Términos de servicio

Este Anexo forma parte integral de estos Términos y aplica siempre que tu organización cargue en TitoHR datos personales de sus empleados, candidatos u otras personas. Rige desde el 3 de agosto de 2026. En caso de conflicto entre este Anexo y el cuerpo de los Términos en materia de tratamiento de datos personales, prevalece este Anexo.

Tu organización actúa como responsable del tratamiento: decide qué datos personales se cargan y con qué finalidad. TitoHR actúa como encargado del tratamiento: trata esos datos únicamente para prestarte el Servicio. TitoHR no vende datos personales y no utiliza los datos personales de tus empleados para entrenar modelos de inteligencia artificial.

Objeto: la prestación del Servicio de gestión de recursos humanos. Duración: mientras la suscripción esté activa, más el plazo de eliminación descrito en la sección 12. Naturaleza y finalidad: almacenamiento, organización, consulta, análisis y transmisión de información de recursos humanos. Categorías de titulares: empleados actuales y anteriores, candidatos y cualquier persona cuyos datos tu organización decida cargar.

Datos de identificación y contacto, registros laborales, información salarial y de contratos, documentos cargados (currículums, contratos, documentos generales), datos de desempeño, objetivos, competencias y evaluaciones, y registros de ausencias. Tu organización decide cuáles de estos datos carga y no debe usar el Servicio para almacenar datos personales ajenos a la gestión de recursos humanos.

Tratamos los datos personales únicamente conforme a tus instrucciones documentadas, que incluyen tu uso y configuración del Servicio, salvo que la ley aplicable nos obligue a tratarlos de otro modo. Si consideramos que una instrucción infringe la normativa de protección de datos aplicable, te lo informaremos.

El personal autorizado para tratar tus datos personales está sujeto a obligaciones de confidencialidad y accede a ellos solo en la medida necesaria para operar y dar soporte al Servicio.

Mantenemos medidas técnicas y organizativas apropiadas al riesgo, entre ellas:

• Cifrado de los datos en tránsito y en reposo; los tokens de integraciones con terceros se cifran con AES-256-GCM.
• Seguridad a nivel de fila en la base de datos, de modo que cada consulta queda restringida a tu organización y los clientes quedan aislados entre sí. Este aislamiento se verifica con una prueba automatizada que revisa cada tabla.
• Control de acceso por roles, permisos por campo sensible, permisos por país y usuarios externos de solo lectura limitados a secciones específicas.
• Autenticación mediante código de un solo uso al correo o inicio de sesión con Google o Microsoft. Las credenciales de API se almacenan únicamente como hash SHA-256.
• Registro de auditoría que conserva los cambios con sus valores anteriores y posteriores, incluyendo cuando un administrador actúa en nombre de otro usuario.
• Las funciones de inteligencia artificial operan con los permisos del usuario que las invoca y nunca pueden acceder a más de lo que esa persona puede ver.

Autorizas a TitoHR a contratar a los subprocesadores que se indican a continuación, todos los cuales tratan los datos en Estados Unidos: Supabase (base de datos, autenticación y almacenamiento de archivos), Vercel (alojamiento de la aplicación y tareas programadas), Anthropic y OpenAI (modelos de inteligencia artificial, extracción de texto e indexación de búsqueda), Google (generación de imágenes para campañas internas y sincronización de calendario si la habilitas), Microsoft (sincronización de calendario e inicio de sesión único, si los habilitas), Resend (correo transaccional), Stripe (procesamiento de pagos de la suscripción) y PostHog (analítica de uso del producto, limitada a identificadores internos y nunca a datos de empleados). Te avisaremos con antelación antes de añadir o sustituir un subprocesador y podrás oponerte por motivos razonables de protección de datos; si no logramos resolver la objeción, podrás terminar el Servicio afectado sin penalidad. La lista actualizada está disponible escribiendo a privacy@titohr.com.

El Servicio se aloja en Estados Unidos (región Norte de Virginia). Si tu organización o tus empleados están fuera de Estados Unidos, el uso del Servicio implica una transferencia internacional de datos personales. TitoHR no ofrece hoy residencia de datos fuera de Estados Unidos. Eres responsable de contar con una base legal válida para esa transferencia conforme a la normativa que te resulte aplicable, y TitoHR se compromete a suscribir las cláusulas contractuales que tu área legal requiera razonablemente para sustentarla y a entregar la información necesaria para documentarla.

El Servicio ofrece herramientas para que tus administradores accedan, corrijan, exporten y eliminen datos personales directamente, de modo que puedas atender las solicitudes de los titulares. Cuando una solicitud no pueda resolverse con esas herramientas, te prestaremos asistencia razonable a tu requerimiento. Si un titular contacta directamente a TitoHR, lo remitiremos a tu organización.

Te notificaremos sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a que tengamos conocimiento, cualquier violación de seguridad confirmada que afecte a tus datos personales. La notificación describirá lo que se conozca sobre la naturaleza del incidente, las categorías de datos afectadas, las consecuencias probables y las medidas adoptadas o propuestas.

A tu solicitud y como máximo una vez al año, entregaremos la información razonablemente necesaria para demostrar el cumplimiento de este Anexo, incluyendo una descripción de nuestras medidas técnicas y organizativas y respuestas a un cuestionario de seguridad. Cualquier auditoría presencial requiere aviso previo razonable, no debe interrumpir el Servicio y queda sujeta a confidencialidad. TitoHR no cuenta actualmente con certificación SOC 2 ni ISO 27001.

Puedes exportar tus datos en cualquier momento mientras la suscripción esté activa. Al terminar la relación te damos un plazo razonable para exportar y luego eliminamos toda la información asociada dentro de los 90 días, salvo que la ley aplicable exija conservarla. Los registros técnicos tienen ventanas de conservación definidas y se depuran automáticamente: 24 meses el registro de auditoría y 12 meses los registros operativos.

La responsabilidad derivada de este Anexo queda sujeta a las limitaciones establecidas en el cuerpo de estos Términos. Si tu organización requiere un acuerdo de tratamiento de datos firmado por separado, escríbenos a privacy@titohr.com.