Acuerdo de Tratamiento de Datos Personales

1. Partes

Encargada: SALAZAR & ASOCIADOS CONTADORES PUBLICOS Y ABOGADOS S. CIVIL DE R.L, RUC 20600057627, operadora de HatoControl.

Responsable/Cliente: la persona natural o jurídica identificada en la cuenta, orden de servicio, aceptación electrónica o documento comercial correspondiente. La identificación electrónica asociada al ORG_OWNER integra este Acuerdo y evita dejar campos en blanco en la versión estándar.

2. Objeto y roles

El Cliente determina las finalidades del tratamiento de los datos personales que incorpora a su organización. HatoControl los trata por cuenta e instrucciones del Cliente exclusivamente para prestar, asegurar y soportar el servicio.

HatoControl puede actuar como responsable independiente respecto de datos de cuenta, facturación, seguridad y soporte que necesita para administrar su propia relación con el Cliente.

3. Detalles del tratamiento

Objeto: alojamiento, organización, consulta, importación, exportación, comunicaciones transaccionales, soporte, seguridad y supresión del espacio del Cliente.

Duración: vigencia del servicio y período de conservación posterior definido en la Política de Retención y Eliminación.

Titulares: usuarios autorizados, trabajadores y otras personas cuyos datos decida incorporar el Cliente.

Datos: identificación y contacto, datos de cuenta, actividad y seguridad, fotografías/archivos que puedan identificar personas, comunicaciones de soporte y cualquier otro dato personal que el Cliente incorpore de forma autorizada.

Operaciones: recopilación por el Cliente, almacenamiento, organización, consulta, visualización, modificación, importación, exportación, transmisión a subencargados, respaldo y supresión.

4. Instrucciones y obligaciones del Cliente

El Cliente instruye a HatoControl a tratar los datos para las operaciones descritas. Debe contar con la base jurídica, cumplir el deber de información, gestionar usuarios y permisos y atender los derechos de las personas respecto de los tratamientos que determina.

El Cliente no debe cargar datos sensibles, biométricos, de salud de personas o de menores sin evaluación previa y autorización expresa.

5. Obligaciones de HatoControl

Tratar los datos únicamente conforme a instrucciones documentadas y para la prestación; mantener confidencialidad; limitar accesos; aplicar medidas de seguridad; colaborar con derechos e incidentes; mantener documentación de subencargados; y suprimir o devolver datos conforme a las reglas pactadas.

HatoControl no vende los datos del Cliente, no los utiliza para publicidad propia y no los usa para entrenar modelos propios.

6. Subencargados

El Cliente otorga autorización general previa para los subencargados identificados en el Anexo de Subencargados y Transferencias. HatoControl mantendrá dicho anexo actualizado e informará cambios materiales antes de su aplicación cuando sea razonablemente posible.

La autorización no libera a HatoControl de sus obligaciones como encargada frente al Cliente.

7. Transferencias internacionales

Los flujos transfronterizos se documentarán conforme a los artículos 18 y siguientes del Reglamento de la Ley 29733. Cuando el destino no cuente con nivel adecuado, HatoControl y/o el Cliente, según su rol, adoptarán las garantías aplicables y efectuarán las comunicaciones regulatorias correspondientes.

8. IA y Vision

Cuando el Cliente utilice Analista IA o Vision, autoriza el tratamiento técnico necesario por DeepSeek en los términos del Anexo de Subencargados. HatoControl minimizará datos personales y Vision transmitirá únicamente la imagen seleccionada y el contexto mínimo necesario para la consulta.

HatoControl no utilizará la IA para tomar decisiones exclusivamente automatizadas con efectos jurídicos sobre personas.

9. Seguridad

HatoControl mantendrá un Documento de Seguridad actualizado, control de accesos, autenticación, revisión semestral de privilegios, trazabilidad, copias de respaldo e incident response. Los registros de interacción lógica se conservarán por el plazo mínimo legal aplicable.

10. Incidentes

HatoControl informará al Cliente de forma inmediata cuando tome conocimiento de un incidente de seguridad que afecte datos tratados por cuenta del Cliente, proporcionando la información disponible para que el Cliente cumpla sus deberes. HatoControl documentará los hechos, impacto y medidas adoptadas.

11. Terminación y supresión

Al finalizar el servicio, el Cliente puede exportar su información antes del cierre. HatoControl conservará temporalmente los datos operativos por 90 días y luego los eliminará de sistemas activos, salvo obligaciones legales y rotación ordinaria de respaldos conforme a la Política de Retención y Eliminación.

12. Derechos y auditoría

HatoControl colaborará razonablemente con solicitudes de titulares y proporcionará evidencia suficiente de cumplimiento sin revelar secretos de seguridad ni datos de otros clientes. Las auditorías se coordinarán con alcance y confidencialidad razonables.

13. Vigencia y prevalencia

Este Acuerdo rige mientras HatoControl trate datos por cuenta del Cliente. Para el tratamiento por encargo, prevalece sobre los Términos en caso de contradicción. Se aplica la legislación peruana.