Acuerdo de tratamiento de datos

Versión 1.1 · Vigente desde el 18 de octubre de 2026

Este acuerdo forma parte de los Términos y condiciones de Bitácora. Se aplica cuando usas Bitácora para guardar o tratar datos personales de otras personas (tus clientes, sus contactos, quienes visitan tu portal o reciben tus entregas). Lo aceptas al aceptar los Términos y no hace falta firmarlo aparte. Si necesitas una copia firmada, escríbenos a hola@bitacora.live.

1. Quién es quién

• Tú (el «Cliente»): la persona o el estudio titular de la cuenta que usa Bitácora para su trabajo. Respecto de los datos de este acuerdo eres el responsable del tratamiento: decides qué datos metes en Bitácora y para qué.
• Nosotros: A.SMITH GROUP, EIRL, RNC 132654226, Calle Miguel A. Piantini, Ed. 73, #101, San Carlos, Distrito Nacional, República Dominicana. Somos el encargado del tratamiento: tratamos esos datos solo por tu cuenta y para prestarte el servicio.

Este acuerdo no cubre los datos de tu propia cuenta ni los de las personas que usan Bitácora con su propia cuenta (tu equipo, por ejemplo): de esos datos somos responsables y los explica la Política de privacidad.

Las palabras «datos personales», «tratamiento», «responsable», «encargado», «subencargado» y «violación de la seguridad» tienen el sentido que les dan el Reglamento General de Protección de Datos de la UE (RGPD) y la Ley 172-13 de la República Dominicana. Si el Cliente está en Brasil o los datos están sujetos a la Ley 13.709/2018 (LGPD), «responsable» equivale a «controlador» y «encargado» a «operador», con el sentido que les da esa ley.

2. Qué datos tratamos por tu cuenta

Los detalles están en el Anexo I. En resumen: los datos de tus clientes y contactos que guardas en Mis clientes, los de quienes abren tu portal o reciben tus entregas (enlaces de acceso, visitas, comentarios) y los datos personales que incluyas en tus proyectos. Los tratamos mientras uses el servicio y durante los plazos de borrado de la sección 11.

No metas en Bitácora datos especialmente protegidos (salud, ideología, religión, vida sexual, datos biométricos, antecedentes penales) ni datos de menores salvo que tengas una base legal clara para ello. Bitácora no está pensada para esos datos.

3. Tus instrucciones

• Tratamos los datos solo siguiendo tus instrucciones documentadas. Tus instrucciones son estos Términos, este acuerdo y lo que configuras y haces en la aplicación (por ejemplo, invitar a alguien al portal, enviar una entrega o borrar a una persona de Mis clientes).
• Si una instrucción tuya nos parece contraria a la ley de protección de datos, te avisamos y podemos dejar de aplicarla mientras se aclara.
• Solo trataremos los datos de otra forma si una ley nos obliga. En ese caso te lo diremos antes, salvo que la ley lo prohíba.
• No usamos tus datos para fines propios. No los vendemos, no los usamos para publicidad ni para entrenar inteligencia artificial. Si anotas el importe de un proyecto, solo lo usamos sumado con los de otros y de forma anónima, sin datos que identifiquen a tu cliente ni a nadie, como dato de mercado.

4. Tus obligaciones

Como responsable, tú:

• tienes una base legal para tratar los datos que metes en Bitácora y para compartirlos con nosotros;
• informas a esas personas de que usas Bitácora, de que verás sus visitas y comentarios en el portal y de cómo ejercer sus derechos;
• respondes a sus solicitudes de derechos (nosotros te ayudamos, sección 9);
• decides con qué herramienta de IA trabajas. La herramienta de IA que conectas por MCP o con tu propia clave de API no es un subencargado nuestro: la eliges tú, y el contenido que lee pasa por su proveedor bajo tus propias condiciones con él.

5. Confidencialidad

Las personas que trabajan para nosotros y pueden acceder a los datos están obligadas a guardar secreto. Solo acceden al contenido de un proyecto cuando hace falta para darte soporte a petición tuya, para investigar una denuncia o un riesgo de seguridad, o para cumplir la ley, y cada acceso queda registrado con quién, cuándo y por qué.

6. Seguridad

Aplicamos las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo. Podemos mejorarlas con el tiempo, pero nunca bajar su nivel de protección.

7. Subencargados

• Nos das una autorización general para usar los subencargados de la lista del Anexo III, que también publicamos en esta página.
• Antes de añadir o cambiar un subencargado te avisamos por correo con al menos 30 días de antelación y actualizamos la lista.
• Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo, escribiéndonos a hola@bitacora.live. Si no encontramos una solución, puedes terminar el contrato sin penalización y te devolvemos la parte pagada que no hayas usado.
• A cada subencargado le imponemos por contrato obligaciones de protección de datos equivalentes a las de este acuerdo, y respondemos frente a ti de lo que haga.

8. Transferencias internacionales

Prestamos el servicio desde la República Dominicana y con servidores y proveedores en Estados Unidos (Anexo III).

