Protección de Datos

AM25, S.A.S. DE C.V.

Versión 1.2

La presente Política establece las medidas aplicadas por AM25, S.A.S. DE C.V. (en adelante, «AM25») para el tratamiento y protección de los datos personales utilizados durante la prestación de sus servicios y la gestión de sus operaciones. AM25 tratará los datos personales únicamente para finalidades legítimas, determinadas y relacionadas con la relación comercial, contractual, técnica o administrativa correspondiente.

Alcance y documentos complementarios

Esta Política establece el marco general de protección de datos de AM25. Los avisos de privacidad de cada producto, las condiciones del servicio y los acuerdos de tratamiento correspondientes complementan este marco y describen las particularidades de cada relación. Los compromisos específicos de disponibilidad, soporte, respaldos, restauración, entrega y cierre de servicios se establecen en los documentos aplicables a cada contratación y no se extienden automáticamente a otros servicios.

La actualización de esta Política no modifica por sí sola los contratos firmados ni sustituye las versiones o anexos incorporados a ellos. Cualquier modificación contractual deberá seguir el procedimiento aplicable a la relación correspondiente, sin perjuicio de las obligaciones legales que resulten exigibles.

Definiciones

Para efectos de esta Política:

• Datos personales: información vinculada o que pueda vincularse a una persona natural identificada o identificable.

• Titular: persona natural a quien corresponden los datos personales.

• Tratamiento: cualquier operación realizada sobre datos personales, incluyendo su recopilación, registro, almacenamiento, consulta, modificación, transmisión o eliminación.

• Responsable del tratamiento: persona natural o jurídica que determina las finalidades y medios del tratamiento de datos personales.

• Encargado del tratamiento: persona natural o jurídica que trata datos personales por cuenta del responsable.

• Derechos ARCO-POL: derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación reconocidos por la legislación aplicable.

Datos tratados

Según la naturaleza de cada relación o servicio, AM25 podrá tratar datos de identificación, contacto, facturación, información contractual, registros técnicos, credenciales autorizadas y demás información necesaria para:

• elaborar cotizaciones, propuestas, contratos y recibos;

• facturar y gestionar pagos;

• prestar y administrar servicios;

• proporcionar soporte técnico;

• enviar comunicaciones transaccionales;

• proteger sus sistemas e infraestructura;

• realizar respaldos y recuperación de información;

• cumplir obligaciones legales y contractuales.

AM25 procurará recopilar únicamente la información necesaria para dichas finalidades.

Responsabilidad sobre los datos

AM25 podrá actuar como responsable del tratamiento cuando gestione datos necesarios para sus propias operaciones y relaciones comerciales.

Cuando trate datos personales por cuenta de un cliente que determine las finalidades y medios del tratamiento, AM25 actuará como encargado del tratamiento, dentro del alcance del servicio contratado y conforme a las instrucciones documentadas aplicables. Los datos administrados por cuenta de un cliente no serán utilizados para finalidades propias ajenas al servicio contratado.

El contrato o acuerdo de tratamiento correspondiente deberá precisar, según la naturaleza del servicio, el objeto y duración del tratamiento, sus finalidades, las categorías de datos y titulares, las instrucciones autorizadas y las condiciones de acceso, asistencia, devolución o eliminación. Las solicitudes relativas a datos tratados por cuenta de un cliente se coordinarán con el responsable correspondiente, sin perjuicio de las obligaciones legales de AM25.

Acceso y confidencialidad

El acceso a datos personales estará limitado a las personas expresamente autorizadas y únicamente cuando resulte necesario para el cumplimiento de sus funciones. Los permisos se asignarán conforme al principio de mínimo privilegio y se revisarán o revocarán cuando cambien las funciones o deje de existir la necesidad de acceso.

Toda persona autorizada deberá utilizar los datos únicamente para las funciones asignadas y estará sujeta a obligaciones de confidencialidad. La autorización de acceso no permite utilizar la información para finalidades distintas de las correspondientes a la relación o servicio.

Seguridad de la información

AM25 aplica medidas técnicas y organizativas destinadas a proteger la confidencialidad, integridad y disponibilidad de los datos personales.

Entre las medidas actualmente implementadas se encuentran:

• contraseñas únicas e independientes para los distintos servicios;

• autenticación de dos factores (2FA) en sistemas administrativos críticos;

• acceso restringido a infraestructura y servicios;

• cifrado mediante AES-256-GCM de datos personales y documentos almacenados en KIZUNA™ Ops cuando corresponde al diseño del sistema;

• comunicaciones protegidas mediante HTTPS/TLS;

• separación lógica entre aplicaciones, bases de datos y servicios;

• firewall y controles de acceso sobre la infraestructura administrada;

• respaldos periódicos de información.

El alcance de cada control depende del componente y del diseño del sistema correspondiente. La referencia al cifrado de KIZUNA™ Ops no implica que todos los datos de todos los productos, integraciones o proveedores utilicen el mismo mecanismo.

Operaciones sensibles

Antes de ejecutar operaciones que puedan eliminar información, revocar accesos o afectar significativamente la disponibilidad o integridad de los datos, AM25 verificará la identidad y facultades de quien las solicita, el alcance de los recursos afectados y las consecuencias previsibles, según corresponda. La autorización y las medidas de recuperación se determinarán conforme al servicio y al procedimiento aplicable.

