Acuerdo de Procesamiento de Datos (DPA)

1. Objeto, Alcance y Definición de Roles

El presente Acuerdo de Procesamiento de Datos ("DPA") forma parte integral de los Términos y Condiciones de Uso celebrados entre el comercio, barbería, peluquería, spa o centro estético suscriptor (el "Cliente", "Inquilino" o "Responsable del Tratamiento / Data Controller") y VEHOLDLABS, entidad desarrolladora y operadora de Páutalo (el "Encargado del Tratamiento / Data Processor").

Este DPA regula el tratamiento de los Datos Personales de los clientes finales, empleados y colaboradores del Inquilino que son ingresados, agendados o procesados dentro del esquema aislado del Inquilino en la plataforma Páutalo.

2. Obligaciones del Encargado del Tratamiento (VEHOLDLABS)

VEHOLDLABS se compromete y obliga frente al Inquilino a:

• Tratamiento bajo Instrucción Documentada: Procesar los Datos Personales del Inquilino únicamente para proveer las funcionalidades del software Páutalo (agenda, recordatorios, control de clientes, inventario y POS), conforme a las instrucciones configuradas por el Inquilino en la Plataforma.
• Prohibición de Venta o Uso Cruzado: No vender, ceder, alquilar ni compartir la base de datos de clientes de un Inquilino con ningún otro salón, competidor o tercero publicitario.
• Confidencialidad del Personal: Garantizar que todo el personal técnico de VEHOLDLABS con acceso a la infraestructura de producción esté sujeto a acuerdos estrictos de confidencialidad y opere bajo el principio de mínimo privilegio.
• Asistencia al Inquilino: Brindar herramientas directas dentro de la aplicación y soporte técnico para que el Inquilino pueda atender solicitudes de acceso, rectificación o eliminación de datos formuladas por sus clientes finales.

3. Obligaciones del Inquilino (Establecimiento)

El Inquilino, en su calidad de propietario y Responsable del Tratamiento de los datos de su negocio, declara y garantiza que:

• Ha recabado de forma lícita y transparente los datos personales de sus clientes finales y cuenta con su consentimiento para agendar turnos y enviarles notificaciones operativas por WhatsApp.
• Gestiona de forma diligente los permisos y accesos de sus operadores/barberos dentro de la aplicación, revocando inmediatamente el acceso de cualquier colaborador que deje de prestar servicios en su establecimiento.
• No utilizará los campos de notas de la Plataforma para almacenar categorías especiales de datos sensibles no requeridos por el giro del negocio (tales como contraseñas bancarias o información financiera confidencial).

4. Anexo de Medidas Técnicas y Organizativas de Seguridad (TOMs)

VEHOLDLABS mantiene implementadas las siguientes salvaguardas de ingeniería de seguridad en el motor Rio Engine:

• Segregación Física y Lógica Multi-Esquema: Cada Inquilino cuenta con un esquema de base de datos PostgreSQL propio e independiente (stancl/tenancy). El pooler de conexiones PgBouncer opera estrictamente en modo sesión (POOL_MODE=session) ejecutando DISCARD ALL al cierre de cada transacción HTTP, garantizando aislamiento absoluto entre salones.
• Cifrado Criptográfico de PII: Los atributos sensibles de clientes y secretos de autenticación se almacenan cifrados mediante AES-256 e indexados con hashes ciegos HMAC-SHA256.
• Control de Acceso Basado en Roles (RBAC): Middleware de verificación en cada petición API que valida la pertenencia del token de usuario al inquilino activo (X-Tenant) y su nivel de privilegio (owner, admin, operator).
• Respaldos y Recuperación ante Desastres: Copias de seguridad automatizadas y cifradas para garantizar la resiliencia e integridad de la información operativa.

5. Notificación de Incidentes de Seguridad

En caso de que VEHOLDLABS tenga conocimiento confirmado de una brecha de seguridad que comprometa de forma accidental o ilícita los Datos Personales almacenados en el esquema del Inquilino, notificará al correo registrado del Propietario sin dilación indebida (y en un plazo máximo de 72 horas desde su confirmación), detallando la naturaleza del incidente, los datos afectados y las medidas de mitigación aplicadas.

6. Sub-procesadores Autorizados y Supresión al Término del Contrato

El Inquilino autoriza el uso de los sub-procesadores de infraestructura listados en la Sección 5 de nuestra Política de Privacidad (Cloudflare, Expo, infraestructura de base de datos cloud y pasarela de mensajería WhatsApp).

A la terminación definitiva de la suscripción y previa solicitud del Propietario conforme al protocolo de Eliminación de Cuenta, VEHOLDLABS procederá a la destrucción permanente del esquema de base de datos del Inquilino (DROP SCHEMA CASCADE) dentro de los siete (7) días hábiles siguientes, salvo aquellos comprobantes fiscales que deban retenerse por mandato legal.