Acuerdo de Tratamiento de Datos Personales

Fecha de entrada en vigor: 19 de julio de 2026

Este Acuerdo de Tratamiento de Datos Personales, el Acuerdo de Datos, forma parte de los Términos y Condiciones de qutu entre el Cliente y URUK SPACE SOCIEDAD ANONIMA CERRADA, también identificada como URUK SPACE S.A.C. y denominada Uruk Space.

El Acuerdo de Datos regula el tratamiento que Uruk Space realiza por cuenta del Cliente cuando este incorpora Datos del Cliente a qutu. Describe las instrucciones, responsabilidades, medidas de seguridad, subencargados, transferencias, asistencia, devolución y eliminación aplicables.

Al aceptar el paquete contractual de qutu, el Cliente acepta este Acuerdo de Datos. Si existe contradicción sobre protección o tratamiento de Datos del Cliente, este Acuerdo de Datos prevalece sobre las condiciones generales, salvo que una norma imperativa exija otra solución.

1. Partes, vigencia y alcance

1.1 Partes

Cliente es la persona jurídica o persona natural que contrata qutu para una actividad empresarial, comercial, profesional o de emprendimiento. Si el Cliente actúa como encargado de un tercero, también celebra este Acuerdo de Datos por cuenta de ese responsable en la medida en que tenga autoridad para hacerlo.

Uruk Space es URUK SPACE SOCIEDAD ANONIMA CERRADA, RUC 20615951073, con domicilio en Calle Los Libertadores 155, oficina 401, San Isidro, Lima, Perú.

1.2 Alcance

Este Acuerdo de Datos se aplica a los Datos del Cliente que Uruk Space trata para prestar qutu. No se aplica a datos que Uruk Space trate como responsable para sus propias finalidades de cuenta, contratación, facturación, soporte, seguridad, cumplimiento o defensa de derechos. Esos tratamientos se describen en el Aviso de Privacidad de qutu.

1.3 Duración

El Acuerdo de Datos entra en vigor cuando el Cliente acepta el paquete contractual y permanece vigente mientras Uruk Space trate Datos del Cliente, incluso durante la exportación, devolución, eliminación, respaldo o retención legal posterior a la terminación.

2. Definiciones

En este Acuerdo de Datos:

Datos del Cliente significa la información, incluidos datos personales, que el Cliente o sus Usuarios Autorizados envían, almacenan, reciben, generan o hacen accesible mediante qutu. Incluye archivos, conversaciones, registros, fuentes de recuperación, entradas y salidas de inteligencia artificial y acciones realizadas por herramientas autorizadas.

Datos Personales del Cliente significa los datos personales contenidos en los Datos del Cliente.

Incidente de Datos significa una vulneración de seguridad bajo control de Uruk Space o de un Subencargado que produzca destrucción, pérdida, alteración, acceso o comunicación accidental o ilícita de Datos Personales del Cliente.

Instrucciones Documentadas significa el contrato, este Acuerdo de Datos, las configuraciones, permisos, integraciones y acciones que el Cliente realiza mediante qutu, y cualquier instrucción escrita adicional que Uruk Space acepte expresamente.

Ley de Protección de Datos Aplicable significa la Ley 29733, el DS 016-2024-JUS y cualquier otra norma de privacidad, protección de datos o seguridad que resulte obligatoria para el tratamiento de Datos Personales del Cliente.

Responsable, encargado, titular de datos personales, tratamiento, transferencia y flujo transfronterizo tienen el significado que les atribuye la Ley de Protección de Datos Aplicable.

Subencargado significa un tercero contratado por Uruk Space para tratar Datos Personales del Cliente por cuenta del Cliente al prestar una parte de qutu.

Usuario Autorizado significa una persona a la que el Cliente permite usar su espacio de trabajo, sujeta a sus roles y permisos.

