Data Processing Addendum (DPA)
Versión 1.0 — mayo 2026
Este Addendum de Procesamiento de Datos forma parte del contrato de servicio entre vario Labs (procesador) y el cliente (responsable del tratamiento).
Objeto del procesamiento
vario procesa comunicaciones corporativas electrónicas (emails) exclusivamente para los fines del servicio de compliance contratado: detección de señales de riesgo, generación de alertas e investigación interna.
Subprocesadores
- Amazon Web Services (AWS): infraestructura de cómputo y almacenamiento (eu-west-1 / sa-east-1).
- AWS Bedrock: análisis de IA. Procesa embeddings y resúmenes semánticos (no el texto completo del mensaje) en la misma región AWS que tus datos (eu-west-1 o sa-east-1 según tu selección). Se rige por Standard Contractual Clauses cuando aplica transferencia internacional. AWS Bedrock Data Protection garantiza que los datos no se utilizan para entrenar modelos de base; vario tiene activado el opt-out correspondiente.
- Paddle: procesamiento de pagos (no accede a datos de comunicaciones).
- Clerk: gestión de identidad y autenticación (no accede a datos de comunicaciones).
Transferencias internacionales
Los datos no salen de la región elegida por el cliente (EU o LATAM Brasil). Las transferencias a subprocesadores están cubiertas por Standard Contractual Clauses (SCCs) bajo RGPD.
Derechos de auditoría
El cliente puede solicitar evidencia de cumplimiento (SOC 2, ISO 27001 en proceso). vario responde a solicitudes de auditoría dentro de 30 días hábiles.
Notificación de incidentes
Ante un incidente de seguridad confirmado que afecte tus datos, vario notifica a tu contacto de seguridad designado dentro de las 24 horas siguientes a la confirmación. La notificación describe el incidente, los datos potencialmente afectados, las medidas inmediatas de mitigación y el timeline de investigación. Para incidentes bajo GDPR/LGPD, vario asiste en la notificación regulatoria dentro de las 72 horas. Esta cláusula prevalece sobre cualquier disposición general de soporte.