DPA — Acuerdo de Tratamiento de Datos (Art. 28 RGPD)

CONSOO S.R.L.S. — hice

Edición: América Latina (español)

Última actualización: 3 de julio de 2026

Antecedentes

El presente Acuerdo de Tratamiento de Datos personales (en adelante, el «DPA» o el «Acuerdo») se celebra en virtud de y a los efectos del art. 28 del Reglamento (UE) 2016/679 («RGPD») entre:

el Cliente — el sujeto (empresa o profesional independiente titular de registro fiscal, u otro profesional) que contrata el Servicio, identificado en el Formulario de Pedido y en los datos de registro del Tenant — en calidad de Responsable del tratamiento (en adelante, el «Responsable»); y
CONSOO S.R.L.S., sociedad de responsabilidad limitada simplificada, con domicilio social en Piazzetta Umberto Giordano 2, 20122 Milán (MI), Italia, P.IVA/C.F. IT13823860963, REA MI-2745733, PEC consoo@pec.it, que opera el Servicio bajo la marca hice (en adelante, «hice», el «Proveedor» o el «Encargado») — en calidad de Encargado del tratamiento.

en adelante, conjuntamente, las «Partes» y, cada una, una «Parte».

Considerando que:

(a) hice pone a disposición del Responsable una plataforma SaaS multi-tenant de Professional Services Automation con asistente de IA (el «Servicio»), en las condiciones de las Condiciones Generales del Servicio (condizioni-generali-servizio.md, las «Condiciones»);

(b) en la prestación del Servicio, hice trata por cuenta del Responsable los Datos del Cliente que contienen datos personales de terceros (candidatos, empleados, consultores, contactos) y de los Usuarios, según lo descrito en el Anexo A;

(c) las Partes desean regular, mediante el presente Acuerdo, sus respectivas obligaciones en materia de protección de datos personales de conformidad con el art. 28 RGPD y la normativa aplicable;

(d) el presente DPA constituye parte integrante y sustancial de las Condiciones y se aplica a todos los Clientes, incluidos aquellos que utilizan el Plan Gratuito, sin necesidad de suscripción separada.

Los términos con inicial mayúscula no definidos en el presente DPA tienen el significado que se les atribuye en las Condiciones y en el glosario compartido; los términos «Datos Personales», «Tratamiento», «Responsable», «Encargado», «Subencargado», «Interesado» y «Violación de datos personales» tienen el significado previsto en el art. 4 RGPD.

El presente DPA regula exclusivamente los tratamientos en los que hice actúa como Encargado por cuenta del Cliente. Para los tratamientos en los que hice es Responsable (datos de registro, facturación, registros de seguridad, diagnóstico, soporte, marketing) se remite a la Política de Privacidad (informativa-privacy.md).

1. Definiciones y ámbito de aplicación

1.1 Definiciones. Además de los términos definidos en los Antecedentes y en el glosario compartido, a los efectos del presente Acuerdo se aplican las definiciones del art. 4 RGPD. En particular:

Datos del Cliente: todos los datos, contenidos e información — incluidos datos personales de terceros — que el Cliente o los Usuarios introducen, cargan o generan en el Servicio, según se detalla en el Anexo A. No incluyen los datos respecto de los cuales hice es Responsable conforme a la Política de Privacidad.
Normativa Aplicable en materia de protección de datos: el RGPD, el D.Lgs. 196/2003 («Código de Privacidad») modificado por el D.Lgs. 101/2018, las resoluciones del Garante para la protección de los datos personales y toda otra norma aplicable al Tratamiento.
SCC (Standard Contractual Clauses): las cláusulas contractuales tipo adoptadas mediante la Decisión de ejecución (UE) 2021/914 de la Comisión Europea para las transferencias a terceros países.
DPF: el EU-U.S. Data Privacy Framework y los correspondientes mecanismos de adecuación para las transferencias a operadores estadounidenses adheridos.

1.2 Ámbito. El presente DPA se aplica a todo Tratamiento de Datos Personales efectuado por hice, en calidad de Encargado, por cuenta y bajo instrucción del Responsable, en el marco de la prestación del Servicio.

1.3 Prevalencia. En caso de conflicto entre el presente DPA y las Condiciones, limitadamente a la materia de la protección de datos personales prevalece el presente DPA. En caso de conflicto entre el presente DPA y las SCC, para las transferencias fuera del EEE prevalecen las SCC.

