Acuerdo de procesamiento de datos

«Responsable del tratamiento» se refiere a la persona física que crea y posee los datos dentro de su bóveda de Clavitor. Usted es siempre el Responsable del tratamiento de sus propias credenciales y datos personales.

«Encargado del tratamiento» se refiere a Clavitor.ai, la entidad que proporciona la infraestructura de alojamiento, la orquestación de cifrado y los servicios de almacenamiento de datos en nombre del Responsable del tratamiento.

«Interesado» se refiere a la persona física cuyos datos personales se procesan; puede ser usted (el Responsable del tratamiento) u otras personas cuyos datos almacene en su bóveda (familiares, empleados, clientes).

«Datos personales» se refiere a cualquier información relativa a una persona física identificada o identificable almacenada en su bóveda, incluyendo, entre otros: credenciales, contraseñas, claves de API, datos de tarjetas de pago, documentos de identidad e información de contacto.

«Tratamiento» se refiere a cualquier operación realizada sobre datos personales, incluyendo la recopilación, el almacenamiento, el cifrado, la transmisión, la copia de seguridad y la eliminación.

3.1 Tratar únicamente siguiendo instrucciones documentadas. Clavitor trata los datos personales únicamente para proporcionar el servicio de bóveda según se describe en nuestros Términos de Servicio. No utilizamos los datos para nuestros propios fines, ni para entrenar modelos de IA, obtener información o monetizar más allá de las tarifas de suscripción.

3.2 Garantizar la confidencialidad. Todo el personal de Clavitor con acceso potencial a la infraestructura está sujeto a acuerdos de confidencialidad. El acceso se concede según el principio de mínimo privilegio y se registra.

3.3 Implementar medidas de seguridad. Implementamos:

• Cifrado de extremo a extremo: Datos cifrados en reposo y en tránsito
• Cifrado por niveles (L2/L3): Campos de identidad cifrados con claves derivadas de su dispositivo (WebAuthn PRF), no descifrables por nosotros
• Arquitectura de conocimiento cero: No podemos descifrar el contenido de la bóveda; solo los metadatos (identificadores de entrada, tipos, marcas de tiempo) son legibles
• Autenticación basada en dispositivo (WebAuthn): No se almacenan contraseñas en el lado del servidor
• Distribución geográfica: 21 Puntos de Presencia (POP) con replicación cifrada
• Respuesta a incidentes: Monitorización 24/7, alertas automatizadas, procedimientos documentados de brecha

3.4 Transparencia de subencargados del tratamiento. Utilizamos únicamente los subencargados del tratamiento enumerados en nuestra Lista de subencargados del tratamiento. Notificamos a los suscriptores 30 días antes de añadir cualquier nuevo subencargado del tratamiento.

3.5 Asistir con los derechos de los interesados. A petición suya, le asistiremos en la respuesta a las solicitudes de los interesados que ejerzan sus derechos en virtud del RGPD/LDPD (acceso, rectificación, supresión, portabilidad, restricción, oposición). Nota: Debido a la arquitectura de cifrado, no podemos acceder ni modificar el contenido cifrado de la bóveda; la asistencia se limita a operaciones a nivel de cuenta.

3.6 Asistir con las obligaciones de seguridad. Proporcionamos documentación de seguridad, resúmenes de pruebas de penetración (se requiere NDA para obtener detalles) y registros de auditoría previa solicitud.

3.7 Eliminar o devolver datos. Tras la terminación de la suscripción, sus bóvedas se vuelven de solo lectura durante 30 días. Pasados 30 días, los datos de la bóveda se eliminan permanentemente. Las copias de seguridad de cumplimiento se destruyen 30 días después de la eliminación. Para las cuentas suspendidas por falta de pago, los datos se eliminan 30 días después de la suspensión y las copias de seguridad se rotan 60 días después de eso. La eliminación inmediata está disponible previa solicitud en cualquier momento. Los datos no se pueden devolver en forma descifrada (no tenemos las claves). Detalles completos en nuestros Términos de Servicio.

3.8 Auditoría e inspección. Previa notificación escrita con 30 días de antelación, usted puede auditar nuestro cumplimiento de este DPA. Las auditorías se llevan a cabo en nuestra sede de Zúrich o de forma virtual. Proporcionamos la documentación pertinente; el acceso directo a la infraestructura requiere autorización de seguridad.

