1. CompuNube
2. Contrato de encargo de tratamiento de datos personales

Contrato de encargo de tratamiento de datos personales

Versión contrato-encargo/v0 · vigente desde el 29 de octubre de 2026

Entre el titular de la cuenta de CompuNube que acepta este contrato desde el panel, identificado con los datos de su cuenta y de facturación del plan (el "Responsable" o el "Comercio"), y CompuNube, CUIT 23-38536162-9, con domicilio fiscal en el registrado ante ARCA para ese CUIT (el "Encargado" o "CompuNube"), se acuerda este contrato, que integra los Términos y condiciones del servicio CompuNube y se rige por el art. 25 de la Ley 25.326, su Decreto reglamentario 1558/2001 y las normas de la Agencia de Acceso a la Información Pública (AAIP).

Cuando el Comercio lo acepta desde el panel de CompuNube, queda registro de la versión del texto, su huella digital (SHA-256), la fecha y hora y la cuenta que lo aceptó; esa aceptación electrónica equivale a la firma. Si el texto cambia, cambia la versión y el Comercio tiene que volver a aceptarlo antes de que CompuNube trate datos de compradores nuevos.

1. Objeto

1.1. El Encargado trata datos personales de los compradores y clientes del Comercio (los "Datos") por cuenta y orden del Responsable, con la única finalidad de migrar, alojar y operar la tienda online del Comercio (el "Servicio"): copiar desde la tienda anterior los datos que el Comercio elija, mostrar la tienda, recibir y gestionar pedidos, enviar los emails de la tienda, procesar el cobro a través de la cuenta de pago del Comercio y, si el Comercio la activa, emitir la facturación electrónica en su nombre.

1.2. Los Datos, las categorías de titulares y el plazo se detallan en el Anexo I.

2. Instrucciones

2.1. El Encargado trata los Datos sólo según las instrucciones documentadas del Responsable, que son: este contrato, el alcance de la migración que el Comercio elige en el panel (qué datos, qué período y qué estados), la configuración que hace en el panel y los pedidos que hace por escrito (email desde la cuenta del Comercio).

2.2. El Encargado no usará los Datos para fines propios ni de terceros, no los cederá, no los cruzará con otras bases (incluidas las de otros comercios alojados en CompuNube), no los usará para publicidad y no los usará para entrenar ni consultar modelos de inteligencia artificial.

2.3. Si una instrucción le parece contraria a la ley, el Encargado lo avisa al Responsable y puede suspender su ejecución hasta que se aclare.

3. Obligaciones del Responsable

El Comercio declara y se obliga a:

• ser el responsable de la base de datos de sus clientes y haberla obtenido lícitamente;
• tener la base inscripta en el Registro Nacional de Bases de Datos, o inscribirla, si corresponde;
• informar a sus compradores lo exigido por el art. 6 de la Ley 25.326 (por ejemplo, con el aviso a compradores que le provee CompuNube y con su propia política de privacidad);
• que las credenciales que entrega (por ejemplo, la clave REST de WooCommerce) son suyas y de solo lectura;
• atender los pedidos de acceso, rectificación y supresión de sus clientes.

4. Confidencialidad

4.1. El Encargado guarda secreto sobre los Datos (art. 10 de la Ley 25.326), también después de terminado el contrato.

4.2. Sólo acceden a los Datos las personas del equipo de CompuNube que lo necesitan para prestar el Servicio o darle soporte al Comercio (listadas en el Anexo II), obligadas por escrito a la misma confidencialidad, también después de terminada su relación con CompuNube.