1.4 Roles. Las Partes reconocen que, en relación con los Datos del Cliente, el Cliente es Responsable y hice es Encargado. Cada Parte es responsable del cumplimiento de las obligaciones que le incumben en dicha calidad conforme a la Normativa Aplicable.

2. Objeto, duración, naturaleza y finalidad del tratamiento

2.1 Objeto. El objeto del Tratamiento es la ejecución, por parte de hice, de las operaciones de Tratamiento necesarias para prestar el Servicio al Responsable, según las funcionalidades descritas en las Condiciones y en la Documentación.

2.2 Duración. El Tratamiento tiene la duración de la relación contractual prevista en las Condiciones (durante toda la vigencia de la suscripción o del uso del Plan Gratuito), y continúa por el período estrictamente necesario para las operaciones de eliminación o devolución previstas en el art. 11. El presente DPA permanece eficaz mientras hice trate Datos del Cliente.

2.3 Naturaleza y finalidad. La naturaleza y las finalidades del Tratamiento son la prestación de las funcionalidades del Servicio (registros maestros, recruiting, proyectos, registro de horas, notas de gastos, compras, documentos, calendario, correo en modalidad BYO, chat, KPI, organigrama, asistente de IA, matching de candidatos, análisis de CV, OCR) y los servicios conexos de hosting, almacenamiento, seguridad, copias de seguridad y soporte técnico. Detalles en el Anexo A.

2.4 Tipos de datos y categorías de Interesados. Los tipos de Datos Personales tratados y las categorías de Interesados se indican en el Anexo A.

2.5 Funcionalidades de IA. Las operaciones realizadas por las Funcionalidades de IA (chat, matching de candidatos, análisis de CV, OCR) constituyen Tratamiento por cuenta del Responsable y están sujetas al presente DPA. hice no utiliza los Datos del Cliente para entrenar modelos de IA de base. Los detalles de transparencia algorítmica se encuentran en la Información sobre IA y transparencia algorítmica (informativa-ai-trasparenza.md).

3. Obligación de tratamiento bajo instrucción documentada del Responsable

3.1 Instrucciones documentadas. hice trata los Datos del Cliente exclusivamente bajo instrucción documentada del Responsable, incluso en caso de transferencia a un tercer país, salvo que esté obligado a ello por el Derecho de la Unión o del Estado miembro al que esté sujeto; en tal caso, hice informa al Responsable sobre dicha obligación jurídica antes del Tratamiento, a menos que el Derecho prohíba dicha información por motivos importantes de interés público (art. 28(3)(a) RGPD).

3.2 Instrucciones iniciales. Constituyen instrucciones documentadas del Responsable: (i) las Condiciones; (ii) el presente DPA y sus Anexos; (iii) las configuraciones, los ajustes y los comandos que el Responsable y los Usuarios imparten a través de las funcionalidades del Servicio en el uso ordinario.

3.3 Instrucciones adicionales. Las eventuales instrucciones adicionales, distintas o complementarias respecto de las del art. 3.2, deben impartirse por escrito. Si una instrucción requiere actividades que excedan el uso normal del Servicio, hice y el Responsable podrán acordar los términos correspondientes, también de carácter económico.

3.4 Licitud de las instrucciones. hice informa inmediatamente al Responsable si, a su juicio, una instrucción infringe el RGPD, el Código de Privacidad u otras disposiciones aplicables en materia de protección de datos (art. 28(3), último párrafo, RGPD), sin perjuicio de que hice no tiene una obligación general de supervisión sobre la licitud de los Datos del Cliente.

3.5 Garantía del Responsable. El Responsable garantiza que las instrucciones impartidas y la carga de los Datos del Cliente son conformes a la Normativa Aplicable y que dispone de una base jurídica idónea para el Tratamiento de los datos personales de terceros (candidatos, empleados, consultores, contactos) y para encomendar su Tratamiento a hice. El Responsable mantiene indemne a hice frente a reclamaciones de terceros fundadas en la falta de dicha base jurídica, dentro de los límites previstos en el art. 13.

4. Confidencialidad de las personas autorizadas al tratamiento

4.1 Compromiso de confidencialidad. hice garantiza que las personas autorizadas al Tratamiento de los Datos del Cliente (empleados, colaboradores y personal) se han comprometido a la confidencialidad o están sujetas a una adecuada obligación legal de confidencialidad (art. 28(3)(b) RGPD).

4.2 Limitación de los accesos. hice limita el acceso a los Datos del Cliente al personal que necesita acceder a ellos para la prestación del Servicio, según el principio de mínimo privilegio, y asegura su formación en materia de protección de datos.

