Legal

Acuerdo de Tratamiento de Datos

Versión: 2026-10-14

Vigencia: 2026-10-14

Este Acuerdo de Tratamiento de Datos (el "DPA") forma parte de los Términos de Servicio de la API de Estimaciones (los "Términos") entre Hometown Workforce, LLC, 2519 Provence Pl, Biloxi, MS 39531, EE. UU. ("Hometown"), y la empresa que acepta los Términos ("Cliente"). El Cliente acepta este DPA en el portal de desarrolladores junto con los Términos. Hometown registra la versión y la fecha y hora de la aceptación. Los términos definidos en los Términos tienen aquí el mismo significado. La versión en inglés prevalece; esta versión en español se ofrece por conveniencia.

1. Definiciones

1.1. "Ley de Protección de Datos Aplicable" significa toda ley sobre datos personales que aplique al tratamiento conforme a este DPA. Esto incluye: (a) el Reglamento (UE) 2016/679 (el "RGPD"); (b) el RGPD del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018, con sus reformas, incluida la Data (Use and Access) Act 2025; (c) la Ley Federal suiza de Protección de Datos (la "LPD"); (d) la Ley de Privacidad del Consumidor de California reformada por la Ley de Derechos de Privacidad de California, y su reglamento (la "CCPA"); (e) otras leyes estatales de privacidad de los Estados Unidos; (f) la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y su reglamento (la "LFPDPPP").

1.2. "Datos Personales del Cliente" significa los Datos Personales incluidos en los Datos del Cliente que Hometown trata por cuenta del Cliente conforme al Acuerdo.

1.3. Los siguientes términos tienen el significado que les da la Ley de Protección de Datos Aplicable: "responsable", "encargado", "interesado" o "titular", "violación de la seguridad de los datos personales", "tratamiento" y "autoridad de control". Esto incluye sus equivalentes en cada ley, como "business", "service provider", "responsable" y "persona encargada".

1.4. "Subencargado" significa un tercero que Hometown contrata para tratar Datos Personales del Cliente.

1.5. "CCT de la UE" significa las cláusulas contractuales tipo del Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.

1.6. "Anexo del Reino Unido" significa el International Data Transfer Addendum a las CCT de la UE emitido por el Comisionado de Información del Reino Unido conforme a la sección 119A de la Ley de Protección de Datos de 2018, en la versión vigente desde el 21 de marzo de 2022, con sus revisiones.

1.7. "Transferencia Restringida" significa una transferencia de Datos Personales del Cliente que la Ley de Protección de Datos Aplicable permite solo con garantías adecuadas.

2. Alcance y funciones

2.1. El Cliente es el responsable de los Datos Personales del Cliente y Hometown es su encargado. Si el Cliente trata los datos por cuenta de otro responsable, el Cliente es encargado y Hometown es su subencargado.

2.2. Hometown es responsable independiente de los datos de cuenta, facturación, autenticación, seguridad y de los Datos de Uso. Sus avisos de privacidad cubren esos datos, y este DPA no.

2.3. Este DPA también aplica a los Datos Personales enviados en modo de prueba.

2.4. El Anexo I describe el tratamiento.

3. Obligaciones del Cliente

3.1. El Cliente es responsable de contar con una base legal para el tratamiento, de dar los avisos y obtener los consentimientos que exige la ley, y de la licitud de sus instrucciones. Esto incluye informar que los datos se tratan con IA y se almacenan en los Estados Unidos.

3.2. El Cliente no enviará categorías especiales de datos ni los demás datos que prohíbe la Sección 6 de los Términos.

3.3. El Cliente es responsable de atender a los titulares, y de fijar la retención y borrar datos con las herramientas del Servicio.

4. Tratamiento conforme a instrucciones

4.1. Hometown trata los Datos Personales del Cliente solo conforme a las instrucciones documentadas del Cliente, incluidas las relativas a transferencias. Las instrucciones son el Acuerdo, la configuración del Cliente en el portal y las llamadas del Cliente a la API.

