Acuerdo de Tratamiento de Datos de elastudio

Esta es una traducción al español, solo para tu información, y no es una versión oficial. Este DPA existe oficialmente en inglés y en portugués de Brasil. Si hay alguna diferencia, para los Estudios en Brasil prevalece la versión en portugués y, en todos los demás casos, la versión en inglés (sección 1.6). El Anexo 3 existe solo en portugués, que es la versión vinculante.

Versión 1.5. Fecha de entrada en vigor: 27 de octubre de 2026. La versión 1.5 no cambia ningún derecho ni obligación del Estudio: la sección 1.2 nombra el Espacio Económico Europeo, la sección 1.6 dice que las traducciones son solo para información y la sección 14 indica los idiomas del soporte. Reemplaza la versión 1.4 (vigente antes, el mismo 27 de octubre de 2026), la versión 1.3 (vigente del 22 de octubre de 2026 al 26 de octubre de 2026), la versión 1.2 (vigente del 15 de octubre de 2026 al 21 de octubre de 2026), la versión 1.1 (vigente antes, el mismo 15 de octubre de 2026) y la versión 1.0 (vigente del 13 de octubre de 2026 al 14 de octubre de 2026). Para un Estudio que aceptó una versión anterior, la versión 1.5 se aplica cuando el Estudio la acepta; hasta entonces se aplica la versión anterior, y no se pueden conectar Brevo ni Focus NFe.

Este Acuerdo de Tratamiento de Datos (el “DPA”) forma parte de los Términos de Servicio de elastudio para Estudios (los “Términos”) celebrados entre:

• el Estudio, el negocio que usa elastudio, identificado en su cuenta (nombre, número de identificación fiscal como CNPJ, CPF o número de empresa, dirección y contacto), que actúa como responsable (en portugués, controlador); y
• Edilson Brito Bezerra Junior, que opera como BRITO.AI, empresa unipersonal (sole proprietorship) registrada en Ontario, Canadá, que opera elastudio (“elastudio”), y que actúa como encargado (en portugués, operador). BRITO.AI está registrado conforme a la Business Names Act de Ontario. Número de registro de GST/HST: 786293639 RT0001. Dirección postal: 73 Watt Street, Guelph, Ontario N1E 6W6, Canada.

El Estudio acepta este DPA cuando acepta los Términos, o al firmarlo. elastudio guarda un registro de la versión aceptada, de cuándo y por quién fue aceptada, y de los datos del Estudio usados para completar el Anexo 3, y le entrega una copia al Estudio.

1. Objeto y alcance

1.1 Este DPA se aplica siempre que elastudio trata datos personales por cuenta del Estudio para prestar elastudio (“Datos Personales del Estudio”). El Anexo 1 describe ese tratamiento.

1.2 Está redactado para cumplir:

• la Lei Geral de Proteção de Dados de Brasil (Ley 13.709/2018, “LGPD”) y los reglamentos de la ANPD, incluidas la Resolução CD/ANPD nº 15/2024 (incidentes de seguridad) y la nº 19/2024 (transferencias internacionales);
• la Personal Information Protection and Electronic Documents Act de Canadá (“PIPEDA”) y, para los Estudios en Alberta y Columbia Británica, las leyes de protección de información personal de esas provincias;
• la California Consumer Privacy Act (“CCPA”), cuando se aplique al Estudio; y
• cualquier otra ley de protección de datos que se aplique al tratamiento del Estudio, en la medida en que esa ley exija cláusulas en un contrato con un encargado.

Actualmente elastudio no acepta Estudios en Quebec, la Unión Europea, el resto del Espacio Económico Europeo (Islandia, Liechtenstein y Noruega) ni el Reino Unido. Antes de hacerlo, agregará las cláusulas que esas leyes exigen (para la UE, el EEE y el Reino Unido, las cláusulas contractuales tipo) y lo informará a los Estudios existentes.

1.3 Términos como “datos personales”, “tratamiento”, “responsable”, “encargado”, “titular” e “incidente de seguridad” tienen el significado que les da la ley aplicable. Según la LGPD, “encargado” significa operador. “Subencargado” significa otro encargado que elastudio contrata para tratar Datos Personales del Estudio. “Incidente de seguridad” significa cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de los Datos Personales del Estudio.

1.4 Orden de prelación. Respecto de los Datos Personales del Estudio, este DPA prevalece sobre los Términos. Respecto de los datos personales sujetos a la LGPD, las cláusulas contractuales tipo de la ANPD del Anexo 3 prevalecen sobre todo lo demás, incluido este DPA.

1.5 Cuando elastudio es responsable. elastudio es responsable (no encargado) de los datos de los dueños y del equipo de los estudios que necesita para operar y facturar las cuentas, de los visitantes de su propio sitio web y de sus contactos de marketing. Ese tratamiento se describe en la Política de Privacidad de elastudio, no en este DPA. elastudio es responsable de los datos de las cuentas y la facturación del equipo, y encargado de los datos del equipo que el Estudio administra en su horario.

1.6 Idioma. Este DPA está disponible en inglés y en portugués de Brasil. Para los Estudios en Brasil, prevalece la versión en portugués; en los demás casos, prevalece la versión en inglés. El Anexo 3 existe solo en portugués, que es la versión vinculante. elastudio puede publicar traducciones a otros idiomas, como esta al español, solo para información; una traducción no es vinculante y no prevalece, salvo que una ley que no se puede renunciar por contrato exija otra cosa.

2. Las instrucciones del Estudio

2.1 elastudio trata los Datos Personales del Estudio solo según las instrucciones documentadas del Estudio. Los Términos, este DPA y el uso y la configuración de elastudio por parte del Estudio (por ejemplo, invitar al equipo, importar alumnos, enviar mensajes, eliminar a un alumno) constituyen las instrucciones completas del Estudio. Estas instrucciones incluyen las transferencias internacionales descritas en la sección 11. Cualquier otra instrucción debe acordarse por escrito.

