Acuerdo de encargo de tratamiento

1.Partes y objeto

1.1. Este acuerdo («Acuerdo») se celebra entre:

• el Cliente: la persona o empresa titular de una cuenta de Vitalnodo (técnico informático, MSP u organización que administra sus propios equipos); y
• Karim Boulares, persona natural con domicilio en Tegucigalpa, Honduras, que presta el servicio Vitalnodo («el Proveedor»). Contacto: privacidad@vitalnodo.com.

1.2. Forma parte de los Términos de servicio y se acepta al aceptarlos. Si hay contradicción en materia de protección de datos, prevalece este Acuerdo.

1.3. Regula el tratamiento de datos personales que el Proveedor realiza por cuenta del Cliente al prestar el Servicio. No cubre los datos de la cuenta (usuarios, facturación, seguridad del acceso), que el Proveedor trata como responsable según su Política de privacidad.

2.Papeles de las partes

2.1. El Cliente es el responsable del tratamiento (en Perú, titular del banco de datos personales) cuando decide por sí mismo monitorizar los equipos. Cuando el Cliente presta servicios a un tercero (su «Cliente final», propietario de los equipos), puede actuar como encargado de ese Cliente final. En ese caso, el Proveedor actúa como subencargado, y el Cliente garantiza que su contrato con el Cliente final le autoriza a recurrir al Proveedor y a sus subencargados en los términos de este Acuerdo.

2.2. El Proveedor es encargado (o subencargado) del tratamiento conforme a:

• la Ley 29733 de Protección de Datos Personales del Perú y su Reglamento (DS 016-2024-JUS), en lo relativo al encargo de tratamiento y la subcontratación;
• el art. 28 del Reglamento (UE) 2016/679 (RGPD), cuando el Cliente o el Cliente final estén sujetos al RGPD;
• la normativa de Honduras y de cualquier otra jurisdicción que resulte aplicable.

3.Descripción del tratamiento

Se detalla en el Anexo I: objeto, duración, naturaleza, finalidad, tipos de datos y categorías de interesados.

4.Obligaciones del Cliente

El Cliente:

1. garantiza que tiene base legal para el tratamiento y, en particular, la autorización del propietario de cada equipo donde instala el agente;
2. informa a los usuarios de los equipos cuando la ley lo exige. El aviso del instalador de Vitalnodo le ayuda, pero no le exime: en las instalaciones silenciosas o masivas el aviso no se muestra en pantalla;
3. no usa el Servicio para vigilar a personas ni para fines incompatibles con la administración técnica de equipos;
4. no incluye datos sensibles en los campos de texto libre (notas, etiquetas, nombres de clientes o equipos) ni sube como icono fotos de personas o imágenes con datos personales;
5. cumple las obligaciones que le correspondan como responsable ante la autoridad de su país (por ejemplo, la inscripción de sus bancos de datos o la comunicación de flujos transfronterizos, cuando sean exigibles).

5.Obligaciones del Proveedor

5.1. Instrucciones. El Proveedor trata los datos solo para prestar el Servicio y según las instrucciones documentadas del Cliente, que son: estos documentos, la configuración que el Cliente hace en la aplicación (equipos, clientes, iconos, reglas de alerta, destinatarios, plan) y las instrucciones escritas adicionales que acuerden las partes. No usa los datos para fines propios ni los comunica a terceros, salvo a los subencargados del Anexo III o por obligación legal. Si una norma le obliga a tratarlos de otra forma, lo informará al Cliente antes, salvo que esa norma lo prohíba. Si considera que una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato.

5.2. Confidencialidad. Garantiza que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad.

5.3. Seguridad. Aplica las medidas técnicas y organizativas del Anexo II. Puede actualizarlas siempre que no reduzca el nivel general de protección.

5.4. Subencargados. Cumple lo previsto en la sección 6.

5.5. Derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, ayuda al Cliente a responder las solicitudes de ejercicio de derechos (ARCO y, en su caso, los del capítulo III del RGPD). Si recibe una solicitud directamente, la trasladará al Cliente en un plazo de 5 días hábiles y no la responderá por su cuenta salvo instrucción del Cliente. El Cliente puede, por sí mismo, consultar, corregir y eliminar equipos y clientes, y exportar los datos de la cuenta en JSON desde la aplicación.