4.2. Si la ley exige otro tratamiento, Hometown informará al Cliente antes de realizarlo, salvo que la ley lo prohíba.

4.3. Hometown avisará al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos Aplicable.

4.4. Hometown no tratará los Datos Personales del Cliente para fines propios. En particular, no: (a) entrenará ni ajustará modelos de IA con ellos; (b) los venderá ni compartirá; (c) los usará para mercadotecnia; (d) elaborará perfiles de los titulares; (e) contactará a los Clientes Finales del Cliente.

4.5. Hometown puede usar estadísticas agregadas que no identifiquen a ninguna persona y no contengan el contenido de los Datos Personales del Cliente, como indica la Sección 9.3 de los Términos.

5. Confidencialidad

5.1. Hometown se asegura de que toda persona que autoriza a tratar Datos Personales del Cliente esté obligada a guardar confidencialidad.

5.2. El acceso se limita a quienes lo necesitan para prestar el Servicio.

6. Seguridad

6.1. Hometown aplica las medidas técnicas y organizativas del Anexo II.

6.2. Hometown puede actualizar estas medidas. Una actualización no reducirá el nivel general de protección.

7. Subencargados

7.1. El Cliente otorga una autorización general para que Hometown contrate Subencargados. La lista vigente está en el Anexo III y en https://wfskills.com/legal/subprocessors.

7.2. Hometown firma con cada Subencargado un contrato escrito que impone obligaciones de protección de datos al menos tan protectoras como este DPA. Cuando hace falta, esto incluye las CCT de la UE.

7.3. Hometown da al menos 30 días de aviso antes de que un Subencargado nuevo o sustituto trate Datos Personales del Cliente. El aviso consiste en actualizar la lista y enviar un correo al titular de la cuenta.

7.4. El Cliente puede oponerse por escrito dentro de esos 30 días por motivos razonables de protección de datos. (a) Las partes analizarán la objeción de buena fe. (b) Hometown puede ofrecer una alternativa, como no usar ese Subencargado para la cuenta del Cliente. (c) Si las partes no resuelven la objeción, el Cliente puede terminar la parte afectada del Servicio y recibir el reembolso de la Sección 14.2 de los Términos.

7.5. En una emergencia, Hometown puede sustituir a un Subencargado con un aviso más corto. Ejemplos son una falla del Subencargado o un riesgo de seguridad. Hometown avisa entonces lo antes posible, y el Cliente tiene el mismo derecho de oposición.

7.6. Hometown sigue siendo responsable de sus Subencargados.

7.7. Hometown no enviará Datos Personales del Cliente a ningún proveedor de modelos de IA que no figure en el Anexo III.

8. Solicitudes de los titulares

8.1. El Servicio permite al Cliente encontrar, corregir, exportar y borrar Datos Personales del Cliente: (a) GET y DELETE /v1/estimates/{id}; (b) la configuración de retención de 0 a 30 días; (c) la API de Registros; (d) la exportación en JSON y la opción "Borrar todo" del portal.

8.2. Si Hometown recibe directamente de un titular una solicitud sobre Datos Personales del Cliente, Hometown no la responderá. La única excepción es remitir a la persona al Cliente. Hometown reenvía la solicitud al Cliente con prontitud y dentro de 5 días hábiles cuando puede identificar al Cliente.

8.3. Hometown da al Cliente la ayuda razonable adicional para las solicitudes que las herramientas no cubren.

9. Asistencia

9.1. Hometown ayuda al Cliente a cumplir sus obligaciones de seguridad, evaluaciones de impacto y consulta previa (artículos 32 a 36 del RGPD). Lo hace con la información que tiene sobre el tratamiento.

9.2. Esta ayuda cubre las auditorías de ciberseguridad y las evaluaciones de riesgo de la CCPA, y las obligaciones equivalentes de la LFPDPPP.