3. Roles de las partes

3.1 Rol del Cliente

El Cliente es responsable de los datos de sus clientes, prospectos, trabajadores, proveedores y demás personas incorporadas a qutu. Determina la finalidad, la base legal, los datos necesarios, las autorizaciones, los avisos, la conservación y las decisiones de negocio.

Si el Cliente trata datos por cuenta de otro responsable, el Cliente actúa como encargado y Uruk Space como subencargado. El Cliente declara que el responsable ha autorizado las Instrucciones Documentadas, la contratación de Uruk Space y el uso de Subencargados conforme a este Acuerdo de Datos.

3.2 Rol de Uruk Space

Uruk Space actúa como encargado o subencargado, según corresponda, respecto de los Datos Personales del Cliente. Trata esos datos únicamente para prestar, proteger y mantener qutu conforme a las Instrucciones Documentadas.

Uruk Space puede actuar como responsable respecto de metadatos mínimos de cuenta, facturación, seguridad, cumplimiento y defensa de derechos. No utilizará esa condición para apropiarse de los Datos del Cliente ni para una finalidad incompatible.

3.3 Sin transferencia de obligaciones imperativas

Este Acuerdo de Datos distribuye obligaciones entre las partes, pero no transfiere deberes que la ley imponga directamente a Uruk Space. Uruk Space conserva sus obligaciones como encargado, responsable de sus finalidades propias, proveedor de qutu y participante material del tratamiento.

4. Instrucciones y finalidad limitada

4.1 Instrucciones autorizadas

El Cliente instruye a Uruk Space a tratar Datos del Cliente para:

• Proporcionar las funciones y módulos que el Cliente habilita;

• Alojar, transmitir, organizar, buscar, exportar, respaldar y eliminar datos;

• Entregar mensajería e integraciones configuradas;

• Ejecutar recuperación, inteligencia artificial y herramientas dentro de permisos y reglas aprobados;

• Prestar soporte autenticado y resolver fallas;

• Proteger qutu, prevenir abuso y responder a incidentes; y

• Cumplir este Acuerdo de Datos y obligaciones legales aplicables.

Una configuración, solicitud API, acción de un Usuario Autorizado o aprobación dentro de qutu constituye una Instrucción Documentada cuando se mantiene dentro del contrato y de la función ofrecida.

4.2 Instrucciones adicionales

Una instrucción fuera del alcance ordinario requiere acuerdo escrito previo. Las partes definirán viabilidad, seguridad, plazo y costo. Uruk Space no está obligado a desarrollar una función o asumir una obligación no contratada.

4.3 Instrucciones ilícitas o inseguras

Uruk Space informará al Cliente si considera razonablemente que una instrucción infringe la Ley de Protección de Datos Aplicable, excede la autoridad del Cliente o crea un riesgo grave de seguridad, salvo prohibición legal. Podrá suspender únicamente el tratamiento afectado mientras las partes corrigen la instrucción.

4.4 Prohibiciones de uso independiente

Uruk Space no:

• Vende Datos del Cliente;

• Los usa para publicidad propia o de terceros ajena a qutu;

• Los combina con datos obtenidos para finalidades incompatibles;

• Crea perfiles independientes sobre las personas incluidas por el Cliente; ni

• Los usa para entrenar modelos de inteligencia artificial de propósito general.

Uruk Space puede generar estadísticas anónimas y agregadas para seguridad, capacidad, confiabilidad, facturación y reporte contractual, siempre que no identifiquen ni permitan reidentificar razonablemente al Cliente o a una persona.

