Acuerdo de Tratamiento de Datos de Qodea

Versión: 0.1 (borrador) · Última actualización: fecha de publicación

En pocas palabras

• Si los sitios que publicas con Qodea tienen usuarios (cuentas, formularios, pedidos), tú eres el responsable de sus datos y Qualic los trata por cuenta tuya, como encargado.
• Solo usamos esos datos para alojar y hacer funcionar tus proyectos, según tus instrucciones.
• Te decimos qué proveedores usamos, te avisamos antes de sumar uno y puedes oponerte.
• Si hay un incidente de seguridad que afecte esos datos, te avisamos sin demora y en un máximo de 48 horas.
• Cuando te vas, borramos los datos.

1. Partes y alcance

1.1. Este Acuerdo es entre ti, el cliente de Qodea ("Cliente"), y Qualic LLC, sociedad de responsabilidad limitada constituida en Delaware, EE.UU. ("Qualic"). Forma parte de los Términos y Condiciones y lo aceptas junto con ellos.

1.2. Se aplica cuando Qualic trata Datos del Cliente: los datos personales de los Usuarios Finales de tus proyectos (y de cualquier otra persona) que se guardan o circulan en tus proyectos publicados con Qodea.

1.3. No se aplica a los datos de tu propia cuenta de Qodea (tu email, tus pedidos en el chat, tu uso del servicio). Para esos datos Qualic es responsable y se rigen por la Política de Privacidad.

1.4. Si este Acuerdo y los Términos dicen cosas distintas sobre datos personales, prevalece este Acuerdo. Si este Acuerdo y las cláusulas de transferencia de la sección 11 dicen cosas distintas, prevalecen esas cláusulas.

2. Definiciones

• Leyes de Protección de Datos: las que se apliquen al tratamiento de los Datos del Cliente, entre ellas el Reglamento General de Protección de Datos de la UE (RGPD), el UK GDPR, la Ley 25.326 de Argentina, la LGPD de Brasil, la LFPDPPP de México y las leyes de privacidad de los estados de EE.UU. (como la CCPA de California).
• Titular: la persona a la que se refieren los datos.
• Subencargado: un proveedor al que Qualic le encarga parte del tratamiento de los Datos del Cliente.
• Incidente de Seguridad: un acceso, una pérdida, una destrucción, una alteración o una divulgación no autorizados de Datos del Cliente que estén bajo el control de Qualic o de sus Subencargados.

Los demás términos ("responsable", "encargado", "tratamiento", "datos personales") tienen el sentido que les dan las Leyes de Protección de Datos.

3. Roles

3.1. El Cliente es el responsable de los Datos del Cliente. Si el Cliente actúa a su vez como encargado de otra persona, Qualic actúa como su subencargado y este Acuerdo se aplica igual.

3.2. Qualic es el encargado. Trata los Datos del Cliente solo por cuenta del Cliente.

3.3. El detalle del tratamiento (qué datos, de quiénes, para qué y por cuánto tiempo) está en el Anexo 1.

4. Obligaciones del Cliente

El Cliente:

• decide qué datos juntan sus proyectos y para qué, y tiene una base legal para hacerlo;
• informa a sus Usuarios Finales con su propia política de privacidad y les pide consentimiento cuando hace falta;
• responde los pedidos de sus Usuarios Finales (acceso, corrección, borrado, etc.);
• no usa Qodea para tratar datos sensibles ni datos de menores, salvo acuerdo escrito con Qualic;
• revisa que el código que genera la IA trate los datos como corresponde antes de publicarlo;
• se asegura de que sus instrucciones cumplan las Leyes de Protección de Datos.

5. Instrucciones

5.1. Qualic trata los Datos del Cliente solo según las instrucciones documentadas del Cliente. Son instrucciones: los Términos, este Acuerdo, la configuración de cada proyecto y el uso que el Cliente hace de las funciones de Qodea (por ejemplo, publicar un proyecto, conectar un dominio, descargar el código o borrar un proyecto). Cualquier otra instrucción tiene que acordarse por escrito.

5.2. Si Qualic cree que una instrucción viola las Leyes de Protección de Datos, se lo avisa al Cliente y puede no cumplirla hasta que se aclare.

5.3. Qualic puede tratar Datos del Cliente sin instrucción si una ley se lo exige. En ese caso se lo avisa al Cliente antes, salvo que esa ley lo prohíba.

