Adenda de tratamiento de datos

Esta Adenda de Tratamiento de Datos (la «Adenda» o «DPA») forma parte de los Términos del Servicio entre tú (el «Cliente» o «Tenant») y Startit Services LLC («Startit»), y regula el tratamiento de los datos personales de los clientes de tu joyería (los «Datos de Clientes») que se tratan en Jewelry OS.

En caso de conflicto entre esta Adenda y los Términos respecto del tratamiento de Datos de Clientes, prevalecerá esta Adenda.

• Naturaleza y finalidad: alojamiento, procesamiento, almacenamiento, transmisión, respaldo y demás operaciones necesarias para prestar el Servicio (catálogo, ventas, apartados, reparaciones, compra de oro, tasaciones, portal de seguimiento y funciones de IA que el Cliente active).
• Duración: mientras esté vigente la suscripción del Cliente, más los periodos de conservación descritos en la sección de devolución y eliminación.
• Instrucciones: Startit trata los Datos de Clientes conforme a las instrucciones documentadas del Cliente, que incluyen el uso del Servicio conforme a los Términos. Startit informará al Cliente si, en su opinión, una instrucción infringe la ley aplicable.

Categorías de titulares

• Clientes finales de la joyería del Cliente.
• Contactos y representantes que el Cliente registre en el Servicio.

Tipos de datos personales

• Datos de identificación y contacto: nombre, correo, teléfono, dirección.
• Identificador fiscal (tax ID) cuando el Cliente lo registre.
• Historial transaccional: compras, apartados, reparaciones, compra de oro y tasaciones.
• Imágenes, documentos adjuntos, mensajes, audio enviado para transcripción y metadatos de comunicaciones; contexto permitido del negocio e indicadores de riesgo tratados por funciones de IA.
• En empeños: identificación oficial, fecha de nacimiento, ocupación, descripción física, firma e imagen de huella cuando el Cliente los registre para su expediente. No realizamos reconocimiento biométrico automatizado con esas imágenes.

El Cliente no debe introducir categorías de datos sensibles innecesarias para el Servicio. No se procesan a través del Servicio números completos de tarjetas de pago.

Startit, como encargado, se compromete a:

• Tratar los Datos de Clientes solo según las instrucciones documentadas del Cliente y la ley aplicable.
• Garantizar que el personal autorizado a tratar los datos está sujeto a deberes de confidencialidad.
• Implantar medidas técnicas y organizativas adecuadas al riesgo (véase la sección de seguridad y la página de Seguridad).
• Asistir razonablemente al Cliente para responder a las solicitudes de los titulares (acceso, corrección, eliminación, portabilidad, exclusión), teniendo en cuenta la naturaleza del tratamiento.
• Notificar sin demora indebida al Cliente al tener conocimiento de una brecha de seguridad que afecte a los Datos de Clientes, y asistirle en sus obligaciones de notificación, incluida la Florida Information Protection Act.
• Poner a disposición del Cliente la información razonable para acreditar el cumplimiento de esta Adenda.
• Cuando actúe como service provider o contractor bajo CCPA, no vender ni compartir Datos de Clientes para publicidad entre contextos, no usarlos fuera de los fines del contrato ni combinarlos con datos de otros clientes salvo lo permitido por la ley; aplicar el nivel de protección exigido y avisar si no puede seguir cumpliendo. El Cliente podrá tomar medidas razonables para verificar el uso y detener o remediar un tratamiento no autorizado.

Startit mantiene medidas técnicas y organizativas que incluyen, según corresponda:

• Cifrado en tránsito (TLS) y cifrado de credenciales de integraciones.
• Aislamiento lógico de datos por organización (por tenant).
• Control de acceso basado en roles y almacenamiento de contraseñas con hash.
• Copias de seguridad y registros de actividad para diagnóstico y seguridad.

Startit puede actualizar estas medidas siempre que no disminuya el nivel general de protección.

El Cliente otorga a Startit una autorización general para contratar subprocesadores que presten servicios de infraestructura y funcionalidad necesarios para el Servicio. La lista actualizada está disponible en Subprocesadores.

• Startit impondrá a cada subprocesador obligaciones de protección de datos sustancialmente equivalentes a las de esta Adenda.
• Startit avisará de los cambios (altas o sustituciones) de subprocesadores por medios razonables, dando al Cliente la posibilidad de oponerse por motivos razonables de protección de datos.
• Startit responde del cumplimiento de sus subprocesadores en lo relativo a esta Adenda.

Los Datos de Clientes se tratan principalmente en Estados Unidos y pueden ser tratados por subprocesadores en otras ubicaciones indicadas en la lista de Subprocesadores. El Servicio se ofrece a negocios de Estados Unidos. La ubicación del Cliente no determina por sí sola todas las leyes aplicables. Startit adoptará las salvaguardas exigidas por la ley aplicable; la lista de proveedores no constituye una garantía de residencia exclusiva de todos los datos.

A solicitud razonable y con aviso previo, Startit pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de esta Adenda. Las auditorías se realizarán con una frecuencia razonable (no más de una vez al año, salvo requerimiento de autoridad o brecha confirmada), en horario laboral, sin interrumpir las operaciones y con deberes de confidencialidad, pudiendo satisfacerse mediante documentación o certificaciones disponibles.

Al finalizar la prestación del Servicio:

• El Cliente dispondrá de una oportunidad razonable para exportar los Datos de Clientes en un formato de uso común.
• La cancelación de la suscripción y el borrado de datos son procesos distintos. El Cliente puede solicitar devolución o eliminación. Tras verificar la instrucción, revisaremos expedientes abiertos, conservación legal y copias de recuperación. El objetivo operativo es completar las eliminaciones autorizadas sin retención pendiente dentro de 90 días de la solicitud validada, sin ampliar plazos legales menores ni compromisos anteriores aplicables. Comunicaremos las excepciones y su fundamento.
• Las copias de recuperación siguen una rotación controlada y no se usan para explotación ordinaria. Antes de reactivar una restauración aplicaremos las eliminaciones y exclusiones vigentes. Conservamos el mínimo necesario para respetar bajas de comunicaciones y obligaciones legales.
• Los registros que Startit deba conservar por ley (por ejemplo, facturación durante hasta siete años) se mantendrán protegidos y con acceso restringido hasta su eliminación.

La responsabilidad de cada parte bajo esta Adenda está sujeta a las exclusiones y límites de responsabilidad establecidos en los Términos del Servicio. Cada parte responde de sus obligaciones respectivas conforme a su rol de controlador o de encargado.

Para asuntos relacionados con esta Adenda, escríbenos a nuestro contacto o a info@startitservices.com. Startit Services LLC · Miami-Dade, Florida, Estados Unidos.