Anexo de tratamiento de datos

Este anexo regula el tratamiento que Knotfix hace de los datos personales de la nómina y de las respuestas de las personas empleadas del Cliente. Forma parte de los Términos del servicio y se incorpora a ellos por referencia: se acepta al aceptar el contrato y no requiere una firma separada.

Está redactado para servir bajo dos marcos a la vez, porque el servicio se vende fuera de Costa Rica:

• la Ley N.° 8968 costarricense y su reglamento, el Decreto Ejecutivo N.° 37554-JP;
• el Reglamento (UE) 2016/679 (RGPD), su equivalente británico (UK GDPR) y la LPD suiza, cuando le apliquen al Cliente.

Cuál de esos marcos rige depende de dónde estén las personas empleadas del Cliente, y eso lo sabe él. Las obligaciones de Knotfix son las mismas bajo todos: donde las normas difieren, se cumple la más exigente. Cuando este anexo dice «responsable» dice también controller, y cuando dice «encargado» dice también processor.

El papel de cada parte

El Cliente es el responsable del tratamiento. Decide a quién mide, qué pregunta, para qué usa los resultados y por cuánto tiempo los conserva. Le corresponde informar a sus personas empleadas, establecer una base de licitud válida y cumplir los trámites de participación del personal que su país exija.

Knotfix trata esos datos por cuenta del Cliente, siguiendo sus instrucciones, y no para fines propios.

Ese reparto no libera a Knotfix: el artículo 11 de la Ley 8968 alcanza a quienes intervengan en cualquier fase del tratamiento, el artículo 28 del RGPD impone al encargado obligaciones propias y directamente exigibles, y en ambos casos el deber de secreto subsiste después de terminada la relación.

⚠️ Hay una parte en la que Knotfix es responsable y no encargado: los datos de la CUENTA —quién administra, con qué correo, qué se facturó—. Eso no lo cubre este anexo sino la Política de privacidad. Mezclar las dos relaciones es de dónde salen casi todas las dudas.

Objeto, duración y naturaleza

Datos y personas afectadas

Personas afectadas: las personas empleadas del Cliente incluidas en el alcance de cada estudio.

Categorías de datos:

• De la nómina: nombre, puesto, ubicación en la estructura organizacional y correo cuando se aplique por ese medio.
• De la participación: si la persona fue seleccionada y si ya respondió.
• De las respuestas: los valores contestados y los atributos de segmento capturados con ellas.

Las respuestas no se guardan asociadas a la persona. La participación y las respuestas viven separadas y sin vínculo entre sí; la fecha se guarda sin hora, para que tampoco se puedan volver a unir por el orden de llegada. No es una restricción de permisos: el vínculo no existe en la base de datos y por lo tanto no se puede restaurar.

⚠️ Las respuestas de TEXTO LIBRE se le entregan al Cliente tal cual fueron escritas, acompañadas de la rama de la organización a la que corresponden y sin ningún filtro de datos identificativos. Siguen sin estar asociadas a una persona, pero un texto puede identificar a quien lo escribió por su contenido o por su estilo, y el umbral de confidencialidad protege agregados, no registros individuales. Si el Cliente usa preguntas abiertas, esa circunstancia tiene que estar en el aviso que le da a sus personas empleadas.

Datos sensibles / categorías especiales: el servicio no está diseñado para tratarlos y el Cliente se obliga a no configurarlos, conforme a los Términos. Tampoco se tratan datos de personas menores de edad ni datos relativos a condenas penales.

Instrucciones documentadas

Knotfix trata los datos únicamente conforme a las instrucciones documentadas del Cliente, que son este anexo, el contrato y las acciones que el Cliente ejecuta dentro del producto. Eso incluye las transferencias internacionales descritas más abajo.

Si una instrucción del Cliente resultara contraria a la normativa de protección de datos aplicable, se lo comunicamos y no la ejecutamos.

Si una autoridad nos obligara a entregar estos datos, se lo comunicamos al Cliente antes de hacerlo, salvo que la propia norma nos prohíba avisarle; en ese caso hacemos lo razonable para levantar esa prohibición y dejamos constancia de lo que se entregó.

Confidencialidad

El personal de Knotfix con acceso a estos datos está sujeto a obligación de confidencialidad, subsistente tras el fin de su relación laboral. El acceso se concede por necesidad y queda registrado en bitácora.

