Anexo de Tratamiento de Datos Personales

PARTES

Por una parte, NEUENDORF, Ismael, CUIT N.° 20-36095245-3, con domicilio en calle Las Camelias N.° 10.767, Posadas, Misiones, en adelante el "Encargado" o "VOZI".

Por la otra parte, [NOMBRE DE LA INSTITUCIÓN], CUIT N.° [CUIT], con domicilio en [DOMICILIO], representada por [REPRESENTANTE, CARGO], en adelante el "Responsable" o la "Institución".

Ambas partes acuerdan el presente Anexo, que regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco del Contrato de prestación del servicio VOZI.

1. OBJETO Y ROLES

1.1. El Responsable es titular de las bases de datos personales que se tratan mediante la Plataforma VOZI y determina la finalidad, el contenido y el uso de dicho tratamiento en ejercicio de sus competencias.

1.2. El Encargado trata esos datos personales únicamente por cuenta del Responsable y conforme a sus instrucciones documentadas, sin aplicarlos ni utilizarlos para un fin distinto, y sin cederlos a terceros salvo lo previsto en este Anexo o por orden de autoridad competente.

1.3. Las instrucciones documentadas del Responsable son: (i) este Anexo y el Contrato; (ii) la configuración que el Responsable define en el panel de administración (módulos, privilegios, textos legales, plazos); y (iii) las indicaciones escritas que el Responsable curse por los canales de contacto acordados. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo informará al Responsable.

2. DESCRIPCIÓN DEL TRATAMIENTO (ANEXO I)

Categorías de titulares	Presuntos infractores y responsables de comercios; ciudadanos denunciantes o solicitantes; agentes y personal del Responsable.
Categorías de datos	Datos identificatorios y de contacto (nombre, DNI/CUIT, domicilio, teléfono, correo); datos del vehículo y de la licencia de conducir; datos del comercio; geolocalización; fotografías; firma; importes; contenido de mensajes del asistente virtual; datos biométricos faciales (solo si el Responsable activa el módulo).
Datos sensibles	Datos biométricos (cuando se activa el módulo de identificación biométrica). Fotografías, firma, domicilio, licencia y geolocalización se tratan con salvaguardas reforzadas por su potencial impacto en la intimidad y la seguridad.
Finalidad	Creación, notificación, gestión, juzgamiento y análisis de actas y trámites oficiales; control de asistencia y de recorridos del personal; atención ciudadana automatizada.
Naturaleza de las operaciones	Recolección, registro, organización, conservación, consulta, comunicación por transmisión, cotejo, bloqueo, supresión y respaldo.
Duración	La del Contrato, más los plazos de devolución y supresión de la cláusula 9.

3. OBLIGACIONES DEL ENCARGADO

• 3.1. Tratar los datos solo según las instrucciones documentadas del Responsable y no para fines propios.
• 3.2. Garantizar que las personas autorizadas a tratar los datos se comprometan a la confidencialidad y estén sujetas a deber de secreto (artículo 10 de la Ley N.° 25.326), que subsiste tras el fin de la relación.
• 3.3. Aplicar las medidas técnicas y organizativas de seguridad descritas en el Anexo II, acordes al estado de la técnica y al riesgo.
• 3.4. Asistir al Responsable, en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los titulares (acceso, rectificación, actualización, supresión).
• 3.5. Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, de notificación de incidentes y de consultas o evaluaciones de impacto ante la AAIP.
• 3.6. Notificar al Responsable, sin dilación indebida y cuando sea posible dentro de las 72 horas de confirmado, todo incidente de seguridad que afecte a sus datos, con la información prevista en la cláusula 6.
• 3.7. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo y permitir auditorías conforme a la cláusula 8.
• 3.8. Devolver o suprimir los datos al finalizar la prestación, conforme a la cláusula 9.
• 3.9. No transferir los datos fuera de la República Argentina salvo a los sub-encargados listados en el Anexo III y con las garantías del artículo 12 de la Ley N.° 25.326.

4. OBLIGACIONES DEL RESPONSABLE

• 4.1. Contar con base legal y competencia para el tratamiento y para la recolección de los datos que carga en la Plataforma.
• 4.2. Cursar instrucciones lícitas y documentadas, y mantener actualizada la configuración del panel (privilegios, plazos, textos legales, altas y bajas de Usuarios).
• 4.3. Notificar de manera fehaciente a los titulares y atender el ejercicio de sus derechos en su carácter de Responsable.
• 4.4. Recabar el consentimiento específico de los agentes para el tratamiento biométrico cuando active ese módulo.
• 4.5. Enviar los enlaces de notificación por WhatsApp al número correcto del titular.

5. SUB-ENCARGADOS (ANEXO III)

5.1. El Responsable autoriza con carácter general el uso de los sub-encargados listados a continuación. El Encargado les impone, por contrato, obligaciones de protección de datos no inferiores a las de este Anexo (condiciones "espejo") y responde ante el Responsable por su gestión.

