Acuerdo de Tratamiento de Datos Personales (DPA)

Este anexo forma parte de los Términos de Farito cuando un negocio crea o activa una cuenta. El negocio actúa como responsable respecto de los datos de sus clientes finales y PAUL SEBASTIAN ARMAS GOYES, operador de Farito, actúa como encargado únicamente en la medida en que trate esos datos siguiendo instrucciones del negocio.

1. Objeto, duración e instrucciones

Farito tratará los datos necesarios para prestar las funciones contratadas de agenda, pedidos, catálogo, tienda y lealtad durante la vigencia del servicio y los periodos de conservación aplicables. Las configuraciones y operaciones autorizadas en la cuenta constituyen instrucciones documentadas, sin perjuicio de instrucciones adicionales lícitas acordadas por escrito.

2. Titulares y categorías de datos

Pueden tratarse datos de contacto, cuenta, pedidos, reservas, direcciones de entrega, actividad de lealtad, soporte, seguridad y referencias de pago. Farito no está diseñado para historias clínicas, diagnósticos, biometría de identificación masiva u otras categorías especiales; el negocio no debe introducirlas en notas ni archivos.

3. Obligaciones de Farito

• Tratar los datos conforme a instrucciones documentadas y advertir si una instrucción parece contraria a la normativa aplicable.
• Aplicar medidas técnicas y organizativas proporcionales al riesgo, incluidos control de acceso, MFA privilegiado, aislamiento por negocio, registros de seguridad, cifrado de credenciales y protección de archivos privados.
• Limitar el acceso a personal autorizado sujeto a confidencialidad.
• Asistir razonablemente al negocio con derechos de titulares, evaluación de riesgos e incidentes.
• Notificar al negocio sin dilación indebida cuando conozca una violación que afecte datos tratados por su cuenta, usando como objetivo operativo interno un aviso inicial dentro de 24 horas.

4. Obligaciones del negocio

El negocio debe definir finalidades y bases de legitimación, entregar su propio aviso de privacidad, configurar plazos adecuados, responder a sus clientes, gestionar los permisos de su personal y no usar Farito para tratamientos prohibidos o incompatibles.

5. Subencargados y flujos internacionales

El negocio concede autorización general para usar proveedores necesarios de infraestructura, mensajería, seguridad, almacenamiento y pagos. Farito mantendrá su inventario y notificará cambios sustanciales por un medio razonable. Cada relación se calificará según su función efectiva: la ubicación extranjera de un encargado no convierte por sí sola el encargo en transferencia o comunicación internacional bajo la normativa ecuatoriana.

6. Devolución, supresión y conservación

El negocio puede solicitar exportación, revisión, corrección o supresión escribiendo a [email protected]. Farito eliminará o anonimizará los datos cuando proceda, salvo información bloqueada por una obligación legal, defensa de reclamaciones o ciclos limitados de respaldo. Cuando no sea posible una eliminación total, se informará el motivo.

7. Evidencia, auditoría y prevalencia

Farito conserva fecha, versión, origen y una huella HMAC de la aceptación del negocio. La información de seguridad y cumplimiento podrá acreditarse mediante documentación y evidencias razonables, preservando secretos, datos de terceros y seguridad de la plataforma. Si existe contradicción, prevalece la ley aplicable y luego este DPA respecto del encargo.

8. Contacto y ley aplicable

Operador: PAUL SEBASTIAN ARMAS GOYES, RUC 1726883745001, Quito, Ecuador. Consultas y solicitudes de privacidad: [email protected]. Este anexo se rige por la legislación de la República del Ecuador.

Vigencia: este texto forma parte del flujo de aceptación de Farito. Si se realiza un cambio sustancial, se publicará una nueva versión y se solicitará la aceptación correspondiente.