5.6. Incidentes de seguridad. Notificará al Cliente cualquier incidente que afecte a los datos tratados por su cuenta sin dilación indebida desde que lo confirme, con el objetivo de hacerlo en un máximo de 72 horas y, cuando sea posible, antes, para que el Cliente pueda cumplir sus propios plazos (en Perú, 48 horas ante la Autoridad Nacional de Protección de Datos Personales en los supuestos de su Reglamento; en el RGPD, 72 horas ante la autoridad de control). La notificación se enviará por email al propietario de la cuenta e incluirá, en la medida en que se conozcan: descripción del incidente, categorías y volumen aproximado de datos e interesados afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. Si no dispone de toda la información, la facilitará por fases.

5.7. Asistencia adicional. Proporciona al Cliente la información razonable que necesite para evaluaciones de impacto y consultas previas, según la naturaleza del tratamiento y la información de que disponga.

5.8. Devolución y supresión. Ver la sección 8.

5.9. Demostración de cumplimiento y auditorías. Ver la sección 9.

5.10. Registro. Mantiene un registro de las actividades de tratamiento que realiza por cuenta de sus clientes cuando la ley lo exija.

6.Subencargados

6.1. Autorización general. El Cliente autoriza de forma general al Proveedor a recurrir a los subencargados del Anexo III, publicados también en Subencargados.

6.2. Cambios. El Proveedor avisará al Cliente por email y en la página de subencargados de cualquier alta o sustitución de subencargados con al menos 30 días de antelación. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si no se encuentra una solución, el Cliente puede terminar el Servicio y, en un plan de pago, tiene derecho al reembolso de la parte proporcional prepagada no consumida.

6.3. Mismas obligaciones. El Proveedor solo usa subencargados que ofrecen garantías suficientes y que asumen por contrato obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo. El Proveedor responde ante el Cliente del cumplimiento de sus subencargados.

7.Transferencias internacionales

7.1. Los subencargados tratan los datos principalmente en Estados Unidos (la base de datos y el almacenamiento están en la región Este de Norteamérica de Cloudflare) y, en el caso de Cloudflare, también en su red global de centros de datos. El Cliente autoriza esas transferencias en los términos de esta sección.

7.2. Perú. El flujo transfronterizo se realiza hacia destinatarios que asumen por contrato obligaciones de protección equivalentes a las de la Ley 29733 (art. 15) y su Reglamento.

7.3. RGPD. Cuando el Cliente transfiera al Proveedor datos sujetos al RGPD, las partes incorporan por referencia las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 (módulo 2 si el Cliente es responsable; módulo 3 si es encargado), con los Anexos I y II de este Acuerdo como apéndices. Las transferencias al subencargado se basan en sus propias garantías: Cloudflare declara estar certificado en el Marco de Privacidad de Datos UE-EE. UU. y ofrece cláusulas contractuales tipo.

8.Devolución y supresión de los datos

8.1. Durante la vigencia del Servicio, el Cliente puede exportar los datos de la cuenta en JSON desde la aplicación (propietario y administradores), en Ajustes › Privacidad y datos.

8.2. Retención en curso. El Proveedor aplica automáticamente estos plazos:

• historial de métricas: 7, 30 o 90 días según el plan (Free, Técnico, Pro y MSP);
• alertas resueltas: 30 días (Free y Técnico) o 90 días (Pro y MSP);
• notificaciones en la app: 90 días;
• registro de auditoría: 400 días;
• último informe y última postura de seguridad de cada equipo: mientras el equipo esté en la cuenta;
• iconos subidos: hasta que el Cliente los borre o elimine la cuenta.

8.3. Eliminación de un equipo. Al eliminar un equipo se borran de inmediato su historial de métricas, su último informe y su postura de seguridad, y el Servicio deja de aceptar sus envíos. Se conserva un registro mínimo del equipo (identificador, nombre, sistema operativo, clave pública y resumen del identificador de máquina) durante 30 días, y después se purga.

