1. Roles
El cliente actúa normalmente como responsable de los datos de sus usuarios, empleados, pacientes, huéspedes, proveedores o consumidores. Define finalidades, medios esenciales, avisos y bases legales.
Lulab actúa como encargado o custodio únicamente respecto de las operaciones necesarias para desarrollar, migrar, alojar, respaldar, mantener o soportar el sistema contratado.
2. Objeto, duración y datos
La propuesta debe describir servicio, duración, categorías de personas, tipos de datos, operaciones, ubicación, proveedores, frecuencia de respaldo, retención y salida. Si falta un detalle, se limita a lo estrictamente necesario para ejecutar el servicio.
3. Instrucciones y legalidad
Lulab tratará datos conforme a instrucciones documentadas, salvo obligación legal. Informará si una instrucción parece ilegal, insegura o fuera de alcance y podrá suspenderla hasta aclaración.
El cliente garantiza que obtuvo los datos legalmente, entregó avisos, gestionó consentimientos cuando correspondía y no utilizará el sistema para fines prohibidos.
4. Confidencialidad y acceso
El acceso se limita a personal y proveedores que lo necesiten para el servicio y estén sujetos a deberes de confidencialidad. Las cuentas deben ser individuales cuando sea razonablemente posible y revocarse al dejar de ser necesarias.
5. Medidas de seguridad
- HTTPS y cifrado en tránsito cuando el proveedor lo soporte.
- Controles de acceso, contraseñas robustas, sesiones protegidas y privilegio mínimo.
- Validación de entradas, restricción de archivos y carpetas, actualización razonable y registro de eventos relevantes.
- Respaldos y restauración únicamente según el plan contratado.
- Procedimientos de incidentes, preservación de evidencia y revisión de accesos.
5A. Portal, archivos y credenciales temporales
El portal puede tratar datos de contacto, respuestas de levantamiento, materiales del proyecto, aprobaciones, pendientes y trazas de seguridad. Los archivos se almacenan fuera del acceso público y se entregan únicamente después de verificar una sesión autorizada y su relación con el portal.
Las credenciales temporales se mantienen separadas de las respuestas y archivos, con cifrado autenticado y una clave de aplicación fuera de la base de datos. El contenido no se registra ni se envía por correo; su material cifrado se purga en un máximo de 72 horas o de 24 horas después de la primera revelación, lo que ocurra antes.
6. Subencargados y transferencias
El cliente autoriza el uso de proveedores razonablemente necesarios, como hosting, dominio, CDN, correo, respaldo, monitoreo, soporte, mensajería y APIs identificados en la propuesta o registro de proveedores.
Lulab comunicará cambios materiales cuando sea razonable. Si el cliente objeta por un motivo documentado de protección de datos, las partes evaluarán una alternativa; costos o limitaciones adicionales pueden requerir ajuste.
7. Solicitudes de titulares y autoridades
Lulab remitirá al cliente las solicitudes relacionadas con datos que este controla y prestará asistencia razonable. El cliente decide la respuesta, salvo que la ley exija actuación directa. Trabajo extraordinario puede cotizarse.
8. Incidentes
Lulab notificará al contacto autorizado sin demora indebida después de confirmar un incidente relevante bajo su control, con la información disponible sobre naturaleza, datos, medidas adoptadas y recomendaciones.
El cliente es responsable de determinar y realizar notificaciones a titulares o autoridades cuando le correspondan. Ambas partes cooperarán y evitarán declaraciones públicas no coordinadas, salvo obligación legal.
9. Evidencia y auditoría
Lulab proporcionará información razonable para demostrar cumplimiento. Auditorías presenciales, pruebas especiales o cuestionarios extensos requieren aviso, confidencialidad, horario razonable, ausencia de afectación a otros clientes y cobertura de costos cuando excedan el soporte ordinario.
10. Retorno, exportación y eliminación
Al finalizar, el cliente puede solicitar una exportación razonable en el formato disponible dentro del plazo contractual. Migraciones, transformaciones o entregas especiales pueden cotizarse.
Después del plazo de transición, Lulab eliminará o anonimizará datos operativos bajo su control, salvo conservación legal, disputa, instrucciones del cliente o persistencia temporal en respaldos rotativos.
La falta de pago puede suspender servicios, pero no autoriza destrucción arbitraria ni retención indebida de datos personales. La exportación puede condicionarse al pago de trabajo técnico razonablemente necesario, no al impedimento de derechos legales.
11. Distribución de responsabilidades
El cliente responde por finalidades, bases legales, avisos, calidad de datos, usuarios y permisos de su organización. Lulab responde por seguir instrucciones, proteger accesos bajo su control y aplicar las medidas acordadas.
Cada parte informará de cambios que aumenten el riesgo. Ninguna parte puede exigir a la otra ocultar incidentes, incumplir la ley o debilitar controles esenciales.
12. Prevalencia y contacto
El anexo específico de un proyecto prevalece sobre este modelo. En lo no regulado, aplican la propuesta, los Términos de uso y servicios y la Política de privacidad.
Contacto para temas de datos: ventas@lulabtech.com.
