Acuerdo de Tratamiento de Datos de la Organización
Versión 1.0 · Vigente desde el 2 de octubre de 2026
Este Acuerdo se celebra entre la Organización que lo acepta desde el panel de Glamio, representada por su Titular (la "Organización" o el "Responsable"), y Mayra Alejandra Torres Molina, CUIT 27-95933801-4, con domicilio en Arcos 2839, 4.° A, Ciudad Autónoma de Buenos Aires ("Glamio" o el "Encargado"). Forma parte de los Términos y Condiciones de Glamio y se rige por el artículo 25 de la Ley 25.326 y su reglamentación.
1. Objeto y roles
1.1. La Organización es responsable de la base de datos de sus Clientas y de los datos que carga en Glamio. Glamio trata esos datos como encargado, exclusivamente por cuenta de la Organización y para prestarle el Servicio.
1.2. Este Acuerdo no aplica a los datos de cuenta de los Usuarios del panel, respecto de los cuales Glamio es responsable según su Política de Privacidad.
2. Datos tratados
| Categoría de titulares | Categorías de datos |
|---|---|
| Clientas de la Organización | Identificación y contacto; turnos y pagos de señas; datos de salud necesarios para la seguridad del servicio (datos sensibles); Ficha Digital, fotografías del trabajo; firmas y consentimientos; preferencias de notificación |
| Profesionales y equipo de la Organización | Nombre, datos de contacto, agenda y servicios asignados |
3. Finalidad e instrucciones
3.1. Glamio trata los datos únicamente para prestar el Servicio: almacenarlos, mostrarlos a los Usuarios autorizados, gestionar turnos, enviar comunicaciones en nombre de la Organización, generar cobros en la cuenta de MercadoPago de la Organización cuando esté conectada, hacer copias de seguridad y dar soporte.
3.2. La configuración que la Organización hace en el panel constituye su instrucción documentada. Si Glamio considera que una instrucción infringe la ley, lo informará a la Organización.
3.3. Glamio no aplica los datos a ninguna otra finalidad, no los cede a terceros salvo a los subencargados del Anexo I o por orden de autoridad competente, y no los usa con fines comerciales propios. Como única excepción, Glamio puede elaborar estadísticas agregadas y disociadas sobre el uso del Servicio (por ejemplo, cantidad de turnos o de fichas por período), que no permiten identificar a Clientas ni, frente a terceros, a la Organización, y usarlas para operar, mantener y mejorar el Servicio (art. 2 de la Ley 25.326, dato disociado).
3.4. Los datos de uso de la plataforma que Glamio registra como responsable (cláusula 8.3 de los Términos) no son datos tratados bajo este Acuerdo. Glamio se obliga a que esos registros no incluyan datos de salud, contenido de fichas, fotografías, firmas, consentimientos ni mensajes, y a que los referidos a Clientas sean seudónimos.
4. Confidencialidad
Glamio y las personas que intervienen en el tratamiento están obligadas a guardar secreto sobre los datos (art. 10 de la Ley 25.326), aun después de terminada la relación. El acceso de personal de Glamio a los datos de una Organización se limita a lo estrictamente necesario para soporte o mantenimiento. El acceso a través de la aplicación queda registrado en forma automática. El acceso administrativo directo a la base de datos se limita a la persona identificada en el Anexo II, se usa solo para soporte o incidentes y se anota en una bitácora interna.
5. Seguridad
Glamio aplica las medidas técnicas y organizativas del Anexo II y las actualiza razonablemente según el estado de la técnica. Glamio no garantiza que un sistema sea invulnerable, pero se obliga a actuar con la diligencia debida.
6. Subencargados
6.1. La Organización autoriza a Glamio a contratar los subencargados del Anexo I. Glamio exige a cada uno obligaciones de confidencialidad y seguridad equivalentes.
6.2. Glamio avisará con al menos 30 días de anticipación la incorporación de un subencargado nuevo que trate datos de Clientas. Si la Organización se opone por motivos fundados y no se encuentra una solución, puede terminar el contrato sin penalidad.
6.3. Glamio responde frente a la Organización por el cumplimiento de este Acuerdo por parte de sus subencargados, y le informará los incidentes que estos le notifiquen y que afecten datos de la Organización, según la cláusula 8.