8.4. Fin del Servicio. Al eliminar la cuenta, el Proveedor suprime de inmediato de la base de datos del Servicio todos los datos tratados por cuenta del Cliente y borra del almacenamiento los iconos subidos. Las copias de recuperación automáticas de la base de datos pueden conservarlos hasta 30 días, tras los cuales desaparecen. Los emails de alerta ya entregados quedan en los buzones de sus destinatarios y en los registros del proveedor de email según su conservación. Si el Cliente quiere conservar los datos, debe exportarlos antes de eliminar la cuenta. Si una norma obliga a conservar algún dato, el Proveedor lo bloqueará y lo conservará solo durante el plazo legal.

8.5. Si la cuenta termina por otra causa (por ejemplo, por decisión del Proveedor según los Términos), el Proveedor dará al Cliente un plazo razonable, no inferior a 15 días salvo causa legal o de seguridad, para exportar los datos antes de suprimirlos.

9.Información y auditorías

9.1. El Proveedor pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo, en primer lugar mediante documentación y respuestas a cuestionarios razonables.

9.2. Si eso no basta, o si lo exige una autoridad, el Cliente (o un auditor independiente obligado a confidencialidad que no sea competidor del Proveedor) puede realizar una auditoría, como máximo una vez al año salvo incidente grave, con 30 días de aviso, en horario laboral y sin acceder a datos de otros clientes. Los costes corren a cargo del Cliente. Las auditorías de los subencargados se sustituyen por la documentación y las certificaciones que estos publican.

9.3. El Proveedor no declara certificaciones propias (como ISO 27001 o SOC 2).

10.Responsabilidad

La responsabilidad de cada parte por este Acuerdo se rige por la sección de limitación de responsabilidad de los Términos, salvo cuando la ley no permita limitarla.

11.Duración

Este Acuerdo rige mientras el Proveedor trate datos por cuenta del Cliente y, después, hasta que se completen la supresión o la devolución de la sección 8.

12.Acceso remoto (función futura)

El acceso remoto (terminal y escritorio) no está disponible en la versión actual: está desactivado en el Servicio y el agente distribuido no lo contiene. Si se activa, implicará nuevos tratamientos (contenido de pantalla y de terminal transmitido en tiempo real, historial de sesiones) y se regulará mediante condiciones adicionales y una actualización de este Acuerdo y de sus anexos, que el Cliente deberá aceptar antes de usarla.

13.Ley aplicable

Este Acuerdo se rige por la ley de la República de Honduras, sin perjuicio de que las cláusulas contractuales tipo de la sección 7.3 se rijan por la ley que en ellas se indique y de las normas imperativas de protección de datos que resulten aplicables al Cliente.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

Medidas aplicadas en la versión 1.0 del Servicio. La página de Seguridad las explica con lenguaje sencillo.

1. Cifrado en tránsito

Toda comunicación del agente y del navegador con el Servicio usa HTTPS (TLS). El agente valida el certificado con las raíces de confianza del sistema y no admite conexiones sin cifrar fuera del modo de desarrollo local; el instalador de Windows exige TLS 1.2 o superior. La web envía HSTS, una política de seguridad de contenido (CSP) estricta y otras cabeceras de seguridad (X-Content-Type-Options, Referrer-Policy: no-referrer, frame-ancestors 'none'). El agente solo inicia conexiones salientes: no abre puertos en el equipo.

2. Identidad de los equipos

Cada equipo genera en la inscripción su propio par de claves Ed25519. La clave privada no sale del equipo y se guarda en un directorio solo accesible por root o SYSTEM (y Administradores en Windows); el Servicio solo guarda la clave pública. Cada petición del agente va firmada (método, ruta, hora y resumen SHA-256 del cuerpo). El Servicio rechaza las firmas inválidas, las peticiones con más de 300 segundos de desfase y los equipos eliminados, y descarta los informes repetidos por su identificador único. El identificador de máquina se envía solo como resumen SHA-256.