2.2 elastudio informará al Estudio sin demora si, en su opinión, una instrucción infringe la ley de protección de datos, y podrá negarse a cumplirla.

2.3 Si una autoridad pública o un tribunal exige a elastudio que dé acceso a Datos Personales del Estudio, elastudio: (a) lo notificará al Estudio y, para los datos sujetos a la LGPD, a los titulares afectados, salvo que la ley del país donde se tratan los datos lo prohíba (Anexo 3, Cláusula 19.1); (b) tomará las medidas legales disponibles, incluidas las acciones judiciales, cuando exista una base legal adecuada para impugnar la solicitud o una prohibición de notificar (Cláusula 19.2); (c) revelará solo lo mínimo exigido; y (d) guardará un registro de cada solicitud de este tipo (fecha, solicitante, finalidad, datos solicitados, número de solicitudes y medidas legales tomadas) y lo entregará al Estudio o a la ANPD cuando lo soliciten (Cláusula 19.3). Si la ley exige a elastudio tratar Datos Personales del Estudio de cualquier otra forma, elastudio lo informará primero al Estudio, salvo que la ley lo prohíba.

2.4 elastudio no venderá ni compartirá Datos Personales del Estudio con fines publicitarios, no los usará para sus propios fines y no los combinará con datos de otras fuentes, salvo en la medida necesaria para prestar elastudio. Cuando se aplique la CCPA, elastudio es el proveedor de servicios (service provider) del Estudio, y el Estudio revela Datos Personales del Estudio solo para los fines comerciales del Anexo 1 (“Finalidades”). elastudio no: (a) los venderá ni compartirá, según el significado que la CCPA da a esas palabras; (b) los conservará, usará ni revelará para ningún fin, incluido cualquier fin comercial, distinto de esos fines comerciales o de lo que la CCPA permita de otro modo; (c) los conservará, usará ni revelará fuera de la relación comercial directa con el Estudio; ni (d) los combinará con información personal de otras fuentes, salvo en lo que permitan los reglamentos de la CCPA. elastudio cumplirá la CCPA y dará a los Datos Personales del Estudio el mismo nivel de protección de la privacidad que exige la CCPA; notificará al Estudio si ya no puede cumplir estas obligaciones; y permite que el Estudio, previo aviso, tome medidas razonables y apropiadas para asegurar un uso coherente con las obligaciones del Estudio según la CCPA y para detener y remediar el uso no autorizado. elastudio obliga a sus subencargados a cumplir estas condiciones.

2.4A Lo que elastudio mismo puede ver y usar. Para operar, dar soporte y facturar la cuenta del Estudio, elastudio puede (a) ver los nombres y datos de contacto del dueño y del equipo del Estudio, datos de los que elastudio es responsable (sección 1.5), y (b) calcular, por instrucción del Estudio, conteos y totales para el Estudio (por ejemplo, número de alumnos, reservas y ventas en un mes) que no identifican a ningún alumno ni pueden usarse para identificarlo, y que por lo tanto son datos anonimizados según el artículo 12 de la LGPD. elastudio los usa solo para operar, proteger, dar soporte, facturar y mejorar elastudio, nunca para contactar a los alumnos, y nunca los vende.

2.5 El Estudio es responsable de la licitud del tratamiento que instruye, lo que incluye contar con una base legal válida (y, para las notas de salud, el consentimiento específico y destacado del artículo 11 de la LGPD, u otra base que ese artículo permita), obtener el consentimiento de un padre, madre o tutor para los alumnos menores de 18 años (artículo 14 de la LGPD), entregar a sus alumnos un aviso de privacidad, publicar la información sobre la transferencia internacional que exige el Anexo 3, y de la exactitud de los datos que proporciona.

3. Confidencialidad

elastudio asegura que toda persona a la que autoriza a tratar Datos Personales del Estudio esté obligada a mantener la confidencialidad. Hoy esa persona es una sola, Edilson Brito Bezerra Junior. Cualquier futuro empleado o contratista quedará obligado por escrito antes de recibir acceso, y recibirá acceso solo a lo que su trabajo requiera.

4. Seguridad

4.1 elastudio aplica las medidas técnicas y organizativas del Anexo 2, adecuadas al riesgo, incluidas las que corresponden a datos sensibles como las notas de salud y a datos de niños y adolescentes.

4.2 elastudio puede actualizar esas medidas, siempre que el nivel general de protección no disminuya.

5. Subencargados

5.1 El Estudio otorga a elastudio una autorización general para contratar subencargados. La lista vigente, con lo que hace cada uno y dónde, está publicada en elastudio.app/legal/subprocessors y se adjunta como Lista de subencargados.

5.2 elastudio dará un aviso con al menos 30 días de anticipación antes de agregar o reemplazar un subencargado, por correo electrónico al dueño del Estudio y mediante la actualización de la lista. El Estudio puede oponerse por escrito dentro de ese plazo por motivos razonables de protección de datos. Las partes discutirán la objeción de buena fe. Si elastudio no puede evitar razonablemente usar el nuevo subencargado para el Estudio, el Estudio puede terminar los Términos antes de que el cambio entre en vigor y obtener el reembolso de las tarifas pagadas por adelantado correspondientes al período no utilizado.

5.3 En una emergencia (por ejemplo, si un proveedor deja de prestar el servicio de forma repentina), elastudio puede reemplazar un subencargado con un aviso más corto, y lo informará al Estudio lo antes posible, con el mismo derecho de oposición. Respecto de los Datos Personales del Estudio sujetos a la LGPD, elastudio usará un reemplazo de emergencia antes de que termine el plazo de aviso de 30 días solo si ese proveedor ofrece otro mecanismo de transferencia válido según la Cláusula 18.3 del Anexo 3; de lo contrario, suspenderá la función afectada hasta que termine el plazo de aviso.

