Our legal documents are written in Spanish, and the Spanish version prevails. Your browser can translate this page.
Acuerdo de Tratamiento de Datos
Last updated: 9 de noviembre de 2026
1. Partes, objeto y jerarquía
Este Acuerdo se celebra entre Nexelion Inc. (Florida, EE. UU.; 66 West Flagler Street, Suite 900, Miami, FL) y la empresa que contrata Kuntur (el “Cliente”). Regula cómo Nexelion trata, por cuenta del Cliente, los datos personales contenidos en los Datos del Cliente.
Forma parte de los Términos del Servicio. Los términos definidos allí tienen el mismo significado aquí. En materia de protección de datos personales, si hay contradicción, prevalece este Acuerdo.
2. Papeles e instrucciones
El Cliente es el responsable de los datos personales que su red y sus sistemas envían a Kuntur: decide qué se monitorea, con qué finalidad y por cuánto tiempo dentro de los límites del Plan. Nexelion es el encargado y trata esos datos solo según las instrucciones documentadas del Cliente.
Son instrucciones del Cliente: estos documentos, la configuración que hace en el panel y en el Sensor (redes internas, lista de protección, ventanas de escaneo, dominios verificados, destinos de avisos) y las aprobaciones de sus Usuarios. Si Nexelion considera que una instrucción infringe la ley, lo avisará al Cliente y podrá abstenerse de cumplirla.
El Cliente garantiza que tiene una base legal para el tratamiento y que ha informado a las personas monitoreadas (empleados, contratistas, visitantes) en la forma que exija su ley.
3. Detalle del tratamiento
| Aspecto | Detalle |
|---|---|
| Naturaleza | Recepción, almacenamiento, análisis con reglas y con IA, búsqueda, generación de alertas e informes, y envío de avisos a los destinos que elija el Cliente |
| Finalidad | Detectar, investigar y responder a amenazas de ciberseguridad en la red del Cliente |
| Tipos de datos | Direcciones IP y MAC, nombres de equipo, nombres de usuario que aparezcan en registros, dominios consultados, certificados, versiones de software, puertos, fechas y volúmenes de tráfico. No incluye el contenido de los paquetes ni archivos |
| Datos sensibles | No se buscan. Si aparecen en los registros, el Sensor enmascara los patrones evidentes (documentos, tarjetas, claves) antes de enviarlos |
| Titulares | Empleados, contratistas, visitantes y demás personas que usan la red o los sistemas del Cliente |
| Duración | Mientras dure la suscripción, con los plazos de conservación de la Política de Privacidad, y hasta la eliminación prevista en la sección 11 |
4. Obligaciones de Nexelion
- Tratar los datos solo para prestar el Servicio y según las instrucciones del Cliente; nunca para fines propios, publicidad, venta ni entrenamiento de modelos de IA.
- Garantizar que su personal y sus subencargados con acceso estén obligados a guardar confidencialidad y accedan solo cuando sea necesario, con registro de auditoría.
- Aplicar las medidas de seguridad de la sección 5.
- No revelar los datos a terceros salvo a los subencargados autorizados o cuando una ley lo exija; en ese caso avisará al Cliente, si la ley lo permite.
- Estadísticas anónimas: Nexelion puede derivar indicadores de amenaza agregados y anónimos (por ejemplo, que una IP maliciosa fue vista por varios clientes) para mejorar la detección para todos. No identifican al Cliente ni a personas. El Cliente puede excluirse en cualquier momento desde el panel (Sensores → Ajustes); desde ese momento sus datos dejan de usarse para ese fin.
5. Medidas de seguridad
| Área | Medida |
|---|---|
| Transmisión | El Sensor se autentica con certificados mutuos (mTLS) emitidos por una autoridad propia respaldada por AWS KMS; TLS 1.2 o superior en todo el tráfico |
| Almacenamiento | Cifrado en reposo con claves de AWS KMS; en Enterprise, complemento contratable de silo de datos dedicado (almacenamiento y búsqueda exclusivos) cifrado con una clave propia del Cliente (BYOK) |
| Aislamiento | Cada dato lleva el identificador del Cliente y toda consulta lo exige como filtro |
| Minimización | Solo metadatos; enmascarado de secretos y datos personales evidentes en el Sensor |
| Acciones | Las órdenes de bloqueo requieren aprobación humana y van firmadas con una clave exclusiva; el Sensor rechaza las que no lo están |
| Acceso | Roles por Usuario, acceso del personal de Nexelion solo cuando es necesario y con registro |
| Continuidad | Infraestructura en varias zonas de disponibilidad de AWS; el Sensor guarda eventos localmente si el Servicio no responde |
| Pruebas | Pruebas automáticas de seguridad en cada cambio y revisión de amenazas antes de cada lanzamiento |
Nexelion puede actualizar estas medidas siempre que no reduzca el nivel de protección.
