Acuerdo de tratamiento de datos (DPA)

Vigente desde el 15 de noviembre de 2026 · versión 1.0

Este acuerdo forma parte de los Términos del servicio y regula los datos personales que tratamos por tu cuenta.

1. Roles

El Cliente actúa como responsable y ganyant como encargado respecto de los datos personales que el Cliente carga o recolecta a través del servicio (“Datos Personales del Cliente”). Para los datos de la cuenta del Cliente, ganyant es responsable según su Política de privacidad.

2. Objeto y duración

Objeto	Prestación de monitoreo, auditoría de seguridad, telemetría, backups cifrados y páginas de estado.
Duración	Mientras esté vigente la suscripción y hasta la eliminación de los datos.
Interesados	Miembros del equipo del Cliente, suscriptores de sus páginas de estado y personas cuyas IPs aparecen en eventos de seguridad.
Datos	Emails, nombres, direcciones IP, nombres de host y registros técnicos. El contenido de los backups está cifrado de extremo a extremo y es inaccesible para ganyant.
Datos sensibles	El servicio no está diseñado para tratarlos. El Cliente no debe cargarlos fuera de los backups cifrados.

3. Obligaciones de ganyant

Tratar los datos solo según las instrucciones documentadas del Cliente, que son los Términos y la configuración que realiza en el servicio.
Garantizar que el personal con acceso esté sujeto a deberes de confidencialidad.
Aplicar las medidas técnicas y organizativas del Anexo I.
Asistir al Cliente para responder solicitudes de los interesados y para evaluaciones de impacto, en la medida razonable.
Notificar al Cliente sin demora indebida, y en todo caso dentro de las 48 horas, cualquier incidente de seguridad que afecte sus datos personales, con la información disponible para que pueda cumplir sus propias obligaciones.
Al finalizar el servicio, eliminar los datos dentro de los 30 días, salvo obligación legal de conservación.

4. Subencargados

El Cliente autoriza el uso de los subprocesadores publicados. Avisaremos con al menos 30 días de anticipación la incorporación de uno nuevo, por email y en esa página. El Cliente podrá oponerse por motivos razonables; si no hay solución, podrá cancelar y recibir el reintegro prorrateado del período no utilizado. ganyant impone a cada subencargado obligaciones equivalentes a las de este acuerdo.

5. Transferencias internacionales

Cuando los datos se transfieran fuera del país de origen, se aplicarán garantías adecuadas: cláusulas contractuales tipo de la Agencia de Acceso a la Información Pública, cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) o mecanismos equivalentes.

6. Auditoría

A pedido razonable y con un máximo de una vez por año, ganyant pondrá a disposición la información necesaria para demostrar el cumplimiento de este acuerdo, incluyendo cuestionarios de seguridad y certificaciones de sus proveedores.

7. Firma

Este DPA se acepta junto con los Términos. Si tu organización necesita una copia firmada, escribinos a legal@ganyant.com.

Anexo I · Medidas técnicas y organizativas

Cifrado: TLS 1.2+ en tránsito; cifrado en reposo en base de datos y almacenamiento; backups cifrados en origen con XChaCha20-Poly1305 y claves Argon2id que el Cliente controla.
Control de acceso: aislamiento por workspace mediante Row Level Security en PostgreSQL; roles (dueño, admin, miembro, solo lectura); mínimo privilegio en accesos administrativos.
Credenciales: API keys almacenadas como hash SHA-256 y mostradas una sola vez; secretos de terceros cifrados con AES-256-GCM.
Aplicación: cabeceras de seguridad (HSTS, CSP, X-Frame-Options), protección CSRF, validación de entradas, bloqueo de destinos de red privada (SSRF) y límites de frecuencia.
Disponibilidad: infraestructura en proveedores con redundancia multi-zona, monitorización externa propia y respaldos de la base de datos.
Gestión: registro de auditoría de acciones sensibles, procedimiento de respuesta a incidentes y revisión periódica de dependencias.

¿Dudas sobre este documento? Escribinos a legal@ganyant.com.