5.4 elastudio obliga a cada subencargado mediante un contrato escrito que le exige tratar los Datos Personales del Estudio solo según las instrucciones de elastudio, mantenerlos confidenciales y seguros, informar los incidentes de seguridad, ayudar con las solicitudes de los titulares, eliminarlos al final del servicio y controlar a sus propios subencargados. elastudio sigue siendo plenamente responsable ante el Estudio por el desempeño de sus subencargados.

5.5 Stripe. Los pagos usan la propia cuenta de Stripe del Estudio, conforme al propio contrato del Estudio con Stripe. Para ese tratamiento, Stripe actúa según su contrato con el Estudio. elastudio envía datos de los alumnos (nombre, correo electrónico, compra) a la cuenta de Stripe del Estudio según las instrucciones del Estudio. Stripe no es subencargado de elastudio, y la sección 5.4 no se le aplica; la lista de subencargados la muestra como un proveedor que el Estudio contrata directamente.

5.6 Brevo. El marketing por correo electrónico mediante Brevo es opcional y ocurre solo cuando el Estudio conecta su propia cuenta de Brevo (Sendinblue SAS, Francia), conforme al propio contrato del Estudio con Brevo. Para ese tratamiento, Brevo actúa según su contrato con el Estudio; elastudio no tiene contrato con Brevo. Según las instrucciones del Estudio, elastudio mantiene la lista de Brevo elegida por el Estudio en sintonía con el consentimiento de los alumnos para el marketing por correo electrónico: envía a los alumnos de 18 años o más que lo aceptaron (correo electrónico, nombre y los demás campos indicados en la lista de subencargados; nunca alumnos menores de 18 años); cuando un alumno retira su consentimiento, elimina el contacto y lo vuelve a crear solo con la dirección de correo electrónico, en la lista de bloqueo; saca a los alumnos de la lista cuando se archivan o su dirección queda suprimida, los actualiza cuando cambia su dirección, los elimina cuando se elimina al alumno, y registra en elastudio la baja de un alumno que Brevo informe. Brevo no es subencargado de elastudio, y la sección 5.4 no se le aplica; la lista de subencargados la muestra como un proveedor que el Estudio contrata directamente. Al conectar Brevo, el Estudio instruye a elastudio a realizar esta transferencia y confirma que su contrato con Brevo exige a Brevo observar garantías equivalentes a las del Anexo 3 y, para un Estudio sujeto a la LGPD, constituye un mecanismo de transferencia válido según el artículo 33 de la LGPD.

5.7 Focus NFe. La emisión de facturas de servicios (NFS-e) mediante Focus NFe es opcional, existe solo para un Estudio en Brasil que vende en reales, y ocurre solo cuando el Estudio conecta su propia cuenta de Focus NFe (FOCUS NFE LTDA, CNPJ 07.504.505/0001-32, Brasil) con su propio token de API, conforme al propio contrato del Estudio con Focus NFe. Para ese tratamiento, Focus NFe actúa según su contrato con el Estudio; elastudio no tiene contrato con Focus NFe. El certificado digital del Estudio permanece en Focus NFe, y elastudio nunca lo tiene en su poder. Según las instrucciones del Estudio, por cada venta pagada por completo o cuando el equipo del Estudio lo solicite, elastudio envía a Focus NFe los datos que la factura necesita (el nombre del comprador; el CPF o CNPJ cuando se conoce o, para un comprador marcado como extranjero sin CPF, su número de identificación fiscal extranjero o el código que indica que no lo proporcionó; el correo electrónico del comprador solo cuando el Estudio eligió que la factura se envíe por correo electrónico; lo que se vendió, el monto y la fecha; y los datos fiscales propios del Estudio), como se describe en la lista de subencargados, y Focus NFe emite la factura ante el municipio o el sistema nacional de NFS-e. Cuando el Estudio activa la solicitud del documento en el pago, elastudio recopila en el pago el CPF o CNPJ del comprador, o la marca de extranjero y un número de identificación fiscal extranjero opcional, y lo guarda en el perfil del alumno para facturas posteriores; los borra del perfil cuando se elimina al alumno. No se envían datos personales sensibles de forma intencional; la descripción es el nombre del producto vendido, definido por el Estudio, que debe evitar nombres que revelen datos de salud. Las facturas emitidas son registros fiscales que el Estudio debe conservar según la ley tributaria brasileña; permanecen en la cuenta de Focus NFe del Estudio, conforme a su contrato con Focus NFe, y ante el municipio o el sistema nacional de NFS-e, y no se eliminan cuando se elimina a un alumno. Cuando el Estudio desconecta Focus NFe, elastudio elimina el token; las notas ya emitidas siguen listadas en elastudio, sin datos del comprador, y en la cuenta de Focus NFe del Estudio. Los documentos guardados en los perfiles de los alumnos permanecen hasta que se elimina al alumno, o hasta que el Estudio pida al soporte de elastudio que los borre. Cualquier transferencia de esos datos que Focus NFe realice fuera de Brasil la realiza el propio proveedor del Estudio, y el Estudio es responsable de su base según el artículo 33 de la LGPD. Focus NFe no es subencargado de elastudio, y la sección 5.4 no se le aplica; la lista de subencargados la muestra como un proveedor que el Estudio contrata directamente. Al conectar Focus NFe, el Estudio instruye a elastudio a realizar esta transferencia, confirma que su contrato con Focus NFe exige a Focus NFe observar garantías equivalentes a las del Anexo 3, y sigue siendo responsable, como responsable del tratamiento, de la base legal (su obligación legal y tributaria, artículo 7, II de la LGPD o, cuando las normas tributarias aplicables no exijan el documento del comprador, otra base que permita el artículo 7 de la LGPD, como el artículo 7, V) y de informar a sus alumnos, en su aviso de privacidad, que Focus NFe recibe sus datos.

6. Ayuda con las solicitudes de los titulares

6.1 elastudio da al Estudio herramientas de autoservicio para encontrar, exportar (JSON y CSV), corregir, anonimizar y eliminar los datos de un alumno, y para registrar y retirar consentimientos. Los alumnos también pueden descargar sus datos y solicitar su eliminación por sí mismos.

