Anexo de Tratamiento de Datos Personales

Este Anexo forma parte de los Términos y Condiciones de Kontari y regula el tratamiento de datos personales que Kontari ([RAZÓN SOCIAL], CUIT [CUIT], [DOMICILIO LEGAL] — el “Encargado”) realiza por cuenta y siguiendo las instrucciones del Usuario que contrata el Servicio (el “Responsable”), cuando este carga en la plataforma datos personales de terceros. Se aplica la Ley N.º 25.326, su Decreto N.º 1558/2001 y las Resoluciones de la AAIP aplicables (art. 25 Ley 25.326).

1. Roles y alcance del tratamiento

1.1. El Responsable determina la finalidad, el contenido y el uso de los datos personales que carga en el Servicio. Declara contar con base de licitud y, cuando corresponda, con el consentimiento de los titulares, y haber cumplido el deber de información (art. 6 Ley 25.326).

1.2. El Encargado trata esos datos únicamente para prestar el Servicio conforme a los Términos, a este Anexo y a las instrucciones documentadas del Responsable. En particular, el Encargado: no cede, vende, alquila, licencia, publica ni comparte los datos con terceros para fines propios de esos terceros; no los usa para fines propios, ni para publicidad, elaboración de perfiles comerciales, reventa o monetización de bases; no los utiliza para entrenar, ajustar, evaluar ni mejorar modelos de inteligencia artificial, propios o de terceros; no cruza ni combina los datos de un Responsable con los de otro; y solo genera métricas y estadísticas del Servicio en forma agregada, disociada y anonimizada de modo irreversible. Los datos no son propiedad del Encargado y no pueden aplicarse a una finalidad distinta (art. 25.2 Ley 25.326).

1.3. Si el Encargado estuviera obligado por ley a un tratamiento no previsto en las instrucciones, informará al Responsable antes de tratarlo, salvo prohibición legal.

1.4. Acceso del personal del Encargado. El acceso a los datos por parte del personal del Encargado es nominado, limitado al mínimo indispensable, sujeto a deber de confidencialidad que subsiste tras el fin del vínculo, registrado en la bitácora de seguridad, y solo para operar y resguardar el Servicio, brindar soporte, atender la seguridad o cumplir una obligación legal o un requerimiento de autoridad competente.

1.5. Claves fiscales cifradas de extremo a extremo. Cuando el Responsable usa la función de almacenamiento de claves fiscales, el Encargado provee un mecanismo que cifra esas credenciales en el dispositivo del Responsable con una clave (la “Clave Maestra”) que el Encargado no recibe ni almacena. En consecuencia, el Encargado no tiene acceso al texto claro de esas claves fiscales, no puede descifrarlas ni entregarlas a un tercero, y no puede atender por sí las solicitudes de acceso, rectificación o supresión referidas a su contenido: esas solicitudes las resuelve el Responsable.

2. Objeto, duración, naturaleza y finalidad

• Objeto: el tratamiento necesario para alojar y operar la información de gestión del estudio contable dentro del Servicio.
• Duración: mientras esté vigente el contrato del Servicio, más el período de recuperación/eliminación de la cláusula 9.
• Naturaleza y finalidad: almacenamiento, organización, consulta, comunicación entre Responsable y sus clientes, respaldo y supresión, para que el Responsable gestione su actividad profesional.
• Detalle de categorías de datos y de titulares: Anexo I.

3. Instrucciones del Responsable

Las instrucciones del Responsable son los Términos, este Anexo, la configuración que aplica en el Servicio (permisos, usuarios, clientes, datos que decide cargar, activación o no de las funciones de inteligencia artificial y de mensajería) y toda indicación adicional que curse por escrito a [EMAIL DE PRIVACIDAD]. El Encargado avisará si, a su criterio, una instrucción infringe la Normativa de Datos.

4. Confidencialidad

El Encargado garantiza que las personas autorizadas a tratar los datos se obligaron a la confidencialidad y recibieron la formación necesaria. El deber de confidencialidad subsiste tras la finalización de la relación (art. 10 Ley 25.326).

5. Medidas de seguridad

El Encargado aplica las medidas técnicas y organizativas descriptas en el Anexo II, acordes al art. 9 de la Ley 25.326 y a la normativa de seguridad de la AAIP. Podrá actualizarlas siempre que no disminuya el nivel de protección.

6. Subencargados

6.1. El Responsable autoriza de forma general al Encargado a contratar subencargados para prestar el Servicio. La lista vigente está en el Anexo III. Los subencargados de inteligencia artificial y de mensajería solo tratan datos si el Responsable activa esas funciones.

6.2. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Anexo —incluida la prohibición de usar los datos para fines propios y de entrenar modelos de IA con ellos—, y responde frente al Responsable por su gestión.

6.3. El Encargado informará con antelación razonable la incorporación o sustitución de subencargados. El Responsable podrá oponerse por motivos fundados vinculados a la protección de datos dentro de los quince (15) días corridos; si la objeción no puede resolverse, podrá rescindir el Servicio sin penalidad.

7. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Responsable, en la medida de lo razonable, para: (a) atender los derechos de los titulares (acceso, rectificación, actualización, supresión, oposición) —si un titular contacta directamente al Encargado, este lo derivará al Responsable—; (b) garantizar la seguridad del tratamiento; (c) notificar incidentes de seguridad; (d) realizar evaluaciones de impacto, cuando correspondan. El Servicio incluye herramientas de exportación y de eliminación de datos.