5. Medidas de seguridad

El Encargado aplica las medidas técnicas y organizativas del art. 9 de la Ley 25.326, tomando como guía la Resolución AAIP 47/2018. Al menos:

a) Cifrado en tránsito: HTTPS en la tienda y el panel; la comunicación interna entre los componentes de la plataforma va firmada; los emails salen por conexión cifrada.

b) Cifrado en reposo: las credenciales del Comercio se guardan cifradas con claves administradas en un gestor de secretos; los datos de compradores que se bajan de la tienda anterior se guardan cifrados mientras se copian, con una clave propia por copia; las copias de seguridad externas se guardan cifradas; el volumen de la base de datos está cifrado por el proveedor de servidores.

c) Copias de seguridad: diarias; se conservan 14 días en el servidor y 30 días en un almacenamiento externo (Cloudflare R2); vencen y se borran solas. Hay un procedimiento de restauración probado.

d) Control de accesos: cada tienda accede sólo a sus propios datos y credenciales; el acceso del personal se limita a las personas del Anexo II, con autenticación individual; las contraseñas de los compradores (si la tienda usa cuentas) se guardan sólo como hash. No se copian contraseñas ni hashes de contraseñas de la tienda anterior.

e) Monitoreo continuo de disponibilidad, certificados, errores y pagos de la tienda, con alertas al equipo. Los registros técnicos no guardan datos de compradores.

f) Minimización: sólo se tratan los campos del Anexo I, y de la tienda anterior sólo los que el Comercio eligió en el alcance.

6. Subencargados

6.1. El Responsable autoriza al Encargado a usar los subencargados del Anexo III. El Encargado les traslada por contrato obligaciones de confidencialidad y seguridad equivalentes a las de este contrato y responde por ellos frente al Responsable.

6.2. El Encargado avisa al Responsable por email con al menos 30 días de anticipación antes de sumar o reemplazar un subencargado. Si el Responsable se opone por motivos razonables y no hay alternativa, puede terminar el contrato sin penalidad.

6.3. Transferencias internacionales. Cuando un subencargado trate Datos fuera de la Argentina en un país sin nivel de protección adecuado, la transferencia se hace con las garantías del art. 12 de la Ley 25.326 y la Disposición DNPDP 60/2016 (cláusulas contractuales modelo o las condiciones de protección de datos de cada subencargado, según corresponda).

7. Derechos de los titulares

7.1. Los pedidos de acceso, rectificación y supresión los recibe y contesta el Responsable. Si un titular se dirige al Encargado, éste lo reenvía al Comercio dentro de los 2 días hábiles y no lo contesta por su cuenta.

7.2. El Encargado asiste al Comercio para que pueda cumplir los plazos legales (acceso: 10 días corridos; rectificación y supresión: 5 días hábiles): a su pedido, le entrega la información de un titular en esa tienda, corrige sus datos o los suprime (anonimizando el pedido para conservar los importes que el Comercio necesita por razones contables), dentro de los 2 días hábiles del pedido. El Encargado deja constancia de cada operación (quién, cuándo y en qué tienda, sin el dato).

8. Incidentes de seguridad

8.1. El Encargado notifica al Responsable cualquier incidente de seguridad que afecte los Datos dentro de las 48 horas de haberlo detectado, por email a la dirección de la cuenta del Comercio.

8.2. La notificación incluye, en la medida en que se conozca: qué pasó, qué Datos y cuántos titulares aproximadamente se vieron afectados, las consecuencias probables y las medidas tomadas o propuestas. La información que falte se envía apenas se tenga.

8.3. El Encargado colabora con el Responsable en las comunicaciones a los titulares y a la AAIP que correspondan.

9. Auditoría e información

El Encargado pone a disposición del Responsable la información razonable para demostrar el cumplimiento de este contrato (por ejemplo, la descripción actualizada de las medidas del punto 5 y de los subencargados), dentro de los 15 días hábiles de pedida.

10. Duración, devolución y borrado

10.1. Este contrato dura lo mismo que el Servicio.

10.2. Al terminar el Servicio por cualquier causa, el Encargado devuelve al Responsable los Datos, a su pedido, en un formato abierto (CSV o JSON), y los destruye dentro de los 30 días de la finalización, incluidas las copias en servidores. Las copias de seguridad que todavía los contengan se eliminan al vencer su ciclo (como máximo 30 días más).

