Contrato de tratamiento de datos personales

BORRADOR para revisión del prestador y su abogado. Los marcadores pendientes deben completarse y validarse antes del lanzamiento; este modelo no constituye un contrato aprobado ni firmado.

Al 28 de octubre de 2026 se aplica la Ley N° 6534/2020 en su ámbito. La Ley N° 7593/2025 fue promulgada, pero su artículo 57 difiere su entrada en vigor hasta transcurridos 24 meses de su publicación oficial (27 de noviembre de 2025). Este borrador anticipa su adecuación para noviembre de 2027; no afirma que ese régimen ya sea exigible.

SPOT HOLDING es un nombre de fantasía. Identificación jurídica pendiente: [COMPLETAR: identificación jurídica del prestador y representación autorizada, validada por abogado sin publicar datos personales particulares]. Contacto corporativo: [COMPLETAR: teléfono corporativo de contacto].

• RESPONSABLE: [razón social de la empresa cliente], RUC [RUC], domicilio [domicilio], representada por [nombre y cargo], en adelante “la Empresa”.
• ENCARGADO: SPOT HOLDING, RUC 6171694-4, domicilio [COMPLETAR: domicilio legal comercial en Paraguay], representación autorizada: [COMPLETAR: identificación jurídica del prestador y representación autorizada, validada por abogado sin publicar datos personales particulares], en adelante “el Prestador”.

Fecha: [fecha de firma]. Versión del modelo: ver al pie del documento.

El Prestador provee a la Empresa el servicio spot (gestión de caja, ventas, stock, compras, facturación electrónica, cobros, asistente spot IA y módulos asociados). Para ello trata datos personales por cuenta de la Empresa.

La Empresa es responsable del tratamiento y decide sus finalidades y medios. El Prestador es encargado y solo trata los datos siguiendo las instrucciones documentadas de la Empresa, que son este contrato, el contrato de servicio y el uso de la aplicación por parte de la Empresa.

Si el Prestador considera que una instrucción infringe la ley, informará a la Empresa. Si el Prestador decide por su cuenta finalidades o medios distintos, será responsable de ese tratamiento.

• Finalidad: prestar el servicio spot a la Empresa.
• Categorías de titulares: clientes finales, proveedores, empleados y usuarios de la Empresa.
• Categorías de datos: identificación y contacto, RUC/documento, datos de compras, cobros y deudas, datos de facturación electrónica, datos laborales básicos y registros de acceso. No se prevé el tratamiento de datos sensibles.
• Operaciones: alojamiento, almacenamiento, consulta, transmisión a SIFEN, respaldo, soporte y eliminación.
• Duración: la del servicio, más el período de devolución y eliminación de la cláusula 12.

• Contar con una base legal para tratar y cargar los datos en spot, e informar a los titulares (identidad, finalidades, derechos, destinatarios).
• Obtener los consentimientos necesarios, por ejemplo para mensajes de WhatsApp, programas de fidelización, uso de cámaras o registro de deudas (Ley N° 6534/2020 de datos crediticios).
• No cargar datos sensibles ni de menores sin autorización y base legal específicas.
• Administrar los accesos y roles de su personal y mantener la confidencialidad de las credenciales.
• Respetar la Ley N° 4868/2013 de Comercio Electrónico en sus operaciones en línea cuando corresponda.

• Tratar los datos solo para prestar el servicio y según las instrucciones de la Empresa; no usarlos para fines propios, no venderlos ni cederlos.
• No usar los datos de la Empresa para entrenar modelos de inteligencia artificial propios ni permitirlo a sus proveedores.
• Garantizar que las personas autorizadas a tratar datos están sujetas a confidencialidad, durante y después del contrato.
• Aplicar las medidas de seguridad de la cláusula 7.
• Asistir a la Empresa para atender los derechos de los titulares y para cumplir sus obligaciones de seguridad, notificación y evaluación de impacto.
• Poner a disposición de la Empresa la información necesaria para demostrar el cumplimiento de este contrato.

Los titulares pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante la Empresa. Si el Prestador recibe un pedido directo, lo trasladará a la Empresa sin demora indebida y como máximo en 2 días hábiles, preservando los plazos legales originales y la información necesaria para atenderlo; no responderá por su cuenta salvo instrucción o deber legal.

El Prestador asistirá con acceso, corrección, supresión y devolución en formatos de uso común. Las funciones disponibles y el procedimiento asistido deben verificarse antes de firmar; no se presume que toda categoría sea exportable o eliminable desde la interfaz.