4.3 Persistencia de la obligación. La obligación de confidencialidad subsiste incluso después de la finalización de la relación laboral o de colaboración de las personas autorizadas.

5. Medidas técnicas y organizativas de seguridad (art. 32)

5.1 Medidas adoptadas. Teniendo en cuenta el estado de la técnica, los costos de aplicación, la naturaleza, el objeto, el contexto y las finalidades del Tratamiento, así como el riesgo para los derechos y libertades de los Interesados, hice implementa medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, conforme al art. 32 RGPD. Las medidas actualmente vigentes se describen en el Anexo C.

5.2 Evolución de las medidas. hice puede actualizar las medidas de seguridad con el tiempo, siempre que el nivel de protección no se vea reducido globalmente respecto del descrito en el Anexo C.

5.3 Cooperación. hice pone a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones previstas en el art. 32, según las modalidades de los arts. 8 y 10 del presente DPA.

6. Subencargados del tratamiento

6.1 Autorización general. El Responsable confiere a hice una autorización general por escrito para recurrir a otros encargados del Tratamiento («Subencargados») para la ejecución de actividades específicas de Tratamiento conexas a la prestación del Servicio, conforme al art. 28(2), primera parte, y 28(4) RGPD.

6.2 Lista. La lista de los Subencargados autorizados al momento de la entrada en vigor del presente DPA figura en el Anexo B. El Responsable declara haber tomado conocimiento de ella y aprobar su utilización.

6.3 Igualdad de vínculos contractuales. hice impone a cada Subencargado, mediante contrato u otro acto jurídico, obligaciones en materia de protección de datos equivalentes a las previstas en el presente DPA, en particular la prestación de garantías suficientes para implementar medidas técnicas y organizativas adecuadas (art. 28(4) RGPD). En caso de que el Subencargado incumpla sus obligaciones de protección de datos, hice responde ante el Responsable del cumplimiento de las obligaciones del Subencargado.

6.4 Modificaciones de los Subencargados y derecho de oposición. hice informa al Responsable de cualquier modificación prevista relativa a la incorporación o sustitución de Subencargados, con un preaviso de al menos 30 (treinta) días, mediante comunicación a la dirección de correo electrónico administrativa asociada al Tenant y/o publicación de la lista actualizada en una página específica del Servicio, de modo que el Responsable tenga la posibilidad de oponerse a tales modificaciones (art. 28(2), segunda parte, RGPD).

6.5 Ejercicio de la oposición. El Responsable puede oponerse, por motivos razonables y documentados relativos a la protección de datos, dentro del plazo de preaviso, comunicándolo por escrito a info@hice.ai. En tal caso, las Partes cooperan de buena fe para hallar una solución. Si no es posible alcanzar un acuerdo y hice pretende, no obstante, recurrir al Subencargado, el Responsable tiene derecho a rescindir el Servicio limitadamente a las funcionalidades afectadas, o bien la totalidad de la relación si las funcionalidades son esenciales, sin penalizaciones y con devolución de las Tarifas eventualmente pagadas y no disfrutadas.

6.6 Tratamientos locales. Algunas operaciones (en particular el reconocimiento óptico de caracteres y la compresión de los documentos, así como un componente de procesamiento de IA de respaldo) se ejecutan mediante componentes de software ejecutados localmente en la infraestructura del Servicio y no implican el recurso a Subencargados externos ni transferencias a terceros.

7. Asistencia al Responsable para los derechos de los Interesados (arts. 12–23)

7.1 Medidas de apoyo. Teniendo en cuenta la naturaleza del Tratamiento, hice asiste al Responsable con medidas técnicas y organizativas adecuadas, en la medida de lo posible, para satisfacer la obligación del Responsable de dar curso a las solicitudes de ejercicio de los derechos del Interesado previstos en el Capítulo III del RGPD — acceso, rectificación, supresión, limitación, portabilidad, oposición y los derechos relativos a la decisión automatizada (arts. 12–23 RGPD) — art. 28(3)(e) RGPD.

7.2 Herramientas de autoservicio. El Servicio pone a disposición del Responsable funcionalidades que le permiten, de forma autónoma, acceder, rectificar, extraer/exportar y suprimir los Datos del Cliente, de modo que pueda gestionar directamente la mayoría de las solicitudes de los Interesados.

