Todos los proveedores:
Tienen DPA (Data Processing Agreement) firmado
Cumplen con GDPR, nFADP y LGPD LATAM
Utilizan Cláusulas Contractuales Estándar (SCCs)

4.3 Autoridades y Obligaciones Legales
Divulgamos datos cuando:

• Orden judicial o citación legal
• Investigación criminal (solo datos necesarios)
• Prevención de fraude o lavado de dinero
• Cumplimiento obligaciones fiscales (Paddle)

5. Transferencias Internacionales de Datos
5.1 Desde LATAM → EEUU / UE
Mecanismos:

• Cláusulas Contractuales Estándar (SCCs) aprobadas por Comisión Europea
• Consentimiento explícito del titular (Art. 49 GDPR)
• Transfer Impact Assessments (TIAs) realizadas

5.2 Desde UE/Suiza → EEUU
GDPR (Alemania/Austria):

• SCCs conforme Decisión 2021/914
• Evaluación caso por caso post-Schrems II
• Garantías adicionales (encriptación E2E)

nFADP (Suiza):

• Lista de países adecuados FDPIC
• Garantías contractuales Art. 16 nFADP
• Registro de actividades de tratamiento

6. Derechos del Titular de Datos (ARCO+)
Usted tiene los siguientes derechos en TODOS los países mencionados:

Derecho	GDPR/UE	LATAM	Suiza nFADP	Plazo Respuesta
Acceso	Art. 15	LOPDP, LFPDPPP, Ley 1581	Art. 25	30 días (UE), 15-20 días (LATAM)
Rectificación	Art. 16		Art. 32	30 días
Supresión (“Derecho al Olvido”)	Art. 17	Cancelación	Art. 32	30 días
Limitación del Tratamiento	Art. 18	Oposición		15 días
Portabilidad	Art. 20		Art. 28	30 días
Oposición	Art. 21			15 días
No decisiones automatizadas	Art. 22		Art. 21	Inmediato
Revocación de consentimiento	Art. 7.3		Art. 6.7	Inmediato

 

 

6.1 Derechos Específicos Suiza (nFADP)

• Derecho a la información previa (Art. 19 nFADP)
• Derecho a información sobre decisiones automatizadas (Art. 21)
• Derecho a impugnar ante FDPIC (Comisionado Federal)

7. Seguridad de los Datos
Implementamos medidas técnicas y organizativas conforme a:

• Art. 32 GDPR (seguridad del tratamiento)
• Art. 8 nFADP (Suiza)
• LGPD LATAM (principio de seguridad)

7.1 Medidas Técnicas

Encriptación AES-256 (datos en reposo)
TLS 1.3 (datos en tránsito)
Autenticación multifactor (2FA/MFA)
Firewalls y protección DDoS (Cloudflare)
Backups cifrados diarios (retención 30 días)
Pseudonimización cuando sea posible
Certificación ISO 27001 (proveedores)

7.2 Medidas Organizativas

Políticas de acceso restringido (need-to-know)
Capacitación anual en privacidad (empleados)
Auditorías de seguridad anuales (penetration testing)
Contratos DPA con todos los proveedores
Evaluaciones de Impacto (DPIA) cuando aplica
Plan de respuesta a incidentes (72h notificación)

8. Violaciones de Seguridad (Data Breaches)
8.1 Notificación a Autoridades

• Plazo: 72 horas desde conocimiento del incidente
• GDPR (Alemania/Austria):
• Notificación a BfDI (Alemania) o DSB (Austria)

Vía: https://www.bfdi.bund.de (Alemania)

nFADP (Suiza):

• Notificación a FDPIC (Comisionado Federal)
• Solo si “alto riesgo” para titulares

LATAM:

• Autoridad correspondiente por país (ver sección 13)

8.2 Notificación a Titulares

• Sin demora indebida cuando exista alto riesgo para derechos y libertades:
• Email registrado
• Aviso en plataforma
• Medidas recomendadas (cambio contraseña)

9. Cookies y Tecnologías de Rastreo
9.1 Tipos de Cookies Utilizadas