Acuerdo de Tratamiento de Datos (DPA)
Versi贸n 1.0 路 Vigencia: 2026 路 Este documento es una plantilla de referencia. Para operar con un cliente lo firmamos como anexo al contrato de servicio.
1. Partes
- Encargado del tratamiento (Data Processor): Mekovault SpA, Santiago de Chile.
- Responsable del tratamiento (Data Controller): el Cliente que contrata los servicios de Mekovault.
2. Objeto
Este DPA regula el tratamiento de datos personales que Mekovault realiza por cuenta y en nombre del Cliente como consecuencia de la prestaci贸n de servicios (gesti贸n de identidades corporativas en Google Workspace, Microsoft Entra y otros directorios).
3. Categor铆as de datos tratados
- Empleados del Cliente: nombre, apellido, email corporativo, cargo, departamento, manager, permieres asignados, IP y user-agent de sesiones.
- Solicitantes externos (formulario p煤blico): email, nombre, motivo de la solicitud.
- Registros de actividad: audit log inmutable de todas las acciones administrativas realizadas sobre las identidades del Cliente.
4. Duraci贸n
Mientras dure el contrato de servicios. Al terminar, Mekovault ejecuta el borrado de los datos del Cliente en un plazo m谩ximo de 30 d铆as calendario, salvo obligaciones legales de conservaci贸n (facturaci贸n tributaria, audit logs de plataforma).
5. Obligaciones de Mekovault (Encargado)
- Tratar los datos 煤nicamente seg煤n las instrucciones documentadas del Cliente.
- Aplicar medidas t茅cnicas y organizativas apropiadas: cifrado en tr谩nsito TLS 1.3, aislamiento multi-tenant con Row-Level Security en PostgreSQL, vault dedicado por Cliente en Infisical, backups cifrados AES-256 en Backblaze B2 con object lock.
- Garantizar que su personal se compromete a mantener la confidencialidad.
- Notificar al Cliente sin dilaci贸n indebida (dentro de 72 horas) ante cualquier violaci贸n de seguridad que afecte datos personales.
- Asistir al Cliente en el cumplimiento de sus obligaciones frente a solicitudes de titulares (derechos ARCO / GDPR Art. 15-22).
- Asistir al Cliente en la realizaci贸n de evaluaciones de impacto (DPIA) cuando sean requeridas.
6. Sub-encargados
Mekovault contrata sub-encargados para prestar el servicio. La lista actualizada est谩 publicada en /legal/sub-processors. Notificamos con 30 d铆as de anticipaci贸n cualquier cambio.
7. Transferencias internacionales
Los datos del Cliente se procesan principalmente en Estados Unidos (AWS us-east-1) con backup en Backblaze B2 US-West. Ambos proveedores est谩n adheridos al marco EU-US Data Privacy Framework (para datos de residentes UE).
8. Derechos de auditor铆a
El Cliente puede auditar el cumplimiento de este DPA con 15 d铆as de aviso previo. Alternativamente Mekovault entrega evidencias documentales (informes SOC 2, pol铆ticas internas) cuando as铆 se solicite.
9. Devoluci贸n o supresi贸n de datos
A pedido del Cliente y en cualquier momento:
- Exportaci贸n: Mekovault entrega los datos del Cliente en formato estructurado (JSON/CSV) en un plazo de 15 d铆as.
- Borrado: se ejecuta la eliminaci贸n completa (DB + sub-encargados) en un plazo de 30 d铆as. Excepciones: audit log de plataforma (5 a帽os) y backups con object lock (hasta que expire la retenci贸n).
10. Responsabilidad
Cada Parte responde por los da帽os causados por su incumplimiento de este DPA o de la normativa aplicable de protecci贸n de datos, hasta el l铆mite establecido en el contrato de servicios.
11. Legislaci贸n aplicable
Este DPA se rige por las leyes de la Rep煤blica de Chile, en particular la Ley 21.719. Para clientes con titulares en la Uni贸n Europea, aplica adicionalmente el Reglamento (UE) 2016/679 (RGPD).
Solicitar la versi贸n firmable del DPA: escribir a legal@mekovault.com o directamente a cloud@mekovault.com.