• Si estás en el Espacio Económico Europeo: las transferencias de tus datos a nosotros se rigen por las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), módulo 2 (de responsable a encargado), que se incorporan a este acuerdo por referencia, con estas opciones: cláusula 7, no se aplica; cláusula 9, opción 2 (autorización general, con el aviso de 30 días de la sección 7); cláusula 11, sin la opción de un organismo independiente; cláusula 13, la autoridad de control del país del EEE donde estés establecido; cláusula 17, el derecho de España; cláusula 18, los tribunales de España. Los Anexos I, II y III de este acuerdo sirven como anexos de esas cláusulas, y tú eres el exportador y nosotros el importador.
• Si estás en el Reino Unido o en Suiza: se aplican además el Addendum del Reino Unido (International Data Transfer Addendum) y las adaptaciones suizas a esas mismas cláusulas.
• Nuestros subencargados en Estados Unidos están certificados en el Marco de Privacidad de Datos UE-EE. UU. o han firmado con nosotros cláusulas contractuales tipo (módulo 3), como se indica en el Anexo III.
• Si una autoridad nos pide datos tuyos, actuamos como dice la Política de privacidad: revisamos la petición, entregamos lo mínimo y te avisamos si la ley lo permite.
• Si hay contradicción entre este acuerdo y las cláusulas contractuales tipo, mandan las cláusulas.

9. Ayuda con los derechos de las personas

• La aplicación te deja consultar, corregir, exportar y borrar los datos de tus clientes y visitantes (Mis clientes, el portal, Llevarte lo tuyo).
• Si una persona nos escribe a nosotros para ejercer sus derechos sobre datos que tratamos por tu cuenta, te pasamos su solicitud en un máximo de 5 días hábiles y no la contestamos nosotros salvo que nos lo pidas. Si la persona está en Brasil, te la pasamos en un máximo de 3 días hábiles, para que puedas responder dentro del plazo de 15 días de la LGPD.
• Te ayudamos con lo que no puedas hacer tú desde la aplicación.

10. Violaciones de la seguridad

Si sufrimos una violación de la seguridad que afecte a datos que tratamos por tu cuenta, te avisamos sin dilación indebida y como máximo en 48 horas desde que la conozcamos, por correo, con lo que sepamos en ese momento: qué pasó, qué datos y personas afecta (aproximadamente), qué consecuencias puede tener y qué medidas tomamos. Te vamos dando el resto de la información en cuanto la tengamos, para que puedas notificar a las autoridades y a las personas afectadas si hace falta. Si el incidente afecta a datos sujetos a la LGPD, te damos lo que necesitas para comunicarlo a la ANPD y a las personas afectadas en el plazo de 3 días hábiles de la Resolución CD/ANPD 15/2024.

También te ayudamos, con la información que tengamos, en las evaluaciones de impacto y en las consultas a las autoridades que necesites hacer.

11. Al terminar

• Cuando termina el contrato, o si borras tu cuenta, puedes descargar tus datos antes (Llevarte lo tuyo). Si cerramos tu cuenta, tienes al menos 30 días para descargarlos.
• Después los borramos. Desaparecen de nuestras copias de seguridad en un máximo de 35 días.
• Solo conservamos algo si una ley nos obliga, y lo bloqueamos hasta que esa obligación termine.

12. Demostrar el cumplimiento y auditorías

• Te damos la información necesaria para demostrar que cumplimos este acuerdo: respuestas a cuestionarios, descripción de las medidas del Anexo II y los informes o certificados de nuestros subencargados.
• Si eso no basta, puedes hacer una auditoría, tú o un auditor independiente obligado a guardar secreto, con 30 días de aviso, en horario laboral, a tu cargo y como mucho una vez al año, salvo que haya habido una violación de la seguridad o lo pida una autoridad.

13. Responsabilidad y orden

• La responsabilidad de cada parte por este acuerdo se rige por los Términos, salvo en lo que la ley de protección de datos no permita limitar.
• Si este acuerdo y los Términos dicen cosas distintas sobre datos personales, manda este acuerdo. Y si hay contradicción con las cláusulas contractuales tipo, mandan las cláusulas.
• Este acuerdo dura mientras tratemos datos por tu cuenta. Podemos actualizarlo con el aviso de la sección 25 de los Términos.
• Fuera de las cláusulas contractuales tipo (que se rigen por lo que dice la sección 8), este acuerdo se rige por la misma ley que los Términos.

---

Anexo I. Detalles del tratamiento

Anexo II. Medidas de seguridad

• Cifrado: todas las conexiones cifradas (HTTPS); claves de API cifradas en el servidor; contraseñas guardadas con hash; copias de seguridad cifradas en tránsito.
• Separación: el contenido de los prototipos se sirve desde un dominio aparte (bitacora.id) con enlaces firmados y con caducidad; los datos de cada espacio están separados en el servidor.
• Acceso: acceso de los usuarios con enlace o código por correo, Google o contraseña, con verificación adicional para las acciones delicadas; acceso del operador al servidor y al panel con claves personales y verificación adicional; registro de los accesos al contenido.
• Protección del servicio: red protegida por Cloudflare frente a ataques; límites de peticiones por IP y por cuenta; registro de auditoría de las acciones delicadas durante 365 días.
• Disponibilidad: copias de seguridad cada noche, guardadas en el servidor y en un almacenamiento externo, con la restauración ensayada; historial de versiones de cada pantalla.
• Minimización: el audio de los dictados se borra 30 días después de cerrar cada bitácora; los errores se registran sin dirección IP; plazos de borrado automáticos (Anexo I).
• Organización: acceso a los datos solo de quien opera el servicio, con deber de secreto; procedimiento para atender violaciones de la seguridad y solicitudes de derechos.

Anexo III. Subencargados

No son subencargados nuestros: la herramienta de IA que conectas tú por MCP o con tu propia clave (la eliges y contratas tú), Lemon Squeezy (solo trata tus propios datos de pago, como responsable, nunca los de tus clientes) ni Pexels y Pixabay (solo reciben el texto de las búsquedas de fotos).