año, salvo requerimiento de autoridad o brecha confirmada), en horario laboral, sin interrumpir las operaciones y con deberes de confidencialidad, pudiendo satisfacerse mediante documentación o certificaciones disponibles.

Al finalizar la prestación del Servicio:

• El Cliente dispondrá de una oportunidad razonable para exportar los Datos de Clientes en un formato de uso común.
• Salvo instrucción distinta u obligación legal de conservación, Startit eliminará o anonimizará los Datos de Clientes dentro de los noventa (90) días posteriores a la terminación.
• Los registros que Startit deba conservar por ley (por ejemplo, facturación durante hasta siete años) se mantendrán protegidos y con acceso restringido hasta su eliminación.

La responsabilidad de cada parte bajo esta Adenda está sujeta a las exclusiones y límites de responsabilidad establecidos en los Términos del Servicio. Cada parte responde de sus obligaciones respectivas conforme a su rol de controlador o de encargado.

Para asuntos relacionados con esta Adenda, escríbenos a nuestro contacto o a info@startitservices.com. Startit Services LLC · Miami-Dade, Florida, Estados Unidos.