La Empresa autoriza en forma general el uso de los subencargados necesarios para el servicio, que a la firma son:

• Hosting e infraestructura: [COMPLETAR: proveedor de hosting, países de servidores y respaldos, acceso de soporte y garantías de transferencia].
• Correo transaccional: [COMPLETAR: proveedor de correo, países y garantías de transferencia].
• Facturación electrónica / SIFEN: FacturaSend, que transmite los documentos a la DNIT. [COMPLETAR: entidad contratante de FacturaSend, países de tratamiento y garantías].
• Inteligencia artificial (spot IA): [COMPLETAR: proveedores de spot IA, países, retención y condiciones de no entrenamiento].
• Mensajería WhatsApp (Meta) e inicio de sesión con Google: [COMPLETAR: entidades de Meta/WhatsApp y Google, países, roles y garantías de transferencia]. Pagos: [COMPLETAR: procesadores de pago habilitados, países, roles y garantías]. Solo para los canales activados.

El Prestador impondrá a cada subencargado obligaciones equivalentes a las de este contrato y responde ante la Empresa por su cumplimiento. Avisará los cambios con al menos 15 días de anticipación; la Empresa puede oponerse por motivos razonables y, si no hay solución, terminar el servicio.

Transferencias internacionales: los servidores, respaldos o soporte pueden estar fuera de Paraguay; destinos y garantías deben completarse antes de firmar. Solo se realizarán hacia países o entidades con nivel adecuado de protección o con cláusulas contractuales u otras garantías apropiadas, conforme a la ley aplicable.

• Cifrado de las comunicaciones (HTTPS) y almacenamiento de contraseñas con hash.
• Aislamiento por empresa y control de acceso por roles y permisos; el mecanismo efectivo se documentará en el anexo verificado, sin presumir RLS.
• Segundo factor de autenticación, bloqueo ante intentos fallidos y cierre de sesiones.
• Registros de auditoría de acciones relevantes.
• Copias de seguridad y restauración: [COMPLETAR: plazo máximo de eliminación de respaldos y procedimiento al restaurarlos].
• Anexo de seguridad pendiente de validación antes de firmar: [COMPLETAR: anexo de medidas técnicas y organizativas efectivamente verificadas y responsable de incidentes].
• Actualización de dependencias y cabeceras de seguridad en la aplicación.
• Acceso del personal del Prestador a datos de la Empresa solo con autorización de soporte y registro.

El Prestador notificará a la Empresa sin demora indebida y en un máximo contractual de 48 horas de tomar conocimiento de una violación de seguridad que afecte datos personales, indicando naturaleza, datos y titulares afectados, consecuencias probables y medidas adoptadas o propuestas. Colaborará en la investigación y mitigación. La Empresa realizará las notificaciones a la autoridad y titulares cuando corresponda; su decisión no excluye obligaciones legales propias del Prestador. Se prevén avisos iniciales y actualizaciones sin esperar la investigación final. Para la adecuación futura se contempla el límite de 72 horas del artículo 17 de la Ley N° 7593/2025 desde el conocimiento del incidente por el responsable.

La Empresa puede pedir información razonable para verificar el cumplimiento y, una vez al año o tras un incidente, realizar una auditoría con aviso previo de 15 días, en horario hábil, sin afectar a otros clientes y bajo confidencialidad. Los costos corren por cuenta de la Empresa, salvo que se detecte un incumplimiento grave.

Ambas partes mantendrán reserva sobre los datos y la información no pública a la que accedan, durante la vigencia del contrato y después de su terminación mientras la información sea confidencial; el deber de secreto sobre datos personales subsiste conforme a la ley.

Cada parte responde por los daños causados por el incumplimiento de sus obligaciones conforme a la ley. La responsabilidad del Prestador queda limitada en los términos del contrato de servicio, salvo dolo o aquello que la ley no permita limitar. La parte que deba responder ante un titular podrá repetir contra la otra en proporción a su responsabilidad.

Al terminar el servicio, la Empresa dispone de 30 días para exportar sus datos desde la aplicación. Vencido ese plazo, el Prestador eliminará o anonimizará los datos en un máximo de 60 días adicionales y lo certificará por escrito si la Empresa lo solicita. Se evitará reactivar datos suprimidos al restaurar copias.

Respaldos: [COMPLETAR: plazo máximo de eliminación de respaldos y procedimiento al restaurarlos].

Se exceptúan los datos que el Prestador deba conservar por obligación legal, que quedarán bloqueados y solo para ese fin. La Empresa es responsable de conservar por su cuenta los documentos que la ley tributaria y comercial le exija.

Este contrato rige mientras el Prestador trate datos por cuenta de la Empresa. Se interpreta conforme a las leyes de la República del Paraguay, en particular la Ley N° 7593/2025, y las controversias se someten a los tribunales competentes de [COMPLETAR: ciudad y jurisdicción contractual]. En caso de contradicción sobre el tratamiento de datos personales, prevalece este contrato.

• Por la Empresa: ______________________ Nombre: ____________ Cargo: ____________ Fecha: ____________
• Por el Prestador: ______________________ Nombre: ____________ Cargo: ____________ Fecha: ____________