5. Obligaciones del Cliente

El Cliente debe:

1. Tratar los datos conforme a la Ley de Protección de Datos Aplicable y a las reglas sectoriales que correspondan a su negocio;

2. Contar con una base legal válida, entregar los avisos y obtener y conservar los consentimientos o autorizaciones necesarios;

3. Registrar y mantener actualizados sus bancos de datos y flujos transfronterizos cuando resulte obligatorio;

4. Dar instrucciones lícitas, claras y compatibles con este Acuerdo de Datos;

5. Incorporar solo datos pertinentes, adecuados y no excesivos;

6. Mantener exactos los Datos del Cliente y atender las solicitudes sustantivas de los titulares;

7. Configurar roles, permisos, autenticación, canales, integraciones, conservación y controles de seguridad apropiados;

8. Proteger las cuentas, dispositivos, redes, credenciales, claves API y copias que mantenga fuera de qutu;

9. Informar a Uruk Space de una cuenta comprometida, instrucción no autorizada o incidente bajo control del Cliente;

10. Revisar las salidas de inteligencia artificial y conservar intervención humana en decisiones materiales;

11. No usar qutu para decisiones autónomas de empleo, crédito, diagnóstico, tratamiento médico, impuestos, contabilidad, planilla o derecho;

12. Respetar las reglas aplicables a menores y datos sensibles;

13. No cargar categorías prohibidas o datos que qutu no esté diseñado para tratar; y

14. Cooperar y proporcionar evidencia razonable cuando una autoridad, titular o Uruk Space la requiera legítimamente.

El Cliente responde por sus Usuarios Autorizados, sus configuraciones y los terceros que conecte. La declaración contractual de licitud es evidencia entre las partes, pero no reemplaza el consentimiento de un titular ni elimina las obligaciones directas de Uruk Space.

6. Obligaciones de Uruk Space

Uruk Space debe:

1. Tratar Datos Personales del Cliente únicamente conforme a Instrucciones Documentadas;

2. Limitar el acceso al personal y Subencargados que lo necesiten para una función autorizada;

3. Imponer deberes de confidencialidad y seguridad;

4. Mantener las medidas descritas en el Anexo 2;

5. Ayudar al Cliente con derechos, incidentes, evaluaciones, consultas y evidencia en la medida razonable y exigida por ley;

6. Mantener registros apropiados del tratamiento bajo su control;

7. Devolver, exportar o eliminar Datos del Cliente conforme a este Acuerdo de Datos;

8. Informar cambios de Subencargados conforme al procedimiento pactado;

9. No disminuir materialmente la seguridad global durante la vigencia; y

10. Informar si ya no puede cumplir una obligación material de protección de datos.

7. Confidencialidad y acceso

Uruk Space no accede, usa ni comunica Datos del Cliente salvo cuando resulte necesario para prestar o proteger qutu, ejecutar una solicitud autenticada, investigar o contener un incidente, cumplir una obligación legal o aplicar este Acuerdo de Datos.

Toda persona autorizada a tratar Datos del Cliente está sujeta a confidencialidad contractual o legal, recibe acceso por necesidad y debe cumplir las políticas aplicables. Los accesos privilegiados se limitan en alcance y tiempo y se registran de manera proporcional.

Si una autoridad solicita Datos del Cliente, Uruk Space:

• Verificará la competencia, validez y alcance de la solicitud;

• Procurará dirigirla al Cliente cuando sea legal y razonablemente posible;

• Informará al Cliente antes de entregar datos, salvo prohibición legal;

• Impugnará solicitudes manifiestamente inválidas o excesivas cuando exista fundamento razonable; y

• Entregará únicamente el mínimo exigible.

Uruk Space no proporciona acceso general, continuo o indiscriminado ni entrega claves destinadas a proteger los datos.

8. Seguridad de los datos

8.1 Medidas de Uruk Space

Uruk Space implementa y mantiene medidas técnicas, organizativas y contractuales apropiadas al riesgo, a la naturaleza de los datos y al estado de la técnica. El Anexo 2 describe las categorías de medidas aplicables.

Uruk Space puede actualizar esas medidas para responder a amenazas, tecnología o requisitos legales, siempre que la actualización no reduzca materialmente la protección global de qutu.

