Anexo de Procesamiento de Datos

1. Definiciones

Los términos en mayúscula que no se definen aquí tienen el significado que se les da en el Contrato.

• “Legislación aplicable de protección de datos” significa todas las leyes y reglamentos aplicables al tratamiento de Datos Personales en virtud de este DPA, incluidos el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679) («RGPD de la UE»), la Ley de Protección de Datos del Reino Unido de 2018 y el RGPD del Reino Unido («RGPD del Reino Unido»), la Ley Federal suiza de Protección de Datos («LPD»), la Ley de Privacidad del Consumidor de California («CCPA») y la Ley de Privacidad de Australia de 1988 (Cth), incluidos los Principios Australianos de Privacidad («APP»).
• “Datos personales del cliente” significa los Datos personales que Flitch trata por cuenta del Cliente en relación con los Servicios.
• Los términos «Datos personales», «Responsable del tratamiento», «Encargado del tratamiento», «Interesado», «Tratamiento» (y sus formas derivadas), «Cláusulas contractuales tipo» («CCT») y «Subencargado del tratamiento» tienen el significado que se les atribuye en la Legislación aplicable de protección de datos.
• “Transferencia restringida” significa una transferencia de Datos Personales del Cliente desde una jurisdicción con restricciones a la exportación de datos a una jurisdicción que no ha obtenido una decisión de adecuación conforme a la Legislación Aplicable de Protección de Datos.
• “Incidente de seguridad” significa una violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la divulgación o el acceso no autorizados a ellos, mientras Flitch o un Subencargado los procesa.
• “Lista de subencargados del tratamiento” significa la lista de Subencargados del tratamiento publicada en flitch.io/sub-processors.

2. Roles y alcance

2.1 El Cliente es el Responsable del tratamiento (o el encargado que actúa en nombre de un responsable externo) de los Datos Personales del Cliente. Flitch es el Encargado del tratamiento (o subencargado) de los Datos Personales del Cliente.

2.2 El objeto, la duración, la naturaleza, la finalidad, los tipos de Datos Personales y las categorías de Interesados se describen en el Anexo I.

2.3 Este DPA se aplica únicamente al tratamiento de Datos Personales del Cliente que Flitch realiza por cuenta del Cliente. No se aplica a los Datos Personales de los que Flitch es el Responsable del tratamiento (por ejemplo, los datos de contacto de los administradores de la cuenta que se utilizan para gestionar la suscripción del Cliente), que se rigen por la Política de Privacidad de Flitch.

3. Tratamiento de datos personales del cliente

3.1 Instrucciones documentadas. Flitch tratará los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, incluso con respecto a las Transferencias Restringidas, salvo que la ley exija lo contrario. El Acuerdo, este DPA y el uso que el Cliente haga de los Servicios mediante su configuración constituyen las instrucciones documentadas del Cliente.

3.2 Instrucciones lícitas. El Cliente es responsable de garantizar que sus instrucciones cumplan con la Legislación Aplicable en materia de Protección de Datos. Flitch informará al Cliente si, en su opinión, una instrucción infringe la Legislación Aplicable en materia de Protección de Datos.

3.3 Confidencialidad del personal. Flitch garantizará que las personas autorizadas para tratar los Datos Personales del Cliente estén sujetas a las obligaciones de confidencialidad apropiadas.

4. Los datos del cliente no se utilizan para entrenar modelos de IA ni de aprendizaje automático

4.1 Flitch no utiliza los Datos Personales del Cliente, los resultados de consultas, los esquemas, los prompts ni ningún resultado derivado del uso de los Servicios por parte del Cliente para entrenar, ajustar o mejorar de cualquier otro modo ningún modelo de inteligencia artificial o aprendizaje automático, ya sea operado por Flitch o por un tercero.