5.4. IA. Qodea no envía a los proveedores de IA los datos guardados en las bases de datos de los proyectos. Si el Cliente copia Datos del Cliente en el chat o en los pasos, esos datos se envían a los proveedores de IA de la Política de Privacidad, y se considera que es una instrucción del Cliente. Recomendamos no hacerlo. confirmar que ningún flujo de Qodea envía a la IA datos de la base del proyecto ni registros del backend

5.5. Estados Unidos. Cuando se aplique la CCPA u otra ley estatal similar, Qualic actúa como "service provider" o "processor" y: no vende ni comparte los Datos del Cliente; no los conserva, usa ni divulga fuera de la relación directa con el Cliente ni para otro fin que prestar el servicio; no los combina con datos de otras fuentes salvo lo que permita la ley; y avisa al Cliente si ya no puede cumplir esas obligaciones.

6. Confidencialidad

Solo acceden a los Datos del Cliente las personas de Qualic que lo necesitan para operar el servicio, dar soporte, investigar abusos o cumplir la ley. Todas tienen un deber de confidencialidad por contrato o por ley.

7. Seguridad

7.1. Qualic aplica las medidas técnicas y organizativas del Anexo 2, apropiadas para el riesgo del tratamiento.

7.2. Qualic puede cambiar esas medidas siempre que el nivel de protección no baje.

7.3. La seguridad del código de cada proyecto (lo que genera la IA y lo que cambie el Cliente) y de las claves que el Cliente cargue es responsabilidad del Cliente.

8. Subencargados

8.1. El Cliente autoriza a Qualic a usar los Subencargados de la lista de subencargados.

8.2. Qualic les impone por contrato obligaciones de protección de datos equivalentes a las de este Acuerdo, y responde ante el Cliente por lo que hagan, en los términos de este Acuerdo.

8.3. Cambios. Antes de sumar o reemplazar un Subencargado, Qualic actualiza la lista y avisa por email a los Clientes con al menos días de aviso, sugerido 30 días de anticipación. Eso incluye la migración prevista de la IA a Amazon Bedrock.

8.4. Objeción. El Cliente puede oponerse dentro de ese plazo, por motivos razonables de protección de datos, escribiendo a contacto@qualic.dev. Las partes van a buscar una solución de buena fe. Si no la encuentran, el Cliente puede dar de baja la parte del servicio afectada y Qualic le devuelve lo pagado por adelantado por el período que no va a usar.

8.5. Si un Subencargado tiene que reemplazarse de urgencia (por ejemplo, por un problema de seguridad), Qualic puede hacerlo antes y avisa lo antes posible; el derecho de objeción se mantiene.

9. Ayuda con los pedidos de los Titulares y otras obligaciones

9.1. Si un Usuario Final le escribe a Qualic para ejercer sus derechos, Qualic le reenvía el pedido al Cliente y le indica a la persona que se dirija a él. Qualic no responde el pedido por su cuenta, salvo que el Cliente lo autorice o la ley lo exija.

9.2. Qualic ayuda al Cliente, con medidas técnicas y organizativas razonables según la naturaleza del tratamiento, a responder esos pedidos. qué herramientas tiene el Cliente para consultar, exportar y borrar datos de la base de su proyecto

9.3. Qualic también ayuda al Cliente, con la información que tenga, a hacer evaluaciones de impacto y consultas previas a las autoridades cuando las Leyes de Protección de Datos lo exijan.

10. Incidentes de Seguridad

10.1. Si Qualic confirma un Incidente de Seguridad, se lo avisa al Cliente sin demora indebida y en un máximo de 48 horas desde que lo confirma, para que el Cliente pueda cumplir el plazo de 72 horas del RGPD y los plazos de otras leyes.

10.2. El aviso va al email de la cuenta del Cliente e incluye, en la medida en que se conozca: qué pasó, qué datos y qué cantidad aproximada de Titulares se vieron afectados, las consecuencias probables, qué medidas tomó o propone Qualic y un contacto. Si no se sabe todo, Qualic informa por etapas.

10.3. Qualic toma medidas razonables para contener el incidente y reducir sus efectos.

10.4. El Cliente decide si notifica a las autoridades y a los Titulares. Qualic no lo hace por el Cliente, salvo que lo acuerden o que la ley se lo exija.

10.5. Avisar un incidente no significa que Qualic reconozca culpa ni responsabilidad.

11. Transferencias internacionales

11.1. Qualic es una empresa de EE.UU. Los Datos del Cliente se guardan en EE.UU. (región us-east-1 de AWS y de Neon). El equipo de Qualic accede a ellos desde Argentina. confirmar desde qué países accede el equipo Los Subencargados y sus ubicaciones están en la lista de subencargados.