8.2 Responsabilidad compartida

La seguridad depende también de las decisiones del Cliente. El Cliente es responsable de:

• Asignar roles y revocar accesos oportunamente;

• Habilitar los controles disponibles que correspondan a su riesgo;

• Mantener seguros sus dispositivos, redes y credenciales;

• Revisar integraciones y proveedores elegidos;

• Conservar copias propias cuando su continuidad lo requiera; y

• No enviar datos por canales no aprobados.

Uruk Space no responde por una vulneración causada exclusivamente por credenciales compartidas, dispositivos comprometidos, una configuración insegura controlada por el Cliente, una integración elegida contra una advertencia clara o una acción fuera de qutu, sin perjuicio de cualquier falla concurrente atribuible a Uruk Space.

8.3 Evidencia de seguridad

A solicitud razonable y sujeta a confidencialidad, Uruk Space proporcionará información suficiente para demostrar el cumplimiento de este Acuerdo de Datos. Puede utilizar cuestionarios, resúmenes de controles, informes de pruebas, certificaciones o auditorías independientes cuando estén disponibles.

9. Incidentes de Datos

9.1 Aviso inmediato

Uruk Space notificará al Cliente de inmediato y sin demora indebida después de confirmar razonablemente un Incidente de Datos. Para facilitar que el Cliente cumpla sus plazos, Uruk Space procura emitir un aviso inicial dentro de las primeras 12 horas desde la confirmación interna y, en todo caso, no más tarde de 24 horas, salvo que la información disponible no permita todavía identificar al Cliente afectado.

Estos plazos son compromisos operativos entre las partes y no amplían los plazos legales del Cliente.

9.2 Contenido del aviso

El aviso incluirá, a medida que la información esté disponible:

• Naturaleza y fecha aproximada del incidente;

• Sistemas, organizaciones, categorías de datos y personas potencialmente afectadas;

• Consecuencias razonablemente previsibles;

• Medidas tomadas o previstas para contener, investigar y mitigar;

• Recomendaciones para el Cliente; y

• Punto de contacto para seguimiento.

Uruk Space puede entregar información por etapas. La comunicación inicial no constituye admisión de culpa o responsabilidad.

9.3 Cooperación

Uruk Space preservará evidencia, tomará medidas razonables para contener y remediar el incidente y asistirá al Cliente con la evaluación y las notificaciones aplicables. El Cliente sigue siendo responsable de sus decisiones como responsable, incluidas las notificaciones a la Autoridad Nacional de Protección de Datos Personales y a las personas afectadas dentro del plazo legal de 48 horas cuando corresponda.

Los intentos fallidos que no produzcan acceso, alteración, pérdida o comunicación de Datos del Cliente no constituyen un Incidente de Datos, aunque pueden registrarse y gestionarse como eventos de seguridad.

10. Derechos de los titulares

10.1 Responsabilidad de respuesta

El Cliente decide y comunica la respuesta respecto de Datos Personales del Cliente. qutu pone a disposición funciones razonables de búsqueda, acceso, exportación, rectificación, restricción y eliminación.

10.2 Solicitudes recibidas por Uruk Space

Si Uruk Space recibe una solicitud que identifica al Cliente o al espacio de trabajo:

• Preservará la fecha de recepción;

• Informará al solicitante que el Cliente controla esos datos;

• Trasladará la solicitud al Cliente dentro del plazo aplicable, procurando hacerlo el mismo día y no más tarde de tres días; y

• No responderá sobre el fondo sin autorización del Cliente, salvo obligación legal directa.

10.3 Asistencia

Tomando en cuenta la naturaleza del tratamiento, Uruk Space ayudará al Cliente a localizar, exportar, rectificar, bloquear o eliminar datos y a propagar la medida a los Subencargados aplicables. La asistencia ordinaria mediante funciones existentes está incluida en el servicio. Un trabajo extraordinario puede requerir acuerdo de alcance y costo cuando la ley lo permita.