6.2 Si elastudio recibe una solicitud directamente de un alumno del Estudio, la trasladará al Estudio lo antes posible y dentro de 2 días hábiles (contados según el calendario de días hábiles de Brasil), y no la responderá por sí misma, salvo que el Estudio se lo pida o la ley lo exija. elastudio puede decirle al alumno que trasladó la solicitud y darle el contacto de privacidad del Estudio.

6.3 elastudio ayudará al Estudio, cuando las herramientas no sean suficientes, a cumplir sus plazos (por ejemplo, 15 días para las solicitudes según la LGPD y el Anexo 3, y 30 días según PIPEDA).

7. Incidentes de seguridad

7.1 elastudio notificará al Estudio sin demora indebida: dentro de las 24 horas cuando el incidente pueda implicar un riesgo relevante para los titulares, y en todo caso dentro de las 48 horas desde que tome conocimiento de un incidente de seguridad que afecte a Datos Personales del Estudio. Esto permite al Estudio cumplir sus propios plazos: según la Resolução CD/ANPD nº 15/2024 y el Anexo 3, el responsable debe notificar a la ANPD y a los titulares dentro de 3 días hábiles cuando un incidente pueda causarles un riesgo o daño relevante; según PIPEDA (y, en Alberta, su ley provincial), el responsable debe informar una vulneración que cree un riesgo real de daño significativo al Privacy Commissioner (en Alberta, al Commissioner provincial) y notificar a las personas afectadas tan pronto como sea factible. Las partes prevén cumplir el plazo de 3 días hábiles sin depender de ningún plazo ampliado para pequeñas empresas.

7.2 La notificación incluirá, en la medida en que se conozca en ese momento (y se actualizará a medida que se sepa más): qué ocurrió y cuándo; la fecha en que elastudio tomó conocimiento; si están involucrados datos sensibles (incluidas las notas de salud) o datos de niños, adolescentes o personas mayores; las medidas de seguridad que protegen los datos, incluido el cifrado; los motivos de cualquier demora; las categorías y el número aproximado de personas y registros afectados; las consecuencias y riesgos probables; las medidas tomadas o propuestas para contenerlo y corregirlo; y una persona de contacto.

7.3 elastudio sigue su plan escrito de respuesta a incidentes, toma medidas razonables para contener el incidente y limitar el daño, guarda un registro de cada incidente durante al menos cinco años (Resolução CD/ANPD nº 15/2024; esto también cumple los 24 meses de PIPEDA) y asiste al Estudio con las notificaciones a las autoridades y a las personas. Un resumen del plan está disponible para el Estudio si lo solicita. Hoy elastudio está a cargo de una sola persona; el plan cubre qué ocurre si esa persona no puede actuar, pero el Estudio debe saber que la respuesta depende de ella. Notificar al Estudio no constituye una admisión de culpa.

7.4 El Estudio decide si notifica a las autoridades y a los alumnos, y cómo hacerlo, y es la parte designada para ello en el Anexo 3, salvo que la ley exija a elastudio notificar directamente (por ejemplo, los deberes de informar vulneraciones de PIPEDA respecto de la información bajo el control de elastudio). Las partes coordinarán la redacción.

8. Evaluaciones de impacto y autoridades

elastudio dará al Estudio información y ayuda razonables para sus evaluaciones de impacto en la protección de datos (en Brasil, relatório de impacto à proteção de dados pessoais) y para sus gestiones ante las autoridades de protección de datos, incluida la ANPD.

9. Fin del servicio: devolución y eliminación

9.1 Mientras la cuenta esté activa, y durante 30 días después del cierre de la cuenta, el Estudio puede exportar todos los Datos Personales del Estudio en CSV y JSON.

9.2 Transcurridos esos 30 días, elastudio elimina los Datos Personales del Estudio de sus sistemas en funcionamiento. Las copias en las copias de seguridad se eliminan a medida que estas vencen, dentro de 30 días, y hasta entonces se mantienen aisladas y sin uso.

9.3 elastudio puede conservar Datos Personales del Estudio por más tiempo solo cuando la ley lo exija, y en ese caso solo esos datos, protegidos y para ningún otro fin. Los mensajes que un Estudio o un alumno envía a los buzones de soporte o de privacidad de elastudio se conservan hasta 3 años después del cierre de la solicitud, para demostrar cómo se gestionó, y luego se eliminan. Los registros propios del Estudio de ventas y recibos se conservan en su propia cuenta de Stripe, bajo su propio control.

10. Auditorías e información

10.1 elastudio pondrá a disposición la información necesaria para demostrar el cumplimiento de este DPA, incluidas sus medidas de seguridad, la lista de subencargados, los registros de las operaciones de tratamiento (artículo 37 de la LGPD) y, cuando estén disponibles, las evaluaciones de seguridad o los informes de auditoría independientes.

10.2 Si esa información no es suficiente para responder una pregunta razonable, o si una autoridad de protección de datos lo exige, el Estudio (o un auditor independiente obligado a mantener la confidencialidad, que no sea competidor de elastudio) puede auditar el cumplimiento de elastudio una vez cada 12 meses, con al menos 30 días de aviso por escrito, en horario laboral, a cargo del Estudio y sin acceso a datos de otros estudios. El límite de una vez cada 12 meses no se aplica a las auditorías exigidas por una autoridad de protección de datos ni a las posteriores a un incidente de seguridad. Las auditorías de los subencargados se basan en sus propias certificaciones e informes.

11. Transferencias internacionales

11.1 Dónde están los datos. elastudio se opera desde Canadá. Los Datos Personales del Estudio se almacenan en la base de datos y el almacenamiento de Cloudflare en el este de América del Norte. Cloudflare no ofrece una opción solo para Canadá, por lo que los datos deben considerarse almacenados en Estados Unidos. También los tratan los subencargados indicados, principalmente en Estados Unidos. elastudio informará al Estudio al menos 30 días antes de cambiar la región o el país de almacenamiento principal.