4.2 Cuando los Servicios utilizan proveedores de IA externos (actualmente Anthropic y Google; OpenAI o xAI cuando el Cliente los selecciona; y Mistral AI cuando el Cliente configura un paso de un workflow para leer documentos antes de extraer datos de ellos. Consulte la Lista de subencargados), los Datos Personales del Cliente enviados a esos proveedores se tratan conforme a las condiciones comerciales de API de los proveedores, que prohíben el uso de los datos de entrada para el entrenamiento de modelos. Flitch mantendrá acuerdos de Retención Cero de Datos o equivalentes con los Subencargados de IA cuando estén disponibles comercialmente.

4.3 Flitch puede usar telemetría agregada y desidentificada sobre el uso del Servicio (volumen, latencia, tasas de error) para el funcionamiento y la mejora de los Servicios, siempre que dicha telemetría no pueda utilizarse razonablemente para identificar a ningún Interesado.

5. Subencargados del tratamiento

5.1 Autorización general. El Cliente otorga a Flitch una autorización general para contratar Subencargados del tratamiento para tratar Datos Personales del Cliente, con sujeción a esta Sección 5.

5.2 Subencargados del tratamiento actuales. La lista actual de subencargados del tratamiento se mantiene en flitch.io/sub-processors y se incorpora por referencia a este DPA.

5.3 Aviso de cambios. Al menos quince (15) días antes de habilitar cualquier nuevo Subencargado o de sustituir un Subencargado existente, Flitch actualizará la Lista de Subencargados y lo notificará al Cliente por correo electrónico a la dirección del administrador registrada, o por cualquier otro medio razonable que Flitch elija.

5.4 Oposición. El Cliente podrá oponerse a un cambio propuesto por motivos razonables de protección de datos, mediante notificación a Flitch en un plazo de diez (10) días desde la notificación del cambio. Las partes colaborarán de buena fe para resolver la objeción. Si no logran resolverla en un plazo de treinta (30) días, el Cliente podrá rescindir la parte afectada de los Servicios mediante notificación por escrito, con el reembolso proporcional de las tarifas prepagadas correspondientes a la parte no utilizada de los Servicios.

5.5 Obligaciones de los subencargados. Flitch impondrá a cada Subencargado obligaciones de protección de datos que no sean menos protectoras que las establecidas en este DPA. Flitch sigue siendo responsable ante el Cliente de los actos y omisiones de sus Subencargados.

6. Transferencias internacionales de datos

6.1 Transferencias restringidas desde el EEE. Cuando Flitch trate Datos Personales del Cliente originarios del Espacio Económico Europeo («EEE») en un país que no haya recibido una decisión de adecuación de la Comisión Europea, las partes incorporan las CCT adoptadas por la Comisión Europea en la Decisión 2021/914, de 4 de junio de 2021 (las «CCT de la UE»), que se consideran celebradas y firmadas por ambas partes en la fecha de entrada en vigor del Acuerdo, con lo siguiente:

• Módulo Dos (de responsable a encargado del tratamiento), que se aplica cuando el Cliente es Responsable del tratamiento, y Módulo Tres (de encargado a encargado del tratamiento), que se aplica cuando el Cliente es Encargado del tratamiento;
• En la Cláusula 7, no se aplica la cláusula opcional de adhesión;
• En la Cláusula 9, se aplica la Opción 2 (Autorización previa por escrito de carácter general) con el plazo de notificación establecido en la Sección 5.3 de este DPA;
• En la Cláusula 11, el mecanismo opcional de resolución independiente de conflictos no se aplica;
• En las Cláusulas 17 y 18, la ley aplicable y el foro competente son los de Irlanda;
• Los Anexos I, II y III son los establecidos en este DPA.

6.2 Transferencias restringidas desde el Reino Unido. Cuando Flitch trate Datos Personales del Cliente procedentes del Reino Unido en un país que no haya recibido una decisión de adecuación conforme al RGPD del Reino Unido, las partes incorporan el Addendum sobre Transferencias Internacionales de Datos a las Cláusulas Contractuales Tipo de la Comisión de la UE, emitido por la Oficina del Comisionado de Información del Reino Unido (el «Addendum del Reino Unido»), que se considerará celebrado y firmado por ambas partes en la fecha de entrada en vigor del Acuerdo, y se anexa a las CCT de la UE a las que se hace referencia en la Sección 6.1.