10. Violaciones de seguridad de datos personales

10.1. Hometown notifica al Cliente sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a que tenga conocimiento de una violación de seguridad que afecte Datos Personales del Cliente.

10.2. El aviso describe, en la medida en que Hometown lo sepa en ese momento: (a) la naturaleza de la violación; (b) las categorías y el número aproximado de titulares y de registros; (c) las consecuencias probables; (d) las medidas adoptadas o propuestas; (e) un punto de contacto. Hometown puede dar la información por etapas.

10.3. Hometown toma medidas razonables para contener, investigar y mitigar la violación. Coopera con el Cliente y lleva un registro de la violación.

10.4. Hometown envía el aviso al titular de la cuenta y al contacto de facturación.

10.5. El Cliente decide sobre los avisos a las autoridades y a los titulares. Esto incluye el aviso inmediato a los titulares que exige el artículo 19 de la LFPDPPP. Hometown no avisa a los titulares del Cliente sin instrucción del Cliente, salvo que la ley lo exija.

10.6. Un aviso no es una admisión de culpa.

11. Borrado y devolución

11.1. Durante la vigencia, el Cliente puede borrar Datos Personales del Cliente con las herramientas de la Sección 8.1. Hometown borra los datos según los plazos del Anexo I.

11.2. El Cliente debe exportar los Registros que necesite antes de que termine el Acuerdo. Hometown atiende una solicitud de copia hecha dentro de los 30 días siguientes a la terminación. Hometown borra los Datos Personales del Cliente dentro de los 30 días siguientes a la terminación. Los respaldos vencen dentro de los 7 días siguientes.

11.3. Si la ley obliga a Hometown a conservar datos, Hometown los aísla y protege, y los usa solo para ese fin.

11.4. A solicitud, Hometown confirma el borrado por escrito.

12. Auditorías

12.1. Hometown pone a disposición la información necesaria para demostrar el cumplimiento de este DPA. Esto incluye este DPA, el Anexo II, las respuestas a un cuestionario de seguridad razonable al año y los informes de los Subencargados que Hometown pueda compartir.

12.2. Si esa información no basta, o si una autoridad de control lo exige, o después de una violación de seguridad, el Cliente puede auditar a Hometown con estas condiciones: (a) la auditoría la puede realizar el Cliente o un auditor independiente. El auditor debe estar obligado a guardar confidencialidad y no debe ser competidor de Hometown; (b) el Cliente da 30 días de aviso por escrito; (c) la auditoría se realiza en horario hábil, como máximo una vez cada 12 meses y a distancia cuando sea posible; (d) el Cliente paga sus propios costos; (e) la auditoría no incluye datos de otros clientes ni las instalaciones de los Subencargados. Para estos aplican los informes de los Subencargados.

12.3. Este proceso cumple los derechos de auditoría de las CCT de la UE y de la Sección 14.4.

13. Transferencias internacionales

13.1. Hometown almacena los Datos Personales del Cliente en los Estados Unidos en Google Cloud (región us-central1, Iowa). El tratamiento con IA ocurre en los Estados Unidos. El personal de Hometown puede acceder a los datos a distancia desde los Estados Unidos y México para soporte y operación.

13.2. CCT de la UE. Para una Transferencia Restringida conforme al RGPD, las CCT de la UE se incorporan a este DPA así: (a) el Módulo Dos aplica cuando el Cliente es responsable. El Módulo Tres aplica cuando el Cliente es encargado; (b) aplica la Cláusula 7, cláusula de adhesión; (c) Cláusula 9(a): Opción 2 (autorización general por escrito), con los 30 días de aviso de la Sección 7.3; (d) Cláusula 11(a): no aplica el texto opcional; (e) Cláusula 13: la autoridad de control competente es la que determina la Cláusula 13(a). El Anexo I.C la indica; (f) Cláusula 17: Opción 1, la ley de Irlanda; (g) Cláusula 18(b): los tribunales de Irlanda; (h) el Anexo I de las CCT de la UE es el Anexo I de este DPA. El Anexo II de las CCT de la UE es el Anexo II de este DPA. El Anexo III de las CCT de la UE es el Anexo III de este DPA; (i) las auditorías de la Cláusula 8.9 siguen la Sección 12, y la certificación de borrado de la Cláusula 8.5 sigue la Sección 11.4.

