Acuerdo de Tratamiento de Datos (DPA)

Llenalo (Encargado) ↔ Cliente (Responsable). Última actualización: 2026-05-22.1

1. Partes

Encargado del Tratamiento: Llenalo, nombre comercial del titular Diego Ignacio Severini (persona humana — Monotributista categoría A), CUIT 24-31538839-9, con domicilio constituido para notificaciones en 11 de Septiembre 2854 5°A, Mar del Plata, Provincia de Buenos Aires, Argentina (el "Prestador" o "Encargado").

Responsable del Tratamiento:el Cliente del Servicio Llenalo, identificado por su cuenta y datos de facturación en la plataforma (el "Cliente" o "Responsable").

2. Objeto

Este Acuerdo regula el tratamiento de Datos Personales que el Prestador realiza por cuenta y orden del Cliente al proveer el Servicio Llenalo, conforme art. 25 Ley 25.326 y normativa concordante. Forma parte integrante de los Términos y Condiciones aceptados por el Cliente.

3. Marco normativo

• Ley 25.326 de Protección de Datos Personales.
• Decreto Reglamentario 1.558/01.
• Disposición 60/2016 AAIP — Cláusulas Contractuales Modelo.
• Resolución 198/2023 AAIP — Cláusulas Contractuales Modelo de la Red Iberoamericana de Protección de Datos (RIPD).
• Disposiciones y resoluciones complementarias de la AAIP.

4. Roles y responsabilidades

• El Cliente es Responsable del Tratamiento de los Datos Personales que carga o genera en Llenalo (datos de los Clientes Finales del negocio, Operadores adicionales, contenido subido).
• El Prestador actúa como Encargado del Tratamiento conforme art. 25 Ley 25.326.
• El Cliente determina los fines y medios principales del tratamiento. El Prestador determina aspectos técnicos en línea con las instrucciones documentadas del Cliente y con la naturaleza del Servicio.

5. Descripción del tratamiento

5.1 Finalidades

Gestión de reservas, comunicaciones operativas, cobros vía Mercado Pago, soporte, seguridad y mejora del producto sobre datos agregados. En el vertical salud se suma el registro de notas de evolución (historia clínica) por cuenta del profesional; con el módulo de facturación activado, la emisión de comprobantes ante ARCA por cuenta del Cliente.

5.2 Titulares afectados

Clientes Finales del negocio del Cliente, Operadores adicionales invitados por el Cliente, y el propio Cliente.

5.3 Categorías de datos

• Contacto: nombre, teléfono E.164, email.
• Reserva: fecha, hora, recurso, monto, método y estado de pago.
• Datos opcionales: documento, fecha de nacimiento, dirección, notas internas (cargados por el negocio).
• Datos de salud (vertical salud): notas de evolución e historia clínica cargadas por profesionales de la salud sobre sus pacientes. Son datos sensibles (art. 2 Ley 25.326) y reciben el tratamiento reforzado de las cláusulas 6, 9, 10 y 11.
• Datos fiscales (facturación): CUIT, condición IVA, domicilio fiscal, razón social y datos del receptor del comprobante (incluidos, en su caso, obra social y número de socio).
• Identificadores técnicos: BSUID de Meta, IDs internos, dirección IP.

5.4 Duración

Mientras dure la relación entre Cliente y Prestador, más los plazos detallados en la cláusula 11.

6. Obligaciones del Encargado

• Tratar los Datos Personales únicamente conforme a las instrucciones documentadas del Cliente y al objeto del Servicio (art. 25 Ley 25.326 y su reglamentación por Decreto 1.558/01).
• No utilizar los Datos para fines propios, publicidad o cesión a terceros distintos de los subprocesadores autorizados.
• Garantizar la confidencialidad de las personas autorizadas a tratar los Datos, incluido el respeto del secreto profesional que recae sobre el Responsable en el vertical salud. Esta obligación de confidencialidad se traslada (flow-down) a los subprocesadores autorizados de la cláusula 8.
• Aplicar las medidas de seguridad detalladas en el Anexo A.
• Asistir al Cliente en la respuesta a derechos ARCO de los Clientes Finales, en la realización de evaluaciones de impacto y ante requerimientos de la AAIP.
• Notificar al Cliente cualquier incidente de seguridad que comprometa sus Datos en un plazo máximo de 24 horas desde tomar conocimiento.
• Devolver o eliminar los Datos a la terminación del contrato conforme cláusula 11.

7. Obligaciones del Responsable

• Asegurar tener bases legales válidas para tratar los Datos que carga (consentimiento del titular, contrato u otra base del art. 5 Ley 25.326).
• Mantener actualizadas las finalidades y bases legales del tratamiento.
• Responder primariamente ante el ejercicio de derechos ARCO por parte de sus Clientes Finales.
• Inscribir su propia base de datos en el RNBD si fuera procedente.

8. Subprocesadores

El Cliente autoriza al Prestador a utilizar los siguientes subprocesadores. Cualquier nuevo subprocesador será notificado con preaviso mínimo de 30 días corridos, durante el cual el Cliente podrá oponerse fundadamente.