11.2 Desde Brasil: las cláusulas contractuales tipo de la ANPD. Cuando el Estudio está sujeto a la LGPD, las transferencias de Datos Personales del Estudio a elastudio fuera de Brasil se rigen por las cláusulas contractuales tipo aprobadas por la ANPD en el Anexo II de la Resolução CD/ANPD nº 19/2024, que se incorporan a este DPA, íntegramente y sin cambios, como Anexo 3. En esas cláusulas:

• el Estudio es el exportador y responsable (Exportador/Controlador) y elastudio es el importador y encargado (Importador/Operador);
• Cláusula 3, Opción B: elastudio puede realizar transferencias posteriores solo a los destinatarios indicados allí (los subencargados nombrados en la Cláusula 3, los mismos de la sección A de la Lista de subencargados; Stripe, que recibe datos de pago para la propia cuenta de Stripe del Estudio según las instrucciones del Estudio; Brevo, que recibe los datos de los alumnos que aceptaron recibir correos de marketing para la propia cuenta de Brevo del Estudio, solo cuando el Estudio conecta esa cuenta, según las instrucciones del Estudio; y Focus NFe, que recibe los datos necesarios para las facturas de servicios (NFS-e) del Estudio para la propia cuenta de Focus NFe del Estudio, solo cuando un Estudio en Brasil conecta esa cuenta, según las instrucciones del Estudio), para las finalidades indicadas, conforme a la Cláusula 18; los nuevos subencargados quedan autorizados solo mediante el aviso de 30 días de la sección 5;
• Cláusula 4, Opción A: el Estudio es la parte designada (Parte Designada) para publicar el documento de transparencia (Cláusula 14), responder las solicitudes de los titulares (Cláusula 15) y notificar los incidentes de seguridad a la ANPD y a los titulares (Cláusula 16); elastudio lo ayuda como lo describen la Sección IV del Anexo 3 y las secciones 6 y 7 de este DPA;
• Sección IV: las controversias sobre las cláusulas se someten a los tribunales del domicilio del Estudio en Brasil, según la ley brasileña.

Las partes aplican las cláusulas a todos los Datos Personales del Estudio sujetos a la LGPD, incluidos los datos que los alumnos, el equipo y el Estudio ingresan directamente por cuenta del Estudio mediante las páginas de reservas, el widget, el panel y las importaciones de elastudio, incluso cuando un flujo determinado pudiera ser, desde el punto de vista legal, una recopilación y no una transferencia. En cualquier caso, elastudio está sujeta a la LGPD según su artículo 3. El texto oficial en portugués de las cláusulas es la versión vinculante; este resumen, en inglés y en esta traducción al español, tiene fines informativos.

11.3 Transferencias posteriores. Para cada destinatario indicado en la Cláusula 3 del Anexo 3, elastudio se basa en un contrato escrito (sección 5.4; para Stripe, el contrato de plataforma Stripe Connect de elastudio y el propio contrato del Estudio con Stripe; para Brevo, el propio contrato del Estudio con Brevo; para Focus NFe, el propio contrato del Estudio con Focus NFe), como lo exige la Cláusula 18, y elastudio es responsable ante el Estudio del cumplimiento del destinatario, según lo previsto en la Cláusula 18.2(c). Cuando un subencargado ofrece las cláusulas contractuales tipo de la ANPD (hoy, Google, en su Cloud Data Processing Addendum), elastudio también se basa en ellas. La lista de subencargados indica el mecanismo de cada uno.

11.4 Transparencia en Brasil. elastudio entrega al Estudio, en portugués, el texto sobre la transferencia internacional que el Estudio debe publicar según la Cláusula 14 del Anexo 3 (está incluido en el modelo de aviso de privacidad para los alumnos), y una copia de las cláusulas completadas que el Estudio puede entregar a los titulares que la soliciten.

11.5 Desde Canadá. elastudio protege los Datos Personales del Estudio con protecciones contractuales comparables a las que exige PIPEDA, y da al Estudio la información que necesita para informar a sus alumnos que sus datos se almacenan fuera de Canadá.

11.6 Leyes de los países de destino. elastudio evaluó las leyes y prácticas de Canadá, de Estados Unidos y, en el caso de Brevo, de la Unión Europea que se aplican al tratamiento (Focus NFe es una empresa brasileña, sujeta a la ley brasileña) y no identificó ninguna que le impida cumplir el Anexo 3 (Cláusula 22.1); un resumen está disponible para el Estudio si lo solicita. elastudio notificará al Estudio de inmediato si un cambio en la ley afecta esto (Cláusula 22.2), o si incumple o no puede cumplir el Anexo 3 (Cláusula 23.1). El Estudio podrá entonces suspender la transferencia, pedir que los datos se devuelvan o eliminen, o terminar los Términos (Cláusula 23.2), con el reembolso de las tarifas pagadas por adelantado correspondientes al período no utilizado.

12. Responsabilidad

12.1 La responsabilidad de cada parte según este DPA está sujeta a los límites de la sección 13 de los Términos, en la medida en que la ley lo permita. Respecto de los datos personales sujetos a la LGPD, esos límites, la indemnización de la sección 14 de los Términos y la elección de ley y de tribunales de los Términos no se aplican a la responsabilidad que surja de un incumplimiento del Anexo 3 o de la ley brasileña de protección de datos, incluido el derecho de repetición entre las partes según la Cláusula 17.9. Nunca se aplican a los derechos de los titulares.

12.2 Esos límites no reducen ningún derecho de los titulares frente a cualquiera de las partes. Según el artículo 42 de la LGPD y la Cláusula 17 del Anexo 3, un encargado es solidariamente responsable con el responsable cuando infringe la ley de protección de datos o las cláusulas, o cuando no sigue las instrucciones lícitas del responsable. Cada parte responde ante la otra por la parte de cualquier daño causada por su propio incumplimiento. Cuando el daño surja de una relación de consumo entre el Estudio y un alumno, también se aplican las normas de responsabilidad del Código de Defensa del Consumidor de Brasil (artículo 45 de la LGPD).