Seguridad

Aplicamos las medidas del artículo 10 de la Ley 8968 y del artículo 32 del RGPD. Están detalladas, una por una, en el Anexo II de este documento: es la lista que una evaluación de proveedor pide, y por eso está escrita como una lista y no como un párrafo.

El anonimato como medida técnica

Además de lo anterior, Knotfix sostiene dos garantías propias del producto:

1. Separación estructural. Quién participó y qué se respondió se guardan sin vínculo.
2. Umbral de confidencialidad. Los resultados de grupos por debajo del umbral no se publican, y la regla se aplica también cuando un resultado oculto podría deducirse de restar otros visibles.

Ninguna de las dos se puede desactivar, ni por configuración del Cliente, ni por rol, ni por gestión de soporte, ni a solicitud expresa del Cliente. Es la condición para que la medición sirva, y por eso es una obligación de Knotfix y no una opción del Cliente.

Subencargados

El Cliente autoriza de forma general a Knotfix a apoyarse en los proveedores listados en el Anexo III. Con todos ellos mantenemos obligaciones contractuales equivalentes a las de este anexo, y Knotfix responde de sus actos como de los propios.

Antes de incorporar uno nuevo o de sustituir a uno existente lo avisamos con 30 días de antelación. Si el Cliente se opone por un motivo razonable y fundado en protección de datos, puede terminar el contrato sin penalidad antes de que el cambio entre en vigencia, y se le devuelve la parte proporcional de lo pagado y no prestado.

Esta autorización general es la Opción 2 de la cláusula 9(a) de las Cláusulas Contractuales Tipo, con el plazo de 30 días indicado ahí.

Transferencias internacionales

Knotfix está domiciliada en Costa Rica y parte de la infraestructura está en Estados Unidos (ver el Anexo III). Cuál es el amparo de esa transferencia depende de desde dónde salgan los datos.

Desde Costa Rica

El artículo 14 de la Ley 8968, con la autorización que el Cliente otorga al aceptar este anexo. El Cliente declara haber informado esta circunstancia a sus personas empleadas.

Desde el Espacio Económico Europeo

⚠️ La Comisión Europea no ha declarado la adecuación de Costa Rica, así que la transferencia necesita garantías del artículo 46 del RGPD y no basta con el consentimiento del Cliente ni con el de las personas titulares: el artículo 49 es para casos ocasionales, y esto es infraestructura permanente.

Por eso las partes incorporan a este anexo las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021, que se entienden firmadas al aceptar el contrato. Las elecciones que esas cláusulas dejan abiertas se hacen así:

Evaluación del destino. Hemos evaluado si la legislación de Costa Rica y de Estados Unidos impide cumplir esas cláusulas y concluimos que no lo impide en el caso concreto de este tratamiento, considerando: que Costa Rica tiene una ley de protección de datos y una autoridad de control (PRODHAB); que los datos que se tratan no son de interés para programas de vigilancia gubernamental; que no existe en el sistema ninguna forma de vincular una respuesta con una persona, así que ni una orden judicial podría obtenerla; y que las medidas complementarias del Anexo II —cifrado en tránsito y en reposo, aislamiento por organización y la separación estructural del producto— reducen lo que una entrega forzosa podría producir. Si en algún momento dejáramos de poder cumplirlas, se lo comunicamos al Cliente y él puede suspender la transferencia o terminar el contrato, como exige la cláusula 14(f).

Desde el Reino Unido

Las mismas cláusulas, completadas por el International Data Transfer Addendum del ICO (versión B1.0, en vigor desde el 21 de marzo de 2022), cuyas tablas se rellenan con este anexo: la Tabla 1 con el Anexo I.A, la Tabla 2 con las elecciones de arriba, la Tabla 3 con los Anexos I, II y III, y en la Tabla 4 puede terminar el Addendum cualquiera de las dos partes.

Desde Suiza

Las mismas cláusulas con las adaptaciones que pide la LPD: la autoridad de control competente es el PFPDT, las referencias al RGPD se leen como referencias a la LPD, y el término «Estado miembro» no se interpreta de forma que excluya a las personas domiciliadas en Suiza de reclamar en su lugar de residencia.

Prelación

⚠️ Si algo de este anexo contradice a las Cláusulas Contractuales Tipo, mandan las cláusulas. No es cortesía: una cláusula tipo modificada deja de ser una cláusula tipo, y con ella se cae la base de la transferencia.