7.3 Traslado de las solicitudes. En caso de que un Interesado se dirija directamente a hice para ejercer sus derechos sobre los Datos del Cliente, hice no da curso de forma autónoma a la solicitud (salvo otra obligación legal) y la transmite sin dilación indebida al Responsable, facilitando la información útil para identificarlo, a fin de que sea el Responsable quien lo atienda en su calidad de responsable de la respuesta.

7.4 Asistencia adicional. Cuando la solicitud no pueda gestionarse con las herramientas de autoservicio, hice presta asistencia razonable al Responsable. Para actividades que excedan el soporte normal, las Partes podrán acordar una contraprestación proporcionada.

8. Asistencia al Responsable para las obligaciones de los arts. 32–36

Teniendo en cuenta la naturaleza del Tratamiento y la información a disposición de hice, hice asiste al Responsable en garantizar el cumplimiento de las obligaciones previstas en los arts. 32–36 RGPD (art. 28(3)(f) RGPD), como se indica a continuación.

8.1 Seguridad del tratamiento (art. 32). Mediante la adopción y el mantenimiento de las medidas previstas en el Anexo C y la puesta a disposición de la información correspondiente.

8.2 Notificación de las violaciones al Responsable (arts. 33–34). hice notifica al Responsable toda Violación de datos personales relativa a los Datos del Cliente sin dilación indebida después de haber tenido conocimiento de ella (art. 33(2) RGPD), de modo que permita al Responsable cumplir sus propias obligaciones de notificación al Garante (en un plazo de 72 horas, art. 33(1)) y de eventual comunicación a los Interesados (art. 34). La notificación de hice contiene, en la medida disponible:

la descripción de la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de Interesados y de registros de datos personales afectados;
el punto de contacto en hice donde obtener más información;
la descripción de las probables consecuencias de la violación;
la descripción de las medidas adoptadas o cuya adopción se propone para poner remedio a la violación y mitigar sus posibles efectos negativos.

En caso de que la información no esté disponible simultáneamente, esta se facilita, de forma proporcionada, en fases sucesivas sin más dilación indebida. La gestión interna de las violaciones sigue el Procedimiento de Violación de Datos (interno-procedura-data-breach.md), con el cual el presente artículo está coordinado.

8.3 Límites. La notificación de hice conforme al art. 8.2 no constituye admisión de responsabilidad ni de culpa. hice presta colaboración razonable al Responsable en la actividad de investigación y de remedio.

8.4 Evaluación de impacto y consulta previa (arts. 35–36). hice asiste al Responsable, a solicitud y dentro de los límites de la información disponible, en la realización de la evaluación de impacto relativa a la protección de datos (DPIA) y en la eventual consulta previa al Garante, en particular con referencia a las Funcionalidades de IA y al matching de candidatos, poniendo a disposición la información relevante sobre las operaciones de Tratamiento y sobre las medidas de seguridad.

9. Eliminación y devolución de los datos al final de la relación

9.1 Elección del Responsable. Al cesar, por cualquier causa, la prestación del Servicio, hice, a elección del Responsable, elimina o devuelve todos los Datos del Cliente y suprime las copias existentes, salvo que el Derecho de la Unión o del Estado miembro exija la conservación (art. 28(3)(g) RGPD).

9.2 Ventana de exportación. Antes de la eliminación, y por un período razonable de 30 (treinta) días contados desde el cese, el Responsable puede exportar de forma autónoma los Datos del Cliente mediante las funcionalidades del Servicio o solicitar su devolución en un formato estructurado de uso común y legible por dispositivo automático.

9.3 Eliminación efectiva. Transcurrida la ventana prevista en el art. 9.2, hice procede a la eliminación de los Datos del Cliente de los sistemas de producción y, dentro de los siguientes ciclos técnicos de rotación, de las copias de seguridad, según la política normal de conservación de las copias de seguridad descrita en la Documentación.

9.4 Conservación por obligación legal. Los eventuales datos cuya conservación esté impuesta por la ley se conservan por el tiempo estrictamente necesario, con aplicación de las medidas de seguridad previstas en el Anexo C, y no son objeto de tratamiento ulterior.

9.5 Certificación. A solicitud escrita del Responsable, hice proporciona una certificación de la eliminación realizada.

10. Auditorías e inspecciones

10.1 Derecho del Responsable. hice pone a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el art. 28 RGPD y permite y contribuye a las revisiones (auditorías) y a las inspecciones, incluso realizadas por un tercero designado por el Responsable, de conformidad con el art. 28(3)(h) RGPD.

