Acuerdo de encargo de tratamiento (DPA)

1. Partes, roles y alcance

Este Acuerdo de Encargo de Tratamiento («DPA») forma parte de los Términos y condiciones y de la Política de privacidad de Sice, con sede en Santa Cruz de la Sierra, Bolivia, y regula el tratamiento de datos personales cuando un negocio u organización («el Cliente») utiliza un espacio de trabajo en Sice.

El Cliente actúa como responsable del tratamiento de los datos personales que carga sobre sus propios clientes, pacientes, prospectos o colaboradores, y le corresponde contar con la base legal, los avisos de privacidad y los consentimientos necesarios. Sice actúa únicamente como encargado del tratamiento (o proveedor de servicios bajo leyes equivalentes), tratando dichos datos por cuenta del Cliente y conforme a sus instrucciones documentadas.

2. Objeto, duración y naturaleza del tratamiento

• Objeto y finalidad: prestar los módulos contratados, el espacio de trabajo, las funciones de inteligencia artificial y las integraciones conectadas por el Cliente, sin vender ni compartir los datos personales con fines de publicidad comportamental de terceros.
• Duración: mientras el espacio de trabajo del Cliente permanezca activo, más el plazo de retención y supresión de la sección 4.
• Categorías de interesados: clientes, clientes potenciales, pacientes, proveedores, visitantes de los sitios del Cliente y colaboradores del equipo del Cliente.
• Tipos de datos tratados: datos de contacto e identificación, registros comerciales y contables, conversaciones y mensajes (correo, WhatsApp, chat), documentos y archivos, datos laborales (si el Cliente activa Recursos humanos), datos clínicos y de salud (si el Cliente activa Salud) y ubicación puntual en prospección.

3. Obligaciones de Sice como encargado

• Instrucciones documentadas: tratar los datos personales únicamente para prestar el servicio conforme a los Términos y condiciones, la configuración del espacio de trabajo y las acciones que el Cliente ejecuta en la aplicación o la API, avisando al Cliente si una instrucción contraviene la normativa aplicable.
• Confidencialidad y registro de personal: garantizar que toda persona autorizada a tratar datos en nombre de Sice esté sujeta a obligaciones de confidencialidad, registrando toda acción administrativa del personal de soporte en bitácoras de auditoría.
• Seguridad técnica y organizativa: mantener las medidas de aislamiento y cifrado descritas en la sección 5.
• Asistencia en derechos de los interesados: facilitar al Cliente la atención de solicitudes de acceso, rectificación, supresión, oposición y portabilidad mediante las exportaciones nativas en CSV, Excel y PDF de los módulos o la entrega de copia íntegra previa solicitud.
• Notificación de incidentes de seguridad: notificar al Cliente cualquier incidente de seguridad confirmado que comprometa datos personales de su espacio de trabajo sin dilación indebida y dentro de las 72 horas siguientes a su confirmación, indicando el alcance conocido y las medidas de mitigación adoptadas.
• Evaluaciones y auditoría: proporcionar la información técnica necesaria para acreditar el cumplimiento de este DPA y permitir hasta una auditoría razonable al año (o ante un incidente confirmado), con preaviso de 30 días y resguardando la confidencialidad de otros clientes.

4. Fin del servicio y supresión criptográfica

Cuando el Cliente elimina su espacio de trabajo desde la aplicación, este permanece 30 días en estado de recuperación («eliminados») por si desea restaurarlo, o se purga antes si el titular lo solicita expresamente. Cumplido ese plazo, Sice elimina de forma permanente la base de datos del espacio, sus archivos, sus claves de API y sus dominios, y destruye sus llaves de cifrado (borrado criptográfico), dejando ilegibles las copias anteriores hasta que las copias de seguridad rotan en aproximadamente dos semanas.

La existencia de facturas pendientes con Sice no impide ni retrasa la eliminación de los datos personales de los clientes o pacientes del espacio de trabajo; Sice conserva únicamente sus propios comprobantes fiscales por obligación legal. El detalle del procedimiento consta en Eliminación de datos.

