Anexo de Procesamiento de Datos de MigraInfo Pro
Forma parte de los Términos de Servicio de MigraInfo Pro. Fecha de entrada en vigor: 13 de octubre de 2026. Traducción de cortesía; en caso de conflicto prevalece la versión en inglés.
Este Anexo de Procesamiento de Datos ("APD") forma parte de los Términos de Servicio de MigraInfo Pro (los "Términos") entre Sonoran Apps LLC ("Sonoran Apps," "nosotros") y la organización que usa MigraInfo Pro (la "Organización," "usted"). Rige la información personal contenida en los Datos de la Organización que procesamos en su nombre para prestar el Servicio. Los términos en mayúscula que no se definen aquí tienen el significado que les dan los Términos.
1. Alcance y roles
- Datos de la Organización tiene el significado de los Términos: la información que usted y sus Miembros ingresan en el Servicio, o que el Servicio obtiene para sus casos, sobre sus Miembros, sus Clientes y las personas cuyos casos monitorea. Los "Miembros" son las personas que usted agrega a su organización; los "Clientes" son las personas cuyos casos monitorea y a quienes puede enviar mensajes. Los Datos de la Organización no incluyen la información que mantenemos para nuestros propios fines: los registros de cuenta y facturación de su organización, nuestro contacto comercial con usted y los registros de seguridad, operación y cumplimiento que mantenemos para operar y proteger el Servicio. Esos se manejan bajo nuestro Aviso de Privacidad en migrainfo.com/es/privacy.
- Roles. Usted decide por qué y cómo se procesa la información personal contenida en los Datos de la Organización. Nosotros la procesamos únicamente en su nombre y según sus instrucciones documentadas. Cuando una ley estatal de privacidad de EE. UU. aplique a esa información, actuamos como su "encargado" (processor), "proveedor de servicios" (service provider), "contratista" (contractor) o el rol equivalente que esa ley defina. Nada en este APD significa que una ley de privacidad en particular le aplique a usted; eso depende de dónde estén usted y sus Clientes.
- Restricciones. Procesamos los Datos de la Organización únicamente para los fines comerciales limitados y específicos descritos en los Términos y en este APD. No venderemos los Datos de la Organización; no los compartiremos para publicidad conductual entre contextos; no los conservaremos, usaremos ni divulgaremos para ningún otro fin ni fuera de nuestra relación comercial directa con usted, salvo que la ley lo permita; ni los combinaremos con información personal que recibamos de otros, salvo que la ley lo permita. Le avisaremos si ya no podemos cumplir estas restricciones.
2. Detalles del procesamiento
| Personas | Sus Miembros; sus Clientes y las personas cuyos casos monitorea |
|---|---|
| Datos | Nombres y direcciones de correo de los Miembros; nombres, números de teléfono, direcciones de correo e idioma preferido de los Clientes; números de recibo de USCIS, A-Numbers y, para las consultas a la corte, nacionalidad; estados, historiales e información de audiencias de los casos devuelta por las agencias; notas, etiquetas, asignaciones y fechas clave; registros de consentimiento y de baja; contenido de los mensajes y estado de entrega; entradas de actividad y auditoría |
| Datos sensibles | La información relacionada con inmigración puede ser sensible. El Servicio recopila lo que necesitan el monitoreo de casos y los avisos a clientes. No está diseñado para almacenar información altamente sensible que no necesita: números de Seguro Social, credenciales de cuentas financieras, números de tarjetas de pago, registros médicos o de salud, información biométrica o contraseñas de cuentas. No los ingrese |
| Finalidad | Monitoreo de casos, recordatorios, coordinación del equipo, avisos a clientes, informes, facturación y soporte |
| Duración | La vigencia de los Términos más los periodos de retención de la sección 11 |
3. Obligaciones del encargado
- Instrucciones documentadas. Procesamos los Datos de la Organización únicamente según sus instrucciones documentadas, que son: los Términos; este APD; cualquier formulario de pedido; su configuración y uso de las funciones del Servicio; y otras instrucciones que usted y nosotros acordemos por escrito. Podemos rechazar una instrucción que viole la ley o amplíe materialmente el Servicio, a menos que la aceptemos por escrito. Si la ley nos exige procesar los Datos de la Organización de otra forma, se lo diremos, a menos que la ley lo prohíba.