11.2. Unión Europea y Espacio Económico Europeo. Cuando el Cliente transfiera Datos del Cliente desde la UE o el EEE a Qualic, se aplican las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea ("SCC"), que se incorporan a este Acuerdo así:

• Módulo 2 (de responsable a encargado) si el Cliente es responsable, y Módulo 3 (de encargado a encargado) si el Cliente es encargado.
• El Cliente es el exportador y Qualic, el importador.
• Cláusula 7 (cláusula de adhesión): no se aplica.
• Cláusula 9: opción 2 (autorización general), con el plazo de aviso de la sección 8.3.
• Cláusula 11: no se aplica la opción de un organismo independiente de resolución de conflictos.
• Cláusulas 17 y 18: ley y tribunales de Estado miembro, ej. Irlanda.
• Cláusula 13: la autoridad de control competente según esa cláusula.
• Anexo I de las SCC: el Anexo 1 de este Acuerdo. Anexo II: el Anexo 2. Anexo III: la lista de subencargados.

11.3. Reino Unido. Para transferencias desde el Reino Unido se aplica el Anexo de Transferencia Internacional de Datos a las SCC emitido por la ICO (International Data Transfer Addendum), con la información de la sección 11.2 y de los Anexos de este Acuerdo. Cualquiera de las partes puede terminar el Anexo del Reino Unido según su sección 19.

11.4. Suiza. Para transferencias desde Suiza se aplican las SCC de la sección 11.2, entendiendo que las referencias al RGPD incluyen la ley suiza de protección de datos y que la autoridad competente es el Comisionado Federal de Protección de Datos e Información (FDPIC).

11.5. Argentina. Para transferencias desde Argentina se aplican las cláusulas contractuales modelo de la Agencia de Acceso a la Información Pública (AAIP) para la transferencia de responsable a encargado aprobadas por la Resolución AAIP 198/2023, sin modificaciones, con el Cliente como exportador y Qualic como importador. confirmar con el abogado si alcanza con incorporarlas por referencia o si hay que firmarlas como anexo

11.6. Brasil. Para transferencias desde Brasil se aplican las cláusulas estándar contractuales de la Resolución CD/ANPD 19/2024, sin modificaciones. confirmar con el abogado la forma de incorporarlas

11.7. Transferencias a Subencargados. Qualic transfiere Datos del Cliente a sus Subencargados solo con una garantía válida según las Leyes de Protección de Datos (por ejemplo, las SCC con el Módulo 3). garantía firmada con cada Subencargado; hoy no hay ninguna con DeepSeek

11.8. Qualic le da al Cliente, si lo pide, la información razonable que tenga para evaluar las leyes del país de destino.

12. Pedidos de autoridades

Si una autoridad le pide a Qualic acceso a Datos del Cliente, Qualic: se lo avisa al Cliente, salvo que la ley lo prohíba; revisa que el pedido sea legal y lo impugna si hay motivos razonables; y entrega solo lo mínimo que se le exige.

13. Devolución y borrado

13.1. Mientras usa Qodea, el Cliente puede descargar el código de cada versión de sus proyectos. cómo puede el Cliente exportar los datos de la base de datos de un proyecto

13.2. Cuando el Cliente borra un proyecto o su cuenta, o cuando terminan los Términos, Qualic borra los Datos del Cliente en un plazo de plazo, ej. 30 días, salvo que una ley le exija conservarlos. Lo que se conserve sigue protegido por este Acuerdo.

13.3. Si el Cliente lo pide, Qualic le confirma por escrito que borró los datos.

14. Auditorías

14.1. Qualic le da al Cliente la información necesaria para demostrar que cumple este Acuerdo, por ejemplo respondiendo cuestionarios de seguridad razonables.

14.2. Si esa información no alcanza, o si lo exige una autoridad o la ley, el Cliente puede auditar el cumplimiento de este Acuerdo:

• con al menos 30 días de aviso, salvo después de un Incidente de Seguridad;
• no más de una vez por año, salvo que lo exija una autoridad;
• a su costo, en horario hábil y sin afectar el servicio;
• por sí o con un auditor independiente que firme un compromiso de confidencialidad;
• sin acceso a datos de otros clientes ni a información que comprometa la seguridad del servicio.

14.3. Las SCC, cuando se apliquen, se interpretan según esta sección.

15. Responsabilidad

La responsabilidad de cada parte por este Acuerdo sigue los límites de los Términos, salvo cuando las Leyes de Protección de Datos o las SCC no permitan limitarla.

