Anexo de Protección de Datos Personales (DPA)
Adenda al Convenio de Prestación de Servicios — Oficina Virtual OSAMMVC
Versión 1.0 — Vigencia desde el 1 de agosto de 2026. Este Anexo complementa —y en materia de protección de datos personales prevalece sobre— el Convenio de Prestación de Servicios (Villa Constitución, 01/09/2025) y el Convenio de Confidencialidad (Villa Constitución, 01/06/2023) suscriptos entre las partes.
Partes
- Responsable del tratamiento: OBRA SOCIAL ASOCIACIÓN MUTUAL METALÚRGICA VILLA CONSTITUCIÓN ("OSAMMVC" / "el Responsable"), CUIT 30-70923882-1, con domicilio en María Perrisol 615, Villa Constitución, Provincia de Santa Fe.
- Encargado del tratamiento: P Y P TECHNOLOGIES S.R.L. ("PyP" / "el Encargado"), con domicilio en Av. San Martín 290, Arroyo Seco, Provincia de Santa Fe.
Considerandos
Que OSAMMVC ha encomendado a PyP el desarrollo y operación de la Oficina Virtual ("la OV") conforme al Convenio de Prestación de Servicios; que en el marco de dicha prestación PyP accede y trata datos personales de titulares (afiliados y sus grupos familiares, empleadores, prestadores y personal) por cuenta de OSAMMVC; y que corresponde regular dicho tratamiento conforme a la Ley 25.326 de Protección de los Datos Personales, su Decreto reglamentario 1558/2001 y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP).
1. Objeto y marco normativo
El presente Anexo tiene por objeto establecer las obligaciones de PyP, en su carácter de encargado del tratamiento (art. 25, Ley 25.326), respecto de los datos personales que trate por cuenta de OSAMMVC en la operación de la OV, garantizando el cumplimiento de la Ley 25.326, en particular sus arts. 9 (seguridad), 10 (confidencialidad) y 25 (prestación de servicios), y demás normativa aplicable.
2. Definiciones
- Datos personales / datos sensibles: conforme al art. 2 de la Ley 25.326. Se consideran datos sensibles los relativos a la salud tratados en la OV (turnos, órdenes/autorizaciones, prestaciones, consumos).
- Titular: persona a quien se refieren los datos (afiliado, familiar a cargo, empleador, prestador, usuario).
- Subencargado: tercero que trata datos por cuenta de PyP para la prestación del Servicio.
- Incidente de seguridad: toda violación de la seguridad que ocasione destrucción, pérdida, alteración o acceso/divulgación no autorizados de datos personales.
3. Roles de las partes
OSAMMVC es el Responsable y decide sobre las finalidades y medios del tratamiento. PyP es el Encargado y trata los datos únicamente por cuenta y según las instrucciones de OSAMMVC. Este Anexo no transfiere a PyP la titularidad ni la responsabilidad primaria sobre los datos.
4. Alcance, naturaleza y finalidad del tratamiento
- Naturaleza: operación de la plataforma EasyBot (producto de PyP) que soporta la OV en sus versiones web y apps móviles (iOS/Android), incluyendo el canal de mensajería WhatsApp Cloud API vinculado al portfolio Business de OSAMMVC en Meta.
- Finalidades: verificación de afiliación; gestión de turnos, órdenes y autorizaciones; credencial digital; procesamiento de pagos y reintegros; envío de notificaciones (push y WhatsApp); soporte; seguridad; y cumplimiento de obligaciones legales.
- Categorías de datos: identificatorios y de contacto, número de afiliado, datos de salud (sensibles), datos de pago (a través de Mercado Pago) y datos técnicos/de uso.
- Categorías de titulares: afiliados y grupo familiar, empleadores, prestadores y personal autorizado.
5. Instrucciones del Responsable
PyP tratará los datos exclusivamente conforme a las instrucciones documentadas de OSAMMVC y a lo previsto en este Anexo. PyP no aplicará ni utilizará los datos para fines propios ni ajenos a la prestación, ni los cederá a terceros salvo instrucción de OSAMMVC u obligación legal. Si PyP considerara que una instrucción infringe la normativa de protección de datos, lo informará a OSAMMVC.
6. Confidencialidad y deber de secreto
PyP y todo su personal con acceso a los datos están obligados al secreto profesional (art. 10, Ley 25.326), obligación que subsiste aun después de finalizada la relación con OSAMMVC. PyP garantiza que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad. Esta obligación complementa el Convenio de Confidencialidad vigente entre las partes.
7. Medidas de seguridad (art. 9)
PyP implementará y mantendrá medidas técnicas y organizativas apropiadas al carácter sensible (datos de salud) de la información, incluyendo, como mínimo: cifrado en tránsito; control de accesos basado en roles y permisos; autenticación de usuarios; registro/trazabilidad de operaciones; resguardos (backups) y procedimientos de recuperación; y actualizaciones de seguridad.
Aclaración interpretativa: las cláusulas de limitación/exención de responsabilidad del Convenio de Prestación de Servicios (en particular su cláusula SÉPTIMA) no eximen a PyP del cumplimiento de las obligaciones de seguridad y protección de datos personales establecidas en este Anexo y en la Ley 25.326.
8. Alojamiento de los datos y transferencias internacionales
Los datos de salud y demás datos personales de los afiliados residen en la infraestructura de OSAMMVC, con la que la plataforma EasyBot se integra para operar la OV.
La plataforma EasyBot y sus componentes de procesamiento pueden operar en infraestructura propia de PyP o de terceros subcontratados por PyP (cláusula 9). En todos los casos, dicha infraestructura se ubica en territorio argentino, corresponde a empresas que operan conforme a la legislación vigente, y mantiene niveles adecuados de ciberseguridad y de respaldo (backups).
