Acuerdo de Procesamiento de Datos (DPA)

Versión: 1.1.0-draft

Estado: DRAFT — propuesta pendiente de aprobación por la dirección y counsel. No es vinculante hasta su publicación como versión 1.1.0.

Última actualización: 5 de noviembre de 2026

Vigencia desde: TBD (al confirmar revisión legal)

1. Partes y objeto

Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre:

• Responsable del tratamiento: la empresa u organización que contrata Licitar y acepta este DPA (el "Cliente" o el "Responsable").
• Encargado del tratamiento: Xipher Labs S.R.L., CUIT 30-71938806-6, operadora de la plataforma Licitar ("Licitar" o el "Encargado").

Regula el tratamiento de datos personales que Licitar realiza por cuenta del Cliente al prestar el servicio contratado. Complementa los Términos y Condiciones y la Política de Privacidad, y, para el plan Enterprise, el SLA. Ante un conflicto sobre protección de datos, prevalece este DPA.

Los datos que Licitar trata como responsable propio (por ejemplo, la gestión de la cuenta, la facturación y el cumplimiento de obligaciones fiscales) se rigen por la Política de Privacidad.

2. Marco normativo

• Argentina: Ley 25.326 de Protección de los Datos Personales, su Decreto Reglamentario 1558/2001, las disposiciones de la Agencia de Acceso a la Información Pública (AAIP) —en particular la Disposición 60/2016 sobre transferencias internacionales y la Resolución 47/2018 sobre medidas de seguridad— y el Convenio 108 del Consejo de Europa ratificado por la Ley 27.483.
• Clientes con operaciones en la Unión Europea u otras jurisdicciones: cuando el tratamiento esté alcanzado por el Reglamento (UE) 2016/679 ("RGPD") u otra norma equivalente, Licitar cumple además las obligaciones del artículo 28 del RGPD en la medida en que resulten aplicables a su rol de encargado, conforme a las cláusulas de este DPA.

3. Descripción del tratamiento

La información de licitaciones proviene de fuentes públicas y no constituye, en sí misma, tratamiento por cuenta del Cliente.

4. Obligaciones del Encargado

Licitar se compromete a:

• Instrucciones: tratar los datos únicamente según las instrucciones documentadas del Cliente, que son este DPA, los Términos y la configuración que el Cliente haga en la plataforma. Si una instrucción infringe la normativa, Licitar lo informará sin demora y podrá abstenerse de cumplirla.
• Finalidad: no utilizar los datos para fines propios distintos del servicio, no venderlos ni cederlos, y no utilizarlos para entrenar modelos de IA de terceros.
• Confidencialidad: asegurar que el personal con acceso esté sujeto a obligaciones de confidencialidad, acceda con el mínimo privilegio necesario y reciba capacitación sobre protección de datos. El deber de confidencialidad subsiste tras la terminación (artículo 10 de la Ley 25.326).
• Seguridad: aplicar las medidas de la sección 6.
• Asistencia: asistir al Cliente, en la medida razonable, para responder solicitudes de acceso, rectificación, actualización, supresión y oposición de los titulares (artículos 14 a 16 de la Ley 25.326), y en evaluaciones de impacto y consultas con la autoridad de control. Si Licitar recibe una solicitud directamente de un titular, la derivará al Cliente sin responderla, salvo obligación legal.
• Registro: mantener un registro de las actividades de tratamiento realizadas por cuenta del Cliente.

5. Obligaciones del Responsable

El Cliente se compromete a:

• contar con base legal para el tratamiento de los datos que carga y para instruir a Licitar;
• informar a sus usuarios y contactos sobre el uso de la plataforma;
• no cargar datos sensibles ni datos innecesarios para el servicio;
• mantener la confidencialidad de las credenciales de sus usuarios y administrar sus altas y bajas.

6. Medidas de seguridad

Licitar mantiene, como mínimo, las siguientes medidas técnicas y organizativas, que puede actualizar siempre que no reduzcan el nivel de protección:

• Cifrado: TLS 1.2 o superior en tránsito; cifrado en reposo de la base de datos y del almacenamiento de archivos; cifrado adicional a nivel de aplicación para credenciales de fuentes y estados de documentos.
• Aislamiento entre clientes: Row Level Security (RLS) en la base de datos para separar los datos de cada empresa.
• Control de acceso: autenticación con sesiones seguras, MFA disponible para los usuarios, acceso administrativo restringido a personal autorizado mediante roles con mínimo privilegio, y separación de credenciales de servicio.
• Protección de la aplicación: limitación de tasa, Content-Security-Policy, validación de firmas en webhooks entrantes y revisión de cambios antes de su despliegue.
• Continuidad: copias de seguridad automáticas de la base de datos y procedimientos documentados de recuperación.
• Monitoreo: registro de errores con enmascaramiento de datos personales, alertas operativas y registros de auditoría de acciones administrativas.
• Proveedores: evaluación de seguridad y acuerdos de tratamiento con cada subencargado.