11. Subencargados

11.1 Autorización general

El Cliente autoriza a Uruk Space a contratar los Subencargados identificados en el calendario aplicable y a incorporar nuevos Subencargados conforme a este apartado. Esta autorización no permite proveedores candidatos no aprobados para datos reales.

11.2 Condiciones

Antes de permitir tratamiento, Uruk Space:

• Evalúa razonablemente la seguridad y privacidad del Subencargado;

• Celebra un contrato escrito que limite acceso y finalidad;

• Impone obligaciones de protección equivalentes en lo sustancial a las aplicables a Uruk Space;

• Limita el acceso a lo necesario para el servicio contratado; y

• Mantiene responsabilidad frente al Cliente por el cumplimiento de las obligaciones que subcontrata, en la medida exigida por ley y contrato.

11.3 Información y cambios

El calendario identifica, según corresponda, entidad, servicio, finalidad, categorías de datos, país o alcance internacional y salvaguarda. Uruk Space informará un nuevo Subencargado material con al menos 15 días calendario de anticipación, salvo urgencia legal o de seguridad debidamente justificada.

El Cliente puede presentar una objeción documentada por motivos razonables de protección de datos dentro de los 10 días calendario siguientes al aviso. Las partes buscarán una alternativa razonable. Si no existe una alternativa comercial y técnicamente viable, el Cliente puede dejar de usar la función afectada o terminarla sin penalidad futura. La objeción no obliga a Uruk Space a desarrollar una infraestructura exclusiva ni autoriza el uso continuado de un proveedor ilícito.

11.4 Proveedores con finalidad independiente

Meta, WhatsApp, Culqi u otra integración elegida pueden actuar además como responsables independientes para determinadas finalidades. Esos tratamientos se rigen por sus propios términos y avisos. Solo actúan como Subencargados bajo este Acuerdo de Datos respecto de las actividades que efectivamente realizan por cuenta del Cliente o de Uruk Space.

12. Transferencias internacionales

El Cliente autoriza los flujos internacionales identificados en el calendario aplicable, sujeto a la Ley de Protección de Datos Aplicable.

Uruk Space:

• Mantendrá información sobre receptor, país o alcance internacional, finalidad, datos y salvaguarda;

• Usará contratos, cláusulas modelo, decisiones de adecuación, consentimiento, autorización o la excepción legal que corresponda;

• Aplicará medidas complementarias cuando el riesgo lo requiera; y

• Ayudará al Cliente con la información necesaria para registrar o comunicar sus propios flujos.

El Cliente es responsable de las inscripciones, comunicaciones y bases legales correspondientes a los bancos de datos que controla. Uruk Space es responsable de sus propios registros, contratos y garantías como encargado y respecto de sus bancos controlados.

Si el Cliente concluye razonablemente que un flujo carece de garantías exigibles, debe notificarlo. Las partes evaluarán medidas adicionales, cambio de función o terminación del tratamiento afectado.

13. Inteligencia artificial, WhatsApp y pagos

13.1 Inteligencia artificial

Las funciones de inteligencia artificial solo tratan Datos del Cliente para la tarea habilitada. Uruk Space usa proveedores aprobados, minimiza el contexto, aplica permisos y registra metadatos de seguridad. No usa Datos del Cliente para entrenar modelos de propósito general.

Las salidas son asistivas. El Cliente debe revisar decisiones materiales y no puede delegar exclusivamente en qutu decisiones de empleo, crédito, diagnóstico, tratamiento médico, contabilidad, impuestos, planilla o derecho.

Si el Cliente conecta una credencial propia, sigue siendo responsable de su contrato, facturación, cuota y selección del proveedor. Uruk Space continúa obligado a proteger la credencial y a operar su integración de manera segura.

13.2 WhatsApp

El Cliente controla sus canales, destinatarios, contenido y finalidad. Debe cumplir las condiciones de Meta y WhatsApp, brindar avisos, obtener consentimiento para comunicaciones comerciales cuando corresponda y respetar toda revocación y supresión.

qutu aplica separación entre canales de ventas e internos, identidad de remitente, permisos e idempotencia cuando la función lo exige. Meta y WhatsApp pueden tratar datos para finalidades propias de plataforma.