- Personal. Cualquier persona que autoricemos a acceder a los Datos de la Organización está sujeta a obligaciones de confidencialidad, recibe acceso solo cuando es necesario y está limitada según su rol y necesidad operativa (Términos, sección 9).
4. Confidencialidad y seguridad
Mantenemos medidas técnicas y organizativas apropiadas, diseñadas para proteger los Datos de la Organización contra el acceso no autorizado, la destrucción, la pérdida, la alteración o la divulgación. El Anexo A las describe. Ninguna medida de seguridad es perfecta y no prometemos una seguridad absoluta. Mantenemos la confidencialidad de los Datos de la Organización según lo dispuesto en los Términos.
5. Subencargados
Usted autoriza a los subencargados del Anexo B. Antes de agregar un subencargado materialmente nuevo damos al menos 30 días de aviso, por correo a los propietarios de su organización y/o actualizando la lista en migrainfo.com/es/pro/security. Puede objetar dentro de ese plazo por motivos razonables de protección de datos. Si no podemos resolver una objeción legítima, puede cancelar el Servicio y recibir un reembolso prorrateado de las tarifas pagadas por adelantado. Obligamos a cada subencargado a cumplir obligaciones de protección de datos al menos tan protectoras como este APD y seguimos siendo responsables de su desempeño. No negociamos términos de subencargados individuales con cada cliente.
6. Ubicación de los datos y transferencias
- Almacenamiento y procesamiento principales. Los Datos de la Organización se almacenan y procesan en Google Cloud en Estados Unidos: la base de datos Firestore en nam5, una configuración multirregión de EE. UU.; el código del servidor en la región us-central1; y los archivos en un depósito de almacenamiento multirregión de EE. UU.
- Entrega de mensajes. Los mensajes de texto pasan por Twilio y las operadoras móviles, y el correo por Resend y el proveedor de correo del destinatario, que enrutan cada mensaje hacia donde esté el destinatario y pueden manejarlo en tránsito fuera de Estados Unidos.
- Autenticación. Google y Microsoft autentican a sus Miembros en su propia infraestructura global y comparten con nosotros el nombre y la dirección de correo del Miembro.
- Pagos. Stripe procesa los datos de facturación en su propia infraestructura bajo su propia política de privacidad.
- Soporte y operaciones. Operamos el Servicio desde Estados Unidos; nuestros registros e informes de error se almacenan en Google Cloud en Estados Unidos.
No prometemos un procesamiento exclusivamente en Estados Unidos para los pasos de terceros anteriores; a ellos aplican las salvaguardas y los términos propios de cada proveedor.
7. Incidentes de seguridad
Un "Incidente de Seguridad" es un acceso no autorizado a los Datos de la Organización procesados por Sonoran Apps o sus subencargados, o su pérdida, alteración o divulgación. No incluye intentos fallidos ni eventos que no comprometan los Datos de la Organización, como inicios de sesión fallidos, ataques bloqueados, escaneos de puertos, sondeos u otra actividad que se detenga en nuestras defensas o en las de un subencargado.
Sonoran Apps notificará a la Organización sin demora indebida y a más tardar 72 horas después de tener conocimiento de un Incidente de Seguridad que afecte los Datos de la Organización, a menos que la ley aplicable exija un aviso más temprano, por correo a los propietarios de su organización. El aviso describe la naturaleza del incidente, los datos y las personas afectadas en la medida conocida, lo que hemos hecho y estamos haciendo para contenerlo y remediarlo, y un contacto; lo actualizamos conforme sabemos más. Cooperaremos con su investigación y con cualquier notificación que usted deba hacer. Un aviso no es una admisión de culpa.
8. Consentimiento de los clientes y comunicaciones
- Usted es responsable de determinar si existe un consentimiento legalmente suficiente antes de que el Servicio envíe un texto o un correo a un Cliente, de la exactitud de la información de consentimiento que usted y sus Miembros registran, y del cumplimiento de las leyes de mensajería y comunicaciones que apliquen a sus mensajes (Términos, sección 4).
- Nosotros registramos la información de consentimiento y de baja, bloqueamos los mensajes a Clientes sin un consentimiento registrado para ese canal, procesamos las respuestas STOP y las bajas por correo, y mantenemos el registro de mensajes.