La creación de una copia previa no será un requisito universal: se evaluará su necesidad y procedencia sin contradecir solicitudes válidas de supresión, plazos de conservación u obligaciones legales. Los procedimientos particulares se establecerán en los acuerdos o protocolos correspondientes.

Almacenamiento y respaldos

La base de datos de KIZUNA™ Ops se encuentra alojada en infraestructura VPS administrada por AM25. Los datos personales y documentos almacenados en KIZUNA™ Ops se protegen mediante los controles definidos en esta Política. La base de datos de KIZUNA™ Ops se respalda diariamente en almacenamiento externo mediante Cloudflare R2. Los respaldos se utilizan exclusivamente para recuperación, continuidad operativa y atención de incidentes.

Estas condiciones describen KIZUNA™ Ops y no constituyen una frecuencia o un plazo de retención universal para los sitios, aplicaciones o infraestructura de clientes. La cobertura, frecuencia, retención y posibilidades de restauración de cada servicio se definirán en su documentación o acuerdo correspondiente.

Proveedores tecnológicos e inteligencia artificial

AM25 podrá utilizar proveedores externos para infraestructura, almacenamiento, correo electrónico, repositorios de código, pagos, monitoreo y otros servicios necesarios para sus operaciones. El uso de estos servicios se limitará a las finalidades necesarias para la prestación correspondiente y, cuando resulte aplicable, mediante permisos restringidos al mínimo necesario.

Cuando un producto incorpore funciones de inteligencia artificial, incluidas las prestadas mediante KIZUNA™ Assistant, el aviso de privacidad o la documentación correspondiente deberá describir las finalidades, las categorías de información utilizadas y la intervención de proveedores externos cuando corresponda. El acceso o envío de información a estas funciones deberá limitarse a lo necesario para la solicitud y al contexto autorizado.

Las condiciones específicas de procesamiento y conservación de cada proveedor dependerán del servicio y de la configuración aplicable. Esta Política no atribuye de forma general a todos los proveedores condiciones de retención, ubicación o uso para entrenamiento que no hayan sido verificadas para la integración correspondiente.

Conservación y eliminación

Los datos personales serán conservados durante el tiempo necesario para cumplir con la finalidad que originó su tratamiento y con las obligaciones contractuales, fiscales o legales aplicables. Se distinguirán los datos utilizados en la operación del servicio, la información contenida en respaldos y la documentación comercial, contractual o fiscal sujeta a conservación.

Cuando dejen de ser necesarios y no exista obligación de conservarlos, AM25 procederá a su eliminación, anonimización o bloqueo según corresponda. El cierre de un servicio o la revocación de un acceso no implica por sí mismo la eliminación inmediata de toda la documentación relacionada ni de todas las copias de seguridad.

La eliminación de información contenida en respaldos podrá producirse conforme a los ciclos de retención establecidos para cada sistema, sin perjuicio de las obligaciones legales aplicables. Durante ese período, el acceso a las copias permanecerá restringido a las finalidades de recuperación, continuidad operativa y atención de incidentes. Si se restaura un respaldo, deberán considerarse las solicitudes de supresión o restricciones de tratamiento previamente atendidas para evitar reactivar usos no autorizados.

Derechos de los titulares

Las personas titulares de datos personales podrán ejercer los derechos reconocidos por la legislación salvadoreña, incluyendo los derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación, cuando resulten aplicables.

Las solicitudes para el ejercicio de estos derechos podrán presentarse directamente a AM25 mediante correo electrónico.

La solicitud deberá contener, como mínimo:

• nombre completo de la persona titular o de su representante;

• identificación suficiente para verificar su identidad o legitimación;

• derecho que desea ejercer;

• descripción clara de la solicitud y de los datos personales relacionados;

• medio de contacto para recibir comunicaciones o la respuesta correspondiente.

Cuando resulte necesario, AM25 podrá solicitar información o documentación adicional para verificar la identidad de la persona solicitante, acreditar una representación o determinar con precisión los datos objeto de la solicitud.

Una vez recibida la información necesaria, AM25 tramitará y responderá la solicitud dentro de los plazos y condiciones establecidos por la legislación aplicable. Cuando una solicitud no pueda ser atendida total o parcialmente, AM25 comunicará las razones correspondientes y, cuando proceda, los mecanismos disponibles para continuar su trámite.

La persona titular podrá utilizar, cuando lo estime conveniente, los formularios puestos a disposición por la ACE para el ejercicio de los derechos de protección de datos personales.

Incidentes de seguridad

AM25 documentará y atenderá los incidentes que puedan comprometer datos personales bajo su responsabilidad o administración. Cuando un incidente afecte información tratada por cuenta de un cliente, AM25 comunicará la situación al cliente correspondiente cuando resulte aplicable y adoptará las medidas necesarias para contener sus efectos y recuperar la información disponible. Las comunicaciones a titulares o autoridades se realizarán conforme a la legislación aplicable.

Actualización de la Política

AM25 podrá actualizar esta Política cuando cambien la legislación aplicable, sus sistemas, proveedores, medidas de seguridad o actividades de tratamiento. La versión se identifica en este documento y su fecha de vigencia se muestra en el campo correspondiente de la página.

AM25 conservará un registro de las versiones anteriores y, cuando una versión se incorpore a una contratación, evidencia del texto correspondiente. Los cambios relevantes se comunicarán mediante los canales del producto o de la relación contractual y conforme a las exigencias aplicables. La publicación de una nueva versión no sustituye los procedimientos de notificación, aceptación o modificación contractual que correspondan.