13.3 Pagos

Culqi recibe directamente los datos completos de tarjeta y puede tratarlos para operar el pago, prevenir fraude y cumplir obligaciones financieras. qutu recibe referencias limitadas. Los Datos del Cliente ordinarios no se entregan a Culqi para procesar una suscripción.

14. Auditorías, evaluaciones y autoridades

14.1 Revisión ordinaria

El Cliente puede solicitar una vez por año información razonable para verificar el cumplimiento, salvo que un incidente, una autoridad o un riesgo material justifique otra revisión. Uruk Space puede responder primero con documentación, informes o certificaciones disponibles.

14.2 Auditoría adicional

Si la documentación no resulta suficiente y la ley exige una auditoría adicional, las partes acordarán alcance, fecha, duración, auditor independiente, confidencialidad, seguridad y costo. La auditoría debe:

• Limitarse a sistemas y datos relevantes del Cliente;

• No comprometer datos de otros clientes ni secretos o seguridad;

• Realizarse durante horario razonable y con mínima interrupción; y

• Aceptar evidencia alternativa suficiente cuando una inspección directa crearía un riesgo desproporcionado.

El Cliente asume sus costos y los costos extraordinarios razonables de Uruk Space, salvo que la auditoría revele un incumplimiento material atribuible a Uruk Space o la ley prohíba cobrarlos.

14.3 Cooperación regulatoria

Uruk Space cooperará razonablemente con la Autoridad Nacional de Protección de Datos Personales y otras autoridades competentes. También asistirá al Cliente con evaluaciones de impacto, consultas previas o investigaciones en la medida en que la naturaleza del tratamiento y la información disponible lo permitan.

15. Devolución, exportación y eliminación

15.1 Durante el servicio

El Cliente puede acceder, corregir, exportar o eliminar Datos del Cliente conforme a las funciones, permisos y límites legales de qutu. Una eliminación irreversible solicitada mediante qutu constituye una Instrucción Documentada.

15.2 Al terminar

Salvo eliminación anterior válida, qutu proporciona una ventana de hasta 90 días calendario para acceso de solo lectura y exportación. Al finalizarla, Uruk Space elimina los Datos del Cliente en sistemas activos, incluidos archivos, embeddings, índices, credenciales y artefactos derivados, salvo una retención legal estrecha y documentada.

El Cliente debe descargar los datos que desee conservar antes del vencimiento. La ventana no posterga una solicitud individual válida de cancelación ni una obligación legal de eliminación.

15.3 Respaldos y evidencia mínima

Las copias de respaldo dejan de estar disponibles para el uso ordinario desde la supresión en vivo. Expiran mediante el ciclo documentado de respaldos y, salvo una retención legal específica, a más tardar dentro de los noventa días calendario siguientes a la supresión en vivo. Mientras existan, permanecen protegidas, no se utilizan para otra finalidad y no se restauran para reactivar el servicio ordinario de un Cliente eliminado. Cuando una restauración de seguridad reintroduzca temporalmente datos ya eliminados, los controles de supresión volverán a aplicarse antes de que esos datos se utilicen.

Uruk Space puede aislar y conservar únicamente evidencia mínima de contratación, pago, seguridad, derechos, eliminación o una retención legal válida durante el plazo aplicable. La exigencia de conservar trazabilidad no autoriza retener todo el contenido del Cliente.

15.4 Períodos operativos ordinarios

Salvo una instrucción válida de supresión anterior, una obligación legal específica o un calendario escrito más estricto aplicable al Cliente, rigen los siguientes períodos:

El máximo aplicable a una categoría no autoriza conservar datos que dejaron de ser necesarios ni sustituye una solicitud válida de supresión, una instrucción documentada más estricta o una obligación legal de eliminación.

