Data Processing Addendum (DPA)
Versión 1.0, mayo 2026
Este Addendum de Procesamiento de Datos forma parte del contrato de servicio entre vario Labs (procesador) y el cliente (responsable del tratamiento).
Objeto del procesamiento
vario procesa comunicaciones corporativas electrónicas (emails) exclusivamente para los fines del servicio de compliance contratado: detección de señales de riesgo, generación de alertas e investigación interna.
Subprocesadores
- Amazon Web Services (AWS): infraestructura de cómputo y almacenamiento de la plataforma.
- AWS Bedrock: análisis de IA, ejecutado como servicio gestionado dentro del mismo perímetro de cuenta cloud. Su enrutamiento de inferencia puede procesar contenido fuera de la región de almacenamiento; esa transferencia internacional está cubierta por base contractual con el proveedor cloud y por Standard Contractual Clauses cuando aplica. Por diseño del servicio, las entradas y salidas no se comparten con los proveedores de los modelos ni se utilizan para entrenarlos.
- Paddle: procesamiento de pagos (no accede a datos de comunicaciones).
- Clerk: gestión de identidad y autenticación (no accede a datos de comunicaciones).
Transferencias internacionales
Los datos no salen de la región elegida por el cliente (EU o LATAM Brasil). Las transferencias a subprocesadores están cubiertas por Standard Contractual Clauses (SCCs) bajo RGPD.
Derechos de auditoría
El cliente puede solicitar evidencia de cumplimiento sobre nuestro sistema de gestión de seguridad de la información ISO/IEC 27001:2022, cuya certificación está en curso. vario responde a solicitudes de auditoría dentro de 30 días hábiles.
Notificación de incidentes
Ante un incidente de seguridad confirmado que afecte tus datos, vario notifica a tu contacto de seguridad designado dentro de las 24 horas siguientes a la confirmación. La notificación describe el incidente, los datos potencialmente afectados, las medidas inmediatas de mitigación y el timeline de investigación. Para incidentes bajo GDPR/LGPD, vario asiste en la notificación regulatoria dentro de las 72 horas. Esta cláusula prevalece sobre cualquier disposición general de soporte.