6.3 Transferencias restringidas desde Suiza. Cuando Flitch trate Datos Personales del Cliente procedentes de Suiza en un país que no haya obtenido el reconocimiento de adecuación conforme a la LPD suiza (FADP), se aplicarán las CCT de la UE con las siguientes modificaciones:

• las referencias al «Reglamento (UE) 2016/679» o al «RGPD» se interpretan como referencias a la LPD suiza;
• Las referencias a «Estado miembro» se interpretan de manera que incluyen a Suiza;
• La autoridad de control es el Comisionado Federal suizo de Protección de Datos y de Información (“FDPIC”);
• La ley aplicable y el foro competente son los de Suiza en la medida en que lo exija la LPD.

6.4 Obligaciones del cliente. El Cliente declara y garantiza que cuenta con la base jurídica conforme a la Legislación Aplicable de Protección de Datos para transferir los Datos Personales del Cliente a Flitch y para autorizar transferencias ulteriores a los Subencargados del tratamiento incluidos en la Lista de Subencargados.

7. Seguridad

7.1 Medidas técnicas y organizativas. Flitch implementará y mantendrá las medidas técnicas y organizativas descritas en el Anexo II, diseñadas para proteger los Datos Personales del Cliente frente a su destrucción, pérdida o alteración accidental o ilícita, y frente a su divulgación o acceso no autorizados.

7.2 Actualizaciones. Flitch podrá actualizar sus medidas técnicas y organizativas periódicamente, siempre que dichas actualizaciones no reduzcan de forma sustancial la protección de los Datos Personales del Cliente.

8. Incidentes de seguridad

8.1 Notificación. Flitch notificará al Cliente sin demora indebida cuando sea factible, y en todo caso a más tardar setenta y dos (72) horas después de tener conocimiento de un Incidente de seguridad que afecte a los Datos personales del Cliente.

8.2 Contenido de la notificación. La notificación incluirá, en la medida en que se conozca en ese momento:

• la naturaleza del Incidente de seguridad;
• las categorías y el número aproximado de Interesados y de registros afectados;
• las posibles consecuencias;
• las medidas adoptadas o propuestas para abordar el Incidente de seguridad y mitigar sus efectos adversos.

8.3 Cooperación. Flitch prestará al Cliente una asistencia razonable para el cumplimiento de las obligaciones de notificación u otras obligaciones que le correspondan en virtud de la Legislación Aplicable de Protección de Datos en relación con el Incidente de Seguridad.

8.4 Sin admisión de culpa. La notificación de un Incidente de seguridad por parte de Flitch, o su respuesta ante este, no constituye un reconocimiento de culpa ni de responsabilidad por parte de Flitch.

9. Derechos de los interesados

9.1 Flitch, teniendo en cuenta la naturaleza del tratamiento, ayudará razonablemente al Cliente (incluso mediante medidas técnicas y organizativas apropiadas) a responder a las solicitudes de los Interesados para ejercer sus derechos conforme a la Legislación de Protección de Datos Aplicable.

9.2 Si Flitch recibe una solicitud de un Interesado en relación con los Datos Personales del Cliente, remitirá al Interesado al Cliente y se lo notificará al Cliente sin demora injustificada.

10. Evaluaciones de impacto relativas a la protección de datos y consulta previa

10.1 Flitch prestará al Cliente una asistencia razonable para la realización de evaluaciones de impacto relativas a la protección de datos y de consultas con las autoridades de control, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga Flitch.

11. Auditoría

11.1 Derechos de auditoría. Flitch pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de este DPA. Previo aviso razonable por escrito (y no más de una vez cada doce meses, salvo que lo exija una autoridad de control o tras un Incidente de seguridad confirmado), Flitch permitirá que el Cliente o el auditor que designe (sujeto a compromisos razonables de confidencialidad) realice auditorías de las prácticas de protección de datos de Flitch.