15.5 Certificación

A solicitud razonable, Uruk Space proporcionará confirmación de la eliminación o un reporte de ejecución, sujeto a la información disponible y a límites de seguridad.

16. Responsabilidad y remedios

Cada parte responde por el incumplimiento de sus obligaciones y por los daños que le sean legalmente imputables.

El Cliente mantiene indemne a Uruk Space frente a reclamaciones de terceros atribuibles a datos, instrucciones, contenidos, comunicaciones, decisiones o usos controlados por el Cliente que infrinjan la ley o derechos de terceros. Esta obligación requiere causalidad, aviso, cooperación, control razonable de la defensa, aprobación de acuerdos que afecten a la otra parte y ausencia de doble recuperación.

La indemnidad no cubre incumplimientos propios de Uruk Space, dolo, culpa inexcusable, fallas de seguridad atribuibles a Uruk Space ni obligaciones que la ley no permita trasladar. Se aplican los límites y remedios válidos de los Términos y Condiciones, sin afectar derechos imperativos.

17. Suspensión y terminación

Uruk Space puede suspender el tratamiento afectado cuando sea necesario para contener un incidente, cumplir una orden válida, detener una instrucción ilícita o evitar un riesgo grave. Cuando sea posible, informará al Cliente y limitará la suspensión a la función o dato afectado.

Si una parte incumple materialmente este Acuerdo de Datos, la otra puede exigir corrección dentro del plazo contractual aplicable y ejercer los remedios permitidos. Una instrucción que no pueda ejecutarse lícitamente puede requerir cambio, desactivación de la función o terminación del tratamiento afectado.

La terminación no elimina las obligaciones de confidencialidad, seguridad, devolución, eliminación, evidencia, responsabilidad y cooperación que deban sobrevivir.

18. Cambios y comunicaciones

Uruk Space puede actualizar este Acuerdo de Datos conforme al procedimiento de cambios de los Términos y Condiciones. Un cambio material en finalidad, responsabilidad, seguridad, Subencargados, transferencias o derechos entra en vigor únicamente con el aviso y, cuando corresponda, la aceptación afirmativa exigidos por el paquete contractual.

Los avisos operativos se envían al correo designado por el Cliente o se muestran en qutu. El Cliente debe mantener actualizados sus contactos de seguridad y privacidad.

19. Ley aplicable y contacto

Este Acuerdo de Datos se rige por las leyes de la República del Perú. Nada limita la competencia de la Autoridad Nacional de Protección de Datos Personales ni los derechos inderogables de los titulares.

Consultas y comunicaciones: admin@uruk.space.

Anexo 1. Detalles del tratamiento

1. Objeto

Prestación, protección, soporte, exportación y terminación de qutu conforme a las funciones e instrucciones del Cliente.

2. Duración

La vigencia del servicio más el periodo necesario para exportar, devolver, eliminar, expirar respaldos o cumplir una retención legal válida.

3. Naturaleza de las operaciones

Recopilación, recepción, registro, organización, almacenamiento, consulta, búsqueda, recuperación, uso, análisis autorizado, transmisión, integración, generación asistida, exportación, bloqueo, rectificación, respaldo y eliminación.

4. Categorías de titulares

• Clientes, prospectos y contactos del Cliente;

• Usuarios, trabajadores, contratistas y postulantes;

• Proveedores, vendedores y representantes;

• Personas que escriben por WhatsApp u otro canal conectado;

• Personas incluidas en documentos, conversaciones, citas, inventarios, operaciones, contabilidad o HR; y

• Cualquier otra persona cuyos datos el Cliente incorpore lícitamente.