16. Duración y cambios

16.1. Este Acuerdo rige mientras Qualic trate Datos del Cliente.

16.2. Qualic puede actualizarlo para cumplir cambios en las leyes o en el servicio, con aviso según los Términos. Un cambio no puede bajar de forma importante la protección de los Datos del Cliente sin el acuerdo del Cliente.

16.3. Ley aplicable y jurisdicción: las de los Términos, salvo lo que digan las cláusulas de la sección 11.

16.4. Idioma: si hay diferencias entre la versión en español y en inglés, prevalece la versión en inglés, salvo que una norma que te aplique exija otra cosa.

Anexo 1. Detalle del tratamiento

Exportador / responsable	El Cliente, identificado con los datos de su cuenta de Qodea
Importador / encargado	Qualic LLC, domicilio de Qualic LLC, contacto@qualic.dev
Objeto y naturaleza	Alojar, guardar, entregar y ejecutar los proyectos del Cliente: almacenamiento en la base de datos y en archivos, entrega de páginas por la red de distribución, ejecución del backend, registros técnicos, borrado.
Finalidad	Prestar al Cliente el servicio de hosting y de ejecución de sus proyectos.
Titulares	Usuarios Finales y visitantes de los proyectos del Cliente, y cualquier otra persona cuyos datos el Cliente cargue en sus proyectos.
Categorías de datos	Las que decida el Cliente. Con el módulo de cuentas de la plataforma: email, contraseña cifrada con scrypt (nunca en texto plano) y sesiones (solo un hash del token). Además, los datos que el código del proyecto guarde (por ejemplo, formularios o pedidos), los que el backend escriba en sus registros, y los registros de acceso (fecha y hora, página pedida, bytes enviados, código de respuesta y dominio).
Datos sensibles	No previstos. Solo con acuerdo escrito.
Frecuencia	Continua, mientras el proyecto esté publicado.
Duración y conservación	Mientras dure el servicio, más el plazo de borrado de la sección 13. Registros de compilación: 14 días. Registros de acceso: plazo. Registros del backend: plazo; hoy no tienen vencimiento configurado.
Subencargados	Ver la lista de subencargados.

Anexo 2. Medidas de seguridad

Cifrado y claves

• Qodea y los sitios publicados se sirven por HTTPS, también en los dominios propios, con certificados que gestiona y renueva AWS.
• Los valores de las variables de entorno y las direcciones de conexión de las bases de datos se guardan cifrados con AWS KMS, con rotación automática de la clave. Cada valor queda atado a su proyecto: no se puede descifrar en otro proyecto.
• Los valores sensibles no se vuelven a mostrar después de guardarlos, no se envían a la IA y no se escriben en registros. Un filtro oculta secretos en el texto que va a la IA.

Aislamiento

• Cada proyecto con backend tiene su propia base de datos Postgres en Neon (us-east-1) y su propia función en AWS Lambda, con permisos mínimos.
• El código generado se compila en un entorno aislado (AWS CodeBuild) cuyo rol solo puede leer las fuentes de esa compilación y escribir su resultado; no tiene acceso a la base de Qodea ni a otros proyectos.
• Los archivos de los proyectos se guardan en almacenamiento privado al que solo accede la red de distribución.
• Las llamadas de un sitio a su backend pasan por el borde de la red y van firmadas.

Cuentas de los Usuarios Finales (módulo de cuentas de la plataforma, en TypeScript y en Python)

• Contraseñas guardadas con scrypt, con parámetros recomendados por OWASP y sal aleatoria.
• Sesiones con un token aleatorio en una cookie __Host- segura, HttpOnly y SameSite=Lax; en la base se guarda solo su hash.
• Después de 5 contraseñas incorrectas en 15 minutos, el email queda bloqueado por el resto de ese período.

Cuentas de Qodea y acceso interno

• Las cuentas de Qodea usan Amazon Cognito. Las sesiones duran 1 hora y se renuevan con un token revocable de 30 días, en cookies seguras y HttpOnly.
• El equipo accede a AWS solo con inicio de sesión único (SSO), sin claves de acceso de larga duración. Las claves de los proveedores se guardan como secretos de la infraestructura, no en el código.

Otros

• Límites diarios de uso de la IA por cuenta y topes de gasto por proyecto.
• agregar solo si existen: copias de seguridad, monitoreo y alertas de seguridad, revisión de accesos, plan de respuesta a incidentes, capacitación del equipo