Acuerdo de Procesamiento de Datos — Crisarium

Versión 1.0 · vigente desde el 5 de octubre de 2026

Este Acuerdo forma parte del contrato entre la organización contratante ("Responsable") y Segurança em Jogo LTDA, CNPJ 58.907.118/0001-88 ("Encargada"), formado por el pedido aceptado, los Términos de Uso y la Política de Reembolso. Regula el tratamiento de datos personales que la Encargada realiza en nombre de la Responsable en los planes para organizaciones de Crisarium, en los términos de la LGPD (Ley 13.709/2018, en especial los arts. 37 a 40) y, cuando corresponda, del GDPR (art. 28). En caso de conflicto sobre datos personales, prevalece este Acuerdo.

1. Roles

• La Responsable decide quién participa en los ejercicios, qué datos envía y para qué usa los resultados. Es responsable de la base legal del tratamiento y de informar a los participantes.
• La Encargada trata los datos solo para prestar el servicio contratado, conforme a este Acuerdo y a las instrucciones documentadas de la Responsable. Usar la plataforma según sus funciones y configurar sesiones son instrucciones documentadas.
• Para los datos que trata por cuenta propia (cuenta de los administradores, facturación, seguridad de la plataforma), la Encargada es responsable, en los términos de la Política de Privacidad.

2. El tratamiento

3. Obligaciones de la Encargada

La Encargada:

• trata los datos solo conforme a este Acuerdo y a las instrucciones de la Responsable, y le avisa si una instrucción le parece contraria a la ley;
• no usa los datos para una finalidad propia, no los vende y no los usa para entrenar modelos de inteligencia artificial, propios o de terceros;
• garantiza que las personas autorizadas a tratar los datos estén sujetas a confidencialidad;
• mantiene las medidas de seguridad del Anexo I;
• no accede al contenido de las sesiones (decisiones, justificaciones, informes, plan de crisis), salvo: (a) a pedido formal de la Responsable; o (b) cuando la Responsable autorice, en la plataforma, el acceso a los informes de una sesión para control de calidad, autorización que puede revocarse en cualquier momento. Cada acceso queda registrado;
• ayuda a la Responsable a atender las solicitudes de los titulares (acceso, corrección, eliminación, explicación de un resultado automatizado), remitiéndole en hasta 5 días hábiles las solicitudes que reciba directamente;
• ayuda a la Responsable en las evaluaciones de impacto y las consultas a autoridades, en la medida de la información de que dispone;
• pone a disposición la información necesaria para demostrar el cumplimiento de este Acuerdo (sección 8).

4. Obligaciones de la Responsable

La Responsable:

• tiene base legal para el tratamiento e informa a los participantes. La plataforma muestra a cada participante, antes de la primera ronda, una pantalla informativa con lo que se registra, quién lo ve y por cuánto tiempo;
• no usa los informes como base exclusiva para decisiones de contratación, promoción, remuneración o desvinculación;
• solo envía, en la función de adherencia, documentos que tiene derecho a usar, sin datos personales innecesarios;
• mantiene seguras las credenciales de sus administradores.

5. Subencargados

La Responsable autoriza a los subencargados del Anexo II, donde constan, para cada uno, la actividad, los datos recibidos, el lugar del tratamiento y el mecanismo de transferencia. La Encargada celebra con cada uno un contrato que replica las obligaciones de seguridad, confidencialidad y protección de datos de este Acuerdo, y responde por ellos ante la Responsable.

Cambios: la Encargada avisa a los administradores por correo con 30 días de anticipación antes de incluir o cambiar un subencargado. Si la Responsable se opone por un motivo razonable de protección de datos y las partes no llegan a una solución, puede terminar el contrato con reembolso proporcional al plazo restante del plan.

6. Transferencia internacional

Los datos se almacenan en Brasil. Cuando un subencargado los trata en otro país, la transferencia se apoya:

• para Estados Unidos y los demás países sin decisión de adecuación, en las cláusulas contractuales estándar de la ANPD (Resolución CD/ANPD nº 19/2024), adoptadas en el contrato de la Encargada con el subencargado, incluidas las transferencias posteriores que este realice;
• para los países de la Unión Europea, en la decisión de adecuación (Resolución CD/ANPD nº 32/2026).

El mecanismo de cada subencargado está en el Anexo II. Para las Responsables en la Unión Europea, Brasil cuenta con decisión de adecuación de la Comisión Europea; no se aplican las cláusulas contractuales tipo europeas.

7. Incidentes de seguridad

La Encargada comunica a la Responsable cualquier incidente de seguridad que afecte los datos de este Acuerdo sin demora indebida y en hasta 24 horas desde que toma conocimiento, con la información disponible: naturaleza del incidente, datos y titulares afectados, consecuencias probables y medidas tomadas o propuestas. La información faltante se envía apenas se obtiene. La comunicación a la ANPD, a otras autoridades y a los titulares corresponde a la Responsable, con el apoyo de la Encargada; el plazo regulatorio de la Responsable es corto (3 días hábiles ante la ANPD), por eso el plazo anterior.

8. Demostración de cumplimiento

La Encargada mantiene publicados en la página de confianza el documento de seguridad, la lista de subencargados y este Acuerdo. La Responsable puede enviar un cuestionario de seguridad por año, que se responde en hasta 30 días. La auditoría presencial solo procede en caso de un incidente relevante o de exigencia de una autoridad, con aviso de 30 días, a cargo de la Responsable y sin acceso a datos de otros clientes.

9. Conservación, devolución y eliminación

Antes de la eliminación, el administrador puede exportar los informes. A pedido de la Responsable, la Encargada elimina los datos antes de esos plazos. A la persona eliminada por el administrador se le quitan el nombre, el correo y el certificado de las sesiones cerradas; sus decisiones siguen atribuidas al rol ("participante eliminado").

10. Responsabilidad

Cada parte responde por los daños que cause por violación de este Acuerdo o de la ley de protección de datos, en los términos de la LGPD (art. 42). Se aplican las limitaciones de los Términos de Uso, salvo donde la ley no lo permita.

11. Vigencia

Este Acuerdo vale mientras la Encargada trate datos de la Responsable, incluso después del fin del contrato, hasta la eliminación de los datos.

Versión 1.0 · vigente desde el 5 de octubre de 2026.

Anexo I — Medidas de seguridad

• Datos almacenados y procesados en Brasil (São Paulo), con cifrado en tránsito y en reposo.
• Aislamiento entre organizaciones en la base de datos, con política por fila y una prueba automatizada en cada cambio que intenta leer datos de otra organización.
• Los participantes entran por un enlace personal enviado por correo, sin contraseña; cada uso queda registrado. Los administradores y el equipo interno usan contraseña y segundo factor obligatorio, con bloqueo después de 3 intentos fallidos.
• El navegador nunca accede directamente a la base de datos; las credenciales quedan en cookies protegidas.
• Plan de crisis: solo PDF y Word verificados por su contenido; rechazo de archivos con señales sospechosas; lectura en memoria sin guardar el archivo; texto extraído cifrado hasta la confirmación; la lectura por IA es aislada, sin herramientas ni acceso a otros datos.
• El equipo interno no accede al contenido de las sesiones sin pedido o autorización registrada de la Responsable; todas las acciones administrativas quedan en un registro de auditoría.
• Correos siempre identificados como simulación, sin pedir contraseña ni pago, con una página pública para verificar invitaciones.
• Dependencias con versión fija y alertas automáticas de vulnerabilidad.
• Plan de respuesta a incidentes propio y ejercitado.

Anexo II — Subencargados y transferencia internacional