Acuerdo de Tratamiento de Datos

Plataforma y Productos de Software de Rhomdroid

Fecha de vigencia: 13 de octubre de 2026

Última actualización: 31 de octubre de 2026

1. CUÁNDO SE APLICA ESTE ACUERDO

1.1. Este Acuerdo de Tratamiento de Datos (el "Acuerdo") se celebra entre Mastershop S.A., que opera como Rhomdroid (la "Compañía"), y el Usuario. Forma parte de los Términos del Servicio (los "Términos"). Los términos en mayúscula no definidos aquí tienen el significado que les dan los Términos.

1.2. El Acuerdo se aplica solo cuando el Usuario, o una entidad a la que el Usuario representa (el "Cliente"), usa la Plataforma para tratar datos personales de los que el Cliente es responsable ("Datos Personales del Cliente"). Son ejemplos los datos de pacientes, clientes o personal del Cliente que llegan a los agentes de IA a través de una integración, o que los usuarios del Cliente cargan en la Plataforma. Si usas la Plataforma solo para ti, este Acuerdo no tiene efecto para ti.

1.3. El Usuario que acepta este Acuerdo en nombre de una entidad garantiza que está autorizado a obligarla (Términos §2.2).

1.4. Para los Datos Personales del Cliente, si este Acuerdo y los Términos se contradicen, prevalece este Acuerdo. Los Términos de Integración pueden agregar disposiciones para una integración específica, y esas disposiciones prevalecen para esa integración.

2. ROLES

2.1. El Cliente es el responsable del tratamiento. La Compañía es el encargado del tratamiento según el Artículo 25 de la Ley 25.326 y su decreto reglamentario, y según el Artículo 28 del RGPD cuando se aplique.

2.2. Los datos personales que la Compañía tiene sobre el Usuario para fines propios, como los datos de la cuenta, no son Datos Personales del Cliente. Se rigen por la Política de Privacidad.

3. OBJETO, NATURALEZA, FINALIDAD Y DURACIÓN

3.1. Objeto: los Datos Personales del Cliente tratados a través de la Plataforma.

3.2. Naturaleza: recibir los datos; transmitirlos a los Subencargados del tratamiento, incluidos los proveedores de IA; ejecutar herramientas e integraciones sobre ellos; guardarlos como contenido de conversaciones, registros de contacto y Contenido del Usuario; y, cuando el Cliente activa esas funcionalidades, analizarlos para producir la información que el Cliente solicita.

3.3. Finalidad: prestar los servicios de la Plataforma que piden los usuarios del Cliente.

3.4. Duración: mientras el Cliente use la Plataforma, más los plazos de eliminación de la Sección 12.

3.5. Los titulares y las categorías de datos son los que el Cliente decide tratar. Dependen del contenido que el Cliente carga y de las integraciones que activa. Los Términos de Integración de cada integración describen los datos que esa integración maneja.

4. INSTRUCCIONES

4.1. La Compañía trata los Datos Personales del Cliente solo según las instrucciones documentadas del Cliente. Esas instrucciones son este Acuerdo y los Términos, junto con:

• la configuración de la Plataforma que hace el Cliente,
• las solicitudes que sus usuarios hacen a los agentes de IA, y
• las acciones que sus usuarios aprueban.

4.2. Si la Compañía considera que una instrucción infringe la normativa de protección de datos, se lo informará al Cliente.

4.3. Las instrucciones que exceden lo que hace la Plataforma requieren un acuerdo aparte.

5. LIMITACIÓN DE LA FINALIDAD

5.1. La Compañía no usará los Datos Personales del Cliente para fines propios y no los venderá.

5.2. La Compañía no cederá los Datos Personales del Cliente a nadie, salvo a sus Subencargados del tratamiento (Sección 8) o cuando la ley lo exija.

5.3. Se aplica la restricción de entrenamiento de los Términos §7.3.

6. CONFIDENCIALIDAD

La Compañía mantiene en confidencialidad los Datos Personales del Cliente, como exige el Artículo 10 de la Ley 25.326, incluso después de que termine este Acuerdo. Quien actúe por la Compañía con acceso a esos datos está obligado a la confidencialidad. Ese acceso se limita a lo que requieran el soporte, la seguridad o una obligación legal.

7. SEGURIDAD

Además de las medidas de los Términos §7.4:

• los datos en tránsito se cifran con TLS;
• las credenciales de integraciones se guardan cifradas en reposo;
• solo la cuenta dueña puede acceder a su contenido de conversaciones y a su Contenido del Usuario;
• el contenido que devuelven las integraciones llega a los agentes de IA como dato no confiable, nunca como instrucción;
• cuando una integración lo prevé, las acciones con efectos reales requieren que un usuario apruebe en pantalla la solicitud exacta.

