Este DPA forma parte de los Términos de Servicio de Megorix y se incorpora por referencia. Se aplica automáticamente al aceptar los Términos de Servicio — no se requiere firma separada salvo que un contrato específico con el cliente indique lo contrario.

1. Partes y Definiciones

“Megorix”, “nosotros”: MegaPC Informática e Software, Lda., NIPC 504125931, con domicilio en Ourém, Santarém, Portugal.
“Cliente”, “Responsable del Tratamiento”, “usted”: la organización con una suscripción activa a Megorix.
“Legislación de Protección de Datos”: el Reglamento General de Protección de Datos de la UE (RGPD), la Ley Federal Suiza de Protección de Datos (nDSG) y su ordenanza (DSV), y cualquier otra legislación de protección de datos aplicable al tratamiento realizado por el Cliente.
“Datos Personales”, “Tratamiento”, “Interesado”, “Encargado del Tratamiento”, “Subencargado”, “Violación de Datos Personales”: según se definen en el RGPD y, cuando corresponda, en la nDSG.
“Servicios”: la plataforma ERP Megorix y sus módulos, según se describen en los Términos de Servicio.

2. Objeto y Duración

Megorix trata Datos Personales en nombre del Cliente únicamente para prestar los Servicios. Este DPA entra en vigor cuando el Cliente empieza a usar los Servicios y permanece vigente mientras Megorix trate Datos Personales en su nombre, incluido cualquier periodo posterior a la terminación en que Megorix conserve datos conforme a la Sección 11.

3. Roles de las Partes

Respecto a los Datos Personales que el Cliente introduce o genera dentro de los Servicios (sus propios clientes, facturas, empleados, inventario y registros de negocio similares), el Cliente es el Responsable del Tratamiento y Megorix es el Encargado del Tratamiento. Megorix solo trata estos datos siguiendo las instrucciones documentadas del Cliente —dadas mediante el uso de los Servicios o por escrito— salvo que el derecho de la UE o suizo exija lo contrario, en cuyo caso Megorix informará antes al Cliente de dicha exigencia legal, salvo que se lo prohíba la ley.

Respecto a los datos que Megorix recoge para gestionar su propia relación comercial con el Cliente (identidad del titular de la cuenta, datos de facturación, uso de la suscripción, comunicaciones de marketing), Megorix actúa como Responsable del Tratamiento independiente — véase la Política de Privacidad de Megorix.

4. Categorías de Datos e Interesados

Interesados: los propios clientes, proveedores, empleados y demás personas cuyos datos el Cliente introduce en los Servicios.
Categorías de Datos Personales: datos de identificación (nombres, identificadores fiscales/NIF), datos de contacto (direcciones, correos electrónicos, teléfonos), datos financieros/de facturación (líneas de factura, IBAN, referencias de pago), datos laborales (para usuarios del módulo de RRHH), y cualquier otro dato que el Cliente registre en una entidad o campo de Megorix. Los campos que el Cliente marque como sensibles (p. ej., números de identificación nacional, IBAN) pueden almacenarse con cifrado AES-256 a nivel de campo — véase la Sección 6.
Categorías especiales de datos (art. 9 RGPD / art. 5 nDSG): los Servicios no están diseñados para requerirlas. El Cliente es el único responsable de no introducir datos de categorías especiales salvo que haya evaluado de forma independiente la base legal y configurado las protecciones adecuadas.

5. Subencargados

El Cliente autoriza a Megorix a recurrir a los siguientes subencargados:

Hostinger — alojamiento de la aplicación y la base de datos — París, Francia (UE).
Stripe — procesamiento de pagos de la suscripción — UE/EE. UU., véase el DPA propio de Stripe.
Cloudflare — CDN, protección DDoS, red perimetral — red global.
Google (Firebase Cloud Messaging) — notificaciones push móviles — UE/EE. UU., véase el DPA propio de Google.
Proveedor de correo transaccional — envío de correos del sistema (facturas, notificaciones) — UE.