Derechos de las personas titulares

Si una persona empleada ejerce ante Knotfix cualquiera de sus derechos —acceso, rectificación, eliminación, portabilidad, limitación u oposición—, se lo trasladamos al Cliente, que es el responsable, y lo asistimos con las medidas técnicas y organizativas apropiadas para atenderlo dentro del plazo de cinco días hábiles del artículo 7 de la Ley 8968 — que es más corto que el mes del artículo 12 del RGPD y por eso se aplica a todos.

Sobre las respuestas de la encuesta la asistencia tiene un límite estructural: como el vínculo entre persona y respuesta no existe, no es posible localizar, rectificar ni eliminar la respuesta de una persona concreta. El Cliente conoce y acepta esta consecuencia, que es la contracara de la garantía de anonimato, y le corresponde explicársela a sus personas empleadas en el aviso previo.

Asistencia al Cliente en sus propias obligaciones

Además de lo anterior, y teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos, asistimos al Cliente para que cumpla los artículos 32 a 36 del RGPD:

• Seguridad del tratamiento (art. 32): con las medidas del Anexo II y con la información necesaria para que el Cliente evalúe si le bastan.
• Notificación de violaciones (arts. 33 y 34): con lo descrito en la sección siguiente, que es lo que el Cliente necesita para notificar a su autoridad y, si procede, a las personas afectadas.
• Evaluación de impacto y consulta previa (arts. 35 y 36): una encuesta de clima suele necesitar una EIPD, así que le entregamos la descripción del tratamiento, las medidas de seguridad y la explicación de las dos garantías de anonimato, que es justo lo que esa evaluación tiene que valorar. La EIPD la hace el Cliente: es del responsable y solo él conoce el contexto en el que mide.

Incidentes de seguridad

Ante un incidente que afecte datos personales del Cliente, se lo comunicamos sin demora indebida y a más tardar dentro de las 72 horas de haberlo detectado, indicando qué pasó, qué categorías y qué número aproximado de datos y personas pueden estar afectados, las consecuencias probables, qué medidas tomamos y cuáles recomendamos, y un punto de contacto. Si no tenemos todo eso al principio, mandamos lo que haya y lo completamos después.

Le corresponde al Cliente, como responsable, notificar a la autoridad y a quien proceda.

Devolución y eliminación

Mientras la cuenta exista, el Cliente puede exportar sus resultados con las herramientas de exportación del producto, en formatos de uso corriente (hoja de cálculo y PDF). No se entrega un volcado completo de la base por otra vía.

La eliminación la ejecuta el propio Cliente: el titular de la cuenta la elimina desde el producto y los datos se borran de inmediato y de forma irreversible de los sistemas en producción, sin plazo de gracia. Se exceptúa lo que una obligación legal exija conservar; en ese caso lo conservado se limita a lo estrictamente necesario y sigue protegido por este anexo.

Las copias que existan en los respaldos de la infraestructura no se borran en ese mismo acto: desaparecen cuando el ciclo de rotación de respaldos las sobrescribe. Hasta entonces siguen cifradas, protegidas por este anexo y sin más uso que la recuperación ante desastres.

Al eliminar la cuenta, el producto devuelve el detalle de lo borrado, que sirve de constancia de la eliminación y satisface la certificación que pide la cláusula 8.5 de las Cláusulas Contractuales Tipo.

Información y verificación

A solicitud razonable del Cliente le entregamos la información necesaria para acreditar el cumplimiento de este anexo y de las Cláusulas Contractuales Tipo.

El Cliente puede además auditar ese cumplimiento una vez al año, con 30 días de preaviso, en horario laboral, sobre los sistemas que tratan sus datos y a su costa. La auditoría no puede alcanzar datos de otros clientes ni comprometer la seguridad del servicio, y quien la realice queda sujeto a confidencialidad. Si un incidente que afecte sus datos lo motiva, la auditoría procede sin esperar al año ni al preaviso completo.

California

Respecto de los datos de la medición, Knotfix actúa como service provider en el sentido de la CCPA/CPRA. En consecuencia: no vendemos ni compartimos datos personales —incluida la publicidad cruzada entre sitios—; no los conservamos, usamos ni divulgamos para ningún fin distinto de prestarle el servicio al Cliente ni fuera de la relación directa con él; y no los combinamos con datos de otro cliente ni de otra fuente, salvo que la propia ley lo permita. El Cliente puede tomar las medidas razonables y apropiadas para verificarlo, y son las de la sección anterior.

Vigencia y prelación

Este anexo rige mientras Knotfix trate datos por cuenta del Cliente, y sus obligaciones de confidencialidad, seguridad y eliminación le sobreviven.

