Acuerdo de Encargado del Tratamiento (DPA)

1. Objeto y partes

Este DPA se aplica siempre que AAA Sentinel trate datos personales por cuenta del cliente en el marco de la prestación del servicio (por ejemplo, datos de los usuarios que el cliente da de alta en su cuenta, o metadatos de sus cuentas cloud). El cliente actúa como responsable del tratamiento y AAA Sentinel como encargado del tratamiento, en el sentido del artículo 4 del Reglamento (UE) 2016/679 (RGPD).

2. Objeto, naturaleza y finalidad del tratamiento

AAA Sentinel trata datos personales por cuenta del cliente para prestar la Plataforma de FinOps, postura de cuentas y gobierno del gasto de IA:

• Naturaleza: alojamiento, procesamiento automatizado, análisis y generación de informes y tickets.
• Finalidad: autenticar usuarios del cliente, analizar coste y configuración de cuentas conectadas, leer gasto de APIs de IA conectadas, generar recomendaciones, alertas y tickets, ejecutar acciones de agente aprobadas y facturar el servicio.
• Duración: mientras esté vigente el contrato de servicio, más el periodo de retención descrito en la sección 3.

3. Duración

Este DPA entra en vigor cuando el cliente empieza a usar la Plataforma y permanece vigente mientras AAA Sentinel trate datos personales por cuenta del cliente, incluido el periodo posterior a la baja descrito en la Política de Privacidad (retención de hasta 3 meses para exportación o reactivación, o de 14 días si el cliente solicita la eliminación desde su perfil, seguida de revocación de accesos y eliminación completa).

4. Categorías de interesados y de datos

El tratamiento puede afectar a las siguientes categorías:

• Interesados: empleados y colaboradores del cliente con acceso a la Plataforma y, con el add-on de seguridad, quienes operan sus cuentas cloud.
• Datos: nombre, email, rol, registros de actividad y, de quienes operan las cuentas cloud, la identidad (ARN) y la IP de origen de cada cambio crítico, que se conservan 90 días.
• Metadatos técnicos: ARN de roles IAM, IDs de Service Principal, claves de Service Account cifradas, identificadores de recursos (que pueden incluir nombres de usuarios IAM) en hallazgos y en la cobertura del escaneo, claves de API de IA cifradas.
• AAA Sentinel no accede al contenido de aplicación (código, datos de negocio en bases del cliente) más allá de los metadatos de coste, configuración y postura necesarios, de los ficheros de su exportación FOCUS y, si activa los flujos de monitorización, de la búsqueda de una traza en sus logs y la comprobación por clave en DynamoDB o S3 (la configuración de las funciones, como Lambda, Cloud Functions o Cloud Run, incluye los valores de sus variables de entorno, que no se guardan), ni usa las claves de IA para fines distintos del servicio contratado.

5. Instrucciones del responsable

AAA Sentinel trata los datos personales únicamente siguiendo las instrucciones documentadas del cliente, que se entienden dadas mediante la contratación del servicio, su configuración en la Plataforma y este DPA. Si AAA Sentinel considera que una instrucción infringe el RGPD u otra normativa de protección de datos aplicable, lo comunicará al cliente antes de ejecutarla.

6. Confidencialidad del personal

AAA Sentinel garantiza que las personas autorizadas a tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y han recibido la formación adecuada en materia de protección de datos.

7. Medidas de seguridad

AAA Sentinel aplica las medidas técnicas y organizativas descritas en la sección 7 de la Política de Privacidad, que incluyen:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
• Credenciales de acceso cloud cifradas con AWS KMS mediante una clave gestionada por AAA Sentinel.
• Aislamiento multi-tenant verificado en cada endpoint de la API.
• Registro de auditoría de las acciones realizadas sobre los datos, en el que la aplicación solo añade entradas.
• Autenticación multifactor obligatoria para el personal con acceso a datos de plataforma.

8. Subencargados de tratamiento

El cliente autoriza con carácter general a AAA Sentinel a recurrir a los siguientes subencargados para prestar el servicio:

• Amazon Web Services (AWS): infraestructura, región EU-West-1 (Irlanda), y EU-Central-1 (Fráncfort) para confirmar las caídas de la monitorización. Cognito, DynamoDB, Lambda, S3 y KMS.
• Stripe: pagos, PCI DSS Nivel 1.
• Google Cloud (Vertex AI, Gemini): asistencia de IA principal, multirregión UE, sin uso para entrenar modelos.
• Amazon Bedrock (AWS): respaldo de la asistencia de IA cuando Gemini falla, región us-east-1 (EE. UU.), sin uso para entrenar modelos.
• Slack, Jira o Linear solo cuando el cliente los conecta como destino de alertas o tickets (tratamiento a instrucción del responsable).

AAA Sentinel informará al cliente de cualquier cambio previsto en esta lista con una antelación razonable, para que el cliente pueda oponerse por motivos justificados relacionados con la protección de datos.

9. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, AAA Sentinel se asegura de que la transferencia se ampare en las Cláusulas Contractuales Tipo de la Comisión Europea, en una decisión de adecuación, o en el marco EU-US Data Privacy Framework, según corresponda.

10. Acceso interno de personal de plataforma

Un equipo interno reducido de AAA Sentinel accede a métricas agregadas para operar la Plataforma, facturar correctamente y dar soporte, bajo las siguientes garantías (desarrolladas en la sección 12 de la Política de Privacidad):

• Principio de agregación: sin acceso al contenido de hallazgos, identificadores de recursos cloud, credenciales ni informes del cliente.
• Autenticación reforzada (MFA) en un directorio de identidad separado del de clientes.
• Registro de auditoría de cada acceso.
• Segregación de funciones: el acceso a datos económicos está restringido a roles concretos.
• Sin acceso de suplantación (impersonation) en el producto actual.

11. Asistencia al responsable

AAA Sentinel asistirá al cliente, dentro de lo razonable y teniendo en cuenta la naturaleza del tratamiento, en el cumplimiento de sus obligaciones de responder a solicitudes de ejercicio de derechos de los interesados y, en su caso, de realizar evaluaciones de impacto y consultas previas a la autoridad de control.

12. Notificación de violaciones de seguridad

AAA Sentinel notificará al cliente sin dilación indebida, y en todo caso dentro de las 72 horas siguientes desde que tenga constancia, cualquier violación de la seguridad de los datos personales que le afecte, con la información necesaria para que el cliente pueda cumplir sus propias obligaciones de notificación.

13. Auditorías

AAA Sentinel pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA y permitirá auditorías razonables, incluidas inspecciones, realizadas por el cliente o por un auditor autorizado por él, previo aviso razonable y sujeto a los compromisos de confidencialidad habituales.

14. Devolución y eliminación de datos

Al finalizar la prestación del servicio, y salvo obligación legal de conservación en contrario, AAA Sentinel eliminará o devolverá al cliente los datos personales tratados, conforme a los plazos descritos en la sección 8 de la Política de Privacidad. El cliente puede además descargar sus datos en cualquier momento desde su perfil y solicitar su eliminación, que se ejecuta a los 14 días salvo que la cancele antes.

15. Legislación aplicable y contacto

Este DPA se rige por la misma legislación y jurisdicción que los Términos y Condiciones. Para cualquier consulta relacionada con este acuerdo: compliance@aaa-sentinel.com.