13.3. Reino Unido. Para una Transferencia Restringida conforme al RGPD del Reino Unido, el Anexo del Reino Unido se incorpora así: (a) Tabla 1: las partes y contactos del Anexo I.A; (b) Tabla 2: los módulos y opciones de la Sección 13.2; (c) Tabla 3: los Anexos I, II y III de este DPA; (d) Tabla 4: ninguna parte puede terminar el Anexo del Reino Unido conforme a su Sección 19. Si el Comisionado de Información emite un anexo revisado, la versión revisada aplica desde su entrada en vigor.

13.4. Suiza. Para una Transferencia Restringida conforme a la LPD, las CCT de la UE aplican según la Sección 13.2 con estos cambios: (a) el Comisionado Federal de Protección de Datos e Información es la autoridad de control competente; (b) las referencias al RGPD se entienden hechas a la LPD; (c) los titulares en Suiza pueden presentar reclamaciones en Suiza.

13.5. Hometown hace transferencias ulteriores solo a Subencargados bajo las CCT de la UE u otro mecanismo de transferencia válido.

13.6. Solicitudes de autoridades públicas. (a) Si una autoridad pública solicita Datos Personales del Cliente, Hometown avisará al Cliente salvo que la ley lo prohíba. (b) Hometown impugnará las solicitudes que considere ilícitas. (c) Hometown entregará solo lo mínimo que exija la ley. (d) A la fecha de vigencia, Hometown no ha recibido ninguna solicitud de este tipo.

13.7. Hometown da al Cliente la información que tiene para ayudarle a evaluar la transferencia.

13.8. Si un mecanismo de transferencia deja de ser válido, las partes cooperarán en una alternativa. Mientras tanto, el Cliente puede suspender las transferencias afectadas o terminar la parte afectada del Servicio.

13.9. Si las CCT de la UE o el Anexo del Reino Unido contradicen este DPA, prevalecen las CCT de la UE o el Anexo del Reino Unido.

14. CCPA y otras leyes estatales de los Estados Unidos

14.1. Hometown es el "service provider" del Cliente conforme a la CCPA y su "processor" conforme a otras leyes estatales de los Estados Unidos. El fin comercial es prestar el Servicio como describe el Anexo I.

14.2. Hometown no: (a) venderá ni compartirá Datos Personales del Cliente; (b) conservará, usará ni revelará Datos Personales del Cliente para ningún fin distinto de los fines comerciales de este DPA, o de lo que la CCPA permita; (c) conservará, usará ni revelará Datos Personales del Cliente fuera de la relación comercial directa entre Hometown y el Cliente; (d) combinará Datos Personales del Cliente con información personal que reciba de otros o que recabe por su cuenta, salvo lo que permita el reglamento de la CCPA.

14.3. Hometown cumple las obligaciones de la CCPA que le aplican, y da a los Datos Personales del Cliente el mismo nivel de protección de la privacidad que exige la CCPA.

14.4. El Cliente puede tomar medidas razonables y adecuadas para asegurar que Hometown use los Datos Personales del Cliente conforme a las obligaciones del Cliente, incluidas las auditorías de la Sección 12. Previo aviso, el Cliente puede exigir que Hometown detenga y corrija cualquier uso no autorizado.

14.5. Hometown avisará al Cliente dentro de 10 días hábiles si determina que ya no puede cumplir sus obligaciones conforme a la CCPA.

14.6. Hometown coopera con el Cliente en las solicitudes de consumidores, las auditorías de ciberseguridad, las evaluaciones de riesgo y las reglas sobre tecnología de decisiones automatizadas, cuando apliquen.

