Acuerdo de tratamiento de datos (DPA)

Este Acuerdo de tratamiento de datos ("DPA") forma parte de los Términos de servicio entre [Razón social], RUT [RUT] ("Wutbug" o el "Encargado") y el cliente que contrata el Servicio (el "Cliente" o el "Responsable"). Aplica cuando Wutbug trata Datos personales de los Usuarios finales del Cliente. Si hay contradicción con los Términos en materia de protección de datos, prevalece este DPA.

#1. Definiciones

• Normativa de protección de datos: el Reglamento (UE) 2016/679 ("RGPD") y la normativa del Reino Unido cuando apliquen; la Ley 19.628 de Chile y la Ley 21.719 que la modifica, desde su entrada en vigencia; la CCPA/CPRA de California; y cualquier otra ley aplicable.
• Datos personales: los datos de Usuarios finales que el SDK captura y envía al Servicio, y los que el Cliente entrega con setUser() o setMetadata().
• Responsable, Encargado, Subencargado, Tratamiento, Titular e Incidente de seguridad: con el significado que les da la Normativa (en el RGPD, "controller", "processor", "sub-processor", "processing", "data subject" y "personal data breach").

#2. Roles

El Cliente es el Responsable del tratamiento y decide los fines y medios: instala el SDK, configura el enmascarado, la captura automática, la retención y las integraciones. Wutbug es el Encargado y trata los Datos personales solo por cuenta del Cliente. Para efectos de la CCPA/CPRA, Wutbug actúa como "service provider".

#3. Detalle del tratamiento

#4. Instrucciones del Cliente

Wutbug trata los Datos personales solo según las instrucciones documentadas del Cliente, que son: estos Términos y este DPA, la configuración que el Cliente haga en el SDK y el Dashboard, y las acciones de sus usuarios autorizados (por ejemplo, crear una tarea en una integración). Si una instrucción infringe la Normativa en opinión de Wutbug, se lo informaremos al Cliente.

#5. Confidencialidad

Wutbug asegura que las personas autorizadas a tratar los Datos personales están sujetas a obligaciones de confidencialidad y acceden a ellos solo cuando es necesario para prestar el Servicio, dar soporte que el Cliente solicite o cumplir la ley.

#6. Medidas de seguridad

Wutbug aplica las medidas técnicas y organizativas descritas en Seguridad, entre ellas:

• Enmascarado y redacción de datos sensibles en el navegador, antes de enviarlos.
• Cifrado en tránsito (TLS) y en reposo.
• Credenciales de integraciones cifradas con AES-256-GCM; tokens de API y MCP y la clave secreta de proyecto guardados solo como hash SHA-256.
• Control de acceso por equipo y rol; enlaces para compartir y páginas de la persona que reportó con tokens aleatorios no indexables.
• Acceso a la base de datos solo desde los servidores de la aplicación, con seguridad a nivel de fila (RLS) activa en todas las tablas.
• Retención configurable y borrado automático.

Wutbug puede actualizar estas medidas siempre que no disminuya el nivel general de protección.

#7. Subencargados

El Cliente autoriza de forma general a Wutbug a contratar los Subencargados publicados en Subencargados. Wutbug:

• Impone a cada Subencargado obligaciones de protección de datos equivalentes a las de este DPA.
• Avisa al Cliente con al menos 30 días de anticipación antes de agregar o reemplazar un Subencargado, actualizando la lista y por email a los owners del equipo.
• Si el Cliente se opone por motivos razonables de protección de datos, las partes buscarán una alternativa de buena fe; si no la hay, el Cliente puede terminar el Servicio afectado y recibir el reembolso proporcional de lo prepagado.
• Responde ante el Cliente por el cumplimiento de sus Subencargados.

Las integraciones y asistentes de IA que el Cliente conecta (Slack, Linear, Jira, Notion, Asana, clientes MCP) no son Subencargados de Wutbug: actúan por instrucción y bajo la relación directa del Cliente con esos terceros.

#8. Derechos de los titulares

Wutbug asistirá al Cliente, en la medida razonable, para responder solicitudes de acceso, rectificación, supresión, oposición, portabilidad o bloqueo. El Cliente puede buscar los reportes de una persona en el Dashboard (por email o texto). Para suprimir reportes individuales, el Cliente puede solicitarlo a [Email de contacto] y Wutbug los eliminará dentro de 10 días hábiles [actualizar cuando exista la opción de borrar reportes en el Dashboard]. Si un titular escribe directamente a Wutbug, reenviaremos la solicitud al Cliente sin responderla por nuestra cuenta, salvo que la ley lo exija.

#9. Incidentes de seguridad

Wutbug notificará al Cliente sin dilación indebida, y en todo caso dentro de 48 horas desde que tome conocimiento de un Incidente de seguridad que afecte Datos personales del Cliente. La notificación describirá, en la medida que se conozca: la naturaleza del incidente, las categorías y el número aproximado de titulares y registros, las consecuencias probables y las medidas adoptadas o propuestas. Wutbug colaborará para que el Cliente cumpla sus propias obligaciones de notificación a la autoridad (por ejemplo, 72 horas bajo el RGPD, o ante la Agencia de Protección de Datos Personales de Chile) y a los titulares.

#10. Asistencia y auditorías

Wutbug pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y colaborará con evaluaciones de impacto y consultas a la autoridad cuando corresponda. El Cliente puede solicitar una auditoría una vez al año, con 30 días de aviso, en horario hábil, a su costo y sujeta a confidencialidad; primero se intentará satisfacerla con documentación y certificaciones de los Subencargados.

#11. Eliminación y devolución

• Durante la suscripción, los reportes se eliminan automáticamente al vencer la retención que el Cliente configura (7 a 365 días por proyecto).
• El Cliente puede eliminar el equipo completo en cualquier momento desde el Dashboard, y solicitar la eliminación de reportes o proyectos específicos. La eliminación de un equipo borra todos sus proyectos, reportes, grabaciones e integraciones.
• Al terminar la suscripción, Wutbug eliminará los Datos personales restantes dentro de 30 días, salvo que la ley exija conservarlos. Las copias de respaldo se eliminan según su ciclo, como máximo [N] días después.
• Antes de eliminar, el Cliente puede exportar sus reportes [completar mecanismo de exportación].

#12. Transferencias internacionales

Los Datos personales se almacenan en Estados Unidos. Para transferencias desde el Espacio Económico Europeo, Suiza o el Reino Unido, las partes incorporan por referencia las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), Módulo 2 (responsable a encargado) y, cuando aplique, Módulo 3 (encargado a encargado), y el Adendum del Reino Unido. Para Chile, las partes aplicarán las garantías adecuadas que exija la Ley 21.719 y la Agencia de Protección de Datos Personales.

#13. Obligaciones del Cliente

El Cliente declara que tiene una base legal para el tratamiento, que informa a sus Usuarios finales (puede usar el texto sugerido), que configura el enmascarado de forma adecuada a los datos que muestra su aplicación, y que no instruirá a Wutbug a tratar datos de forma contraria a la Normativa.

#14. Responsabilidad y vigencia

La responsabilidad de cada parte bajo este DPA se rige por la limitación de responsabilidad de los Términos, en lo que la Normativa permita. Este DPA rige mientras Wutbug trate Datos personales por cuenta del Cliente.

#15. Firma

Este DPA se acepta junto con los Términos. Si necesitas una copia firmada, escríbenos a [Email de contacto].