7. Subencargados

El Cliente otorga una autorización general para que Licitar recurra a los siguientes subencargados. Licitar les impone por contrato obligaciones de protección de datos equivalentes a las de este DPA y responde ante el Cliente por su cumplimiento.

Infraestructura propia, no subencargados: el gateway de IA (LiteLLM) y la analítica de producto (PostHog) están auto-hospedados por Xipher Labs S.R.L. Las herramientas internas de gestión operativa (Linear, Telegram) reciben solo identificadores internos y enlaces, nunca el contenido del Cliente.

Cambios. Licitar informará por email a los administradores del Cliente, con al menos 15 días corridos de anticipación, la incorporación o el reemplazo de un subencargado. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si las partes no encuentran una alternativa, el Cliente puede rescindir el servicio afectado sin penalidad y con reintegro proporcional de lo pagado por adelantado.

8. Transferencias internacionales

Algunos subencargados tratan datos fuera de la República Argentina (sección 7). Para cada transferencia a un país que la AAIP no considera con nivel adecuado de protección (entre ellos, Brasil y EE.UU.), Licitar la ampara en las cláusulas contractuales modelo aprobadas por la Disposición AAIP 60/2016 o en otro mecanismo válido conforme al artículo 12 de la Ley 25.326.

Para clientes alcanzados por el RGPD: la Unión Europea reconoce a Argentina como país con nivel adecuado de protección (Decisión 2003/490/CE). Para las transferencias ulteriores desde Argentina a terceros países, Licitar aplica las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 o el mecanismo que corresponda, y las pone a disposición del Cliente que las solicite.

9. Incidentes de seguridad

• Licitar notificará al Cliente sin demora indebida y dentro de las 48 horas desde que confirme un incidente de seguridad que afecte datos personales tratados por cuenta del Cliente.
• La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las categorías y el volumen aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que no esté disponible se entregará por etapas.
• Licitar asistirá al Cliente para cumplir sus propias obligaciones de notificación a la autoridad de control y a los titulares, y documentará cada incidente con sus hechos, efectos y medidas correctivas.
• La notificación no implica reconocimiento de responsabilidad.

10. Auditorías

• Licitar pondrá a disposición del Cliente, una vez por año y a su pedido, la información necesaria para demostrar el cumplimiento de este DPA: respuestas a cuestionarios de seguridad, descripción de controles y, cuando existan, informes de auditoría de sus subencargados.
• Si esa información no fuera suficiente, o tras un incidente de seguridad, o a requerimiento de una autoridad, el Cliente podrá realizar una auditoría por sí o mediante un auditor independiente sujeto a confidencialidad, con 30 días de aviso, en horario hábil, sin acceso a datos de otros clientes y a su cargo.

11. Devolución y supresión

• Durante la vigencia, el Cliente puede exportar sus datos desde la plataforma o solicitar una exportación a soporte@licit.ar.
• Al terminar el contrato, Licitar mantendrá los datos disponibles para su devolución durante 30 días corridos y luego los suprimirá de sus sistemas activos dentro de los 90 días corridos siguientes a la terminación.
• Las copias de seguridad se eliminan en su ciclo ordinario de rotación, que no excederá los 90 días; mientras tanto permanecen protegidas y no se usan para ningún otro fin.
• Se exceptúan los datos que Licitar deba conservar por obligación legal (por ejemplo, la documentación fiscal), que se conservan solo por el plazo y para el fin exigidos.
• Licitar certificará la supresión si el Cliente lo solicita por escrito.

12. Responsabilidad

La responsabilidad de cada parte bajo este DPA se rige por las limitaciones pactadas en los Términos y Condiciones, salvo en la medida en que la ley aplicable no permita limitarla.

13. Vigencia

Este DPA rige mientras Licitar trate datos por cuenta del Cliente. Las obligaciones de confidencialidad, supresión y asistencia ante incidentes subsisten a la terminación.

14. Ley aplicable y jurisdicción

Este DPA se rige por las leyes de la República Argentina. Para los clientes alcanzados por el RGPD, las cláusulas de transferencia se rigen por la ley que ellas mismas determinen. Las controversias se someten a la jurisdicción pactada en los Términos y Condiciones.

15. Firma y contacto

Los clientes Enterprise pueden solicitar la versión para firma de este DPA a contacto@licit.ar. Consultas sobre protección de datos: privacidad@licit.ar.