Contrato de encargo de tratamiento de datos personales

Partes

EL RESPONSABLE: el negocio que contrata ReclamosPro, identificado por su razón social, RUC, domicilio fiscal y usuario dueño (en adelante, EL NEGOCIO).

EL ENCARGADO: Penguin Corporation S.A.C. (RUC 20606521741), operador de ReclamosPro (en adelante, PENGUIN).

Marco legal: Ley N.º 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado por D.S. N.º 016-2024-JUS.

Cláusula 1 — Objeto y roles

EL NEGOCIO es titular y responsable del banco de datos "Libro de Reclamaciones", formado por los datos que los consumidores registran en sus hojas. PENGUIN es encargado del tratamiento y trata esos datos únicamente para prestar el servicio y según las instrucciones de EL NEGOCIO.

Cláusula 2 — Alcance

Titulares: consumidores que presentan un reclamo o queja, y sus padres o representantes si son menores.

Datos: nombre, tipo y número de documento, domicilio, teléfono, correo, datos del representante del menor, el detalle del reclamo, el pedido, los archivos adjuntos y la respuesta del negocio. También forma parte del encargo el registro de qué usuario del negocio actuó sobre cada hoja.

Las cuentas del personal del negocio que usa el panel (nombre, correo, credenciales y registros de acceso) las trata PENGUIN como responsable, según su Política de privacidad, y no forman parte de este encargo.

Finalidad: registrar, atender y responder los reclamos y quejas como exige el Código de Protección y Defensa del Consumidor, conservar la constancia y permitir su exportación.

Cláusula 3 — Obligaciones de PENGUIN

(a) Tratar los datos solo según las instrucciones de EL NEGOCIO y para la finalidad de la Cláusula 2; no usarlos para fines propios ni para entrenar modelos de inteligencia artificial.

(b) Guardar confidencialidad, también después de terminado el servicio, y exigirla a su personal.

(c) Aplicar las medidas de seguridad de la Cláusula 6.

(d) Trasladar a EL NEGOCIO, en un máximo de 3 días hábiles, toda solicitud de derechos (acceso, rectificación, cancelación u oposición) que reciba directamente.

(e) Informar a EL NEGOCIO de forma inmediata, y a más tardar dentro de las 24 horas de conocerlo, cualquier incidente que afecte sus datos, indicando su naturaleza, los datos y titulares afectados (o su estimación), las medidas tomadas o propuestas y un contacto para darle seguimiento, para que EL NEGOCIO pueda notificar a la Autoridad y a los afectados.

(f) Devolver y suprimir los datos al terminar el servicio, según la Cláusula 7.

(g) Colaborar con las verificaciones razonables que EL NEGOCIO pida sobre el cumplimiento de este contrato.

Cláusula 4 — Obligaciones de EL NEGOCIO

(a) Informar a los consumidores con la cláusula informativa (art. 18 de la Ley), que la plataforma muestra en su libro con los datos de EL NEGOCIO.

(b) Inscribir el banco de datos "Libro de Reclamaciones" en el Registro Nacional de Protección de Datos Personales, declarando a PENGUIN como encargado.

(c) Comunicar a la Autoridad el flujo transfronterizo de datos cuando corresponda (ver Cláusula 8).

(d) Conservar las hojas al menos el plazo legal y responder los reclamos en plazo.

Cláusula 5 — Subencargados

EL NEGOCIO autoriza a PENGUIN a apoyarse en los subencargados publicados en la lista de subencargados (con país o región). PENGUIN les exige medidas de seguridad y confidencialidad. PENGUIN avisará con 15 días de anticipación la incorporación de uno nuevo y EL NEGOCIO podrá oponerse por causa justificada.

Cláusula 6 — Medidas de seguridad

Aislamiento estricto entre negocios con seguridad a nivel de fila en la base de datos; cifrado en tránsito; segundo factor obligatorio para el panel; hojas y bitácoras que no se pueden modificar, con huellas SHA-256 encadenadas; archivos en almacenamiento privado servidos solo por rutas con permiso y verificados con su huella; límites contra abuso; y respaldos.

PENGUIN pondrá a disposición de EL NEGOCIO, a pedido, un resumen de las medidas de seguridad y de las revisiones de seguridad realizadas.

Cláusula 7 — Devolución y supresión

EL NEGOCIO puede descargar todo su libro en cualquier momento. Al darse de baja, el panel queda 60 días en solo lectura para la descarga; luego PENGUIN suprime los datos personales, incluidos los adjuntos, y entrega a EL NEGOCIO un acta de supresión emitida por PENGUIN. Las copias de respaldo se eliminan por su propio ciclo en un máximo de 7 días. PENGUIN no conservará los datos más de 2 años después de terminado el encargo, salvo obligación legal.

Cláusula 8 — Flujo transfronterizo

EL NEGOCIO reconoce que el servicio implica flujo transfronterizo de datos hacia los países de la lista de subencargados.

PENGUIN exige a sus subencargados medidas de seguridad y confidencialidad, y aceptará y archivará el acuerdo de tratamiento de datos de cada uno antes de que trate datos de EL NEGOCIO.

PENGUIN entrega a EL NEGOCIO una ficha prellenada para su comunicación a la Autoridad.

Cláusula 9 — Vigencia, responsabilidad y ley aplicable

Rige mientras dure el servicio y, para la confidencialidad y la supresión, después. Cada parte responde por sus propias obligaciones; si PENGUIN usa los datos fuera de las instrucciones, responde como responsable. Ley peruana, tribunales de Lima.