10.2 Modalidades razonables. El ejercicio del derecho de auditoría se realiza según modalidades razonables, orientadas a no comprometer la seguridad del Servicio, los datos de otros clientes y la confidencialidad de los demás Tenants. En particular:

el Responsable envía a hice una solicitud escrita con preaviso de al menos 30 (treinta) días, salvo causas de urgencia relacionadas con una Violación o con una solicitud vinculante de una Autoridad de control;
las auditorías se desarrollan en horario laboral, sin interferir indebidamente con la actividad de hice, por regla general no más de una vez al año, salvo que una auditoría ulterior sea requerida por una Autoridad de control o motivada por una Violación;
el tercero eventualmente designado no debe ser un competidor de hice y debe suscribir compromisos de confidencialidad idóneos;
el Responsable asume los costos de su propia auditoría; quedan a cargo de hice los gastos ordinarios de cooperación.

10.3 Documentación sustitutiva. Para satisfacer total o parcialmente el derecho previsto en el art. 10.1, hice puede facilitar al Responsable documentación sobre sus propias medidas de seguridad, informes o, cuando estén disponibles en el futuro, informes de auditoría de terceros o certificaciones. (Por el momento, hice no cuenta con certificaciones de terceros del tipo ISO 27001 o SOC 2 — véase _foundation.md §6 «nada de afirmaciones no verídicas».)

11. Transferencias de datos personales fuera del EEE

11.1 Principio. hice trata los Datos del Cliente, con carácter prioritario, dentro del Espacio Económico Europeo (EEE). Las eventuales transferencias a terceros países se producen únicamente en presencia de una de las condiciones de licitud previstas en el Capítulo V del RGPD.

11.2 Garantías. Para las transferencias a terceros países que no se benefician de una decisión de adecuación, hice asegura la adopción de garantías adecuadas conforme al art. 46 RGPD, en particular las Cláusulas Contractuales Tipo (SCC) previstas en la Decisión de ejecución (UE) 2021/914, o bien, para los operadores estadounidenses adheridos, el EU-U.S. Data Privacy Framework (DPF). La lista de las transferencias y de las correspondientes garantías figura en el Anexo D.

11.3 Medidas suplementarias. Cuando sea necesario, hice adopta medidas suplementarias (técnicas, contractuales y organizativas) para asegurar un nivel de protección sustancialmente equivalente al garantizado en la Unión, teniendo en cuenta las circunstancias de la transferencia.

11.4 Modalidad BYO. Para las sincronizaciones de Calendario/Correo en modalidad «Bring Your Own» (BYO), en las que el Responsable conecta su propio entorno en los servicios de correo y calendario que él elija con credenciales OAuth propias, la eventual transferencia hacia tales proveedores es un tratamiento activado por el Responsable en su propia cuenta ante el proveedor; el Responsable es responsable de las condiciones contractuales y de las garantías aplicables a la relación con dicho proveedor. hice trata los metadatos correspondientes dentro de los límites del Servicio.

12. Confidencialidad

Los Datos del Cliente constituyen información confidencial del Responsable. hice los trata como tales, no los divulga a terceros salvo a los Subencargados autorizados conforme al art. 6 o en cumplimiento de obligaciones legales, y los utiliza exclusivamente para la prestación del Servicio y dentro de los límites de las instrucciones del Responsable. La presente cláusula se coordina con las obligaciones de confidencialidad previstas en las Condiciones.

13. Responsabilidad y coordinación con el art. 82 RGPD

13.1 Distribución frente a los Interesados. La responsabilidad de las Partes frente a los Interesados por los daños causados por el Tratamiento queda regulada por el art. 82 RGPD. El Encargado responde por los daños causados por el Tratamiento solo si no ha cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o ha actuado de manera contraria o al margen de las instrucciones legítimas del Responsable (art. 82(2) RGPD).

13.2 Repetición interna. En las relaciones internas entre las Partes, en caso de que una Parte haya resarcido íntegramente el daño sufrido por un Interesado, esta tiene derecho a repetir contra la otra Parte por la cuota de responsabilidad imputable a esta última, conforme al art. 82(5) RGPD.

13.3 Limitación contractual. Sin perjuicio de lo previsto en el art. 82 RGPD frente a los Interesados (no comprimible), en las relaciones entre las Partes se aplican los límites de responsabilidad establecidos en las Condiciones (véanse _foundation.md §4.2 y la cláusula «Limitación de responsabilidad» de las Condiciones), incluidas las excepciones inderogables por dolo y culpa grave, daños a la persona y todo lo no excluible por ley imperativa (art. 1229 del Código Civil italiano).