11.2 Forma de auditoría. Las auditorías se realizarán durante el horario laboral habitual, con un preaviso razonable (no inferior a treinta (30) días, salvo que lo exija la Legislación aplicable en materia de protección de datos), de forma que no interfieran de manera injustificada en las operaciones comerciales de Flitch y a cargo del Cliente.

11.3 Alternativa. Flitch podrá cumplir con sus obligaciones de auditoría proporcionando al Cliente los informes de auditoría de terceros vigentes en ese momento, certificaciones (SOC 2, ISO 27001 o equivalentes) o informes de auditoría de los subencargados del tratamiento.

12. Devolución y eliminación de los datos personales del cliente

12.1 Al terminar el contrato. Al terminar o expirar el Contrato, el Cliente podrá exportar los Datos Personales del Cliente mediante la funcionalidad estándar del Servicio durante un plazo de treinta (30) días tras la terminación. Transcurrido ese plazo, Flitch, en un plazo de sesenta (60) días, eliminará o devolverá todos los Datos Personales del Cliente que obren en su poder o bajo su control, salvo que la Legislación Aplicable de Protección de Datos exija su conservación.

12.2 Copias de seguridad. Los Datos personales del cliente que se encuentren en copias de seguridad rutinarias del sistema se eliminarán de acuerdo con el calendario estándar de rotación de copias de seguridad de Flitch y no se restaurarán ni se utilizarán para ningún fin distinto de la recuperación ante desastres durante el período de conservación.

13. Responsabilidad

13.1 La responsabilidad total acumulada de cada parte que se derive de este DPA o esté relacionada con él está sujeta a las renuncias, exclusiones y limitaciones de responsabilidad establecidas en el Acuerdo. Nada de lo dispuesto en esta Sección 13 limita ninguna responsabilidad que no pueda limitarse conforme a la Legislación Aplicable de Protección de Datos.

14. Vigencia y terminación

14.1 Este DPA entra en vigor en la fecha de entrada en vigor del Acuerdo y continúa hasta que el Acuerdo termine o expire, excepto aquellas disposiciones que por su naturaleza deban subsistir a la terminación, las cuales seguirán vigentes (incluidas las Secciones 6 (Transferencias), 8 (Incidentes de seguridad), 11 (Auditoría), 12 (Devolución/Eliminación), 13 (Responsabilidad) y 14 (Supervivencia)).

15. Ley de Privacidad de Australia de 1988 (Privacy Act 1988, Cth)

15.1 Cuando el Cliente esté sujeto a la Privacy Act 1988 (Cth) y a los Australian Privacy Principles («APP»), Flitch tratará los Datos Personales del Cliente de conformidad con los APP en su calidad de Encargado del tratamiento y ayudará al Cliente a cumplir sus propias obligaciones en virtud de los APP, incluidas las relativas al APP 1 (gestión abierta y transparente), el APP 6 (uso y divulgación), el APP 8 (divulgación transfronteriza) y el APP 11 (seguridad).

16. General

16.1 Orden de prelación. En caso de conflicto entre este DPA y el Acuerdo, prevalecerá este DPA en materia de protección de datos. En caso de conflicto entre este DPA y las CCT de la UE o el Anexo del Reino Unido, prevalecerán las CCT de la UE o el Anexo del Reino Unido.

16.2 Divisibilidad. Si alguna disposición de este DPA se considera inválida o inaplicable, las demás disposiciones seguirán en pleno vigor y efecto.

16.3 Sin terceros beneficiarios. Salvo que se indique expresamente en las SCC de la UE o en el Anexo del Reino Unido, este DPA no crea ningún derecho para terceros beneficiarios.

16.4 Actualizaciones. Flitch puede actualizar este DPA periódicamente. Los cambios sustanciales se notificarán a la dirección de correo del administrador del Cliente con al menos treinta (30) días de antelación. La versión vigente está siempre disponible en flitch.io/dpa.

16.5 Ejemplares y aceptación electrónica. Este DPA puede aceptarse por medios electrónicos, incluida la aceptación mediante clickwrap del Acuerdo que lo incorpora por referencia. Se puede solicitar una copia en PDF firmada a [email protected].

