Este Acuerdo (DPA) regula el tratamiento por Ito (“Encargado”) de los datos personales que la empresa Cliente (“Responsable”) introduce en la Plataforma sobre sus propios clientes, personal y contactos, conforme al art. 28 del RGPD.
El Responsable es la empresa Cliente. Ito trata los datos únicamente por cuenta y según las instrucciones del Responsable, para prestar la Plataforma (CRM, presupuestos, obra, finanzas, portal de cliente, comunicaciones).
Cada empresa opera en un espacio lógicamente aislado. Ito aplica controles para que los datos de un Cliente no sean accesibles por otros Clientes de la Plataforma.
Ito no comparte, vende ni cede los datos del Responsable a terceros ajenos a la prestación del servicio, ni los usa para finalidades propias distintas de operar y mejorar la Plataforma de forma agregada y anonimizada.
El personal de Ito con acceso está sujeto a deber de confidencialidad.
Cifrado en tránsito (HTTPS) y en reposo a nivel de proveedor, control de accesos por roles y permisos, aislamiento por empresa, copias de seguridad y registro de actividad razonable.
El Responsable autoriza a Ito a usar los siguientes subencargados, sujetos a obligaciones equivalentes de protección de datos:
Supabase (base de datos y almacenamiento) — Alojamiento de los datos de la aplicación y archivos (Unión Europea).
Vercel (hosting de la aplicación) — Ejecución y entrega de la aplicación web (UE / EE. UU. (con garantías adecuadas)).
Resend (envío de correo) — Envío de notificaciones y correos transaccionales (UE / EE. UU. (con garantías adecuadas)).
Stripe (pagos) — Procesamiento de la suscripción y cobros (UE / EE. UU. (con garantías adecuadas)).
Ito informará de cambios relevantes en la lista de subencargados.
Los datos se alojan preferentemente en la Unión Europea. Cuando algún subencargado trate datos fuera del EEE, se aplicarán garantías adecuadas (p. ej. cláusulas contractuales tipo).
Ito asistirá razonablemente al Responsable para atender solicitudes de los interesados (acceso, rectificación, supresión, etc.) y para sus obligaciones de seguridad y notificación de brechas.
Ito notificará sin dilación indebida al Responsable cualquier violación de seguridad de la que tenga constancia.
El tratamiento dura mientras esté vigente el servicio. A su fin, Ito permitirá exportar los datos durante un plazo razonable y después los suprimirá o anonimizará, salvo obligación legal de conservación.
A petición razonable, Ito pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones de este Acuerdo.