Anexo de tratamiento de datos

El Cliente es el responsable del tratamiento y Meshwire es el encargado del tratamiento de los datos personales contenidos en los suscriptores del bot, el contenido de las conversaciones y los registros de entrega. Cuando el Cliente sea a su vez un encargado del tratamiento, Meshwire actúa como subencargado.

El tratamiento dura durante el período de suscripción más la ventana de exportación de treinta días, y cubre la prestación de la plataforma Meshwire según se describe en el acuerdo.

Usuarios de Telegram que interactúan con los bots del Cliente, y personal del Cliente que administra el espacio de trabajo.

Identificadores de usuario de Telegram, nombres de usuario, nombres para mostrar, códigos de idioma, contenido de mensajes enviado a los flujos, respuestas de formularios recopiladas, atributos de segmento, y metadatos de entrega y error.

Meshwire procesa datos personales únicamente conforme a instrucciones documentadas, garantiza que el personal esté sujeto a confidencialidad, implementa las medidas de seguridad del Anexo II, y asiste al Cliente en las solicitudes de los interesados y en las evaluaciones de impacto.

El Cliente autoriza a los subencargados del tratamiento enumerados en nuestra página de subencargados. Notificamos con treinta días de antelación las incorporaciones, y el Cliente puede oponerse por motivos razonables de protección de datos.

TLS 1.2+ en tránsito con HSTS; cifrado AES-256-GCM en reposo para los tokens de bot de Telegram y los secretos de dos factores, descifrados solo en el momento de uso y nunca registrados; hash de contraseñas con scrypt; cookies de sesión httpOnly con protección CSRF; autenticación de dos factores TOTP opcional; control de acceso basado en roles aplicado en el servidor; limitación de velocidad en los puntos de acceso de autenticación; registro de auditoría de solo anexión de las acciones de cuenta, bot, facturación y personal, incluida cualquier suplantación por parte del personal; copias de seguridad de base de datos nocturnas cifradas con un procedimiento de restauración documentado; y un proceso documentado de respuesta a incidentes. Una descripción completa se publica en /security, incluyendo los controles que aún no hemos implementado.

Meshwire notificará al Cliente sin demora indebida y dentro de las 72 horas siguientes a tener conocimiento de una violación de seguridad de datos personales, con la información disponible en ese momento y actualizaciones a medida que avance la investigación.

Se incorporan las Cláusulas Contractuales Tipo (Módulo Dos y, cuando corresponda, Módulo Tres), junto con el Addendum del Reino Unido y las enmiendas suizas según proceda.

Meshwire no está actualmente certificado bajo SOC 2 o ISO 27001. Ponemos a disposición un cuestionario de seguridad completado a solicitud y respondemos a consultas razonables de diligencia debida. Los clientes Enterprise pueden solicitar una auditoría una vez al año con un aviso razonable. Cuando la certificación sea un requisito de adquisición, por favor plantéelo antes de la compra.

Al finalizar, el Cliente puede exportar datos durante treinta días, tras lo cual Meshwire los elimina de los sistemas de producción en un plazo de treinta días. Las copias de seguridad cifradas se conservan según un calendario rotativo y se eliminan al vencer dicho calendario, actualmente de treinta y cinco días.

El servicio se ejecuta en una única región. No existe conmutación por error automatizada entre regiones; la recuperación tras un fallo total de infraestructura se realiza restaurando la copia de seguridad cifrada más reciente, lo que puede implicar una pérdida de datos de hasta veinticuatro horas.