13. Vigencia

Este DPA dura mientras elastudio trate Datos Personales del Estudio, incluidos los 30 días posteriores al cierre de la cuenta y hasta la eliminación según la sección 9. Las obligaciones que por su naturaleza continúan (confidencialidad, eliminación, incidentes descubiertos más tarde) subsisten.

14. Contactos

• Oficial de privacidad y encarregado de elastudio: Edilson Brito Bezerra Junior, privacidade@elastudio.app
• Incidentes de seguridad de elastudio: security@elastudio.app
• Soporte de elastudio: support@elastudio.app, solo en inglés y en portugués de Brasil
• Estudio: la dirección de correo electrónico de la cuenta del dueño, y el contacto de privacidad o encarregado que el Estudio registre en su configuración.

---

Anexo 1: Detalles del tratamiento

Elemento	Detalles
Objeto	Prestar al Estudio elastudio, una plataforma de reserva de clases y de gestión de estudios
Duración	La vigencia de los Términos, más 30 días para exportar después del cierre de la cuenta, más el vencimiento de las copias de seguridad (30 días)
Naturaleza del tratamiento	Recopilación mediante las páginas de reservas, el widget de reservas, las importaciones y los registros que hace el equipo del Estudio en el panel; almacenamiento; organización; visualización para el equipo del Estudio; envío de correos transaccionales; transmisión a la cuenta de Stripe del Estudio; cuando el Estudio conecta su propia cuenta de Brevo, transmisión a ella de los alumnos que aceptaron recibir correos de marketing, y actualizaciones y eliminaciones allí; cuando un Estudio en Brasil conecta su propia cuenta de Focus NFe, transmisión a ella de los datos de cada venta pagada necesarios para la NFS-e del Estudio; exportación; anonimización y eliminación
Finalidades	Gestionar el horario, las reservas, las listas de espera y las clases privadas del Estudio; vender y hacer seguimiento de paquetes y membresías; pagos mediante la cuenta de Stripe del Estudio; registrar los pagos por Pix hechos directamente a la cuenta bancaria del Estudio, según los confirme el equipo del Estudio; mensajes del Estudio a sus alumnos; mantener la propia lista de marketing por correo electrónico del Estudio en Brevo en sintonía con el consentimiento de los alumnos, cuando el Estudio la conecta; emitir las facturas de servicios (NFS-e) del Estudio mediante su propia cuenta de Focus NFe, cuando un Estudio en Brasil la conecta, para cumplir la obligación tributaria del Estudio; reportes; perfiles del equipo y perfiles públicos de los profesores del Estudio; fotos de perfil opcionales de los alumnos, para que el equipo del Estudio los reconozca; solicitudes de ejercicio de derechos; soporte y seguridad
Categorías de titulares	Los alumnos y posibles alumnos del Estudio, incluidos los invitados que reservan sin cuenta; las personas que asisten a clases privadas; los padres, madres o tutores de alumnos menores de 18 años; las personas que pagan por Pix directamente al banco del Estudio; el equipo y los profesores del Estudio
Categorías de datos personales	Alumnos: nombre, correo electrónico, teléfono (y si usa WhatsApp), idioma preferido, fecha de nacimiento (opcional), país y ciudad, línea de dirección, estado o provincia y código postal (opcionales), género (opcional: una opción de una lista o las propias palabras de la persona), contacto de emergencia (opcional), referencia del comprador para los recibos, CPF o CNPJ (opcional; para un Estudio en Brasil que emite NFS-e, puede solicitarse en el pago, o reemplazarse por una marca que indica que el alumno no tiene CPF por ser extranjero, con el número de identificación fiscal de su propio país si lo proporciona), cómo conoció al Estudio, etiquetas, notas del equipo, reservas, asistencia, compras, paquetes y membresías, estado de pago (sin números de tarjeta), registros de consentimiento y términos y exenciones de responsabilidad aceptados (con hora, dirección IP y navegador), registros de inicio de sesión, una contraseña que crea el alumno (opcional; almacenada solo como un hash con sal, nunca visible ni enviada por correo electrónico), una foto de perfil que agrega el propio alumno (opcional; privada: la ven solo el alumno y el equipo del Estudio, es decir, el dueño, los administradores y la recepción, y los profesores solo para los alumnos con reserva o en lista de espera en una clase que dictan; nunca se muestra a otros alumnos, en páginas públicas, en correos electrónicos ni en eventos de calendario; el equipo del Estudio no puede agregarla ni cambiarla). La dirección de una clase privada, cuando el alumno elige tenerla fuera del Estudio. Equipo y profesores: nombre, correo electrónico, rol, perfil público (foto, biografía, Instagram) si el Estudio lo publica, una foto de perfil que agrega la propia persona (opcional; también se muestra en su perfil de profesor cuando ese perfil no tiene foto propia), registro de actividad, opcionalmente género, línea de dirección, ciudad, estado o provincia y código postal (los ven solo el dueño y los administradores del Estudio y la propia persona) y, para los profesores que conectan Google Calendar, solo los períodos ocupados y libres. Padres, madres o tutores de menores: nombre, correo electrónico y el registro de consentimiento. Pix pagado directamente al banco del Estudio: el nombre del pagador y la fecha de pago, tal como los ingresa el equipo del Estudio al confirmar el pago, el monto y la referencia del cobro por Pix (elastudio no recibe, no lee ni guarda los correos electrónicos ni los extractos del banco)