13.4 Sanciones administrativas. Cada Parte soporta las sanciones administrativas pecuniarias que eventualmente se impongan por infracciones a ella imputables.

14. Disposiciones finales

14.1 Duración y cese. El presente DPA es eficaz desde la fecha de aceptación de las Condiciones y permanece en vigor durante toda la duración del Tratamiento de los Datos del Cliente por parte de hice. Las cláusulas destinadas a sobrevivir por su naturaleza (en particular los arts. 9, 12 y 13) permanecen eficaces incluso después del cese.

14.2 Modificaciones. hice puede actualizar el presente DPA para adaptarlo a modificaciones normativas, a resoluciones de las Autoridades de control o a la evolución del Servicio, dando preaviso al Responsable con las modalidades previstas en las Condiciones; las modificaciones no reducen el nivel de protección de los datos ni los derechos del Responsable derivados del art. 28 RGPD.

14.3 Invalidez parcial. La eventual invalidez o ineficacia de una cláusula no afecta a la validez de las restantes.

14.4 Ley aplicable y fuero. El presente DPA se rige por la ley italiana, con exclusión de las normas de conflicto. Para las controversias es competente con carácter exclusivo el fuero de Milán (Italia), salvo, para el Cliente Consumidor, la inderogable competencia del fuero del Consumidor (lugar de residencia o domicilio) conforme al Código de Consumo. Para las transferencias reguladas por las SCC, se mantienen la ley y la jurisdicción allí previstas.

ANEXO A — Detalles del tratamiento

(art. 28(3) RGPD — descripción del Tratamiento encomendado al Encargado)

A.1 Responsable del tratamiento: el Cliente, según se identifica en el Formulario de Pedido y en los datos de registro del Tenant.

A.2 Encargado del tratamiento: CONSOO S.R.L.S. — hice (datos en los Antecedentes).

A.3 Objeto del tratamiento. Ejecución de las operaciones de Tratamiento necesarias para prestar el Servicio: recolección, registro, organización, estructuración, conservación, consulta, uso, extracción, comunicación a los Subencargados autorizados, cotejo, interconexión, limitación, eliminación de los Datos del Cliente.

A.4 Duración del tratamiento. Durante toda la duración de la relación contractual (suscripción o uso del Plan Gratuito), además del período necesario para las operaciones de eliminación/devolución previstas en el art. 9 del DPA.

A.5 Naturaleza y finalidad del tratamiento. Prestación de las funcionalidades del Servicio y de los servicios conexos de hosting, almacenamiento, seguridad, copias de seguridad y soporte. Las finalidades incluyen, a título ejemplificativo:

gestión de los registros maestros de clientes, contactos y proveedores;
gestión de candidatos y procesos de recruiting, incluido el matching candidatos↔oportunidades (auxilio a la decisión humana) y el análisis de los CV;
gestión de proyectos, registro de horas, notas de gastos y compras;
gestión de documentos y archivo corporativo;
gestión de calendario y correo en modalidad BYO (previa activación del Responsable);
chat de equipo, KPI, organigrama;
asistente de IA en chat (con confirmación humana sobre las acciones de escritura — HITL);
reconocimiento óptico de caracteres (OCR) sobre recibos y facturas.

A.6 Categorías de Interesados. Las personas físicas cuyos datos se tratan en el marco del Servicio incluyen:

Candidatos (perfiles de selección gestionados por el Cliente en el vertical recruiting / en la función candidatos);
Empleados del Cliente;
Consultores / colaboradores del Cliente;
Contactos (referentes de clientes, proveedores y otros sujetos gestionados en los registros maestros / CRM del Cliente);
Usuarios Autorizados del Cliente (limitadamente a los Datos del Cliente que les conciernen y que el Responsable trata en el Servicio).

A.7 Tipos de Datos Personales. Las categorías de datos tratados incluyen:

datos identificativos y de registro (p. ej., nombre, apellido, fecha de nacimiento, identificación fiscal cuando sea introducida por el Cliente);
datos de contacto (p. ej., correo electrónico, teléfono, dirección);
datos profesionales y de carrera (p. ej., cargo, experiencias, competencias, retribución/compensación, CV y los contenidos correspondientes);
datos de comunicación derivados de las funciones Calendario y Correo en modalidad BYO (p. ej., eventos de calendario, metadatos y contenidos de los correos electrónicos sincronizados, cuando sean activados por el Responsable);
datos generados en el uso del Servicio (p. ej., notas, evaluaciones, contenidos de chat, adjuntos y documentos cargados por el Cliente).