7. Transferencia internacional
Parte de los subencargados almacena o procesa datos fuera de Argentina, principalmente en Estados Unidos y Brasil, países que la autoridad argentina no considera con nivel de protección adecuado. Glamio informa esa circunstancia a las Clientas en su Política de Privacidad y en el aviso que se les muestra al recolectar sus datos, y el formulario recaba su consentimiento expreso para la transferencia con una casilla propia. La Organización se obliga a no desactivar ni alterar esos avisos y, para las Clientas que cargue manualmente desde el panel, a recabar ese consentimiento por escrito (en papel o en el formulario de Glamio) en la primera oportunidad.
8. Incidentes de seguridad
8.1. Si Glamio toma conocimiento de un incidente que afecte o pueda afectar datos de la Organización, se lo notificará sin demora indebida y a más tardar dentro de las 48 horas desde que tomó conocimiento, aunque la información sea todavía preliminar, indicando lo que se sepa sobre su naturaleza, los datos afectados, las medidas adoptadas y un contacto. Glamio completará la información a medida que la obtenga y lleva un registro interno de incidentes.
8.2. Si el incidente afecta la integración con MercadoPago, Glamio notificará además a MercadoPago en el plazo que exijan sus términos.
8.3. La comunicación a las Clientas corresponde a la Organización como responsable. Glamio colaborará con información y, si la Organización lo pide, con el envío.
9. Derechos de las Clientas
9.1. Glamio pone a disposición de la Organización herramientas para consultar y rectificar los datos de sus Clientas. Mientras la exportación, la supresión u otra función no esté disponible en el panel, Glamio la ejecutará a pedido de la Organización en plazos que le permitan cumplir los legales: 5 días corridos para pedidos de acceso y 3 días hábiles para rectificación o supresión, contados desde el pedido de la Organización.
9.2. Si una Clienta se dirige directamente a Glamio, Glamio derivará el pedido a la Organización sin demora y no lo resolverá por su cuenta salvo instrucción de ella.
10. Conservación
10.1. Mientras este Acuerdo esté vigente, Glamio conserva las fichas, fotografías y consentimientos de cada Clienta hasta 10 años desde su última visita, por instrucción de la Organización, que puede fijar otro plazo cuando el panel lo permita. Esa conservación no se extiende más allá de lo previsto en la cláusula 11. Los datos de contacto de una Clienta se suprimen antes si ella lo pide y no existe obligación de conservarlos.
10.2. Cuando un dato deba conservarse pese a un pedido de supresión, Glamio lo bloquea: deja de mostrarse y usarse, salvo para acreditar hechos ante un reclamo.
11. Fin del tratamiento
11.1. El modo de solo lectura por falta de pago es parte del Servicio: el tratamiento continúa bajo este Acuerdo y los datos no se eliminan mientras dure, dentro del plazo previsto en los Términos.
11.2. Ante la baja de la Organización, sea expresa o por vencimiento del modo de solo lectura, Glamio: (a) mantiene los datos disponibles durante 90 días y entrega a pedido de la Organización una copia en formato de uso común (CSV o JSON, junto con los archivos de fotografías y firmas) dentro de los 10 días hábiles del pedido; (b) vencido ese plazo, los destruye, incluidas las copias de seguridad a medida que roten según su ciclo normal de 30 días.
11.3. Conforme al art. 25, inc. 2 de la Ley 25.326, la Organización puede autorizar en forma expresa que Glamio conserve los datos en modo archivo, con las debidas condiciones de seguridad y sin acceso operativo, por un plazo no mayor a dos años desde la baja. Cumplido ese plazo, se destruyen.
11.4. Las obligaciones de conservación que la Organización tenga como responsable por plazos mayores son suyas: debe exportar los datos antes de su destrucción.
12. Vigencia
12.1. Este Acuerdo rige mientras la Organización tenga cuenta en Glamio y hasta que se cumpla la cláusula 11.
12.2. Este Acuerdo se aplica también a los datos que la Organización haya cargado en Glamio antes de su aceptación, incluidos los cargados durante pruebas o el Programa de Acceso Anticipado.
13. Responsabilidad
13.1. Cada parte responde por sus propios incumplimientos. La Organización responde frente a sus Clientas como responsable de la base de datos, y Glamio responde frente a la Organización por el tratamiento que realice en violación de este Acuerdo o de sus instrucciones, con los límites de los Términos y Condiciones salvo dolo o culpa grave.