5. Categorías de datos

• Identidad, contacto, cuenta, organización, rol y autorización;

• Mensajes, archivos, audio, imágenes y metadatos de comunicación;

• CRM, catálogos, conocimiento, citas, disponibilidad, inventario, ventas y operaciones;

• Datos contables, de pago, proveedor, comprobante y reembolso;

• Datos laborales, compensación, vacaciones, documentos y planilla;

• Datos técnicos, auditoría, seguridad, idempotencia y entrega;

• Entradas, resultados, fuentes, transcripciones, embeddings y acciones de inteligencia artificial; y

• Datos sensibles solo cuando el Cliente tenga base legal y la función esté autorizada para tratarlos.

6. Frecuencia

Continua o según el uso, configuración, mensajes, archivos, acciones y solicitudes del Cliente.

7. Conservación

Según las instrucciones, funciones y periodos descritos en este Acuerdo de Datos, el Aviso de Privacidad y el calendario contractual aplicable.

Anexo 2. Medidas técnicas y organizativas

Uruk Space mantiene un programa de seguridad proporcional que incluye, según corresponda:

1. Gobierno y riesgo

• Políticas y responsabilidades de seguridad y privacidad;

• Inventario de activos y datos;

• Evaluación de riesgos y cambios;

• Revisión de proveedores; y

• Capacitación y deberes de confidencialidad.

2. Identidad y acceso

• Identificadores individuales;

• Autenticación y gestión de sesiones;

• Roles y permisos aplicados en backend;

• Privilegio mínimo y revisión periódica;

• Revocación de acceso; y

• Registro proporcional de accesos sensibles.

3. Aislamiento y aplicaciones

• Separación lógica por organización;

• Validación de entradas y autorizaciones;

• Controles contra acceso entre clientes;

• Revisión de código y cambios;

• Gestión de dependencias y vulnerabilidades; y

• Pruebas de seguridad proporcionales.

4. Datos y comunicaciones

• Protección de datos en tránsito;

• Controles de almacenamiento y secretos;

• Minimización de logs y exclusión de credenciales o contenido sensible innecesario;

• Copias de respaldo y restauración;

• Ciclos de conservación y destrucción segura; y

• Controles para archivos, medios y exportaciones.

5. Operaciones y continuidad

• Monitoreo, alertas y gestión de errores;

• Respuesta a incidentes;

• Recuperación y continuidad;

• Idempotencia en operaciones que puedan duplicarse; y

• Evaluación periódica de efectividad.

6. Inteligencia artificial y herramientas

• Proveedores aprobados y acceso limitado;

• Minimización de contexto;

• Separación por Cliente en recuperación y herramientas;

• Permisos, validación y auditoría de acciones;

• Intervención humana para decisiones materiales; y

• Prohibición de entrenamiento general con Datos del Cliente.

Anexo 3. Calendario de Subencargados y transferencias

El calendario vigente se publica o pone a disposición en la superficie legal de qutu. Para cada proveedor activado identifica:

• Entidad legal y servicio;

• Finalidad y actividad de tratamiento;

• Categorías de datos;

• País o alcance internacional; y

• Contrato, garantía o salvaguarda aplicable.

Un proveedor incluido como candidato técnico no puede recibir Datos Personales del Cliente hasta completar la aprobación contractual, de seguridad, país, conservación y transferencia correspondiente.

Anexo 4. Datos que no deben incorporarse sin aprobación

Salvo que una función, contrato y evaluación de riesgo los autoricen expresamente, el Cliente no debe incorporar:

• Contraseñas, claves privadas, secretos o credenciales en texto abierto;

• Números completos de tarjeta o códigos de seguridad;

• Datos biométricos destinados a identificación única;

• Historias clínicas completas o información para diagnóstico y tratamiento;

• Datos de menores sin garantías reforzadas;

• Información sujeta a secreto profesional o regulación especial que qutu no haya aceptado soportar; ni

• Datos obtenidos ilícitamente o para vigilancia, discriminación o decisiones prohibidas.

Uruk Space puede bloquear, aislar o eliminar de manera segura una categoría prohibida cuando resulte necesario para reducir riesgo, informando al Cliente cuando sea legal y razonablemente posible.