Datos sensibles	Notas de salud (opcionales), que son datos de salud según el artículo 5, II de la LGPD. Un alumno agrega una solo después de marcar una casilla de consentimiento separada; cuando el equipo escribe o importa una nota, debe confirmar que el alumno (o, para un alumno menor de 18 años, un padre, madre o tutor) dio su consentimiento por escrito. Ambos se registran con fecha y versión. Visibles para el equipo autorizado del Estudio, nunca para otros alumnos. El género es opcional, nunca se exige para reservar y se oculta a los profesores; una descripción con las propias palabras de la persona puede revelar su orientación sexual o su vida sexual, por lo que el Estudio lo recopila solo como se describe en su aviso para los alumnos. Las fotos de perfil no se tratan por medios biométricos ni de reconocimiento facial y no se usan para identificar a nadie de forma automática; elastudio no lo hará sin una instrucción por escrito y una actualización de este Anexo
Niños	Los alumnos menores de 18 años no pueden registrarse por sí mismos (el registro propio exige confirmar que se tienen 18 años o más). El equipo puede agregar a un menor registrando el nombre, el correo electrónico y el consentimiento de un padre, madre o tutor. El Estudio es responsable de ese consentimiento, incluso para cualquier nota de salud o foto de perfil. No se hace marketing dirigido a menores
Frecuencia	Continua
Conservación	Según lo configure el Estudio y como se describe en la sección 9. La eliminación de un alumno anonimiza el perfil (se borran el nombre, el contacto, la foto de perfil, la contraseña (cuando la persona no tiene perfil en otro estudio), las notas, las notas de salud, el CPF, CNPJ o número de identificación fiscal extranjero y la marca de extranjero) y, en el mismo paso, elimina los datos personales del alumno en todo el resto de elastudio: los nombres de los pagadores en los pagos y en los cobros por Pix, los nombres de pila de los invitados, las direcciones de las clases privadas, los enlaces y códigos de inicio de sesión, el registro de correos electrónicos enviados al alumno, los archivos de exportación de datos, las suscripciones del alumno y su registro de cliente en la cuenta de Stripe del Estudio (mediante la API de Stripe, las suscripciones se cancelan y verifican, y luego se elimina el cliente, o se vacía cuando Stripe no permite eliminarlo; las facturas ya emitidas permanecen en Stripe como registro fiscal), y el contacto del alumno en la cuenta de Brevo del Estudio, cuando el Estudio conectó una. Las NFS-e ya emitidas son registros fiscales que el Estudio debe conservar según la ley tributaria brasileña; permanecen en la cuenta de Focus NFe del Estudio, conforme a su contrato con Focus NFe, y ante el municipio o el sistema nacional de NFS-e, y no se eliminan; el registro propio de elastudio de cada factura no guarda datos del comprador (solo el vínculo con el pedido, el número, el estado, el monto y la descripción). Si falla el paso de Stripe, elastudio sigue reintentando y avisa al Estudio después de 24 horas; la eliminación se informa como completa, y se envía el correo de confirmación al alumno, solo después de que todos los pasos se hayan completado con éxito. Las bajas del Estudio asociadas a la dirección de correo electrónico y al número de teléfono del alumno (cancelaciones de suscripción y quejas) se guardan solo como un hash con clave por Estudio, nunca la dirección o el número en sí, y se usan solo para asegurar que nunca se vuelva a enviar mensajes al alumno. Los registros de ventas se conservan sin la identidad del alumno, para la conservación legal del Estudio, y los registros de consentimiento y de documentos aceptados se conservan como prueba de lo que aceptó el alumno (quién, según el registro del alumno en el Estudio; qué documento y versión; en qué idioma; y cuándo), sin un plazo fijo mientras la cuenta del Estudio esté activa, porque el Estudio, como responsable, debe poder demostrar el consentimiento que obtuvo (artículo 8, párrafo 2 de la LGPD) y cumplir una obligación legal o regulatoria (Anexo 3, ítem 20.1(a)); cuando la cuenta se cierra, se exportan y eliminan junto con el resto de los Datos Personales del Estudio según la sección 9. La dirección IP y el navegador guardados con cada uno de estos registros se borran 5 años después de la última reserva del alumno en el Estudio (para el consentimiento de un padre, madre o tutor, la última reserva del menor de que se trate), o 5 años después de la fecha de aceptación si el alumno nunca reservó, y de las copias de seguridad a medida que vencen, dentro de 30 días. Las copias que guardan los proveedores de correo electrónico vencen según sus propios plazos (Resend, el remitente de respaldo: hasta 30 días, copias de seguridad hasta 7 días más) y no se eliminan antes cuando se elimina a un alumno; las direcciones que rebotan o generan quejas pueden mantenerse en la lista de supresión de Resend hasta que elastudio las quite. Eliminación automática: la dirección IP y el navegador de los registros de consentimiento y de aceptación 5 años después de la última reserva del alumno (o después de la fecha de aceptación, si el alumno nunca reservó), el registro de correos electrónicos a los 90 días, los archivos de exportación de datos a los 7 días, los reportes de errores y sus capturas de pantalla al año, las direcciones IP del registro de auditoría a los 12 meses, y los enlaces y códigos de inicio de sesión dentro del día siguiente a su vencimiento. La foto de perfil opcional de un miembro del equipo se conserva hasta que la persona la reemplaza o la quita o es borrada, y la foto de perfil opcional de un alumno hasta que el alumno la reemplaza o la quita o la cuenta del alumno se elimina o se borra; el archivo almacenado se elimina entonces de inmediato y no tiene copia de seguridad separada. El hash de la contraseña de un alumno se elimina cuando el alumno quita la contraseña o se elimina la cuenta
Ubicación	Base de datos y almacenamiento de Cloudflare en el este de América del Norte (considerado como Estados Unidos); elastudio operada desde Canadá; subencargados según la lista; cuando el Estudio conecta su propia cuenta de Brevo, Brevo en la Unión Europea; cuando un Estudio en Brasil conecta su propia cuenta de Focus NFe, Focus NFe, una empresa brasileña (sus propios términos rigen dónde aloja los datos e indican que algunas transferencias pueden ocurrir fuera de Brasil, sin nombrar los países)