13.2. La Organización garantiza que cuenta con base legal para los datos que carga en Glamio (en particular, el consentimiento expreso de sus Clientas para los datos de salud) y mantendrá indemne a Glamio frente a reclamos originados en la falta de esa base legal, según la cláusula 9.2 de los Términos.
14. Información, auditoría y cooperación
14.1. Glamio pondrá a disposición de la Organización, a su pedido, la información necesaria para demostrar el cumplimiento de este Acuerdo (por ejemplo, la lista actualizada de subencargados, las medidas de seguridad vigentes y el registro de accesos de la aplicación a los datos de la Organización).
14.2. Glamio cooperará con la Organización ante requerimientos de la Agencia de Acceso a la Información Pública u otra autoridad competente relacionados con los datos tratados bajo este Acuerdo.
14.3. En caso de contradicción con los Términos y Condiciones, en materia de datos personales prevalece este Acuerdo.
Anexo I — Subencargados
| Subencargado | Función | Datos de Clientas que trata | Ubicación |
|---|---|---|---|
| Supabase Inc. | Base de datos, almacenamiento de archivos, copias de seguridad | Todos | EE.UU. (Oregon, us-west-2) |
| Vercel Inc. | Ejecución de la aplicación y detección de bots | Todos, en tránsito; registros técnicos y señales técnicas del navegador | EE.UU. (Washington D.C., iad1) |
| Resend | Envío de correos a Clientas | Nombre, email, datos del turno | Brasil (São Paulo, sa-east-1) |
| Meta Platforms (WhatsApp Cloud API) | Envío de mensajes a Clientas | Nombre, teléfono, datos del turno | Global; empresa de EE.UU. |
| Upstash | Límite de pedidos para prevenir abusos | Dirección IP, identificadores técnicos | EE.UU. (Oregon, us-west-2) |
| Functional Software (Sentry) | Registro de errores técnicos | Dirección IP, identificadores y datos técnicos del error | EE.UU. |
| Axiom | Registros técnicos y monitoreo | Identificadores, operaciones y, en algunos casos, email | EE.UU. (Virginia, us-east-1) |
| GitHub | Gestión interna de reportes de soporte y ejecución de tareas automáticas (copias de seguridad) | Lo que el Estudio escriba en sus tickets; todos, en tránsito, durante la copia de seguridad | EE.UU. |
| Zoho Corporation (Zoho Mail) | Casillas de soporte y privacidad | Lo que el Estudio o una Clienta escriba por email | EE.UU. (centro de datos zoho.com) |
| Clerk Inc. | Inicio de sesión del panel | Ninguno (solo Usuarios) | EE.UU. |
| Google (OAuth vía Clerk) | Inicio de sesión con Google | Ninguno (solo Usuarios que lo elijan) | Global; empresa de EE.UU. |
El Estudio se compromete a no incluir datos de salud de sus Clientas en los tickets de soporte.
Anexo II — Medidas de seguridad
- Aislamiento entre organizaciones: políticas de seguridad a nivel de fila en la base de datos y controles obligatorios en la aplicación que impiden consultar datos sin filtrar por organización.
- Control de acceso por roles dentro de cada organización, administrado por su Titular.
- Almacenamiento privado de fotografías, firmas y adjuntos; acceso solo mediante la aplicación y previa autorización.
- Cifrado en tránsito (TLS) en todas las conexiones y cifrado en reposo provisto por la infraestructura.
- Credenciales de MercadoPago cifradas en un almacén de secretos separado, con permisos acotados.
- Registro de accesos a fichas, visitas, firmas y adjuntos realizados a través de la aplicación (quién, cuándo, desde qué IP). El acceso administrativo directo a la base de datos está limitado a una persona del equipo de Glamio (Jose Herrera, responsable técnico), se usa solo para soporte o incidentes y se anota en una bitácora interna.
- Consentimientos inalterables: cada firma se guarda con el texto exacto aceptado, fecha, hora, IP y dispositivo, sin posibilidad de sobrescribirla.
- Copias de seguridad diarias de la base de datos con retención de 30 días, en almacenamiento privado. Las fotografías y firmas se guardan en almacenamiento privado con la redundancia propia del proveedor.
- Registros técnicos minimizados: se registran identificadores y datos operativos para diagnosticar fallas, no el contenido de fichas, alergias, fotografías, firmas ni mensajes.
- Acceso administrativo restringido a las personas del equipo de Glamio que lo necesitan, con secretos gestionados en un gestor de contraseñas compartido.