Acuerdo de tratamiento de datos

1. Funciones

El cliente es el responsable del tratamiento (o el encargado, cuando trata datos por cuenta de sus propios clientes, en cuyo caso MARS es su subencargado). MARS es el encargado del tratamiento y, para las leyes de los Estados Unidos, un proveedor de servicios.

2. Detalle del tratamiento

Objeto y duración: prestar ORBEAT mientras los Términos estén vigentes y durante el plazo de exportación y eliminación de la sección 10.

Naturaleza: alojar, guardar, organizar, transmitir y mostrar datos; generar documentos; enviar correos y solicitudes de firma; marcar con agua las descargas; y, cuando el cliente las usa, funciones de inteligencia artificial.

Personas: autores, artistas, productores y demás colaboradores del cliente; sus contactos y prospectos; los destinatarios de sus enlaces; los firmantes de sus documentos; y los usuarios de su equipo.

Datos: nombres, datos de contacto, funciones, identificadores profesionales (IPI/CAE, ISNI, sociedad de gestión), datos de autoría, de división y de titularidad, firmas y su registro, actividad de escucha y descarga de los destinatarios y, solo cuando el cliente los carga en los campos privados para eso, datos fiscales y de identificación (por ejemplo números de seguro social o de contribuyente), que algunas leyes consideran datos sensibles y cuyo acceso está restringido a los responsables del cliente. No se busca tratar otros datos sensibles.

3. Instrucciones

MARS trata los datos solo según las instrucciones documentadas del cliente: los Términos, este acuerdo y lo que el cliente hace con las funciones y la configuración de ORBEAT. Si una instrucción parece contraria a la ley, MARS avisará al cliente.

4. Confidencialidad del personal

Las personas que MARS autoriza a tratar los datos están obligadas a mantenerlos confidenciales y solo acceden a lo que necesitan.

5. Seguridad

MARS mantiene las medidas técnicas y organizativas del anexo 1 y puede mejorarlas, sin reducir el nivel de protección.

6. Subencargados

El cliente autoriza a MARS a usar los subencargados del anexo 2. MARS avisará por correo o dentro de ORBEAT al menos 30 días antes de agregar o cambiar uno. El cliente puede oponerse por motivos razonables de protección de datos; si no encontramos una solución, el cliente puede terminar el servicio afectado.

MARS impone a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y responde por su cumplimiento.

7. Solicitudes de las personas

Si una persona le escribe a MARS para ejercer sus derechos sobre el contenido del cliente, MARS pasará la solicitud al cliente sin demora y a más tardar en 5 días hábiles, y no la responderá salvo para indicarle a quién dirigirse. ORBEAT ofrece herramientas para consultar, corregir, exportar y eliminar datos, y MARS ayudará al cliente de forma razonable.

8. Incidentes de seguridad

Si MARS confirma un incidente que afecte datos personales del contenido del cliente, avisará al cliente sin demora y a más tardar 72 horas después de saberlo, con la información disponible (qué pasó, qué datos y personas pueden estar afectados, qué se está haciendo), y la completará a medida que la tenga.

9. Evaluaciones de impacto

MARS dará al cliente la información razonable que necesite para sus evaluaciones de impacto y consultas con autoridades sobre ORBEAT.

10. Devolución y eliminación

El cliente puede exportar sus datos mientras el servicio esté vigente y durante 30 días después de que termine. Luego MARS los elimina, salvo lo que siga en copias de seguridad hasta que roten, protegido por este acuerdo, y lo que la ley obligue a conservar.

11. Auditorías

MARS responderá cuestionarios razonables y compartirá un resumen de sus medidas de seguridad. Si eso no basta, el cliente puede auditar una vez cada 12 meses, con 30 días de aviso, a su costo, bajo confidencialidad y sin interrumpir el servicio. Una autoridad competente puede auditar cuando la ley se lo permita.

12. Transferencias internacionales

Los datos se guardan en los Estados Unidos. Para transferencias desde el Espacio Económico Europeo se incorporan las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), módulo 2 (de responsable a encargado) y módulo 3 (de encargado a encargado), con el anexo del Reino Unido y los ajustes para Suiza cuando apliquen. Opciones: se incluye la cláusula 7 (adhesión); en la cláusula 9(a), la opción 2 (autorización general) con el aviso de 30 días de la sección 6; no se usa la opción de la cláusula 11; la autoridad de control de la cláusula 13 es la del Estado miembro donde el cliente está establecido o, si no lo está, la de su representante; las cláusulas 17 y 18 se rigen por la ley de Irlanda y sus tribunales. Los anexos de las cláusulas se completan con la sección 2 y los anexos 1 y 2 de este acuerdo.

Para Brasil, se usan las cláusulas contractuales tipo aprobadas por la ANPD cuando la ley lo exija. Para México, el envío de datos a MARS como encargado se hace conforme a la ley de protección de datos en posesión de los particulares.

13. Leyes de los Estados Unidos

Como proveedor de servicios, MARS no vende ni comparte los datos personales del contenido del cliente; no los conserva, usa ni divulga fuera de la relación con el cliente ni para otro fin que prestar ORBEAT; no los combina con datos de otras fuentes salvo lo que la ley permita; cumple las leyes de privacidad aplicables y avisará al cliente si ya no puede hacerlo. El cliente puede tomar medidas razonables para detener un uso no autorizado.

14. Responsabilidad, vigencia y cambios

La responsabilidad bajo este acuerdo sigue los límites de los Términos del servicio, salvo donde la ley no permita limitarla. Este acuerdo dura mientras MARS trate datos personales del contenido del cliente.

MARS puede actualizar este acuerdo en cualquier momento; la versión vigente es la publicada en esta página. Cuando la ley exija avisar al cliente u obtener su acuerdo (por ejemplo, antes de un nuevo subencargado, sección 6, o ante un cambio que reduzca la protección de los datos personales), MARS lo hará.

Anexo 1. Medidas de seguridad

Cifrado en tránsito (TLS) y en reposo. Reglas de acceso por fila en cada tabla de la base de datos, según empresa y función. Claves del servidor solo en el servidor, nunca en el código fuente ni en el navegador.

Inicio de sesión con contraseña guardada solo en forma cifrada irreversible, o con un código de un solo uso por correo. Archivos en almacenamiento privado, entregados con enlaces firmados que vencen. Claves de marca de agua guardadas aparte, accesibles solo para el servidor.

Registro de firmas con sello SHA-256. Copia de seguridad de la base de datos cada noche, con verificación y alertas. Monitoreo de disponibilidad. Acceso del personal limitado a lo necesario. Dependencias del software actualizadas.

Anexo 2. Subencargados

Supabase: base de datos, inicio de sesión y almacenamiento de archivos. Estados Unidos (AWS us-east-1).

Netlify: alojamiento del sitio, funciones del servidor y copias de seguridad. Estados Unidos.

Resend: envío de correo. Estados Unidos.

Anthropic: funciones de inteligencia artificial (Claude), solo cuando se usan. Estados Unidos.

Otros proveedores de inteligencia artificial (por ejemplo OpenAI o Google) pueden agregarse según la sección 6, en las mismas condiciones que Anthropic.

Contacto

MARS Digital LLC · privacy@marsmusic.pro