Las únicas interacciones que pueden implicar procesamiento fuera de la Argentina son acotadas y funcionales: (i) Mercado Pago (pagos/reintegros); (ii) notificaciones push vía Google (FCM) y Apple (APNs), limitadas a un identificador de dispositivo y al contenido del aviso, sin datos de salud; y (iii) el canal WhatsApp Cloud API de Meta (cláusula 10). En todos los casos se aplican los resguardos de la Ley 25.326 y de la AAIP.
9. Subencargados
OSAMMVC autoriza a PyP a recurrir a los siguientes subencargados para la prestación del Servicio, obligándose PyP a imponerles obligaciones de protección de datos equivalentes a las del presente Anexo y a responder por su actuación:
| Subencargado | Finalidad | Ámbito de datos |
|---|---|---|
| PyP Technologies (plataforma EasyBot) e infraestructura subcontratada por PyP en Argentina | Operación de la OV | Datos personales y de salud (almacenados en OSAMMVC; procesamiento en territorio argentino) |
| Mercado Pago S.R.L. | Procesamiento de pagos/reintegros | Datos de pago |
| Google LLC (Firebase Cloud Messaging) | Entrega de notificaciones push (Android) | Token de dispositivo + aviso |
| Apple Inc. (APNs) | Entrega de notificaciones push (iOS) | Token de dispositivo + aviso |
| Meta Platforms (WhatsApp Cloud API) | Notificaciones y mensajería | Datos de contacto + aviso |
PyP informará a OSAMMVC toda incorporación o sustitución de subencargados con antelación razonable, pudiendo OSAMMVC objetarla por motivos fundados de protección de datos.
10. Canal WhatsApp / Meta
El canal de mensajería opera sobre WhatsApp Cloud API vinculado al portfolio Business de OSAMMVC en Meta. PyP, a través de EasyBot, garantiza:
- El cumplimiento de las políticas y normativas de Meta para el manejo de información y el envío de mensajes (plantillas aprobadas).
- El onboarding de conversaciones con consentimiento del usuario y mecanismos de desuscripción (opt-out) cuando el usuario así lo requiera.
- La eliminación completa y automática de las conversaciones de visitantes cuando éstos lo soliciten.
El tratamiento en este canal se limita a las finalidades de notificación y atención descriptas, conforme al consentimiento del titular.
11. Asistencia con los derechos de los titulares
PyP asistirá a OSAMMVC, mediante medidas técnicas y organizativas razonables, para atender las solicitudes de ejercicio de los derechos de acceso, rectificación, actualización y supresión (arts. 14 a 16, Ley 25.326). Toda solicitud que un titular dirija directamente a PyP será derivada a OSAMMVC sin demora.
12. Notificación de incidentes de seguridad
PyP notificará a OSAMMVC sin demora indebida y a más tardar dentro de las 48 horas de haber tomado conocimiento de un incidente de seguridad que afecte datos personales, brindando la información disponible sobre su naturaleza, categorías y volumen de datos afectados, posibles consecuencias y medidas adoptadas o propuestas, a fin de que OSAMMVC pueda cumplir con las obligaciones y notificaciones que correspondan ante la AAIP y los titulares.
13. Devolución o destrucción de los datos
Finalizada la prestación por cualquier causa, PyP, a elección de OSAMMVC, devolverá o destruirá los datos personales tratados y suprimirá las copias existentes, salvo obligación legal de conservación. A tal fin PyP emitirá, a solicitud de OSAMMVC, una constancia de destrucción/devolución. Esta obligación es independiente de la restitución de equipos entregados en comodato prevista en el Convenio de Prestación de Servicios.
14. Colaboración, auditoría y AAIP
PyP pondrá a disposición de OSAMMVC la información razonablemente necesaria para demostrar el cumplimiento de este Anexo y colaborará con las auditorías o inspecciones que OSAMMVC o la AAIP dispongan, dentro de parámetros razonables de confidencialidad y seguridad.
15. Delegado / Responsable de Protección de Datos del Encargado
PyP designa como Delegado de Protección de Datos (DPO) —punto de contacto en materia de protección de datos personales— a David Jesús Piccinini, DNI 36.187.961, ciudadano argentino, cofundador, CEO y socio gerente de P Y P TECHNOLOGIES S.R.L. conforme surge de su contrato social. Contacto del DPO / Data Protection Office: privacy@pyptechnologies.com.ar.
16. Vigencia
Este Anexo entra en vigencia en la fecha de su firma y mantiene su vigencia mientras subsista el Convenio de Prestación de Servicios y/o cualquier tratamiento de datos por cuenta de OSAMMVC. Las obligaciones de confidencialidad, secreto y seguridad subsisten tras la finalización conforme a la ley y a los convenios entre las partes.
17. Prevalencia e integración
En todo lo relativo a protección de datos personales, este Anexo prevalece sobre el Convenio de Prestación de Servicios y el Convenio de Confidencialidad. En lo demás, dichos convenios mantienen plena vigencia. La eventual invalidez de una cláusula no afectará la validez del resto.
18. Ley aplicable y jurisdicción
Este Anexo se rige por las leyes de la República Argentina. Para toda controversia las partes se someten al fuero ordinario de la ciudad de Villa Constitución, Provincia de Santa Fe, con exclusión de cualquier otro, en consonancia con los convenios que integra.
Este Anexo forma parte integrante del Convenio de Prestación de Servicios suscripto entre OSAMMVC y P Y P TECHNOLOGIES S.R.L. y se instrumenta entre las partes en la Ciudad de Villa Constitución, Provincia de Santa Fe.