Anexo 2: Medidas de seguridad técnicas y organizativas

1. Cifrado. Todo el tráfico usa HTTPS (TLS). Los datos en reposo están cifrados por el proveedor de alojamiento. Los secretos, como los tokens de inicio de sesión, las claves de conexión, los tokens de Google, la clave de API de Brevo de un Estudio y el token de API de Focus NFe de un Estudio, además los cifra elastudio (AES-GCM) antes de almacenarlos y nunca se vuelven a mostrar después de guardarse. El certificado digital del Estudio para la NFS-e permanece en Focus NFe; elastudio nunca lo tiene en su poder. Las notificaciones de baja que Brevo envía a elastudio se autentican con un token de portador (bearer token) aleatorio que elastudio guarda solo como hash.
2. Separación entre estudios. Cada registro indica el estudio al que pertenece; cada consulta se limita a ese estudio; las sesiones están vinculadas a un solo estudio. Se impide que un estudio lea los datos de otro, y pruebas automatizadas lo verifican antes de cada versión.
3. Control de acceso. El equipo del Estudio tiene roles con el mínimo privilegio (por ejemplo, los profesores ven solo los nombres de los alumnos, y la foto de perfil opcional de los alumnos con reserva o en lista de espera en sus clases, no sus contactos ni sus notas). Los reembolsos requieren un permiso específico. El acceso propio de elastudio a producción está limitado a una persona autorizada, mediante Cloudflare Access con inicio de sesión de Google y verificación en dos pasos, y queda registrado. elastudio consulta los datos de los alumnos de un Estudio solo para dar el soporte que el Estudio pidió, para resolver un problema o para proteger la seguridad. El back office interno de elastudio muestra los datos de contacto del dueño y del equipo, y conteos y totales que no identifican a ningún alumno (sección 2.4A). Si elastudio agrega una herramienta de acceso para soporte, esta requerirá la aprobación del dueño, tendrá un tiempo limitado, será de solo lectura por defecto y quedará registrada, y este Anexo se actualizará antes de usarla.
4. Autenticación. Inicio de sesión mediante enlace y código de un solo uso enviados por correo electrónico, o con Google. Los alumnos también pueden crear una contraseña opcional, almacenada solo como un hash con sal (PBKDF2), con intentos de inicio de sesión limitados. El dueño y el equipo del Estudio pueden iniciar sesión con contraseña solo junto con la verificación en dos pasos mediante una app de autenticación (códigos de un solo uso basados en el tiempo; la contraseña almacenada como un hash PBKDF2 con sal, el secreto compartido cifrado con AES-GCM, los códigos de respaldo guardados solo como hashes, cada código aceptado una sola vez, los códigos incorrectos limitados por persona y por dirección de red, y un correo electrónico a la persona en cada cambio). No se generan ni se envían contraseñas por correo electrónico. Las sesiones usan cookies seguras y HttpOnly, y los tokens del widget integrado son de corta duración y se rotan con detección de reutilización.
5. Pagos. Los datos de tarjeta nunca llegan a elastudio; se ingresan directamente en Stripe, un proveedor de servicios PCI DSS de Nivel 1.
6. Registro y auditoría. Las acciones relevantes para la seguridad (importaciones, reembolsos, cambios en el equipo, eliminaciones de datos, acceso de soporte, cambios de contraseña y de verificación en dos pasos, y restablecimientos del inicio de sesión hechos por soporte) se escriben en un registro de auditoría de solo anexado.
7. Minimización de datos. La dirección, la ciudad, el estado o provincia, el código postal y el género en los perfiles de alumnos, del equipo y de profesores son opcionales, nunca se exigen para reservar y se ocultan a los profesores; los datos del equipo y de los profesores los ven solo el dueño y los administradores del Estudio y la propia persona; la ubicación de una clase privada se guarda solo en esa clase. Las notas de salud son opcionales y requieren un consentimiento registrado. Los calendarios de los profesores se leen solo como períodos ocupados y libres. A los reportes de errores se les quitan automáticamente los datos de contacto antes de enviar cualquier texto al proveedor de clasificación por IA, y las capturas de pantalla nunca salen del almacenamiento de elastudio. A las fotos de perfil se les quitan la ubicación, los datos de la cámara y otros detalles ocultos antes de almacenarlas.
8. Resiliencia y copias de seguridad. Alojamiento en la red de Cloudflare. La base de datos tiene recuperación a un punto en el tiempo durante 30 días (Cloudflare D1 Time Travel en el plan Workers Paid) y copias de seguridad nocturnas conservadas durante 30 días. Los archivos almacenados (Cloudflare R2) no tienen copia de seguridad separada.
9. Desarrollo seguro. Los cambios se verifican con pruebas automatizadas (incluidas pruebas de seguridad) y se revisan antes de cada versión; las dependencias se auditan.
10. Respuesta a incidentes. Un plan escrito de respuesta a incidentes con roles, niveles de gravedad, pasos de contención y los plazos de la sección 7; un registro de incidentes conservado durante al menos cinco años; una revisión posterior después de cada incidente.
11. Gestión de subencargados. Los proveedores se eligen por sus certificaciones de seguridad (por ejemplo, Cloudflare: SOC 2 Type II e ISO 27001; Stripe: PCI DSS de Nivel 1) y quedan obligados por condiciones escritas de tratamiento de datos.
12. Personas. Obligaciones de confidencialidad; inicio de sesión en dos pasos en todas las cuentas administrativas (Cloudflare, Stripe, Google, GitHub, gestor de contraseñas).

Anexo 3: Cláusulas contractuales tipo de la ANPD (Brasil)

El Anexo 3 se publica como un documento separado en portugués: Anexo 3: Cláusulas-padrão contratuais da ANPD (elastudio.app/legal/dpa/anpd-clauses). Reproduce las Secciones I, II y III del Anexo II de la Resolução CD/ANPD nº 19/2024 íntegramente y sin cambios, completadas con la información de la sección 11.2 de este DPA, y agrega la Sección IV (cláusulas adicionales). Forma parte de este DPA. Si la ANPD modifica o reemplaza las cláusulas, las partes adoptarán la nueva versión dentro del plazo que fije la ANPD, y elastudio lo informará al Estudio.