5. Medidas técnicas y organizativas (Anexo de seguridad)

• Aislamiento por espacio de trabajo: cada espacio de trabajo opera sobre su propia base de datos aislada y con su propio juego de llaves de cifrado.
• Cifrado en tránsito y en reposo: todas las conexiones emplean TLS. Los secretos, tokens de integraciones, contraseñas de buzones, cuerpos de correo personal y salas de chat se cifran con AES-256-GCM mediante llaves por espacio de trabajo y por persona envueltas por una llave maestra custodiada fuera de la base de datos, permitiendo rotar o destruir la llave de un espacio o usuario sin afectar a los demás.
• Protección reforzada de datos clínicos: en el módulo Salud, el texto de las consultas (motivo, evaluación SOAP, notas de diagnósticos y notas complementarias), las notas de casos de vigilancia epidemiológica y los documentos y PDFs de la carpeta del paciente se almacenan cifrados en reposo con AES-256-GCM bajo la llave del espacio de trabajo. Además, cada acceso clínico queda registrado en una bitácora inmutable y las consultas firmadas solo admiten adendas fechadas.
• Control de acceso y autenticación: permisos granulares por módulo y acción, segundo factor de autenticación (TOTP y passkeys WebAuthn), bloqueo ante intentos fallidos, sesiones revocables y límites de tasa por cuenta y dirección IP.
• Copias de seguridad verificadas: respaldos diarios de las bases de datos con verificación periódica de restauración en un entorno aislado.

6. Lista vinculante de subencargados y aviso de cambios

El Cliente otorga autorización general a Sice para recurrir a los siguientes subencargados, cada uno limitado estrictamente a la función indicada:

• Anthropic, PBC (Estados Unidos): procesamiento de instrucciones de texto, asistentes y agentes de inteligencia artificial cuando el Cliente utiliza funciones de IA.
• Google LLC (Estados Unidos): modelos Gemini y Veo para generación de imagen y video con IA, Firebase Cloud Messaging para notificaciones push y Google Maps Platform para mapas y direcciones.
• Zoho Corporation (Estados Unidos y Unión Europea): envío de correos transaccionales del sistema (códigos de seguridad, invitaciones y avisos operativos).
• Meta Platforms, Inc. (Estados Unidos): entrega de códigos y avisos por WhatsApp Cloud API, y canales de WhatsApp Business, Facebook, Instagram y Threads cuando el Cliente conecta sus propias cuentas.
• OpenStreetMap Foundation (Reino Unido y Unión Europea): geocodificación y búsqueda de direcciones en mapas (Nominatim).
• TikTok, LinkedIn y Microsoft (Estados Unidos y región de la cuenta del Cliente): publicación, mensajería, anuncios, correo o calendario, únicamente cuando el Cliente decide conectar esas integraciones en su espacio de trabajo.
• Servicio de Impuestos Nacionales — SIN (Bolivia): emisión de facturación electrónica, únicamente si el Cliente activa y configura la integración fiscal en Bolivia.

Sice impone a cada subencargado compromisos de protección de datos y confidencialidad equivalentes a los de este DPA. Antes de incorporar un nuevo subencargado o reemplazar uno existente, Sice notificará al titular del espacio de trabajo por correo electrónico y actualizará esta página con al menos 30 días de anticipación, permitiendo al Cliente oponerse por motivos fundados de protección de datos o dar de baja el servicio sin penalización.

7. Transferencias internacionales y contacto

Cuando el uso de los subencargados de la sección 6 implique tratar datos fuera del país del Cliente (incluidos el Espacio Económico Europeo, el Reino Unido, Suiza, Brasil o California), Sice aplica las salvaguardas legales correspondientes, incluidas las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión UE 2021/914, módulo encargado a encargado o responsable a encargado según corresponda), las cláusulas equivalentes de la LGPD de Brasil y los compromisos de proveedor de servicios bajo la CCPA/CPRA de California.

Para consultas, solicitudes de auditoría o notificaciones relativas a este DPA, escribe a contact@sice.site, por WhatsApp al +591 62134124 o mediante nuestra página de contacto.