- Usted no puede eludir esos controles.
9. Derechos de las personas y asistencia para el cumplimiento
- Solicitudes de personas. Usted es responsable de responder a una persona que pida acceder, corregir, eliminar o ejercer de otro modo derechos sobre su información contenida en los Datos de la Organización. El Servicio le permite ver, corregir y exportar los registros de Clientes y los registros de mensajes por su cuenta. Cuando una solicitud no pueda atenderse con esas herramientas, brindamos asistencia técnica razonable, considerando la naturaleza del procesamiento y las funciones del Servicio. Si una persona nos contacta directamente sobre los Datos de la Organización, la remitimos a usted, a menos que la ley exija otra cosa.
- Cumplimiento. Brindamos asistencia razonable, considerando la naturaleza del procesamiento y la información de que disponemos, con sus evaluaciones de seguridad, evaluaciones de impacto en la protección de datos y consultas o requerimientos legalmente exigidos, mediante nuestra documentación y respuestas a preguntas razonables. No realizamos su trabajo de cumplimiento legal.
10. Auditorías
Previa solicitud razonable por escrito, no más de una vez en cualquier periodo de 12 meses, proporcionaremos la información razonablemente necesaria para demostrar el cumplimiento de este APD: nuestra documentación de seguridad, respuestas a un cuestionario de seguridad razonable y cualquier certificación o informe independiente que tengamos en ese momento. Hoy no contamos con certificaciones de terceros (como SOC 2 o ISO 27001). Usted acepta basarse en esa información antes de solicitar cualquier auditoría adicional. Una auditoría presencial o práctica está disponible únicamente cuando la ley lo exija, o cuando esa información resulte insuficiente tras una inquietud de cumplimiento material y verificada; debe ser razonable en alcance, realizarse en un momento acordado por ambas partes, no interrumpir el Servicio ni exponer información confidencial de otros clientes, y corre por su cuenta, salvo que revele un incumplimiento material de este APD.
11. Devolución y eliminación
- Mientras su organización esté activa, un administrador puede exportar todos los Datos de la Organización desde Configuración en cualquier momento.
- Un propietario puede solicitar la eliminación de la organización desde Configuración. La eliminamos 30 días después, a menos que la solicitud se cancele en ese periodo.
- Cuando una prueba termina sin suscripción, eliminamos los Datos de la Organización 90 días después de que termine la prueba. Los propietarios y administradores reciben un correo 14 días antes.
- Cuando una suscripción pagada se cancela o termina, conservamos los Datos de la Organización 90 días para que pueda exportarlos o reactivarse, y después los eliminamos. Los propietarios y administradores reciben un correo 14 días antes.
- Las copias en los respaldos de la base de datos expiran en un plazo de 7 días desde la eliminación de la base de datos activa; los registros operativos y los informes de error se conservan hasta 30 días.
- Conservamos los Datos de la Organización por más tiempo solo cuando la ley lo exige.
Los Términos (sección 12) usan los mismos plazos.
12. Requerimientos gubernamentales
Si recibimos un requerimiento legalmente vinculante de Datos de la Organización de una autoridad gubernamental o en un litigio, le notificaremos antes de divulgar, a menos que la ley lo prohíba, divulgaremos únicamente lo que el requerimiento exija legalmente, e impugnaremos o buscaremos acotar un requerimiento excesivo o improcedente cuando sea razonablemente apropiado.
13. Orden de prelación
Si este APD entra en conflicto con los Términos en cuanto al procesamiento o la protección de los Datos de la Organización, este APD prevalece en esa materia. En lo demás, prevalecen los Términos. Este APD está redactado en inglés; esta traducción se proporciona por conveniencia, y la versión en inglés prevalece en caso de conflicto.
Anexo A - Medidas de seguridad técnicas y organizativas
- Alojamiento y cifrado. Google Cloud (Firebase) en Estados Unidos; los datos se cifran en tránsito (TLS) y en reposo (cifrado gestionado por Google).
