Acuerdo de tratamiento de datos (DPA)

Este Acuerdo de tratamiento de datos ("DPA") se aplica cuando una empresa u otra organización ("Cliente") utiliza Fips, por ejemplo con un plan Team, y T2MA Labs LLC ("T2MA Labs", "nosotros") trata datos personales por cuenta del Cliente. Forma parte de los Términos del servicio entre el Cliente y T2MA Labs. Para los usuarios particulares se aplica, en su lugar, nuestra Política de privacidad.

1. Funciones

El Cliente es el responsable del tratamiento de los datos personales que él o sus usuarios introducen en Fips, y T2MA Labs es su encargado del tratamiento. Si el Cliente es a su vez encargado del tratamiento, T2MA Labs es su subencargado. Respecto de los datos que tratamos para nuestros propios fines, como la administración de cuentas, la facturación, la seguridad y las obligaciones legales, somos responsables independientes conforme a nuestra Política de privacidad.

2. Detalles del tratamiento

• Objeto: la prestación de Fips al Cliente.
• Duración: durante la vigencia de la suscripción del Cliente y hasta la supresión conforme a la sección 9.
• Naturaleza y finalidad: alojamiento, almacenamiento, sincronización y análisis de datos de trading; gestión de cuentas de usuario; envío de notificaciones; prestación de soporte.
• Tipos de datos personales: nombres y direcciones de correo electrónico, identificadores de cuenta, datos de trading (operaciones, cuentas de trading, saldos, notas, capturas de pantalla), datos de cuentas conectadas, datos del dispositivo y de uso, y mensajes de soporte.
• Interesados: los usuarios autorizados del Cliente, como empleados, miembros o traders.
• Categorías especiales de datos: no está previsto tratar ninguna.

3. Nuestras obligaciones

Nos comprometemos a:

• tratar los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, que son este DPA, los Términos y el uso y la configuración que el Cliente haga del Servicio, e informar al Cliente si consideramos que una instrucción infringe la normativa de protección de datos;
• garantizar que todas las personas autorizadas para tratar los datos estén sujetas a un deber de confidencialidad;
• aplicar las medidas de seguridad de la sección 6, de conformidad con el artículo 32 del RGPD;
• ayudar al Cliente a responder a las solicitudes de los interesados y en las evaluaciones de impacto relativas a la protección de datos y las consultas a las autoridades, teniendo en cuenta la naturaleza del tratamiento;
• notificar al Cliente sin dilación indebida, tras tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a datos del Cliente, y facilitarle la información que necesite para cumplir sus propias obligaciones;
• poner a disposición la información necesaria para demostrar el cumplimiento de este DPA y permitir auditorías razonables con un preaviso razonable.

4. Obligaciones del Cliente

El Cliente es responsable de contar con una base jurídica para el tratamiento, de facilitar a sus usuarios la información exigida y de garantizar que sus instrucciones cumplen la ley. El Cliente no utilizará Fips para tratar categorías especiales de datos personales.

5. Subencargados

El Cliente nos otorga una autorización general para recurrir a subencargados. Nuestros subencargados actuales son:

• Cloudflare: alojamiento de los sitios web y de la API, base de datos, almacenamiento de archivos y seguridad.
• Resend: correo electrónico transaccional.
• Google: Firebase Cloud Messaging para la entrega de notificaciones push, y la API de Gemini para redactar respuestas de soporte (solo en las conversaciones de soporte).
• Sentry: informes de errores de la app móvil.
• PostHog: analítica de producto en la app móvil.
• RevenueCat: estado de las suscripciones compradas en las apps móviles.
• Nuestro proveedor de pagos: pagos en la web; puede actuar como merchant of record.
• Proveedor de servidores en la nube: aloja nuestro chat de soporte autoalojado (Chatwoot) y nuestros servicios de recopilación de datos.

Actualizaremos esta lista antes de que un nuevo subencargado empiece a tratar datos del Cliente, y el Cliente podrá oponerse por motivos razonables de protección de datos. Si no podemos resolver la objeción, el Cliente podrá cancelar la suscripción afectada y recibir el reembolso de las cuotas pagadas por adelantado correspondientes al período no utilizado. Vinculamos a cada subencargado mediante condiciones de protección de datos que protegen los datos al menos tanto como este DPA, y seguimos siendo responsables de su actuación.

6. Medidas de seguridad

• cifrado de los datos en tránsito (HTTPS) y en reposo por parte de nuestros proveedores de alojamiento;
• contraseñas almacenadas únicamente como hash con sal;
• autenticación en cada solicitud a la API, con cada usuario limitado a sus propios datos;
• limitación de frecuencia de solicitudes y protección frente a ataques a nivel de red;
• acceso de solo lectura a las cuentas de trading conectadas;
• acceso a los sistemas de producción limitado a las personas que lo necesitan;
• eliminación de cuentas que borra los datos del usuario de nuestros sistemas activos.

7. Transferencias internacionales

Tratamos datos personales en Estados Unidos y en otros países en los que operan nuestros subencargados. Para las transferencias de datos personales desde la UE/EEE, este DPA incorpora las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea en la Decisión (UE) 2021/914, Módulo 2 (de responsable a encargado) o Módulo 3 (de encargado a encargado), según corresponda, con el Cliente como exportador de datos y T2MA Labs como importador de datos. La cláusula opcional de la cláusula 11 no se aplica, y las cláusulas 17 y 18 se rigen por el Derecho y los tribunales de Irlanda. La sección 2 de este DPA constituye el anexo I, la sección 6 el anexo II y la sección 5 el anexo III.

Para las transferencias desde el Reino Unido se aplica el Addendum de Transferencias Internacionales de Datos del Reino Unido; para Suiza, las Cláusulas se aplican con las adaptaciones exigidas por el Derecho suizo; y para Turquía, nos basamos en las garantías previstas en el artículo 9 de la KVKK, como los contratos tipo.

8. Solicitudes de los interesados

Si un interesado se pone en contacto directamente con nosotros en relación con datos del Cliente, remitiremos la solicitud al Cliente y no responderemos nosotros, salvo para dirigirle al Cliente o cuando la ley nos obligue a ello.

9. Devolución y supresión

Cuando finalice la suscripción del Cliente, este podrá exportar sus datos antes de cerrar sus cuentas. Después, suprimiremos los datos personales del Cliente de nuestros sistemas activos en un plazo de 30 días, salvo que la ley nos obligue a conservarlos. Las copias de seguridad que mantienen nuestros proveedores de alojamiento caducan según su calendario habitual.

10. Responsabilidad, prelación y ley aplicable

La responsabilidad derivada de este DPA está sujeta a las limitaciones de los Términos, salvo cuando la ley no las permita. En caso de conflicto, prevalecen las Cláusulas Contractuales Tipo, después este DPA y después los Términos. Este DPA se rige por la ley que rige los Términos, es decir, la ley del Estado de Nuevo México (EE. UU.), salvo las Cláusulas Contractuales Tipo, que se rigen por la ley que ellas mismas especifican.

11. Contacto

T2MA Labs LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. Correo electrónico: [email protected]