Cuando una empresa usa RM Suite, los datos personales que carga —sus trabajadores, sus clientes, sus proveedores— siguen siendo suyos. Ella decide para qué se tratan: es la responsable. REDMACH solo los trata por cuenta de ella para prestarle el servicio: es la encargada. Este documento fija esa relación y forma parte del contrato.
1. Objeto y roles
El Cliente actúa como responsable del tratamiento. REDMACH actúa como encargada y trata los datos personales únicamente conforme a las instrucciones documentadas del Cliente, que son: prestar los servicios contratados y cumplir las obligaciones legales aplicables.
2. Qué datos y de quién
Depende de los módulos contratados. Con carácter general:
| Módulo | Categorías de interesados | Categorías de datos |
|---|---|---|
| Comercio y ventas | Clientes y contactos del Cliente | Identificativos, de contacto, RUC o DNI, historial de compras |
| Recursos humanos y planilla | Trabajadores del Cliente | Identificativos, de contacto, laborales, remuneraciones, asistencia, descuentos |
| Logística y envíos | Destinatarios y conductores | Identificativos, direcciones de entrega, teléfono |
| Salud (RM Health) | Pacientes del Cliente | Identificativos y datos de salud, que la ley peruana califica como datos sensibles |
Cuando el tratamiento incluya datos sensibles, el Cliente garantiza contar con el consentimiento expreso y por escrito que exige la Ley N.° 29733, o con otra habilitación legal.
3. Obligaciones de REDMACH
- Tratar los datos solo por instrucción del Cliente, y no para fines propios. En particular, no usamos los datos de un cliente para entrenar modelos, para publicidad ni para análisis ajenos al servicio.
- Mantener la confidencialidad, con obligación extendida a todo el personal con acceso.
- Aplicar las medidas de seguridad descritas en la Política de Seguridad de la Información.
- Asistir al Cliente para atender las solicitudes de derechos de los titulares, y remitirle sin demora cualquier solicitud que recibamos directamente.
- Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento de estas obligaciones.
- A la terminación del contrato, devolver o suprimir los datos según el punto 8 de los Términos del Servicio.
4. Subencargados
El Cliente autoriza a REDMACH a servirse de los siguientes proveedores, todos ellos vinculados por obligaciones de confidencialidad y seguridad:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase | Base de datos y funciones de la plataforma | Estados Unidos |
| Google (Firebase Hosting) | Alojamiento de las aplicaciones web | Estados Unidos |
| DigitalOcean | Servidor de facturación electrónica y almacenamiento de copias de seguridad | Estados Unidos |
| Cloudflare | Capa de red y protección frente a ataques | Red global |
Si incorporamos o sustituimos un subencargado, lo comunicaremos al Cliente con treinta (30) días de antelación. Si el Cliente se opone por motivos razonables de protección de datos, podrá resolver el contrato sin penalidad.
5. Los datos salen del Perú
Como se ve en la tabla anterior, el tratamiento se realiza en servidores ubicados fuera del territorio peruano, principalmente en Estados Unidos. Esto constituye un flujo transfronterizo de datos personales, y el Cliente lo autoriza expresamente al aceptar este acuerdo. El Cliente, como responsable, debe reflejarlo en sus propias políticas y en la información que da a los titulares.
6. Incidentes de seguridad
Si REDMACH tiene conocimiento de una vulneración de seguridad que afecte a datos personales del Cliente, se lo notificará sin dilación indebida y, como máximo, dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento, informando de lo que se sepa: qué pasó, qué datos y qué interesados pueden estar afectados, qué medidas se han tomado y a quién dirigirse para más información. La notificación a la autoridad y, en su caso, a los titulares corresponde al Cliente como responsable, con nuestra asistencia.
7. Auditoría
El Cliente puede solicitar, una vez al año y con quince (15) días de preaviso, información documentada sobre las medidas de seguridad aplicadas. Las auditorías presenciales o técnicas en los sistemas se acuerdan previamente por escrito, se realizan en horario laboral y no pueden comprometer la seguridad ni la confidencialidad de otros clientes.
8. Duración
Este acuerdo rige mientras REDMACH trate datos personales por cuenta del Cliente, y sus obligaciones de confidencialidad y supresión subsisten a la terminación del contrato principal.
9. Contacto
Para cualquier asunto de este acuerdo: operaciones@redmach.net.