- Aislamiento de la organización y control de acceso. Los datos de Firestore con alcance de organización solo pueden leerlos los Miembros autorizados de esa organización según las reglas de seguridad de Firestore aplicables, que comprueban en cada lectura la pertenencia a la organización, incluida en el token de inicio de sesión del Miembro; la única excepción pública es el logotipo de la organización, servido desde Cloud Storage para su página de registro y sus correos. Cada cambio pasa por nuestras funciones de servidor, que comprueban el rol del Miembro (propietario, administrador, personal, solo lectura) antes de escribir; ninguna aplicación cliente puede escribir directamente en la base de datos. Los Clientes de una organización no pueden leer los datos de la organización; ven solo lo que la organización les envía y, si se les invita a la app MigraInfo, el estado de ese único caso.
- Autenticación. Los Miembros inician sesión con cuentas de Google o Microsoft a través de Firebase Authentication; esos proveedores gestionan las credenciales, y MigraInfo no recibe ni guarda las contraseñas de autenticación de los usuarios. Los propietarios pueden exigir que los nuevos Miembros inicien sesión con una dirección de correo de los dominios propios de la organización, pueden establecer un cierre de sesión por inactividad y pueden exigir autenticación de varios factores mediante su propia configuración de Google Workspace o Microsoft 365. Los Miembros pueden cerrar sesión en todos sus dispositivos a la vez.
- Mínimos datos. Los enlaces de invitación, los enlaces para compartir casos y los enlaces de calendario se almacenan únicamente como hashes unidireccionales de sus tokens. Los registros de mensajes no contienen los enlaces de baja de los Clientes. Los informes de error de la web llevan solo la ruta de la página, sin parámetros ni tokens.
- Resiliencia. Recuperación a un punto en el tiempo de la base de datos (7 días), un respaldo diario conservado 7 días y protección contra eliminación de la base de datos.
- Registro y auditoría. La creación y configuración de la organización, las membresías, invitaciones y roles, la identidad visual, la aceptación de términos, los cambios de facturación y suscripción, las adiciones de casos, las importaciones, los enlaces para compartir y los enlaces a la app, las eliminaciones de notas, las fechas clave, los registros de clientes, los consentimientos y bajas, los mensajes enviados, las exportaciones, los enlaces de calendario y las solicitudes de eliminación se escriben en un registro de auditoría que los propietarios y administradores de la organización pueden leer.
- Pagos. Las credenciales de tarjetas de pago y cuentas bancarias se ingresan con Stripe y no pasan ni se guardan en los servidores de la aplicación MigraInfo; conservamos metadatos de facturación como identificadores de Stripe, referencias de facturas y el estado de la suscripción.
- Personal. El acceso a producción se limita al personal autorizado, con cuentas nominales protegidas por autenticación de varios factores y permisos según el rol.
Anexo B - Subencargados y otros proveedores
| Proveedor | Rol | Finalidad | Datos | Ubicación |
|---|---|---|---|---|
| Google LLC (Google Cloud, Firebase) | Subencargado | Alojamiento, base de datos, almacenamiento de archivos, funciones de servidor, autenticación, registros, informes de error | Todos los Datos de la Organización | Estados Unidos |
| Twilio Inc. | Subencargado | Mensajes de texto a los Clientes | Números de teléfono de Clientes, contenido de los mensajes, estado de entrega | Empresa de Estados Unidos; los mensajes se enrutan por las operadoras donde esté el destinatario |
| Resend (Plus Five Five, Inc.) | Subencargado | Correo a Miembros y Clientes | Direcciones de correo, contenido de los mensajes, estado de entrega | Estados Unidos: el APD de Resend sitúa allí sus operaciones principales de procesamiento y su documentación mantiene allí los datos de la cuenta; la región elegida para un dominio solo controla desde dónde se enruta el correo |
| Stripe, Inc. | Procesador de pagos independiente | Facturación de suscripciones y emisión de facturas | Contacto de facturación y datos de pago, ingresados directamente con Stripe | Estados Unidos |
| Microsoft Corporation | Proveedor de identidad independiente | Inicio de sesión de los Miembros que usan cuentas de Microsoft | Nombre y dirección de correo del Miembro | Global |
| Google LLC (Google Sign-In) | Proveedor de identidad independiente | Inicio de sesión de los Miembros que usan cuentas de Google | Nombre y dirección de correo del Miembro | Global |
| Intuition Machines, Inc. (hCaptcha) | Proveedor independiente | Verificación humana para las consultas a la corte hechas desde los navegadores de los Miembros | Señales del navegador y del dispositivo; sin Datos de la Organización | Estados Unidos |