Acuerdo de tratamiento de datos personales

Versión 2026-10-15. Forma parte de los Términos y condiciones de uso. Lo acepta el usuario principal en nombre de la Bodega al primer ingreso.

Partes:

• La Bodega, como responsable de la base de datos;
• Alejo Morales, CUIL 20-41368602-5, con domicilio en la ciudad de Santa Fe, provincia de Santa Fe, como encargado del tratamiento (el Proveedor).

Este acuerdo cumple lo exigido por el artículo 25 de la Ley 25.326 y el artículo 25 del Decreto 1558/2001.

1. Objeto

El Proveedor trata por cuenta de la Bodega los datos personales necesarios para prestar VITRACK:

• de los Usuarios: nombre, correo electrónico, identificador de la cuenta con la que ingresan, registro de actividad y datos técnicos de sus dispositivos;
• de terceros: los que la Bodega anote en el sistema, por ejemplo un nombre en una nota.

2. Instrucciones y finalidad

1. El Proveedor trata los datos solo según las instrucciones de la Bodega. Esas instrucciones son el uso que la Bodega hace de las funciones del servicio, y lo que pida por escrito.
2. No usa los datos para otro fin y no los cede a terceros, ni siquiera para conservarlos, salvo a los subencargados del punto 5 (artículo 25, inciso 1, de la Ley 25.326).
3. Si una instrucción le parece contraria a la ley, lo avisa.

3. Confidencialidad

El Proveedor y las personas que trabajen con él guardan secreto sobre los datos (artículo 10 de la Ley 25.326), también después de terminado el servicio.

4. Seguridad

El Proveedor aplica las medidas técnicas y organizativas del Anexo para garantizar la seguridad y confidencialidad de los datos (artículo 9 de la Ley 25.326), y sigue las Medidas de Seguridad Recomendadas de la Agencia de Acceso a la Información Pública (Resolución 47/2018).

5. Subencargados

1. La Bodega autoriza a estos subencargados, que tratan los datos solo para prestar el servicio:

   Subencargado	Función	Ubicación de los datos
   Supabase Inc. (EE. UU.)	Base de datos	São Paulo, Brasil
   Vercel Inc. (EE. UU.)	Servidores de la aplicación	São Paulo, Brasil, y su red mundial
   Google LLC (EE. UU.)	Ingreso con cuenta de Google	Según Google
   GitHub Inc. (EE. UU.)	Copias de seguridad cifradas	Estados Unidos

2. El Proveedor exige a cada subencargado obligaciones de seguridad y confidencialidad equivalentes a las de este acuerdo, mediante sus contratos de tratamiento de datos.
3. Un cambio de subencargado se avisa con 15 días de anticipación. La Bodega puede oponerse y terminar el servicio sin costo.

6. Transferencia internacional

Los datos se alojan en Brasil y algunos subencargados son de los Estados Unidos, países que la Agencia no considera con protección adecuada. La transferencia se basa en:

• el consentimiento expreso de cada Usuario, que se pide por separado al primer ingreso (artículo 12 de la Ley 25.326);
• los contratos de tratamiento de datos de los subencargados;
• cuando corresponda, las cláusulas contractuales modelo de transferencia de responsable a encargado aprobadas por la Agencia (Disposición 60-E/2016 y sus modificatorias), que se incorporan como anexo de este acuerdo.

7. Derechos de los titulares

El Proveedor ayuda a la Bodega a responder los pedidos de acceso, rectificación, actualización y supresión en los plazos de los artículos 14 y 16 de la Ley 25.326. Si un pedido le llega directo, lo deriva a la Bodega o lo atiende según sus instrucciones.

8. Incidentes de seguridad

Si el Proveedor detecta un incidente que afecte datos de la Bodega:

• se lo informa sin demora y dentro de las 72 horas de conocerlo;
• le dice qué pasó, qué datos se vieron afectados y qué medidas tomó;
• colabora en las comunicaciones que correspondan.

9. Información y control

El Proveedor da a la Bodega, cuando lo pida, la información razonable para comprobar que cumple este acuerdo, sin revelar datos de otras bodegas.

10. Fin del servicio: devolución y destrucción

1. Al terminar el servicio, la Bodega puede exportar sus datos durante 30 días.
2. Después, el Proveedor destruye los datos de la base y, a medida que vencen, de las copias de seguridad, en un máximo de 90 días.
3. La destrucción no corre si hay una obligación legal de conservarlos, o si la Bodega autoriza por escrito guardarlos con las debidas medidas de seguridad por hasta dos años (artículo 25, inciso 2, de la Ley 25.326).

11. Inscripción de bases

1. Cada parte gestiona la inscripción de sus bases en el Registro Nacional de Bases de Datos de la Agencia cuando corresponda.
2. El trámite es gratuito y se hace por Trámites a Distancia con clave fiscal.

12. Vigencia

Este acuerdo rige mientras la Bodega use VITRACK, y después en lo necesario para cumplir el punto 10 y el deber de confidencialidad.

Anexo: medidas de seguridad

• Cifrado: conexiones cifradas (HTTPS y TLS verificado hacia la base de datos) y copias de seguridad cifradas (AES-256-GCM), con la clave fuera del servidor.
• Aislamiento entre bodegas:
  • cada consulta está filtrada en la propia base de datos (seguridad a nivel de fila), además del control en el servidor;
  • la aplicación usa un usuario de base de datos sin privilegios de administración.
• Acceso:
  • ingreso con cuenta de Google, sin contraseñas guardadas en VITRACK;
  • roles con permisos mínimos;
  • sesiones que vencen por inactividad y por tiempo, y revocación de dispositivos perdidos.
• Trazabilidad:
  • registro inmutable de las operaciones;
  • auditoría de ingresos, cambios de permisos y revocaciones.
• Copias:
  • copias cada hora en horario de trabajo y una diaria, con control de integridad;
  • simulacro de restauración semanal.
• Protección del servicio: encabezados de seguridad, protección contra solicitudes de otros sitios y límite de pedidos.
• Gestión: acceso administrativo restringido, secretos fuera del código y revisión de seguridad según OWASP ASVS.