Acuerdo de tratamiento de datos

1. Ámbito

Este acuerdo se aplica cuando una cuenta profesional usa Aravo para tratar datos personales de terceros, como clientes, proveedores, personas miembro de workspace, personas invitadas, solicitantes de acceso o destinatarias de reportes.

La cuenta profesional actúa como responsable del tratamiento respecto de esos datos y Aravo actúa como encargado, tratando los datos solo para prestar, proteger y mantener el servicio.

2. Instrucciones y finalidad

Aravo tratará los datos conforme a las instrucciones de la cuenta profesional expresadas mediante el uso normal del producto: almacenamiento, sincronización, generación de documentos, reportes compartidos, invitaciones, soporte, seguridad, límites de plan y eliminación.

Aravo no venderá los datos tratados por cuenta profesional ni los usará para publicidad comportamental.

3. Subencargados

La cuenta profesional autoriza el uso de subencargados necesarios para operar el servicio: Supabase, Cloudflare, Sentry, Resend, Google OAuth y PostHog cuando exista consentimiento de analytics. La lista funcional se mantiene también en la Política de privacidad.

Si se incorpora un subencargado materialmente nuevo, Aravo intentará reflejarlo en esta página o en la política aplicable. El uso continuado del servicio tras la actualización implica aceptación salvo que la ley exija otro mecanismo.

4. Seguridad

Aravo aplica medidas razonables para un SaaS independiente: autenticación basada en sesión, control de acceso por cuenta/workspace, Row Level Security en tablas expuestas, cifrado en tránsito mediante HTTPS/TLS, uso restringido de claves de servicio, separación lógica de datos y medidas de seguridad de proveedores para almacenamiento en reposo.

Aravo no ofrece cifrado de extremo a extremo. No se deben introducir contraseñas, claves privadas, datos médicos u otra información altamente sensible que no sea necesaria para gestionar la actividad profesional.

5. Derechos, devolución y supresión

Aravo asistirá razonablemente a la cuenta profesional en solicitudes de acceso, rectificación, supresión, oposición, portabilidad o limitación, en la medida en que la información esté bajo control de Aravo y el producto no permita gestionarla directamente.

Al eliminar la cuenta o workspace, Aravo eliminará los datos de producción según la Política de privacidad, salvo datos mínimos que deban conservarse por obligación legal, contable, seguridad, antifraude o auditoría. Las copias de seguridad pueden conservar vestigios temporalmente hasta su rotación técnica.

6. Incidentes y transferencias

Si Aravo confirma un incidente de seguridad que afecte datos personales tratados por cuenta profesional, notificará a la cuenta afectada sin dilación indebida mediante los canales disponibles, aportando la información razonablemente disponible.

Algunos proveedores pueden tratar datos fuera del país de residencia de la persona usuaria. Aravo procura usar proveedores con garantías contractuales y operativas razonables para servicios SaaS.