ACUERDO DE TRATAMIENTO DE DATOS PERSONALES (DPA) — INSEL

Anexo de las Condiciones de Suscripción para Empresas (Contrato Maestro) · Versión: 1.0 · Vigente desde: 30 de septiembre de 2026

Este Acuerdo rige entre la Suscriptora (Responsable del Tratamiento), es decir, la empresa registrada en la Plataforma, y GESTIÓN INTEGRAL SOLUCIONES TECNOLÓGICAS, S. EP., sociedad de emprendimiento inscrita al Folio N.º 155754763 del Registro Público de Panamá, RUC 155754763-2-2024 DV 1, operadora de INSEL (Encargado del Tratamiento), en adelante "las Partes", conforme a la Ley 81 de 2019 y al Decreto Ejecutivo 285 de 2021.

Aceptación. El Usuario Administrador de la Suscriptora acepta este Acuerdo electrónicamente, en nombre de la Suscriptora y junto con el Contrato Maestro, conforme a la Cláusula Preliminar de este. La aceptación electrónica tiene el mismo valor que la firma. Si la Suscriptora lo solicita, las Partes pueden además firmar un ejemplar.

1. Objeto

Regular el tratamiento que el Encargado realiza de los datos personales contenidos en los Datos de la Suscriptora, exclusivamente para prestar los Servicios del Contrato Maestro.

2. Descripción del tratamiento

3. Obligaciones del Encargado

El Encargado se obliga a:

a) Tratar los datos solo según las instrucciones documentadas de la Suscriptora. El Contrato Maestro, este DPA y la configuración que la Suscriptora haga en la Plataforma constituyen sus instrucciones. Si una instrucción le parece contraria a la ley, lo informará.

b) No usar los datos para fines propios, no venderlos, no comunicarlos a terceros salvo a los subencargados autorizados o por mandato legal, y no usarlos para entrenar modelos de IA.

c) Garantizar que las personas autorizadas a tratar los datos estén sujetas a obligaciones de confidencialidad.

d) Aplicar las medidas de seguridad del Anexo de Seguridad (Sección 13).

e) Asistir a la Suscriptora, en la medida razonable, para atender solicitudes de derechos ARCO y portabilidad de los titulares.

f) Notificar a la Suscriptora sin dilación indebida, y a más tardar dentro de las 48 horas siguientes a tener conocimiento, cualquier vulneración de seguridad que afecte sus datos, con la información disponible (naturaleza, datos y titulares afectados, consecuencias probables y medidas adoptadas). Así la Suscriptora podrá cumplir su deber de notificar a la ANTAI y a los titulares.

g) Asistir a la Suscriptora en evaluaciones de impacto y consultas con la autoridad, cuando corresponda.

h) Poner a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA (Sección 10).

4. Obligaciones de la Suscriptora (Responsable)

La Suscriptora se obliga a:

a) Contar con una base legal válida para cada tratamiento y cumplir el deber de información frente a los titulares, incluido informarles que sus datos se alojan en INSEL y pueden transferirse al extranjero según la Sección 6.

b) Cargar solo los datos adecuados, pertinentes y limitados a la finalidad de la inspección (principio de minimización).

c) Instruir a sus Usuarios para no fotografiar personas innecesariamente, ni cargar documentos de identidad, datos de salud u otros datos sensibles, ni dictarlos en la Inspección Fluida.

d) Gestionar el alta, los permisos y la baja de sus Usuarios.

e) Cumplir los requisitos de registro, autorización o aviso que su legislación local exija al responsable, si opera fuera de Panamá.

5. Subencargados

5.1 La Suscriptora autoriza de forma general la contratación de los subencargados siguientes:

5.2 Reconocimiento de voz del navegador. Si un Usuario usa el dictado por voz, el audio lo procesa el servicio de reconocimiento de voz integrado en su navegador (por ejemplo, Google en Chrome), bajo la relación directa entre el Usuario o la Suscriptora y el fabricante del navegador. INSEL no recibe ni almacena el audio, solo el texto resultante. La Suscriptora decide si permite esta función a sus Usuarios.

5.3 El Encargado impondrá a cada subencargado obligaciones de protección sustancialmente equivalentes a las de este DPA y responderá frente a la Suscriptora por su cumplimiento, dentro de los límites del Contrato Maestro.

5.4 El Encargado notificará con 15 días de anticipación la incorporación o sustitución de subencargados. La Suscriptora podrá oponerse por motivos razonables relativos a la protección de datos. Si no se encuentra una alternativa, podrá terminar el Contrato Maestro sin penalidad, con reembolso proporcional de los Tokens no vencidos ni consumidos.