8. SUBENCARGADOS DEL TRATAMIENTO

8.1. El Cliente autoriza de forma general a los Subencargados del tratamiento detallados en los Términos §7.6.

8.2. La Compañía contrata a cada Subencargado por escrito, en condiciones que protegen los datos y lo obligan a la confidencialidad y la seguridad. La Compañía sigue siendo responsable ante el Cliente de que sus Subencargados cumplan esas obligaciones. Cada Subencargado puede contratar a sus propios subencargados en condiciones escritas que protejan los datos al menos en la medida que exige este Acuerdo; cada Subencargado publica su propia lista.

8.3. La Compañía avisará de un Subencargado nuevo según los Términos §7.6 antes de que ese Subencargado trate Datos Personales del Cliente.

8.4. El Cliente puede oponerse dejando de usar la funcionalidad afectada o cerrando su Cuenta. Esas son sus únicas vías ante una oposición.

9. TRANSFERENCIAS INTERNACIONALES

9.1. El Cliente autoriza las transferencias de Datos Personales del Cliente a los países donde operan los Subencargados de los Términos §7.6. Entre ellos está Estados Unidos, donde los proveedores de IA tratan los datos.

9.2. Argentina no reconoce a Estados Unidos como país de protección adecuada. La Compañía hace estas transferencias según el Artículo 12 de la Ley 25.326, sobre la base de la autorización del Cliente y de garantías contractuales con cada Subencargado (Términos §7.7). Cuando se aplique el RGPD, la Compañía recurre a Cláusulas Contractuales Tipo u otro mecanismo válido.

9.3. El Cliente es responsable de informar a los titulares que sus datos pueden transferirse al exterior.

10. PEDIDOS DE LOS TITULARES

10.1. Los titulares ejercen sus derechos ante el Cliente. Si la Compañía recibe un pedido de este tipo, se lo enviará al Cliente y no lo responderá por sí misma.

10.2. La Compañía brindará al Cliente asistencia razonable con los pedidos que se refieran a Datos Personales del Cliente guardados en la Plataforma.

11. INCIDENTES DE SEGURIDAD

11.1. La Compañía notificará al Cliente sin demora indebida después de tomar conocimiento de un incidente de seguridad que afecte Datos Personales del Cliente. Compartirá la información que tenga y cooperará con la respuesta del Cliente.

11.2. El Cliente decide si notifica a la autoridad y a los titulares.

11.3. Una notificación no es un reconocimiento de culpa.

12. ELIMINACIÓN

12.1. El contenido de las conversaciones se elimina entre 30 y 37 días después de su última actividad (Política de Privacidad §8). El Cliente puede pedir que se elimine antes en cualquier momento.

12.2. El Contenido del Usuario, incluidos los registros de contacto y la información que guardan los asistentes del Cliente cuando el Cliente activa esas opciones, se conserva hasta que el Cliente lo elimina. Al cerrarse la Cuenta, queda disponible para exportar durante 30 días (Términos §11.4(c)) y luego se elimina dentro de los 90 días (Términos §7.8).

12.3. Las credenciales de integraciones quedan guardadas hasta que el Cliente las elimina. Desconectar una integración detiene su uso.

12.4. A pedido por escrito, la Compañía elimina los Datos Personales del Cliente restantes dentro de los 30 días, salvo que la ley exija conservarlos. Las copias en respaldos se eliminan a medida que esos respaldos vencen.

12.5. Los datos escritos en un sistema de terceros a través de una integración permanecen en ese sistema.

13. DEMOSTRACIÓN DE CUMPLIMIENTO

13.1. A pedido por escrito, la Compañía entregará la información razonablemente necesaria para demostrar que cumple este Acuerdo.

13.2. El Cliente puede hacer una auditoría por año por medio de un auditor independiente obligado a la confidencialidad. La auditoría es a costo del Cliente, requiere 30 días de aviso y no debe afectar la operación de la Compañía.

13.3. Un incidente de seguridad o un pedido de una autoridad de control justifican una auditoría adicional.

14. OBLIGACIONES DEL CLIENTE

El Cliente garantiza y se compromete a que:

1. tiene una base legal para cada tratamiento que instruye;
2. su aviso de privacidad informa a los titulares que usa encargados, incluidos la Compañía y proveedores de IA, y que sus datos pueden transferirse al exterior;
3. tratará datos sensibles, como los datos de salud, a través de la Plataforma solo cuando la ley lo permita, y respetando el secreto profesional que lo obligue;
4. sus usuarios pedirán solo los datos que cada tarea necesite y revisarán el contenido generado por IA y cada aprobación antes de basarse en ellos.

15. RESPONSABILIDAD

La responsabilidad derivada de este Acuerdo está sujeta a la Sección 9 de los Términos, incluido el tope de protección de datos de los Términos §9.4.

16. VIGENCIA Y CAMBIOS

16.1. Este Acuerdo se aplica mientras la Compañía trate Datos Personales del Cliente. Las Secciones 6 y 12 siguen vigentes después de su terminación.

16.2. Los cambios siguen lo previsto en los Términos §2.3.

Mastershop S.A.
Operando como Rhomdroid
Pedro B. Palacios 910, Mendoza, Argentina
contact@rhomdroid.io