A.8 Eventuales categorías especiales de datos (art. 9 RGPD). El Servicio no está diseñado ni destinado al tratamiento sistemático de categorías especiales de datos. No obstante, en caso de que el Cliente, por iniciativa propia, cargue en los campos libres, en los documentos, en los CV o en los adjuntos datos que revelen el origen racial o étnico, las opiniones, el estado de salud, la afiliación sindical u otras categorías especiales (o datos relativos a condenas penales e infracciones, art. 10 RGPD), el Responsable es el único responsable de asegurar la base jurídica correspondiente y las condiciones de licitud; tales datos serán tratados por hice dentro de los límites de las instrucciones y con las medidas de seguridad del Anexo C.

ANEXO B — Subencargados del tratamiento

(art. 28(4) RGPD — categorías funcionales de Subencargados autorizados a la fecha de entrada en vigor del DPA)

En coherencia con el enfoque vendor-agnostic adoptado por hice, los Subencargados se describen por categoría funcional y no por nombre. Los datos se tratan en la región y/o en otras jurisdicciones con garantías adecuadas; las eventuales transferencias fuera de dicha región se producen únicamente con carácter excepcional, con las garantías previstas en el Anexo D.

Categoría de Subencargado	Función	Categorías de datos tratados	Ubicación	Garantía para eventuales transferencias fuera del EEE
Infraestructura cloud, hosting, base de datos, autenticación, almacenamiento	Prestación y archivo del Servicio (aplicación web y API, base de datos, identidad, almacenamiento de archivos, copias de seguridad)	Todos los Datos del Cliente, datos de cuenta, archivos	En la región y/o otras jurisdicciones con garantías adecuadas	Cuando sea necesario, garantías conforme al Capítulo V del RGPD donde aplique
Procesamiento de los pagos	Gestión de suscripciones, pagos y facturación	Datos de pago y de facturación del Cliente	En la región y/o otras jurisdicciones con garantías adecuadas	Garantías conforme al Capítulo V del RGPD (SCC / adecuación) donde aplique cuando el flujo sea fuera del EEE
Envío de correos electrónicos transaccionales	Invitaciones, restablecimiento de contraseña, notificaciones de servicio	Correo electrónico y nombre del destinatario, contenido del mensaje transaccional	En la región y/o otras jurisdicciones con garantías adecuadas	Cuando sea necesario, garantías conforme al Capítulo V del RGPD donde aplique
Analítica de producto y diagnóstico	Mejora, seguridad y diagnóstico del Servicio	Eventos de uso, identificadores técnicos, datos de interacción enmascarados	En la región y/o otras jurisdicciones con garantías adecuadas	Cuando sea necesario, garantías conforme al Capítulo V del RGPD donde aplique
Notificaciones push (opcional, opt-in)	Notificaciones en la aplicación móvil	Token del dispositivo, metadatos de la notificación	En la región y/o otras jurisdicciones con garantías adecuadas	Garantías conforme al Capítulo V del RGPD (SCC / adecuación) donde aplique cuando el flujo sea fuera del EEE
Procesamiento para las Funcionalidades de IA	Inferencia de los modelos de inteligencia artificial	Texto de los prompts (puede contener datos personales: texto de los CV, contenidos de chat)	En la región y/o otras jurisdicciones con garantías adecuadas	Garantías conforme al Capítulo V del RGPD (SCC / adecuación) donde aplique cuando el flujo sea fuera del EEE

Integraciones elegidas por el Cliente (correo/calendario «BYO»). Cuando el Responsable activa la sincronización de Calendario/Correo conectando, con sus propias credenciales OAuth, los servicios de correo y calendario que él elija, el tratamiento correspondiente (eventos de calendario, metadatos de los correos electrónicos) se produce en el entorno del Responsable ante el proveedor que él elija: se trata de un tratamiento activado por el Responsable, que responde de él en calidad de responsable y cuyas ubicaciones y garantías son determinadas por el proveedor elegido.

Tratamientos locales (no Subencargados externos). Algunas operaciones — en particular el reconocimiento óptico de caracteres y la compresión de los documentos, así como un componente de procesamiento de IA de respaldo — se ejecutan mediante componentes de software ejecutados localmente en la infraestructura del Servicio y no implican comunicación a terceros.

La lista actualizada de los Subencargados se pone a disposición del Responsable conforme al art. 6.4 del DPA.