Sub-encargado	Servicio	Ubicación / garantías
Google LLC / Google Cloud EMEA	Infraestructura, base de datos, almacenamiento, funciones, autenticación y correos de servicio (Google Cloud Platform, Firebase, Firestore, Cloud Storage, Cloud Functions, Authentication)	Fuera de Argentina. Data Processing Addendum y cláusulas contractuales tipo de Google.
Google Maps Platform	Procesamiento y visualización de geolocalización	Fuera de Argentina. Adenda de tratamiento de datos de Google.
Google Cloud – Vertex AI / Gemini	Funciones de inteligencia artificial (mejora de redacción y asistente virtual)	Ubicación global de Google. Compromisos de no retención para entrenamiento.
Meta Platforms, Inc.	Infraestructura de mensajería WhatsApp Business	Fuera de Argentina. Términos y adenda de datos de WhatsApp Business.
Javier Matías Jiménez — CUIL 20-32972080-3	Integración y operación técnica del canal de WhatsApp Business	República Argentina. Acuerdo de confidencialidad y de encargo con VOZI.
Mercado Libre S.R.L. (Mercado Pago)	Generación de órdenes de pago y códigos QR (si se contrata el cobro digital)	República Argentina. Términos de Mercado Pago. VOZI no accede a datos de tarjetas.

5.2. El Encargado informará al Responsable, con antelación razonable, la incorporación o sustitución de un sub-encargado. El Responsable podrá oponerse por motivos fundados vinculados a la protección de datos dentro de los 15 días; de no resolverse la objeción, el Responsable podrá rescindir el Contrato sin penalidad, con derecho a la exportación de sus datos.

6. NOTIFICACIÓN DE INCIDENTES DE SEGURIDAD

6.1. Ante un incidente que afecte datos personales del Responsable, el Encargado lo notificará por escrito sin dilación indebida y, cuando sea posible, dentro de las 72 horas de haberlo confirmado, informando: (i) la naturaleza del incidente y las categorías y el volumen aproximado de titulares y de datos afectados; (ii) el punto de contacto para más información; (iii) las consecuencias probables; y (iv) las medidas adoptadas o propuestas para remediarlo y mitigar sus efectos.

6.2. El Encargado cooperará con el Responsable y le brindará la asistencia razonable para que este pueda cumplir, si correspondiera, con sus deberes de comunicación a la AAIP y a los titulares. La notificación del Encargado no implica reconocimiento de culpa ni de responsabilidad.

7. MEDIDAS DE SEGURIDAD (ANEXO II)

• Cifrado en tránsito (TLS) y en reposo gestionado por la infraestructura de Google Cloud.
• Control de acceso basado en roles y matriz de privilegios por módulo; principio de mínimo privilegio.
• Aislamiento lógico de los datos por Institución (multi-tenant).
• Verificación de integridad de las solicitudes (App Check) y protección anti-abuso (reCAPTCHA).
• Reglas de seguridad declarativas en la base de datos y en el almacenamiento de archivos.
• Registros de auditoría de accesos, generación y descarga de documentos.
• Política de cambio de contraseña inicial y disponibilidad de verificación en dos pasos.
• Copias de resguardo gestionadas por la infraestructura, con rotación que no excede los 180 días.
• Gestión de actualizaciones y de vulnerabilidades del código de la Plataforma.

8. AUDITORÍA

El Encargado pondrá a disposición del Responsable, ante requerimiento razonable y con preaviso de 15 días, la documentación e información necesaria para acreditar el cumplimiento de este Anexo. Las auditorías se realizarán en horario laboral, sin afectar la operación ni la seguridad de otros clientes, con obligación de confidencialidad, y con una frecuencia máxima de una vez por año salvo incidente o requerimiento de autoridad.

9. DEVOLUCIÓN Y SUPRESIÓN AL FINALIZAR

9.1. Finalizada la prestación por cualquier causa, durante 30 días corridos el Responsable podrá exportar la totalidad de sus datos en formato estructurado de uso común.

9.2. Vencido ese plazo, el Encargado suprimirá o anonimizará los datos de sus sistemas activos dentro de los 90 días corridos, y de las copias de resguardo conforme al ciclo de rotación (hasta 180 días). A pedido del Responsable, emitirá una constancia de supresión.

9.3. El Encargado podrá conservar, bloqueados y con acceso restringido, los datos mínimos exigidos por una obligación legal o necesarios para la defensa ante reclamos, por el plazo de prescripción aplicable.

10. RESPONSABILIDAD

La responsabilidad de las partes por el incumplimiento de este Anexo se rige por la cláusula de Limitación de Responsabilidad de los Términos y Condiciones. Cada parte responde frente a la otra por los daños directos que le cause su propio incumplimiento de la normativa de protección de datos. El Responsable mantiene indemne al Encargado por los tratamientos que aquel instruya sin base legal o competencia.

11. VIGENCIA, LEY APLICABLE Y JURISDICCIÓN

Este Anexo entra en vigencia con el Contrato y permanece vigente mientras dure el tratamiento. Se rige por la Ley N.° 25.326 y demás normativa argentina. Para toda controversia, las partes se someten a mediación previa obligatoria y, en su defecto, a los Tribunales Ordinarios de la Ciudad de Posadas, Provincia de Misiones, sin perjuicio de la competencia imperativa en razón de la materia cuando una parte sea un organismo público.

FIRMAS

Por el Encargado (VOZI)     Firma: ______________________________ Aclaración: NEUENDORF, Ismael CUIT: 20-36095245-3 Fecha: ______ / ______ / __________

Por el Responsable (Institución)     Firma: ______________________________ Aclaración: [REPRESENTANTE] Cargo: [CARGO] Fecha: ______ / ______ / __________

Este documento puede suscribirse en forma ológrafa o mediante firma digital o electrónica conforme a la Ley N.° 25.506. La aceptación del Marco Legal en la Plataforma por parte de un Usuario con rol de administrador de la Institución constituye asimismo constancia de conocimiento y conformidad con este Anexo, sin perjuicio de su suscripción formal como parte del Contrato.