Contrato de Tratamiento de Datos Personales (DPA)

Este Contrato de Tratamiento de Datos («DPA») forma parte integrante de los Términos de Servicio y regula el tratamiento de datos personales que CLOUDTEXA SOLUTIONS, S.R.L. (RNC 133627515, «Fortexa» o «el Encargado») realiza por cuenta y bajo las instrucciones de la empresa que contrata la plataforma («el Cliente» o «el Responsable»), conforme a la loi n° 172-13 sur la protection intégrale des données personnelles de la République dominicaine y a los estándares internacionales (RGPD art. 28, CCPA/CPRA «service provider», LGPD art. 39).

1. Roles y objeto

• El Cliente es el Responsable del tratamiento: decide qué datos de sus empleados, clientes, proveedores y contactos carga en Fortexa y con qué finalidad.
• Fortexa es el Encargado del tratamiento: solo trata esos datos para prestar el servicio (facturación, contabilidad, nómina, inventario, CRM, comprobantes electrónicos y sus integraciones) y nunca para fines propios.
• Respecto a los datos de la cuenta del Cliente (correo del administrador, facturación de la suscripción), Fortexa actúa como Responsable según la Política de Privacidad para Empresas Clientes.

2. Instrucciones documentadas

Fortexa tratará los datos únicamente conforme a las instrucciones del Cliente, que se consideran dadas mediante la configuración y el uso de la plataforma, la API y las integraciones que el Cliente active. Si una instrucción infringiera la ley aplicable, Fortexa lo informará al Cliente antes de ejecutarla.

3. Categorías de datos e interesados

• Interesados: empleados y colaboradores del Cliente, clientes y proveedores (personas físicas), contactos comerciales, usuarios del portal.
• Datos: identificación y contacto, identificación fiscal, datos laborales y de nómina, datos bancarios para pagos, historial transaccional, documentos adjuntos y comunicaciones.
• Datos sensibles: solo si el Cliente decide cargarlos (p. ej., afiliación sindical o salud en expedientes de RR. HH.); el Cliente garantiza contar con base legal para ello.

4. Confidencialidad y personal

Todo el personal de Fortexa con acceso a datos está sujeto a obligaciones de confidencialidad, principio de mínimo privilegio y formación periódica en protección de datos y seguridad, conforme a nuestro Código de Ética y Conducta.

5. Medidas técnicas y organizativas

• Cifrado AES-256 en reposo y TLS 1.2+ en tránsito.
• Aislamiento lógico multi-tenant por empresa; control de acceso por roles (RBAC) y autenticación reforzada.
• Registro de auditoría de accesos y cambios; monitoreo continuo; pruebas de seguridad periódicas.
• Respaldos diarios cifrados con retención según la Política de Respaldos; RTO ≤ 4 h y RPO ≤ 24 h; disponibilidad objetivo 99.9 %.
• Detalle público en Seguridad y Transparencia y Política de Seguridad.

6. Subencargados

El Cliente autoriza de forma general el uso de los siguientes subencargados, vinculados por obligaciones equivalentes a las de este DPA:

Fortexa notificará con al menos 30 días de antelación la incorporación de nuevos subencargados que traten datos del Cliente. Si el Cliente se opone por motivos razonables y no existe alternativa, podrá resolver el servicio afectado conforme a la Política de Reembolsos.

7. Transferencias internacionales

La infraestructura productiva se aloja en centros de datos en Estados Unidos. Cuando el Cliente o los interesados se encuentren en otro país, la transferencia se ampara en este DPA, en cláusulas contractuales estándar cuando la ley lo exija y en las garantías de seguridad descritas en la sección 5.

8. Asistencia al Responsable

• Derechos de los interesados: la plataforma permite al Cliente consultar, exportar, rectificar y eliminar datos. Si un interesado se dirige directamente a Fortexa, lo remitiremos al Cliente en 5 días hábiles.
• Evaluaciones de impacto y consultas ante la autoridad de control: Fortexa aportará la información técnica disponible.
• Obligaciones fiscales: la conservación de comprobantes exigida por DGII prevalece sobre las solicitudes de borrado mientras dure el plazo legal.

9. Violaciones de seguridad

Fortexa notificará al Cliente sin dilación indebida y en un máximo de 72 horas desde que tenga constancia de una violación de seguridad que afecte a sus datos, indicando naturaleza, categorías e interesados afectados, consecuencias probables y medidas adoptadas, y cooperará en la notificación a la autoridad y a los interesados cuando corresponda. Procedimiento detallado en la Política de Contingencia.

10. Auditoría

El Cliente podrá solicitar, una vez al año o tras un incidente, información y evidencias razonables sobre el cumplimiento de este DPA (informes de seguridad, resultados de pruebas, certificaciones de proveedores). Las auditorías in situ requerirán acuerdo previo de alcance, fecha y confidencialidad, y correrán a cargo del Cliente salvo que revelen incumplimientos materiales.

11. Devolución y supresión

Al terminar el servicio, el Cliente dispone de 30 días para exportar su información (CSV, Excel, PDF, API). Transcurrido ese plazo Fortexa suprimirá o anonimizará los datos personales en un máximo de 90 días, salvo aquellos que deba conservar por obligación legal (p. ej., comprobantes fiscales electrónicos durante el plazo exigido por DGII), que quedarán bloqueados y solo accesibles para esa finalidad.

12. Responsabilidad y ley aplicable

Cada parte responde de los daños derivados de su propio incumplimiento. Este DPA se rige por les lois de la République dominicaine y las controversias se someterán a les tribunaux compétents de Santo Domingo, Distrito Nacional, sin perjuicio de las normas imperativas de protección de datos del país de los interesados.

13. Contacto del Encargado

CLOUDTEXA SOLUTIONS, S.R.L. · George Washington No. 508, sector Gazcue, Santo Domingo de Guzmán, Distrito Nacional, República Dominicana · info@fortexaerp.com. Este DPA se acepta al contratar la plataforma y puede descargarse o imprimirse desde esta página como evidencia contractual.