ANEXO C — Medidas técnicas y organizativas (art. 32)

(medidas realmente adoptadas por hice; la lista puede evolucionar conforme al art. 5.2 del DPA, sin reducción global del nivel de protección)

C.1 Aislamiento multi-tenant. Separación lógica de los datos de cada Tenant a nivel de base de datos: cada registro está vinculado al identificador del Tenant (tenant_id) y políticas de seguridad a nivel de fila impiden el acceso a los datos de Tenants distintos. El aislamiento cross-tenant es objeto de pruebas automatizadas.

C.2 Cifrado de los datos personales en reposo. Cifrado a nivel de aplicación de los datos personales sensibles (PII) en reposo con algoritmo AES-256-GCM y clave derivada por cada Tenant, de modo que se segreguen criptográficamente los datos de los distintos Clientes.

C.3 Cifrado de los tokens de integración. Cifrado a nivel de aplicación de los tokens OAuth de las integraciones (p. ej., Calendario/Correo BYO), conservados en forma cifrada y no en claro.

C.4 Cifrado en tránsito. Transmisión de los datos protegida mediante TLS/HTTPS entre el cliente, el Servicio y los componentes de backend.

C.5 Control de los accesos. Control de los accesos basado en roles y permisos (RBAC) con motor de permisos a nivel de aplicación y gating de los módulos; autenticación de los Usuarios gestionada mediante el proveedor de identidad.

C.6 Principio de mínimo privilegio. Accesos del personal y de los componentes técnicos concedidos según el mínimo privilegio, limitados a lo necesario para la prestación del Servicio.

C.7 Registro de las modificaciones (registro de auditoría). Registro de las operaciones de modificación sobre los datos (registro de auditoría) con fines de seguridad, trazabilidad y verificación.

C.8 Copias de seguridad. Realización de copias de seguridad, en copias conservadas también en infraestructura separada (off-site), con fines de continuidad operativa y restauración, conforme a los objetivos de RPO y RTO indicados en el Acuerdo de Nivel de Servicio (sla-livelli-servizio.md).

C.9 Gestión de los secretos. Gestión de las claves y de los secretos de aplicación (credenciales, claves de cifrado, secretos de integración) separada del código, con acceso restringido.

C.10 Confidencialidad del personal. Vínculos de confidencialidad y formación del personal autorizado (art. 4 del DPA).

C.11 Gestión de los Subencargados. Selección de Subencargados que ofrecen garantías adecuadas e imposición de obligaciones equivalentes (art. 6 del DPA).

C.12 Funcionalidades en tutela de los Interesados. Confirmación humana sobre las acciones de escritura sugeridas por la IA (HITL) y ausencia de entrenamiento de los modelos de IA de base con los Datos del Cliente.

Nota: hice no cuenta, por el momento, con certificaciones de terceros (p. ej., ISO 27001, SOC 2). Las presentes medidas describen el estado efectivo de la implementación y no constituyen una certificación.

ANEXO D — Transferencias internacionales

(ubicación del Tratamiento y garantías para eventuales transferencias a terceros países)

D.1 Ubicación y principio. Los servicios cloud y los servidores utilizados para prestar el Servicio se ubican en la región de referencia y/o en otras jurisdicciones en las que operan nuestros proveedores, aplicando siempre garantías adecuadas conforme a la normativa aplicable. Cuando un tratamiento requiera una transferencia a otra jurisdicción, esta se efectúa adoptando garantías adecuadas conforme a la normativa aplicable (donde aplique el RGPD: Capítulo V — Cláusulas Contractuales Tipo o decisión de adecuación).

D.2 Categorías potencialmente afectadas. Entre las categorías funcionales de Subencargados descritas en el Anexo B, las relativas al procesamiento de los pagos, a las notificaciones push y al procesamiento para las Funcionalidades de IA pueden, en función de la solución adoptada, implicar un tratamiento fuera del EEE; en tal caso se aplican las garantías previstas en el art. 46 RGPD (SCC) y/o una decisión de adecuación, donde aplique. Las demás categorías se prevén dentro de la región y/o de otras jurisdicciones con garantías adecuadas.

D.3 Modalidad BYO. Para las integraciones de correo y calendario en modalidad BYO rigen las precisiones del art. 11.4 del DPA: la transferencia es activada por el Responsable en el entorno del proveedor que él elija; el Responsable sigue siendo responsable de las condiciones y de las garantías de la relación con dicho proveedor.