14.7. Hometown obliga por escrito a sus Subencargados a los mismos términos. La Sección 7 rige el aviso de Subencargados nuevos.

14.8. Si Hometown recibe datos desidentificados, no intentará reidentificarlos y los mantendrá desidentificados.

14.9. Hometown certifica que entiende y cumplirá las restricciones de esta Sección 14.

14.10. Este DPA incluye los términos de encargado que exigen otras leyes estatales de los Estados Unidos: instrucciones, naturaleza y fin del tratamiento, tipos de datos, duración, confidencialidad, borrado o devolución, información y evaluaciones, y términos escritos con subcontratistas.

15. México (LFPDPPP)

15.1. Para los Datos Personales del Cliente de titulares protegidos por la LFPDPPP, el Cliente es el responsable y Hometown es la persona encargada (artículo 2, fracción XII de la LFPDPPP).

15.2. Como persona encargada, Hometown: (a) tratará los datos solo conforme a las instrucciones del Cliente; (b) no tratará los datos para ningún otro fin; (c) mantendrá las medidas de seguridad administrativas, técnicas y físicas del Anexo II (artículo 18); (d) guardará confidencialidad sobre los datos, también después de terminar la relación (artículo 20); (e) suprimirá los datos al terminar la relación o cuando el Cliente se lo indique, salvo que la ley obligue a Hometown a conservarlos; (f) no transferirá los datos, salvo por instrucción del Cliente, a Subencargados autorizados conforme a la Sección 7, o cuando lo exija una autoridad competente; (g) informará al Cliente de las vulneraciones de seguridad conforme a la Sección 10, para que el Cliente pueda informar de inmediato a los titulares (artículo 19); (h) reenviará las solicitudes de derechos ARCO dentro de 5 días hábiles, para que el Cliente pueda responder dentro de los 20 días hábiles del artículo 31; (i) no usará los datos para contactar a los titulares.

15.3. Las comunicaciones de datos de Hometown a sus Subencargados son comunicaciones entre responsable y encargados. No son transferencias conforme al artículo 2, fracción XX. El Cliente autoriza esta subcontratación conforme a la Sección 7.

15.4. El aviso de privacidad del Cliente debe informar a los titulares sobre este tratamiento, incluido el uso de IA y el almacenamiento en los Estados Unidos.

15.5. Si Hometown trata los datos para fines propios, asume las obligaciones de un responsable conforme a la ley.

16. Responsabilidad

16.1. La responsabilidad de cada parte conforme a este DPA está sujeta a la Sección 22 de los Términos.

16.2. Nada en este DPA limita la responsabilidad frente a los titulares que las CCT de la UE, el Anexo del Reino Unido o la ley no permitan limitar.

17. Vigencia, cambios, prelación y ley aplicable

17.1. Este DPA dura lo mismo que el Acuerdo, y después de su terminación hasta que Hometown haya borrado los Datos Personales del Cliente.

17.2. Hometown puede actualizar este DPA para cumplir la ley o reflejar un cambio del Servicio, con aviso conforme a la Sección 17 de los Términos. Un cambio que reduzca la protección de los Datos Personales del Cliente requiere la aceptación del Cliente.

17.3. Para Datos Personales, este DPA prevalece sobre los Términos.

17.4. Este DPA se rige por la ley que rige los Términos. Las CCT de la UE se rigen por la ley de la Sección 13.2(f). El Anexo del Reino Unido se rige por la ley de Inglaterra y Gales.

Anexo I. Descripción del tratamiento

A. Lista de partes

Exportador de datos

• Nombre y domicilio: el Cliente y el domicilio de su cuenta de desarrollador.
• Contacto: el titular de la cuenta.
• Función: responsable, o encargado por cuenta de sus propios clientes.
• Actividades: uso de la API de Estimaciones y del complemento Registros.
• Firma y fecha: aceptación electrónica en el portal, registrada con versión y fecha y hora.