3.9 Notificar brechas. Le notificaremos en un plazo de 24 horas tras descubrir cualquier brecha que afecte a sus datos personales. Nunca retrasaremos la notificación para investigación o revisión legal.

3.10 Documentar actividades de tratamiento. Mantenemos registros de las actividades de tratamiento y ponemos resúmenes a su disposición previa solicitud.

Usted garantiza que:

• Tiene una base legal para tratar datos personales en su bóveda
• Ha proporcionado avisos de privacidad adecuados a los interesados cuyos datos almacena
• No almacenará datos en violación de las leyes aplicables
• Nos notificará sin demora cualquier solicitud de interesado o consulta regulatoria

Los datos de su bóveda se almacenan cifrados en el Punto de Presencia (POP) geográficamente más cercano a su patrón de acceso. Los POP primarios y de respaldo se encuentran en diferentes regiones para garantizar la resiliencia. La lista completa de 21 POP con ciudades, proveedores y certificaciones de cumplimiento se mantiene en nuestra Base de datos de POP.

Los proveedores de infraestructura utilizados para los POP incluyen: Amazon Web Services (17 POP, proveedor principal para la mayoría de las regiones), ISHosting (Estambul, Almaty, Bogotá) y HostAfrica (Lagos). Las operaciones de la sede de Zúrich (facturación, administración) utilizan Hostkey.

Todos los POP se encuentran:

• En jurisdicciones con decisiones de adecuación (UE, EEE, Suiza, Reino Unido, Canadá, etc.)
• Sujetos a Cláusulas Contractuales Tipo (CCT) donde no existe una decisión de adecuación

Debido a nuestra arquitectura de cifrado (conocimiento cero), incluso los datos almacenados en jurisdicciones no adecuadas están técnicamente protegidos. No podemos descifrarlos, ni tampoco las autoridades locales. La resolución DNS es gestionada por Cloudflare; ningún dato de la bóveda pasa nunca por su red.

Ningún dato es descifrable por nosotros en reposo. El archivo de la bóveda está cifrado y la clave de cifrado no se almacena en el servidor. Cuando un agente o usuario se conecta, lleva consigo la clave L1; podríamos interceptarla técnicamente en tránsito (aunque no lo hacemos, y TLS impide que terceros lo hagan). Incluso con L1, solo se ven los metadatos. Los campos de credenciales e identidad permanecen sellados.

• L1 (Cifrado de la bóveda): La bóveda se cifra en reposo con AES-256-GCM. La clave L1 de 8 bytes es transportada por el agente o usuario en cada solicitud; no se almacena en el servidor. Con L1, los títulos de las entradas, los tipos y las marcas de tiempo son visibles. Este es el mínimo operativo requerido para atender las solicitudes.
• L2 (Campos de credenciales): Contraseñas, claves de API, semillas TOTP, tokens OAuth; cifrados por campo con una clave de 16 bytes que nunca existe en el servidor. L2 solo lo tienen el navegador del usuario y sus agentes registrados. No podemos descifrar los campos de credenciales, y ningún proceso del lado del servidor tiene acceso a L2.
• L3 (Campos de identidad): Tarjetas de crédito, CVV, números de pasaporte, números de seguridad social, códigos de recuperación; cifrados con una clave de 32 bytes de pura entropía aleatoria, generada en la creación de la bóveda. El usuario no conoce esta clave. Nosotros tampoco la tenemos. L3 nunca existe en ningún servidor. Está protegido al envolverlo con la salida de 32 bytes de la clave de hardware del usuario (huella dactilar, rostro o clave de seguridad a través de WebAuthn PRF). Sin el dispositivo físico, L3 no se puede desenvolver. Matemáticamente no podemos descifrar los campos de identidad, y no se nos puede obligar a producir una clave que no tenemos.

Para consultas relacionadas con el DPA:

Delegado de Protección de Datos (DPD) Clavitor LLC c/o Johan Jongsma

Este DPA entra en vigor a partir de la fecha de inicio de su suscripción y permanece en vigor hasta su terminación. Los cambios se notifican con 30 días de antelación. El uso continuado constituye la aceptación.

Última actualización: 25 de mayo de 2026 · Versión 1.1