Data Processing Agreement

Alcance del Procesamiento

Kai procesa datos personales únicamente con el fin de proporcionar la plataforma de gestión de activos compartidos según se describe en los Términos de Servicio. El procesamiento incluye almacenamiento, recuperación, visualización y eliminación de datos según las instrucciones del Controller a través del uso normal de la plataforma.

Categorías de Datos Procesados

Se procesan las siguientes categorías de datos personales:

• Datos de identidad: nombre, dirección de correo electrónico, foto de perfil
• Datos de contacto: número de teléfono, dirección de facturación
• Datos financieros: IBAN, información de facturación, registros de facturas
• Datos de uso: reservas, registros de uso, registros de gastos, registros de mantenimiento
• Datos de comunicación: mensajes, tickets de soporte
• Datos técnicos: dirección IP, tipo de navegador, registros de consentimiento

Medidas de Seguridad

Kai implementa las siguientes medidas técnicas y organizativas para proteger los datos personales:

• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
• Seguridad a nivel de fila para aislamiento de datos entre grupos
• Control de acceso basado en roles con principio de privilegio mínimo
• Copias de seguridad diarias automatizadas con recuperación puntual
• Auditorías de seguridad regulares y pruebas de penetración
• No se envía información de identificación personal a la monitorización de errores

Subprocessors

Kai utiliza los siguientes subprocessors. El Controller será notificado de cualquier cambio en esta lista:

• Supabase (AWS Frankfurt, EU) — Base de datos y autenticación
• Stripe (EU/US, SCC) — Procesamiento de pagos
• Resend (US, SCC) — Entrega de correo electrónico
• Sentry (EU) — Monitorización de errores (sin PII)
• Vercel (EU) — Alojamiento de aplicaciones
• Google Analytics & Ads (US, DPF) — Analíticas y publicidad (dependiente del consentimiento)
• Firebase / Google Cloud (EU) — Almacenamiento de archivos
• Cloudinary (US, SCC) — Optimización de imágenes

Notificación de Violación de Datos

En caso de una violación de datos personales, Kai notificará al Controller sin demora indebida y no más tarde de 72 horas después de tener conocimiento de la violación. La notificación incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas tomadas o propuestas para abordar la violación.

Derechos de los Interesados

Kai asiste al Controller en el cumplimiento de las solicitudes de los interesados, incluyendo:

• Derecho de acceso — los usuarios pueden ver todos sus datos en la plataforma
• Derecho de rectificación — los usuarios pueden actualizar su perfil y datos
• Derecho de supresión — la eliminación de la cuenta elimina todos los datos personales
• Derecho a la portabilidad de datos — los usuarios pueden exportar todos sus datos como JSON
• Derecho a retirar el consentimiento — las preferencias de cookies se pueden cambiar en cualquier momento

Devolución y Eliminación de Datos

Al finalizar el acuerdo, Kai eliminará todos los datos personales procesados en nombre del Controller dentro de los 30 días, a menos que la retención sea requerida por la ley aplicable. El Controller puede exportar sus datos en cualquier momento antes de la finalización utilizando las funciones de exportación integradas de la plataforma.

Contacto

Para preguntas sobre este DPA o para solicitar una copia firmada, contáctanos en [email protected]