Importador de datos

• Nombre: Hometown Workforce, LLC.
• Domicilio: 2519 Provence Pl, Biloxi, MS 39531, EE. UU.
• Contacto: legal@hometownworkforce.com.
• Función: encargado, o subencargado.
• Actividades: prestar el Servicio conforme al Acuerdo.
• Firma y fecha: aceptación electrónica en el portal, registrada con versión y fecha y hora.

B. Descripción de la transferencia y del tratamiento

Categorías de titulares

• Los Clientes Finales del Cliente, como propietarios, inquilinos, administradores de inmuebles y empresas que piden trabajos para el hogar.
• El personal del Cliente, cuando el Cliente incluye sus datos en la Entrada o en los Registros.
• Personas que aparecen por casualidad en fotos o textos.

Categorías de datos personales

• Descripciones de trabajos y mensajes, que pueden contener nombres, datos de contacto u otros datos que escriba quien los envía.
• Fotos del trabajo. Se tratan en tránsito y no se guardan. Hometown conserva solo el hash SHA-256, el tipo de archivo y el tamaño.
• Domicilio del servicio, código postal y región.
• Estimaciones y otra Salida.
• Con el complemento Registros: nombre, teléfono, correo, domicilio normalizado, notas, el identificador externo del Cliente y otros registros de hasta 64 KB cada uno.
• Metadatos de solicitudes: un hash de la dirección IP, rutas, fechas y horas, y códigos de estado.

Categorías especiales de datos

• No se buscan. El Cliente no debe enviarlas (Sección 6.9 de los Términos).
• Las salvaguardas que aplican a cualquier dato de este tipo enviado por error están en el Anexo II.

Frecuencia de la transferencia

• Continua, cada vez que el Cliente llama a la API.

Naturaleza del tratamiento

• Recepción de datos mediante la API.
• Moderación automatizada.
• Envío de la Entrada al Subencargado de IA para leer fotos y texto y producir estimaciones.
• Almacenamiento, consulta, exportación y borrado.

Finalidad del tratamiento

• Prestar la API de Estimaciones y el complemento Registros.
• El soporte que pida el Cliente.
• Seguridad y prevención de abusos.
• Facturación y conciliación del uso.

Conservación

Transferencias a Subencargados

• Según el Anexo III, con la misma naturaleza y duración.

C. Autoridad de control competente

• La autoridad de control que determina la Cláusula 13(a) de las CCT de la UE.
• Para el Reino Unido, la Information Commissioner's Office.
• Para Suiza, el Comisionado Federal de Protección de Datos e Información.

Anexo II. Medidas técnicas y organizativas

1. Cifrado en tránsito

• TLS 1.2 o superior en todas las direcciones públicas (api.wfskills.com, developers.wfskills.com y wfskills.com, donde vive el portal), con HSTS.
• Los webhooks al Cliente van solo a direcciones HTTPS.

2. Cifrado en reposo

• Google Cloud cifra los discos y sus instantáneas en reposo con AES-256 por omisión.
• Los campos de teléfono y correo de los Registros además se cifran a nivel de aplicación con los casts cifrados de Laravel (AES-256-CBC con firma HMAC-SHA-256, bajo la llave de la aplicación).
• Los secretos de firma de webhooks y los secretos de doble factor (TOTP) se cifran de la misma forma.
• Las búsquedas por correo usan un hash, no la dirección de correo.

3. Credenciales de la API

• Hometown guarda las llaves de API solo como hash SHA-256 y muestra cada llave una sola vez.
• Las llaves llevan un prefijo y una suma de verificación para que los detectores de secretos las identifiquen.
• Controles por llave: alcances, listas de IP permitidas opcionales, caducidad, rotación, pausa y revocación.
• Pausa automática ante uso inusual, cuando el Cliente la activa.