10.3. El Encargado puede conservar los Datos hasta 2 años sólo si el Responsable lo autoriza expresamente y por escrito (art. 25 inc. 2 de la Ley 25.326), debidamente protegidos.

10.4. Terminado el borrado, el Encargado entrega al Responsable una constancia de destrucción.

11. Responsabilidad y jurisdicción

11.1. Cada parte responde por el incumplimiento de sus obligaciones bajo la Ley 25.326 y este contrato. Se aplica la limitación de responsabilidad de los Términos y condiciones, salvo dolo o culpa grave y salvo las obligaciones de confidencialidad y seguridad de este contrato.

11.2. Se aplican la ley y la jurisdicción de los Términos y condiciones: tribunales ordinarios con competencia en el domicilio fiscal del Encargado.

Anexo I — Datos tratados

Titulares: compradores y clientes de la tienda del Comercio.

A. Pedidos nuevos (desde que la tienda opera en CompuNube):

• Del pedido: número, fecha, estado, productos, cantidades, precios, impuestos, envío, descuentos, total y estado del pago.
• Del comprador: email, nombre y apellido, dirección de facturación y de envío, teléfono.
• Del pago: identificador y estado del pago en Mercado Pago (los datos de la tarjeta los maneja Mercado Pago y CompuNube no los recibe).
• Si la tienda usa cuentas de comprador: email, contraseña (sólo como hash) y direcciones guardadas.
• Si el Comercio activa la facturación electrónica: los datos del comprador que exige el comprobante.

B. Datos de la tienda anterior (sólo lo que el Comercio elige en el alcance de la migración):

• Pedidos históricos, como registros de sólo lectura, de los últimos 24 meses como máximo o del período que elija el Comercio: número, fecha, estado, moneda, importes (productos, impuestos, envío, descuentos, reintegros y total), medio de pago informado, productos con cantidades y precios, y del comprador: email, nombre y apellido, teléfono y, sólo si el Comercio elige también migrar los datos de contacto de sus clientes, las direcciones de facturación y de envío.
• Facturación histórica, como registros de sólo lectura que nunca se vuelven a emitir ni a informar a ARCA: número, tipo, fecha, CAE y total del comprobante. El CUIT/DNI del receptor y el PDF del comprobante se tratan sólo si el Comercio los aprueba de forma expresa y por separado.
• Cuentas de clientes registrados en la tienda anterior: sólo el email, para que el propio comprador pueda activar su cuenta en la tienda nueva. No se copian contraseñas.
• Aviso a compradores: si el Comercio lo pide, un único email a las direcciones de los pedidos importados de esa tienda, para cumplir el art. 6. De cada envío se guarda sólo una huella del email, la fecha y el estado.
• No se importan notas libres del cliente, metadatos de plugins, IP ni datos de navegador, ni clientes registrados sin pedidos. Mientras se copian, estos datos se guardan cifrados y se borran a los 7 días como máximo.

Plazo: mientras dure el Servicio, y lo previsto en el punto 10.

Anexo II — Personas autorizadas

Tienen acceso a los Datos sólo estas funciones del equipo de CompuNube, cada una con usuario y autenticación individual:

• Titular de CompuNube: administración de la plataforma, soporte al Comercio y respuesta a incidentes.
• Personal técnico de soporte que CompuNube incorpore, sólo mientras atiende un pedido del Comercio y obligado por escrito a la confidencialidad del punto 4.

El Comercio puede pedir en cualquier momento la lista actualizada de las personas con acceso (punto 9).

Anexo III — Subencargados

Mercado Pago no es subencargado de CompuNube: el Comercio conecta su propia cuenta y contrata directamente con Mercado Pago. ARCA recibe datos sólo si el Comercio activa la facturación electrónica, como organismo fiscal y en nombre del Comercio.

Este texto se puede leer antes de pagar. Lo aceptás después del pago, desde tu panel, sólo si elegís migrar datos de tus clientes.