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

Flitch mantiene las siguientes medidas técnicas y organizativas, que podrán actualizarse periódicamente siempre que ninguna actualización reduzca de forma sustancial la protección de los Datos Personales del Cliente.

• Cifrado en tránsito: TLS 1.2+ en cada conexión externa: navegador del usuario, fuentes de datos, proveedores de IA y subencargados del tratamiento. El tráfico interno de la caché usa TLS mediante Valkey administrado. No hay enlaces en texto plano en ningún punto de la ruta de los datos.
• Cifrado en reposo: AES-256 en todos los almacenes persistentes: base de datos de la aplicación (Neon Postgres), almacenamiento de objetos (AWS S3) y caché (Valkey administrado con disco cifrado con LUKS). Además, las credenciales de las fuentes se cifran con AES-256-GCM en la capa de aplicación.
• Control de acceso: control de acceso basado en roles (administrador, editor, lector) en todos los recursos asociados a un equipo. La seguridad a nivel de fila (Row-Level Security) de PostgreSQL garantiza el aislamiento multiinquilino en la capa de base de datos, además de las comprobaciones de acceso a nivel de aplicación.
• Autenticación: Better Auth gestiona el inicio de sesión con Google y Microsoft. El inicio de sesión con contraseña está desactivado, por lo que no se almacena ninguna contraseña. La autenticación multifactor está disponible a través de Google y Microsoft. Las sesiones se invalidan en el servidor al cerrar sesión o al rotarlas.
• Gestión de credenciales de las fuentes: Las credenciales de las fuentes conectadas (tokens OAuth del almacén de datos, claves de API) se cifran con AES-256-GCM en la base de datos de la aplicación. Ninguna credencial en texto plano se registra en los logs ni se devuelve a través de la API.
• Alcance y duración de la caché: los resultados de consultas de dashboards publicados, informes y apps se almacenan en caché en Valkey administrado (TLS 1.2+, AES-256 en reposo mediante LUKS) con un TTL de 5 minutos. La caché reside en la RAM, con instantáneas cifradas periódicas para garantizar la durabilidad.
• Aislamiento del procesamiento: Los dashboards, los informes y las aplicaciones se generan a partir de paquetes estáticos precompilados, por lo que no hay ningún entorno aislado en vivo sobre sus datos. Las tareas del servidor, como la exportación a PDF, se ejecutan en workers dedicados y no conservan sus datos una vez entregado el archivo.
• Registro y supervisión: Se registran en el servidor los eventos de autenticación, los cambios en la pertenencia a equipos, la creación, modificación y eliminación de dashboards, informes y aplicaciones, las operaciones con conjuntos de datos, los cambios de facturación, los eventos de generación con IA y los accesos a credenciales. Alertas en tiempo real ante anomalías.
• Seguridad del personal: todo el personal con acceso a los Datos Personales del Cliente está sujeto a verificaciones de antecedentes cuando la ley lo permita y a obligaciones de confidencialidad.
• Seguridad del proveedor: los subencargados del tratamiento cuentan con la certificación SOC 2 o una equivalente.
• Copias de seguridad y recuperación: La base de datos de la aplicación y el almacenamiento de objetos se respaldan mediante subencargados del tratamiento, con recuperación a un punto en el tiempo. Los datos de respaldo se cifran en reposo.
• Gestión de vulnerabilidades: análisis de dependencias, revisión de seguridad periódica por un tercero (la más reciente: abril de 2026).
• Respuesta ante incidentes: Proceso documentado de respuesta a incidentes con rotación de guardias.

Para consultar la descripción general de seguridad más reciente, visita flitch.io/security o solicita el PDF Flitch Data Security Overview.

Anexo III. Subencargados del tratamiento

La lista actualizada de subencargados del tratamiento se mantiene en flitch.io/sub-processors y se incorpora a este DPA por referencia.

Contacto

Para consultas sobre este DPA o para solicitar una copia en PDF con contrafirma: