Anexo de tratamiento de datos

1. Partes, funciones y duración

Este anexo forma parte de la orden de servicio cuando HostingWarlock trata datos personales por cuenta del cliente. El cliente actúa como responsable de los datos que aloja (los de sus usuarios, clientes o visitantes) y HostingWarlock, nombre comercial de Gamey García Varela, actúa como encargado al tratarlos por cuenta del cliente. Si el cliente es a su vez encargado de otra persona, debe declararlo y contar con autorización para subcontratar.

HostingWarlock sigue siendo responsable de sus propios datos de contratación y facturación, conforme al Aviso de privacidad, y no usa esa función para reutilizar el contenido alojado. Este anexo rige durante el servicio y durante la devolución y eliminación de datos al terminar.

2. Objeto e instrucciones

El tratamiento se limita a alojar, almacenar, transmitir por instrucción, respaldar, recuperar, mantener y migrar los componentes identificados en la orden. Solo se accede al contenido cuando es necesario para prestar el servicio, por seguridad o por obligación legal.

Son instrucciones del cliente la orden aceptada, este anexo y las solicitudes de sus contactos autorizados. No lo son los mensajes de visitantes ni las indicaciones de terceros no autorizados. Si una instrucción parece contraria a la ley, se lo comunicaremos y suspenderemos solo la actuación afectada.

3. Confidencialidad y usos excluidos

El personal y los colaboradores autorizados están sujetos a confidencialidad y a permisos limitados por función, también después de terminar su intervención. Los accesos se revocan cuando dejan de ser necesarios.

HostingWarlock no adquiere la propiedad de la información ni la utiliza para publicidad, venta de bases de datos, perfiles propios o entrenamiento de inteligencia artificial. No se copia contenido del cliente a herramientas públicas de soporte o IA sin su instrucción específica.

4. Seguridad y recuperación

Aplicamos medidas administrativas, técnicas y físicas adecuadas al tipo de datos y al riesgo: autenticación y permisos, gestión de secretos, aislamiento entre clientes, actualización de las capas administradas, respaldo diario con 14 puntos de recuperación en un servidor separado de producción, registro de fallos, pruebas de recuperación y eliminación al terminar.

El cliente debe informarnos antes de subir datos sensibles, grandes volúmenes o requisitos especiales de continuidad, para evaluar si podemos protegerlos adecuadamente. Tener un VPS no implica por sí mismo aptitud para expedientes clínicos, datos de pago regulados u otras cargas especiales.

5. Subencargados y ubicaciones

Los proveedores que pueden intervenir en el tratamiento, su función y su país se publican en el Aviso de privacidad, y los que aplican a cada servicio se indican en la orden. Al contratar, el cliente autoriza a esos subencargados.

Para incorporar o sustituir un subencargado con acceso a los datos le avisaremos con 15 días naturales de anticipación, y el cliente tendrá 10 días naturales para oponerse de forma razonada. Si no encontramos una alternativa viable, el cliente podrá terminar el componente afectado y recibir la devolución de lo no consumido, sin penalización.

Nuestros servidores y respaldos se ubican principalmente en Estados Unidos y, para algunos servicios de hosting, en Polonia; los datos no permanecen exclusivamente en México. Si otra jurisdicción exige cláusulas o medidas adicionales, se pactarán antes de aceptar ese tratamiento.

6. Incidentes

Notificaremos al cliente sin demora indebida cualquier incidente que afecte los datos del encargo, con el objetivo de enviar un primer aviso dentro de las 24 horas siguientes a conocerlo. El aviso incluirá lo que se sepa sobre la naturaleza y el momento del incidente, los sistemas y categorías de datos afectados, las personas posiblemente afectadas, las consecuencias previsibles, las medidas tomadas y un contacto de seguimiento, y se actualizará conforme avance la investigación.

Preservaremos la evidencia, contendremos el riesgo y colaboraremos en la recuperación. El cliente decide sus comunicaciones a las personas titulares y a las autoridades. Las investigaciones y correcciones de fallas imputables a HostingWarlock no tienen costo.

7. Solicitudes de titulares y de autoridades

Si recibimos una solicitud sobre datos que tratamos por cuenta del cliente, se la comunicaremos a su contacto de privacidad en un máximo de 2 días hábiles y le ayudaremos a buscar, exportar, rectificar, restringir o eliminar los datos dentro de lo que controlamos, a tiempo para cumplir los plazos legales.

Los requerimientos de autoridad se revisan en su autenticidad, competencia, fundamento y alcance. Se informará al cliente cuando la ley lo permita y solo se revelará la información exigible.

8. Evidencia de cumplimiento

A solicitud razonable del cliente facilitamos información que acredite el cumplimiento de este anexo: controles aplicados, registros de respaldo, incidencias, lista de subencargados y constancias de devolución o eliminación, sin exponer información de otros clientes ni la seguridad de la plataforma. No afirmamos auditorías ni certificaciones que no tengamos.

9. Devolución y eliminación al terminar

Al terminar entregamos una exportación estándar utilizable y seguimos la instrucción válida de devolución o eliminación. Por defecto conservamos una copia de cierre aislada durante 30 días naturales y purgamos las copias residuales dentro de los 14 días siguientes (máximo 44 días). Si el cliente pide antes la eliminación, se ejecuta sin esperar. La entrega nunca se condiciona a contratar una migración asistida.

10. Responsabilidad

Cada parte responde por sus obligaciones conforme a la ley y al contrato. Este anexo no libera a HostingWarlock de su propia responsabilidad ni traslada al cliente el riesgo del tratamiento que está bajo nuestro control. En materia de datos personales prevalece sobre las descripciones generales del servicio.

Contacto de privacidad: privacidad@hostingwarlock.com.