Ante una contradicción manda, en este orden: (1) las Cláusulas Contractuales Tipo, (2) este anexo, (3) los Términos del servicio.

---

Anexo I — Partes, tratamiento y autoridad

A. Lista de las partes

Exportador de datos. El Cliente, con el nombre, la dirección y el contacto que declaró al contratar y que constan en su cuenta. Actividad: contratar un servicio de evaluación de clima laboral para su propia plantilla. Papel: responsable (Módulo 2) o encargado (Módulo 3), según su posición real. Firma y fecha: las de la aceptación de los Términos, registradas por el producto con el número de versión aceptado.

Importador de datos.

B. Descripción de la transferencia

C. Autoridad de control competente

La del Estado miembro en el que esté establecido el exportador o, si no lo está en la Unión, la del Estado miembro en el que estén las personas afectadas o en el que haya designado representante. Para el Reino Unido, la Information Commissioner's Office; para Suiza, el PFPDT; para Costa Rica, la PRODHAB.

---

Anexo II — Medidas técnicas y organizativas

Son las que exigen el artículo 10 de la Ley 8968 y el artículo 32 del RGPD, y las que la cláusula 8.6 de las Cláusulas Contractuales Tipo pide describir en concreto.

Cifrado. En tránsito, TLS en todas las conexiones —del navegador a la aplicación y de la aplicación a cada proveedor—. En reposo, cifrado del almacenamiento de la base de datos y del almacenamiento de archivos.

Control de acceso. Autenticación delegada en un proveedor de identidad especializado, con verificación en dos pasos disponible; Knotfix nunca ve la contraseña de nadie. Dentro del producto, permisos por rol y por rama del organigrama, aplicados en el servidor y no en la interfaz.

Aislamiento entre clientes. Toda lectura y toda escritura se acotan a la organización del solicitante en la capa de datos. El acote es la regla por defecto y su ausencia hace fallar la consulta, no la abre.

Los datos de la tarjeta nunca pasan por nuestros servidores. Se digitan en el formulario de nuestro procesador de pagos y viajan del navegador directamente a él.

Bitácoras. De acceso a la infraestructura, y una bitácora propia de consultas de resultados —quién consultó qué segmento de qué estudio— que existe para detectar intentos de reidentificar a quien respondió. Esa bitácora no registra los valores consultados y se purga a los 12 meses.

Separación de ambientes. Desarrollo, pruebas y producción están separados, y los datos de clientes reales no se copian a los otros dos.

Respaldos. Automáticos y diarios, con la retención del proveedor de base de datos, y cifrados. Se usan solo para recuperación ante desastres.

Minimización. La nómina pide lo mínimo para muestrear y aplicar: no hay campos demográficos en la nómina, y los que se usan para segmentar se preguntan dentro de la boleta y viajan con la respuesta, no con la persona.

Seudonimización estructural. Participación y respuestas se almacenan sin FK entre sí, y la fecha de la respuesta se guarda sin hora. No es una restricción de permisos: el vínculo no existe.

Supresión estadística. Los resultados de grupos por debajo del umbral de confidencialidad no se publican, y la regla se extiende a lo que podría deducirse restando resultados visibles. No se puede desactivar por rol, plan ni gestión de soporte.

Personal. Acceso por necesidad, con deber de confidencialidad que subsiste tras el fin de la relación laboral.

Gestión de incidentes. Aviso al Cliente sin demora indebida y a más tardar dentro de las 72 horas de la detección, con el contenido descrito en este anexo.

Revisión. Estas medidas se revisan periódicamente y ante cualquier cambio de proveedor de infraestructura.

⚠️ Medidas que este anexo NO promete, para que nadie las dé por hechas: no hay certificación SOC 2 ni ISO 27001, no hay compromiso de porcentaje de disponibilidad salvo que se pacte por separado, y las bitácoras de acceso de la infraestructura son operativas y efímeras —se descartan con cada despliegue— y no se archivan.

---

Anexo III — Subencargados

⚠️ Los tres últimos NO tratan datos de la medición. Polar y Allegra tratan datos de facturación de la cuenta, y Cloudflare R2 guarda el logo que la organización sube. Se listan igual porque una lista de subencargados que solo nombra a algunos no sirve para evaluar a un proveedor.

Esta lista es la que sostiene la autorización general de la sección «Subencargados» y la cláusula 9 de las Cláusulas Contractuales Tipo. Cualquier alta o sustitución se avisa con 30 días de antelación.