Versión 2026-08-30.v1, vigente desde 30 de agosto de 2026
Este acuerdo regula el tratamiento de datos personales entre Riegu y una organización aliada cuando una de las dos trata datos por cuenta de la otra. Complementa los Términos para Aliados y prevalece sobre ellos en materia de protección de datos.
Este instrumento está redactado por el equipo de producto y pendiente de revisión por asesoría legal salvadoreña. Su versión y su fecha de vigencia sí son las que el sistema aplica.
Respecto del producto y de sus personas usuarias, Riegu es responsable del tratamiento. Respecto de un reporte que un aliado recibe y usa para su propia finalidad, el aliado es responsable independiente. Cuando una parte trate datos únicamente por instrucción documentada de la otra, actúa como encargada y se aplican las cláusulas siguientes. El rol se determina por quién decide la finalidad, nunca por lo que convenga en una disputa.
La recepción, verificación, conservación y eliminación de reportes de score emitidos por personas titulares, y las operaciones accesorias estrictamente necesarias para esas finalidades.
Mientras dure la relación entre las partes y, respecto de cada reporte, mientras esté vigente la finalidad que la persona autorizó. Las obligaciones de confidencialidad, de notificación de brechas y de eliminación sobreviven a la terminación.
Identificador seudónimo, score, factores en bandas, ventana de validez, versión del motor y referencia del consentimiento. En el carril de financiamiento, además, la solicitud formulada por la persona y el verdicto de viabilidad. No se transfieren datos sensibles ni datos financieros de detalle.
Personas usuarias del producto que hayan emitido voluntariamente un reporte hacia la organización aliada. Ninguna otra.
La parte encargada trata los datos únicamente conforme a las instrucciones documentadas de la responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal, en cuyo caso lo informa antes de cumplirla si la ley lo permite. Si considera que una instrucción infringe la normativa de protección de datos, debe informarlo sin demora en lugar de ejecutarla.
Solo accede al dato el personal que lo necesita para su función, bajo obligación de confidencialidad escrita o legal que sobrevive al fin de su relación laboral, y con formación suficiente en protección de datos.
Cifrado en tránsito y en reposo, control de acceso por mínimo privilegio con registro, autenticación robusta, capacidad de restaurar la disponibilidad tras un incidente, y un proceso de verificación periódica de la eficacia de estas medidas. Las medidas se revisan ante todo cambio material en el riesgo.
La parte encargada no subcontrata sin autorización previa y escrita. Autorizada, impone al subencargado por contrato las mismas obligaciones de este acuerdo y responde plenamente por su cumplimiento. Debe informar toda incorporación o sustitución de un subencargado con antelación suficiente para permitir una oposición fundada.
La parte encargada asiste a la responsable, con medidas técnicas y organizativas apropiadas, para atender solicitudes de derechos de las personas titulares, para realizar evaluaciones de impacto y para consultas previas ante la autoridad. Traslada sin demora toda solicitud de una persona titular que reciba directamente, sin responderla por su cuenta.
La parte encargada notifica a la responsable toda vulneración de seguridad que afecte datos personales sin demora indebida y en todo caso dentro de las setenta y dos horas de conocerla, describiendo su naturaleza, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas. Notifica con lo que sepa; no espera a saberlo todo.
Al terminar la prestación, la parte encargada elimina o devuelve, a elección de la responsable, todos los datos personales, y elimina las copias existentes salvo las que una obligación legal exija conservar, informando cuáles y por qué. La eliminación se certifica por escrito dentro de los treinta días.
La parte encargada pone a disposición de la responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permite auditorías, incluidas inspecciones, con aviso previo razonable y sin interrumpir su operación. Una certificación independiente vigente puede sustituir la inspección cuando cubra el mismo alcance.
Toda transferencia fuera de El Salvador se realiza a jurisdicciones con nivel de protección comparable o al amparo de garantías adecuadas, incluidas cláusulas contractuales tipo. La parte encargada no transfiere datos a otra jurisdicción sin autorización previa y escrita de la responsable.
Cada parte responde por el daño causado por un tratamiento que infrinja la normativa aplicable o las instrucciones de la responsable. La limitación de responsabilidad de los Términos para Aliados no se aplica a las obligaciones de este acuerdo.
En caso de conflicto entre este acuerdo y cualquier otro documento entre las partes, prevalece este acuerdo en todo lo relativo a protección de datos personales. En lo demás rigen los Términos para Aliados.
Primera publicación del Acuerdo de Tratamiento de Datos para Aliados, con roles, instrucciones, medidas de seguridad, subcontratación, asistencia, notificación de brechas, devolución y auditoría.
Para eliminar tu cuenta y datos personales, visita eliminar mi cuenta.