8. Incidentes de seguridad

El Encargado notificará al Responsable sin dilación indebida y a más tardar dentro de las 48 horas de haber tomado conocimiento de un incidente de seguridad que afecte datos personales tratados por cuenta del Responsable, con la información disponible sobre naturaleza, categorías y volumen aproximado de datos y titulares afectados, consecuencias probables y medidas adoptadas. La notificación a los titulares y a la AAIP, si corresponde, es responsabilidad del Responsable, con asistencia del Encargado.

9. Devolución o supresión al finalizar

A la terminación del Servicio, el Encargado, a elección del Responsable: (i) mantendrá disponible la exportación del Contenido del Usuario durante treinta (30) días corridos; y luego (ii) eliminará o anonimizará de forma irreversible los datos personales tratados por cuenta del Responsable dentro de los [PLAZO CONSERVACIÓN] meses siguientes, incluidas las copias, salvo que una norma exija conservarlos, en cuyo caso los aislará y protegerá hasta que cese esa obligación.

10. Auditoría e información

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este Anexo. Una vez al año, o ante un incidente relevante, el Responsable podrá solicitar información adicional o una auditoría acotada, con preaviso de treinta (30) días, en horario laboral, sin afectar la operación ni la confidencialidad de otros clientes, y a su costa. Pueden sustituirse por informes o certificaciones de terceros que posea el Encargado.

11. Transferencias internacionales

El Encargado podrá tratar y almacenar datos en servidores de subencargados ubicados fuera de la Argentina (ver Anexo III), amparando la transferencia en cláusulas contractuales con obligaciones equivalentes a la Ley 25.326 o en las excepciones de su art. 12. El Responsable presta su conformidad con estas transferencias en tanto sean necesarias para prestar el Servicio.

12. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este Anexo pone a su cargo. La responsabilidad del Encargado frente al Responsable se rige, además, por los límites de la cláusula 17 de los Términos, y la disponibilidad y continuidad del Servicio se rige por la cláusula 14 de los Términos. Nada en este Anexo limita la responsabilidad de cada parte frente a los titulares de los datos o frente a la AAIP conforme a la ley.

13. Vigencia y prevalencia

Este Anexo rige mientras el Encargado trate datos personales por cuenta del Responsable. En caso de contradicción entre este Anexo y el resto de los Términos en materia de protección de datos personales, prevalece este Anexo.

Anexo I — Detalle del tratamiento

Categorías de titulares de datos

• Clientes del estudio contable (personas humanas y representantes de personas jurídicas).
• Dependientes, socios y contactos de esos clientes.
• Colaboradores del estudio dados de alta por el Responsable.

Categorías de datos personales

• Identificación y contacto: nombre y apellido, razón social, CUIT/CUIL/DNI, domicilio, correo electrónico, teléfono.
• Datos fiscales y previsionales: condición ante AFIP-ARCA, impuestos y regímenes, vencimientos, montos y datos de declaraciones y presentaciones.
• Claves fiscales y credenciales de acceso a organismos que el Responsable decida almacenar: se guardan cifradas de extremo a extremo con la Clave Maestra del Responsable; el Encargado no accede a su contenido (cláusula 1.5).
• Documentación cargada por el Responsable o sus clientes (comprobantes, estados, formularios, escaneos).
• Datos de comunicación: mensajes de chat, mensajes de WhatsApp (si se activa), participación en reuniones y sus metadatos.
• Evidencia de firma electrónica simple: nombre del firmante, fecha, dirección IP y hash del documento.
• Datos de uso del portal por parte de los clientes del estudio.

Operaciones de tratamiento

Recolección, registro, organización, conservación, consulta, modificación, comunicación entre Responsable y sus clientes, respaldo, bloqueo y supresión.

Anexo II — Medidas de seguridad

• Cifrado de las comunicaciones en tránsito mediante TLS/HTTPS.
• Cifrado de extremo a extremo de las claves fiscales con una Clave Maestra que solo conoce el Responsable; el Encargado no la almacena ni puede descifrarlas.
• Cifrado en reposo (AES-256-GCM) de los tokens de conexión que autorice el Responsable y del secreto de segundo factor.
• Control de acceso basado en roles y permisos; principio de mínimo privilegio.
• Autenticación de usuarios sin contraseña, mediante enlace de un solo uso enviado al correo verificado, con segundo factor (2FA) opcional.
• Segregación lógica de los datos por cuenta / organización.
• Registros de auditoría (bitácora) de accesos y operaciones sensibles.
• Límites de tasa (rate limiting) para mitigar abuso y fuerza bruta.
• Copias de seguridad periódicas y procedimientos de restauración.
• Gestión de vulnerabilidades y actualización de dependencias.
• Acceso del personal del Encargado limitado, nominado y sujeto a confidencialidad.
• Procedimiento de gestión y notificación de incidentes de seguridad.
• Baja segura de datos y de soportes.

Anexo III — Subencargados autorizados

Revisá y completá los campos [COMPLETAR] con los proveedores reales y sus regiones antes de publicar. Mantené la lista sincronizada con la cláusula 7 de la Política de Privacidad.