6. Subencargados
El Cliente autoriza a Nexelion a usar estos subencargados:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Amazon Web Services, Inc. | Alojamiento, base de datos, búsqueda, cifrado, inicio de sesión y correo | EE. UU. (us-east-1) |
| Anthropic, PBC | Análisis de alertas con IA | EE. UU. |
| OpenAI, L.L.C. | Respaldo del análisis con IA | EE. UU. |
| Stripe, Inc. | Cobro (solo Datos de Cuenta) | EE. UU. |
| Resend, Inc. | Envío de correos transaccionales (invitaciones y avisos) | EE. UU. |
Nexelion impone a cada subencargado obligaciones de protección al menos equivalentes a las de este Acuerdo y responde por ellos. Avisará por correo con 30 días de anticipación antes de añadir o sustituir uno. Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una alternativa, puede terminar el Servicio afectado y recibir el reembolso proporcional de lo pagado por el periodo no utilizado.
7. Transferencias internacionales
Los datos se tratan en Estados Unidos. Cuando la ley del Cliente exija garantías para esa transferencia, se entienden incorporadas a este Acuerdo las cláusulas contractuales modelo aprobadas por la autoridad competente (por ejemplo, las de la ANPD de Brasil o, para datos sujetos al RGPD, las cláusulas contractuales tipo de la Comisión Europea, módulo de responsable a encargado). Si la ley exige el consentimiento del titular o un aviso a la autoridad, el Cliente lo gestiona como responsable, con el apoyo de Nexelion.
8. Apoyo al Cliente
- Derechos de los titulares: si Nexelion recibe una solicitud de una persona sobre datos del Cliente, la trasladará al Cliente en un máximo de 5 días hábiles y no la responderá por su cuenta. El Cliente puede buscar y exportar los datos desde el panel (Registros); Nexelion lo ayudará con lo que el panel no permita.
- Evaluaciones de impacto y consultas previas: Nexelion entregará la información razonable que el Cliente necesite sobre el Servicio.
- Autoridades: si una autoridad pide información sobre el tratamiento, Nexelion colaborará con el Cliente y avisará si la recibe directamente, salvo que la ley lo prohíba.
9. Incidentes de seguridad
Si Nexelion confirma un incidente que afecte datos personales del Cliente, lo avisará sin demora indebida y, como máximo, en 72 horas, al contacto de seguridad del Cliente. El aviso incluirá, en la medida en que se conozca: qué pasó y cuándo, qué datos y cuántas personas pueden estar afectados, las consecuencias probables, las medidas tomadas o propuestas y un contacto. Nexelion ampliará la información a medida que avance la investigación y ayudará al Cliente a cumplir sus propias notificaciones. Avisar de un incidente no implica reconocer responsabilidad.
10. Auditorías
A pedido del Cliente, como máximo una vez al año, Nexelion entregará un informe de sus medidas de seguridad y del cumplimiento de este Acuerdo, junto con los informes de auditoría de sus subencargados principales (por ejemplo, SOC 2 de AWS). Si eso no basta, o si lo exige una autoridad, el Cliente puede auditar con un auditor independiente obligado a confidencialidad, avisando con 30 días, en horario hábil y sin afectar la seguridad de otros clientes. Cada parte asume sus costos, salvo que la auditoría revele un incumplimiento grave de Nexelion.
11. Devolución y eliminación
Al terminar el Servicio, el Cliente tiene 30 días para pedir la exportación de sus alertas, decisiones e informes en formato JSON. Pasado ese plazo, Nexelion elimina los datos de los sistemas activos, incluida la búsqueda, en un máximo de 30 días adicionales y de las copias de respaldo cuando se renuevan, salvo lo que la ley obligue a conservar. A pedido, Nexelion confirmará la eliminación por escrito.
Durante la suscripción, los datos se eliminan automáticamente al cumplirse los plazos de conservación de su Plan.
12. Responsabilidad, vigencia y contacto
La responsabilidad de cada parte bajo este Acuerdo está sujeta a la limitación de los Términos del Servicio (sección 16), salvo donde la ley de protección de datos no lo permita. Este Acuerdo rige mientras Nexelion trate datos del Cliente y se interpreta conforme a la ley y el mecanismo de disputas de los Términos, sin perjuicio de los derechos que la ley local otorga a los titulares y a las autoridades.
Contacto: Oficial de Privacidad de Nexelion Inc. — 66 West Flagler Street, Suite 900, Miami, FL, EE. UU. · kuntur@nexelion.us.