Comunicaciones a autoridades públicas — ARCA. Cuando el Cliente activa el módulo de facturación electrónica, los datos fiscales descriptos en la cláusula 5.3 se transmiten a la Agencia de Recaudación y Control Aduanero (ARCA) a través del web service WSFEv1, en ejercicio del mandato conferido por el Cliente (cláusula 24 de los Términos y Condiciones) y de sus obligaciones fiscales. ARCA actúa como autoridad pública y responsable autónomo del tratamiento — no trata datos por cuenta del Cliente ni del Prestador—, por lo que esta transmisión no constituye una subcontratación ni queda alcanzada por el régimen de subprocesadores de esta cláusula. Lo mismo aplica a las comunicaciones que la ley exija realizar a la AAIP, la justicia u otros organismos competentes.

9. Transferencia internacional de datos

Por la utilización de subprocesadores ubicados fuera de Argentina, el Prestador celebrará Cláusulas Contractuales Modelo aprobadas por la AAIP (Disposición 60/2016, Anexo II, y/o Resolución 198/2023 — CCM RIPD, modelo responsable-encargado) con cada subprocesador. Las pruebas de su celebración estarán disponibles a requerimiento del Cliente. Tratándose de datos sensibles de salud alojados en EE.UU. —país no calificado como de protección adecuada por la AAIP— el Prestador aplica medidas suplementarias (cifrado en tránsito y en reposo, control de acceso por roles) y documenta la evaluación del riesgo de la transferencia.

10. Medidas de seguridad (Anexo A)

• TLS 1.3 para transferencia.
• AES-256 para credenciales de integración almacenadas.
• Row-Level Security (RLS) por business_id en la base de datos.
• Hash irreversible de contraseñas (Supabase Auth).
• Backups automáticos diarios y planes de recuperación documentados.
• Monitoreo continuo, alertas y rotación periódica de claves.
• Plan de respuesta a incidentes operativo (ver Protocolo Interno).
• Acceso a credenciales productivas restringido a personal autorizado y bajo principio de mínimo privilegio.
• Historia clínica (datos sensibles): acceso restringido al titular de la cuenta mediante Row-Level Security, cifrado en tránsito (TLS) y en reposo a nivel de infraestructura. Las ediciones se versionan en un historial inalterable (append-only), el borrado es una anulación lógica que conserva el registro, y cada cambio queda trazado con autor y fecha — conforme a la integridad e inalterabilidad del art. 13 Ley 26.529. El Prestador evalúa además el cifrado a nivel de campo sobre las notas de evolución como refuerzo del secreto profesional.

11. Devolución y eliminación de datos

A la terminación del contrato, el Prestador permitirá al Cliente exportar sus Datos en formato estructurado durante 90 días. Vencido ese plazo, procederá a su eliminación o anonimización dentro de los 30 días corridos, salvo obligaciones legales de conservación (10 años para registros fiscales y de facturación).

Excepción — historia clínica. Por tratarse de datos cuya guarda impone la Ley 26.529, la historia clínica se conserva por el plazo legal de 10 años desde la última actuación registrada (art. 18), plazo que prevalece sobre la destrucción prevista en el art. 25 Ley 25.326. Se distingue así entre los datos administrativos (suprimibles al finalizar el servicio) y la historia clínica (conservable y exportable por el profesional para cumplir su deber de guarda).

12. Auditorías y demostración de cumplimiento

El Cliente podrá auditar el cumplimiento del Prestador con preaviso razonable (mínimo 15 días), en horario laboral y respetando la confidencialidad de información de terceros. Como alternativa proporcional al tamaño del Prestador, se aceptan informes de seguridad estandarizados (por ej. SOC 2 Type II o equivalente) cuando estén disponibles.

13. Gestión de incidentes

Plazo de notificación del Encargado al Responsable: 24 horas desde tomar conocimiento. Contenido mínimo: naturaleza del incidente, categorías y volumen aproximado de titulares afectados, medidas adoptadas y plan de remediación. El Responsable es quien decide notificar a los titulares finales conforme a su política.

14. Responsabilidad

Cada Parte responde por las violaciones a este Acuerdo imputables a su parte. La responsabilidad del Prestador frente al Cliente queda sujeta a los límites previstos en los Términos y Condiciones.

15. Vigencia y terminación

Este Acuerdo entra en vigencia con la aceptación de los Términos y dura mientras el Cliente utilice el Servicio. Las obligaciones de confidencialidad, devolución y conservación legal subsisten más allá de la terminación.

16. Ley aplicable y jurisdicción

Las controversias se rigen por el derecho argentino y se someten a los Tribunales Ordinarios del Departamento Judicial de Mar del Plata, salvo cláusula concurrente de consumo.

17. Puntos de contacto

• Encargado — Responsable de Protección de Datos: privacidad@llenalo.ar
• Encargado — Seguridad: security@llenalo.ar
• Responsable: contacto registrado en la cuenta del Cliente.