Acuerdo de Procesamiento de Datos (DPA)

¿Qué es el DPA?

El Acuerdo de Procesamiento de Datos (Data Processing Agreement, DPA) es el documento contractual que regula el tratamiento de datos personales entre Nodo y nuestros operadores cuando Nodo actúa como encargado del tratamiento sobre datos de tus clientes finales.

El DPA cumple con los requisitos del artículo 28 del RGPD (Reglamento General de Protección de Datos de la Unión Europea), de la LGPD (Brasil) y de regímenes equivalentes en Latinoamérica. Es complementario a nuestros Términos de Servicio y a nuestra Política de Privacidad.

¿Qué incluye el DPA?

• Definición clara de roles: operador como responsable, Nodo como encargado del tratamiento.
• Categorías y finalidades del tratamiento sobre datos de clientes finales del operador, incluyendo monitoreo operativo y analítica de rendimiento del servicio.
• Lista nominal y actualizada de subprocesadores específicos, incluyendo razón social, jurisdicción, certificaciones de seguridad (SOC 2, ISO 27001, EU-US DPF) y mecanismos legales de transferencia internacional.
• Obligaciones de seguridad técnica y organizativa (cifrado en tránsito y reposo, control de acceso, segregación lógica por tenant).
• Procedimiento de notificación de brechas de seguridad dentro de las 72 horas exigidas por el RGPD.
• Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea para transferencias fuera del Espacio Económico Europeo.
• Derechos de auditoría y mecanismos para asistir al operador en sus obligaciones bajo RGPD/LGPD.
• Procedimiento para solicitudes de derechos de los titulares (acceso, rectificación, eliminación, portabilidad).

¿Por qué los subprocesadores no se publican aquí?

Mantenemos la lista nominal de subprocesadores bajo el DPA en lugar de publicarla en la página de Privacidad por dos razones:

• Seguridad operativa: reducir información estructural pública disminuye los vectores de ataque dirigidos a la cadena de proveedores que sostiene el servicio.
• Confidencialidad estratégica: proteger información que de otra forma quedaría expuesta a competidores y a actores que puedan usarla en perjuicio de nuestros operadores.

Esta práctica es consistente con la de plataformas SaaS B2B establecidas, y no reduce las obligaciones legales de Nodo bajo RGPD, LGPD ni regímenes locales aplicables.

¿Cómo solicitar el DPA?

Si eres operador de Nodo (o estás evaluando serlo) y necesitas firmar el DPA o consultar la lista nominal de subprocesadores, escríbenos a:

Te enviaremos el documento dentro de los 5 días hábiles siguientes, junto con la lista nominal y vigente de subprocesadores. La lista se comparte bajo acuerdo de confidencialidad implícito en el propio DPA.

Notificación de cambios en subprocesadores

Si cambiamos, agregamos o eliminamos un subprocesador, los operadores que tengan DPA firmado serán notificados por correo electrónico con al menos 15 días de antelación a la entrada en vigor del cambio. El operador podrá objetar el cambio y, si no se alcanza un acuerdo, terminar el servicio.