Acuerdo de tratamiento de datos

1. Ámbito

Este acuerdo se aplica cuando una cuenta profesional usa Rashol para tratar datos personales de terceros, como clientes, proveedores, personas miembro de workspace, personas invitadas, solicitantes de acceso o destinatarias de reportes.

La cuenta profesional actúa como responsable del tratamiento respecto de esos datos y Rashol actúa como encargado, tratando los datos solo para prestar, proteger y mantener el servicio.

2. Instrucciones y finalidad

Rashol tratará los datos conforme a las instrucciones de la cuenta profesional expresadas mediante el uso normal del producto: almacenamiento, sincronización, generación de documentos, reportes compartidos, invitaciones, soporte, seguridad, límites de plan y eliminación.

Rashol no venderá los datos tratados por cuenta profesional ni los usará para publicidad comportamental.

3. Subencargados

La cuenta profesional autoriza el uso de subencargados necesarios para operar el servicio: Supabase, Cloudflare, Sentry, Resend, Google OAuth y PostHog cuando exista consentimiento de analytics. La lista funcional se mantiene también en la Política de privacidad.

Si se incorpora un subencargado materialmente nuevo, Rashol intentará reflejarlo en esta página o en la política aplicable. El uso continuado del servicio tras la actualización implica aceptación salvo que la ley exija otro mecanismo.

4. Seguridad

Rashol aplica medidas razonables para un SaaS independiente: autenticación basada en sesión, control de acceso por cuenta/workspace, Row Level Security en tablas expuestas, cifrado en tránsito mediante HTTPS/TLS, uso restringido de claves de servicio, separación lógica de datos y medidas de seguridad de proveedores para almacenamiento en reposo.

Rashol no ofrece cifrado de extremo a extremo. No se deben introducir contraseñas, claves privadas, datos médicos u otra información altamente sensible que no sea necesaria para gestionar la actividad profesional.

5. Derechos, devolución y supresión

Rashol asistirá razonablemente a la cuenta profesional en solicitudes de acceso, rectificación, supresión, oposición, portabilidad o limitación, en la medida en que la información esté bajo control de Rashol y el producto no permita gestionarla directamente.

Al eliminar la cuenta o workspace, Rashol eliminará los datos de producción según la Política de privacidad, salvo datos mínimos que deban conservarse por obligación legal, contable, seguridad, antifraude o auditoría. Las copias de seguridad pueden conservar vestigios temporalmente hasta su rotación técnica.

6. Incidentes y transferencias

Si Rashol confirma un incidente de seguridad que afecte datos personales tratados por cuenta profesional, notificará a la cuenta afectada sin dilación indebida mediante los canales disponibles, aportando la información razonablemente disponible.

Algunos proveedores pueden tratar datos fuera del país de residencia de la persona usuaria. Rashol procura usar proveedores con garantías contractuales y operativas razonables para servicios SaaS.