3. Sin secretos reutilizables en la base de datos

Las claves de inscripción y los tokens de sesión web se guardan solo como resumen SHA-256. El secreto TOTP y la licencia de compra se guardan cifrados con AES-GCM con una clave que no está en la base de datos. Las claves de firma del servidor no están en la base de datos, y la clave de publicación de versiones solo existe en la máquina de compilación, fuera de la nube.

4. Aislamiento entre cuentas

Cada consulta se filtra por la cuenta de la sesión autenticada, nunca por un valor enviado por el navegador. Identificadores aleatorios no correlativos. Los iconos se guardan en almacenamiento de objetos y solo se sirven a usuarios autenticados de la cuenta que los subió; se aceptan solo PNG, JPEG o WebP comprobados por su contenido (nunca SVG), de hasta 256 KB y con límites de número y frecuencia. Roles dentro de la cuenta y limitación opcional de cada usuario a determinados clientes.

5. Autenticación de usuarios

Contraseñas con PBKDF2-SHA256 (100 000 iteraciones) y sal aleatoria de 16 bytes; mínimo 10 caracteres y rechazo de contraseñas comunes. Verificación en dos pasos (TOTP) disponible para todos los usuarios. Bloqueo tras 10 intentos fallidos en 15 minutos por email y 30 por IP; las respuestas no revelan si un email existe. Cookie de sesión HttpOnly, Secure y SameSite=Lax, con caducidad máxima de 14 días; las operaciones de cambio exigen comprobación de origen y cabecera anti-CSRF. Límites de frecuencia en registro, inicio de sesión, recuperación, inscripción de equipos y exportación.

6. Auditoría y avisos

Registro de auditoría de acciones sensibles con usuario, IP y fecha, conservado 400 días y visible para el Cliente. Avisos por email al titular de la cuenta por inicio de sesión desde una IP nueva, desactivación del 2FA y creación de claves de inscripción.

7. Control de la inscripción de equipos

Claves de inscripción rotables y revocables, con caducidad y número máximo de usos opcionales. En el plan MSP, aprobación manual opcional de cada equipo nuevo. Los cambios de clave al reinstalar un equipo quedan auditados.

8. Integridad del agente

Los instaladores verifican el SHA-256 del binario antes de instalarlo. Las actualizaciones automáticas se basan en un manifiesto firmado con Ed25519, cuya clave pública está compilada en el agente; el agente verifica firma y SHA-256 antes de instalar y restaura la versión anterior si la nueva no informa en 5 minutos. Los informes tienen límites de tamaño y de rango validados en el agente y en el Servicio.

9. Disponibilidad y recuperación

Infraestructura de Cloudflare. La base de datos permite restaurar su estado a cualquier momento de los últimos 30 días. El almacenamiento de objetos se cifra en reposo según el proveedor.

10. Minimización y retención

El agente no recoge archivos, documentos, navegación, pulsaciones, capturas de pantalla ni procesos con argumentos (Anexo I). La postura de seguridad se lee sin modificar el equipo. Para saber si un sistema sigue con soporte, el Servicio consulta un catálogo público sin enviar datos de los equipos. Purga diaria automática según los plazos de la sección 8. La versión 1.0 se distribuye sin la función de acceso remoto.

11. Medidas organizativas

El acceso a la infraestructura de producción se limita al personal autorizado del Proveedor (actualmente, el titular) con cuentas personales. Antes del lanzamiento se realizaron dos auditorías internas independientes del código y la configuración, y los fallos detectados se corrigieron. El Proveedor sigue un procedimiento de gestión de incidentes con los plazos de la sección 5.6 y revisa este anexo cuando cambia la arquitectura. El Proveedor no declara cifrado en reposo propio de la base de datos, salvo el de los secretos indicados en el punto 3, ni certificaciones propias.

Anexo III. Subencargados autorizados

Gumroad, Inc. no trata datos de los equipos: solo datos de facturación de la cuenta del Cliente, en relación directa con este como revendedor. Se menciona en la Política de privacidad y en Subencargados.