4. Control de acceso

• Acceso por roles para el personal de Hometown, con base en el mínimo privilegio.
• La autenticación de doble factor TOTP (RFC 6238) es obligatoria para las cuentas de administración de la plataforma.
• Los códigos de recuperación se guardan con bcrypt y sirven una sola vez.
• Confirmación de contraseña dentro de los 10 minutos previos a acciones sensibles.
• El acceso a producción se limita a personal identificado mediante llaves SSH o Google Cloud Identity-Aware Proxy.

5. Separación de clientes

• Cada consulta sobre datos de la API está acotada a la cuenta del cliente.
• Pruebas automatizadas verifican el aislamiento en cada ruta de la API.

6. Minimización de datos

• Las fotos no se guardan.
• El texto que el Servicio envía al modelo de IA no se registra.
• Los clientes pueden fijar la retención de los registros de solicitudes de 0 a 30 días.
• Las direcciones IP de los metadatos de solicitudes se guardan en hash.

7. Subencargado de IA

• Las solicitudes al proveedor del modelo de IA le piden no guardarlas. Según los términos de la API del proveedor, los datos de la API no se usan para entrenar modelos y se conservan como máximo 30 días solo para vigilar abusos.
• La moderación automatizada corre antes de producir una estimación.

8. Prevención de abusos

• Límites por llave en el servidor web y en la aplicación.
• Topes diarios y topes mensuales de gasto.

9. Webhooks

• Los webhooks salientes se firman con HMAC-SHA256 e incluyen marca de tiempo. La tolerancia es de 5 minutos.
• Protección contra falsificación de solicitudes del lado del servidor: solo HTTPS, rangos de direcciones privadas y locales bloqueados, DNS resuelto y fijado antes de conectar, sin redirecciones y con un tiempo límite de 10 segundos.
• Los webhooks de pago entrantes se verifican por firma y se procesan una sola vez.

10. Registro y monitoreo

• Eventos de auditoría de llaves y de acciones de la cuenta, con el autor y la dirección IP.
• Alertas de errores por correo, verificaciones de disponibilidad cada 5 minutos desde tres regiones y conciliación nocturna de uso y facturación.

11. Respaldos y disponibilidad

• Un volcado diario de la base de datos, conservado 7 días en el disco de datos del servidor.
• Una instantánea diaria de ese disco, conservada 7 días en Google Cloud, separada del servidor.
• Un procedimiento documentado de restauración.
• Infraestructura de Google Cloud.

12. Desarrollo seguro

• Revisión de código, pruebas automatizadas y análisis estático.
• Auditoría de dependencias con composer audit y OSV-Scanner.
• Detección de secretos con gitleaks y trufflehog.
• Lista de licencias permitidas.
• Encabezados de seguridad y política de seguridad de contenido.

13. Personal

• Obligaciones de confidencialidad.
• Retiro de accesos cuando una persona deja la empresa.

14. Respuesta a incidentes

• Un proceso para detectar, contener e investigar incidentes.
• Aviso al Cliente dentro de 72 horas (Sección 10).

15. Seguridad física

• Hometown no opera centros de datos propios. Se apoya en los controles físicos y las certificaciones de Google Cloud.

16. Borrado

• Procesos diarios borran los registros de solicitudes, las estimaciones, los metadatos de solicitudes y los Registros vencidos.
• Herramientas para que el Cliente borre datos.
• Los datos se borran al cerrar una cuenta, como indica la Sección 11.

17. Revisión

• Hometown revisa estas medidas al menos una vez al año y después de cualquier incidente importante.

Anexo III. Subencargados

La lista vigente está en https://wfskills.com/legal/subprocessors. La Sección 7 describe cómo Hometown avisa de los cambios y cómo el Cliente puede oponerse.

Subencargados de Datos Personales del Cliente a la fecha de vigencia:

Stripe, Inc. trata los datos de facturación del Cliente por cuenta de Hometown. No recibe Datos Personales del Cliente.

Hometown no usa ningún proveedor de IA ubicado fuera de los Estados Unidos.