Acuerdo de Procesamiento de Datos

Este DPA describe cómo WBRS procesa datos personales en nombre de nuestros clientes, en cumplimiento con las leyes de protección de datos aplicables.

Última actualización: 13 de marzo, 2026DPA v1.0

En este Acuerdo de Procesamiento de Datos (“DPA”), los siguientes términos tienen los significados indicados:

  • “Controlador”: el Cliente que determina los fines y medios del procesamiento de datos personales.
  • “Procesador”: WBRS Platform, S.A., que procesa datos personales en nombre del Controlador.
  • “Datos Personales”: cualquier información relativa a una persona física identificada o identificable.
  • “Interesado”: la persona física a quien se refieren los datos personales.
  • “Brecha de Datos”: violación de seguridad que resulte en destrucción, pérdida, alteración o acceso no autorizado a datos personales.

WBRS procesa datos personales únicamente según las instrucciones documentadas del Cliente y con el fin de proporcionar el Servicio. Las categorías de datos y de interesados incluyen:

  • Categorías de datos: datos de contacto, datos de transacciones comerciales, datos financieros, datos de uso de la plataforma.
  • Categorías de interesados: empleados del Cliente, clientes del Cliente, proveedores del Cliente.
  • Fines del procesamiento: provisión del Servicio SaaS, soporte técnico, procesamiento de pagos, generación de reportes.

Como Procesador, WBRS se compromete a:

  • Procesar datos personales solo según las instrucciones documentadas del Cliente.
  • Garantizar que el personal autorizado se comprometa a la confidencialidad.
  • Implementar medidas técnicas y organizativas apropiadas de seguridad.
  • Respetar las condiciones para contratar sub-procesadores.
  • Asistir al Cliente en el cumplimiento de sus obligaciones respecto a los derechos de los interesados.
  • Eliminar o devolver todos los datos personales al finalizar el Servicio.
  • Poner a disposición del Cliente toda la información necesaria para demostrar cumplimiento.

Como Controlador, el Cliente se compromete a:

  • Garantizar que tiene una base legal válida para el procesamiento de datos personales.
  • Proporcionar instrucciones claras y documentadas a WBRS sobre el procesamiento.
  • Informar a los interesados sobre el procesamiento de sus datos.
  • Mantener un registro de actividades de procesamiento según la ley aplicable.

WBRS puede contratar sub-procesadores para proporcionar el Servicio. La lista actualizada de sub-procesadores está disponible en wbrs.app/legal/sub-procesadores.

Notificaremos al Cliente con al menos 30 días de anticipación antes de añadir o reemplazar un sub-procesador. El Cliente puede objetar razonablemente al nuevo sub-procesador dentro de los 14 días siguientes a la notificación.

WBRS implementa medidas técnicas y organizativas apropiadas, incluyendo:

  • Cifrado TLS 1.3 en tránsito y AES-256 en reposo.
  • Aislamiento multi-tenant con Row Level Security (RLS).
  • Control de acceso basado en roles y principio de mínimo privilegio.
  • Monitoreo continuo y detección de intrusiones.
  • Backups regulares y plan de recuperación ante desastres.

Para más detalles, consulte nuestra página de Seguridad.

Cuando los datos personales se transfieran fuera de la jurisdicción del Cliente, WBRS garantizará que existan salvaguardas adecuadas, como cláusulas contractuales estándar aprobadas. Los datos se procesan principalmente en Google Cloud Platform (región us-central1), con opciones de residencia de datos para clientes Enterprise.

WBRS asistirá al Cliente en el cumplimiento de solicitudes de los interesados (acceso, rectificación, eliminación, portabilidad, oposición) proporcionando herramientas de exportación de datos en el panel de administración y respondiendo a solicitudes técnicas en un plazo de 10 días hábiles.

WBRS pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA. Los clientes Enterprise pueden solicitar una auditoría anual bajo las siguientes condiciones:

  • Notificación con al menos 30 días de anticipación.
  • Alcance limitado al procesamiento de datos del Cliente solicitante.
  • Realizada por un auditor independiente sujeto a obligaciones de confidencialidad.
  • Durante horario laboral y sin interrumpir las operaciones normales.

En caso de una brecha de datos personales, WBRS notificará al Cliente sin demora indebida y en todo caso dentro de las 72 horas siguientes al conocimiento de la brecha. La notificación incluirá:

  • Naturaleza de la brecha y categorías de datos afectados.
  • Número aproximado de interesados y registros afectados.
  • Medidas tomadas o propuestas para mitigar los efectos.
  • Punto de contacto para más información.

Al finalizar el Servicio, WBRS proporcionará al Cliente la opción de exportar sus datos en formato estándar (JSON/CSV) durante un período de 30 días. Transcurrido este período, WBRS eliminará todos los datos personales de sus sistemas, excepto cuando la retención sea requerida por ley. Se proporcionará certificación de eliminación a solicitud del Cliente.

Este DPA entra en vigor junto con los Términos de Servicio y permanecerá vigente mientras WBRS procese datos personales en nombre del Cliente. Las obligaciones de confidencialidad y protección de datos sobreviven a la terminación del acuerdo.