6. Transferencias internacionales

La Suscriptora autoriza las transferencias a los países de los subencargados listados, que se realizan: (i) por ser necesarias para la ejecución del contrato; (ii) con garantías contractuales de nivel equivalente; y (iii) con cifrado en tránsito. La Suscriptora es responsable de informar de ellas a los titulares y, cuando su ley lo exija, de obtener su consentimiento.

7. Acceso del Encargado a los datos

El personal autorizado del Encargado solo accederá a los Datos de la Suscriptora cuando sea necesario para: prestar soporte solicitado, resolver incidentes, mantener la Plataforma, crear o administrar la cuenta, o cumplir la ley. La herramienta de administración global de la Plataforma permite ver datos de todas las empresas. Su uso está restringido al administrador de la plataforma, protegido con reautenticación, y se registrará en bitácora.

8. Datos sin conexión

La información capturada sin conexión se almacena en el dispositivo del Usuario (IndexedDB) hasta su sincronización. La seguridad física y lógica de esos dispositivos es responsabilidad de la Suscriptora.

9. Solicitudes de titulares y de autoridades

Si el Encargado recibe directamente una solicitud de un titular respecto de Datos de la Suscriptora, la remitirá a esta en un plazo de 5 días hábiles y no la responderá por sí mismo, salvo instrucción o mandato legal. Si recibe un requerimiento de autoridad, lo notificará a la Suscriptora antes de atenderlo, cuando la ley lo permita.

10. Auditoría

La Suscriptora podrá, una vez al año y con 30 días de preaviso, solicitar información escrita (cuestionario de seguridad, descripción de controles, informes disponibles) para verificar el cumplimiento de este DPA. Las auditorías presenciales o técnicas (incluidas pruebas de penetración) requieren acuerdo previo por escrito sobre su alcance, confidencialidad y costos, que asumirá la Suscriptora salvo que se detecte un incumplimiento material.

11. Devolución y supresión

Al terminar el Contrato Maestro: (i) durante 30 días la Suscriptora podrá descargar sus informes y solicitar la exportación de sus datos estructurados y fotografías; (ii) luego, el Encargado suprimirá o anonimizará los datos en un máximo de 90 días, incluidas las copias de seguridad según su rotación; y (iii) a solicitud, emitirá una constancia escrita de supresión. Se exceptúan los datos cuya conservación exija la ley.

12. Responsabilidad

Cada Parte responde por los incumplimientos que le sean imputables a la ley de protección de datos y a este DPA. La responsabilidad del Encargado está sujeta a las limitaciones del Contrato Maestro, en la medida permitida por la ley.

13. Anexo de Seguridad (medidas técnicas y organizativas)

Las medidas vigentes a la fecha de esta versión son:

Acceso y autenticación

• Contraseñas con hash PBKDF2-SHA256 (100 000 iteraciones, sal aleatoria de 16 bytes) y migración automática de hashes antiguos.
• Bloqueo por intentos fallidos (5 por usuario/IP y 25 por IP, durante 15 minutos).
• Mensajes de error genéricos para evitar la enumeración de usuarios.
• Roles por empresa (administrador y usuario) y panel de administración global restringido.

Aislamiento multiempresa

• Todas las consultas y los endpoints verifican que el recurso pertenezca a la empresa de la sesión.

Comunicaciones y aplicación

• HTTPS obligatorio con HSTS. Cookies Secure, HttpOnly y SameSite.
• Protección anti-CSRF en formularios y endpoints de escritura. ViewState cifrado y con MAC.
• Cabeceras de seguridad (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, CSP). Ocultamiento de versiones del servidor.
• Consultas parametrizadas contra inyección SQL.
• Validación de tipo, contenido y tamaño de archivos cargados.
• Fotografías servidas solo mediante un controlador autorizado. La carpeta de adjuntos está bloqueada al acceso directo.

Gestión de secretos y operación

• Credenciales de base de datos y claves de API fuera del código fuente, en configuración restringida.
• Registros de errores del lado del servidor, sin exponer detalles al usuario.
• Copias de seguridad de la base de datos y de los archivos realizadas por el proveedor de hosting (InterServer, Inc.), con periodicidad semanal y almacenadas en servidores remotos, según las condiciones de su servicio de hosting compartido.

Mejoras comprometidas (según el plan de implementación): bitácora de auditoría de accesos administrativos, supresión física programada de registros eliminados lógicamente, copias de seguridad propias, diarias y cifradas, con pruebas periódicas de restauración, rotación periódica de secretos y un procedimiento documentado de respuesta a incidentes.

Firma opcional (solo si la Suscriptora solicita un ejemplar firmado)