Megorix avisará al Cliente con al menos 30 días de antelación (por correo electrónico o aviso en la aplicación) antes de añadir o sustituir un subencargado con acceso a Datos Personales, y el Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo. Megorix sigue siendo responsable del cumplimiento por parte de cada subencargado de obligaciones equivalentes a las de este DPA.

6. Medidas Técnicas y Organizativas de Seguridad

Aislamiento por tenant a nivel de base de datos mediante Row-Level Security de PostgreSQL — las consultas de un tenant no pueden leer las filas de otro.
Cifrado a nivel de campo (AES-256-GCM) disponible para campos sensibles, configurable campo a campo por el Cliente.
Controles de inmutabilidad e integridad para los registros de facturación suizos: una vez emitida, la factura queda bloqueada frente a modificaciones y eliminación, y cada cambio queda registrado en un historial de auditoría conservado durante 10 años, conforme al art. 958f CO / GeBüV.
Cifrado en tránsito (TLS) en todas las conexiones a los Servicios.
Registro de accesos y pistas de auditoría de los cambios en los registros.
Control de acceso basado en roles y permisos, configurado por el Cliente.
Copias de seguridad periódicas y procedimientos de recuperación ante desastres.

Megorix no reducirá de forma sustancial su nivel general de seguridad durante la vigencia de este DPA.

7. Asistencia con las Solicitudes de los Interesados

Megorix prestará asistencia razonable al Cliente, a través de la propia funcionalidad de los Servicios o mediante solicitud por escrito, para responder a los Interesados que ejerzan sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición) conforme a la Legislación de Protección de Datos aplicable. Megorix podrá cobrar una tarifa razonable por la asistencia que exija un trabajo sustancialmente superior a la funcionalidad ya existente en los Servicios.

8. Notificación de Violaciones de Datos Personales

Megorix notificará al Cliente sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga conocimiento, de cualquier Violación de Datos Personales que afecte a los datos del Cliente, incluyendo (en la medida en que se conozca): su naturaleza, las categorías y el número aproximado de Interesados y registros afectados, las consecuencias probables, y las medidas adoptadas o propuestas.

9. Auditorías

Previa solicitud razonable por escrito, como máximo una vez por año natural (salvo que lo exija una autoridad de control o tras una Violación de Datos Personales), Megorix pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA, incluida la documentación de seguridad pertinente y, sujeto a confidencialidad, las respuestas a un cuestionario de seguridad por escrito.

10. Transferencias Internacionales de Datos

La infraestructura principal de Megorix está alojada en la Unión Europea (París, Francia). Cuando un subencargado transfiera Datos Personales fuera del EEE o de Suiza, se aplicará el mecanismo de transferencia propio de dicho subencargado (como las Cláusulas Contractuales Tipo de la UE o una decisión de adecuación), según se describa en el DPA propio de ese subencargado.

11. Vigencia, Terminación, Devolución y Supresión de Datos

Tras la terminación, Megorix, a elección del Cliente comunicada en un plazo de 30 días, pondrá los Datos Personales del Cliente a disposición para su exportación en un formato estructurado, o los suprimirá —salvo en la medida en que Megorix esté legalmente obligada (incluidas las normas suizas de conservación mercantil, como el art. 958f CO para registros de facturación) a conservarlos por más tiempo, en cuyo caso Megorix aislará dichos datos de cualquier tratamiento posterior.

12. Responsabilidad

La responsabilidad de cada parte derivada de este DPA o relacionada con él está sujeta a las limitaciones de responsabilidad establecidas en los Términos de Servicio de Megorix.

13. Ley Aplicable

Este DPA se rige por la misma ley aplicable a los Términos de Servicio de Megorix. Nada en este DPA reduce los derechos u obligaciones de ninguna de las partes conforme a las disposiciones imperativas de la Legislación de Protección de Datos aplicable al propio tratamiento del Cliente.

Acuerdo de Tratamiento de Datos (DPA)