Acuerdo de Tratamiento de Datos de Belcome

Versión 2026-10-12

Esta es una traducción de cortesía. La versión en inglés es la que rige. Leer la versión en inglés

Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre el negocio que lo acepta en Belcome ("Cliente") y Design Master Solutions, LLC, una sociedad de responsabilidad limitada de Massachusetts que opera Belcome ("Belcome", "nosotros"). Forma parte de los Términos de Servicio de Belcome ("Términos"). Se aplica cuando el negocio del Cliente está establecido fuera de los Estados Unidos, o cuando la ley de protección de datos de la Unión Europea, el Espacio Económico Europeo, el Reino Unido, Brasil, Canadá, Australia o Nueva Zelanda se aplica a los Datos de Clientes. Si el DPA y los Términos se contradicen sobre el tratamiento de datos personales, prevalece el DPA; si el DPA y un Anexo se contradicen, prevalece el Anexo.

1. Definiciones

• Datos de Clientes: los datos personales que el Cliente, su equipo o sus clientes ponen en el Servicio, según la definición de los Términos, y los registros de trabajo del personal que el Cliente guarda en el Servicio (horarios, ausencias, servicios realizados, comisiones). No incluye los datos de la cuenta de acceso de los miembros del equipo del Cliente, que Belcome trata como responsable del tratamiento según la Política de Privacidad de Belcome.
• Ley de Protección de Datos: las leyes que se aplican al tratamiento de los Datos de Clientes, incluidos el Reglamento (UE) 2016/679 ("RGPD"), el RGPD tal como se mantiene en la legislación del Reino Unido ("UK GDPR") junto con la Data Protection Act 2018, la Lei Geral de Proteção de Dados de Brasil (Ley 13.709/2018, "LGPD"), la PIPEDA de Canadá, la Privacy Act 1988 de Australia y la Privacy Act 2020 de Nueva Zelanda.
• Responsable del tratamiento, encargado del tratamiento, datos personales, tratamiento, interesado, violación de la seguridad de los datos personales y autoridad de control tienen el significado que les da el RGPD, y el de los términos equivalentes de las demás Leyes de Protección de Datos (para la LGPD, "controlador", "operador", "titular" e "incidente de segurança").
• Subencargado: un tercero que Belcome contrata para tratar Datos de Clientes para el Servicio.

2. Funciones

El Cliente es el responsable del tratamiento de los Datos de Clientes. Belcome es su encargado del tratamiento (según la LGPD, "operador"). Belcome es un responsable del tratamiento independiente solo de los datos descritos en la Política de Privacidad de Belcome (las cuentas de los negocios, el sitio web y el perfil de contacto opcional que un cliente confirma con un código para completar reservas en las páginas de otros negocios).

3. Instrucciones

Belcome trata los Datos de Clientes solo siguiendo instrucciones documentadas del Cliente. Esas instrucciones son los Términos, este DPA y la configuración que el Cliente elige en el Servicio (incluidas las integraciones que conecta). Belcome avisará al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos. Belcome no vende Datos de Clientes, no los usa para publicidad y no los usa para entrenar modelos de inteligencia artificial.

4. Objeto, duración y detalles

El objeto es la prestación del Servicio. La duración es la vigencia de los Términos más el plazo de eliminación de la sección 11. La naturaleza, la finalidad, los interesados y las categorías de datos figuran en el Anexo I.B del Anexo 1, que se aplica a todas las regiones.

5. Confidencialidad

Belcome permite el acceso a los Datos de Clientes solo a su personal que lo necesita para operar, proteger o dar soporte al Servicio, que está sujeto a confidencialidad y que usa autenticación multifactor. El acceso de soporte a la cuenta de un Cliente se usa solo para atender una solicitud del Cliente, por seguridad o cuando la ley lo exige.

6. Seguridad

Belcome mantiene las medidas técnicas y organizativas del Anexo II del Anexo 1. Puede mejorarlas; no reducirá el nivel general de protección.

7. Subencargados

El Cliente otorga a Belcome una autorización general para usar los subencargados del Anexo III del Anexo 1. Belcome dará un aviso por escrito con al menos 30 días de anticipación (un correo al titular de la cuenta y una actualización en www.belcome.app/subprocessors) antes de agregar o sustituir un subencargado. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si las partes no logran resolver la objeción, el Cliente puede terminar los Términos y recibir un reembolso proporcional de las tarifas pagadas por adelantado por el período no utilizado. Belcome obliga a cada subencargado a cumplir condiciones de protección de datos no menos protectoras que este DPA y sigue siendo responsable de él.

Las integraciones que el Cliente elige conectar (por ejemplo herramientas de contabilidad, marketing, calendario o analítica, y las etiquetas de analítica que el Cliente coloca en su página de reserva) no son subencargados de Belcome: reciben datos por instrucción del Cliente y según el contrato propio del Cliente con ese proveedor. En med spas y otros negocios de salud, las integraciones que recibirían datos de clientes quedan apagadas.

8. Asistencia con las solicitudes de los interesados

El Servicio permite al Cliente encontrar, exportar, corregir y eliminar los datos de un cliente. Si Belcome recibe una solicitud de un cliente del Cliente, la enviará al Cliente sin dilación indebida y no la responderá por sí misma salvo que el Cliente se lo pida. Belcome ayudará al Cliente, teniendo en cuenta la naturaleza del tratamiento, con las evaluaciones de impacto relativas a la protección de datos y las consultas previas.

9. Violaciones de la seguridad de los datos personales

Belcome notificará al Cliente sin dilación indebida, y en todo caso dentro de las 48 horas, después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a Datos de Clientes, con la información que el Cliente necesita para cumplir sus propias obligaciones (para el RGPD y el UK GDPR, 72 horas ante la autoridad de control; para la LGPD, el plazo fijado por la Resolución CD/ANPD n.º 15/2024 de la ANPD; para Australia, el régimen Notifiable Data Breaches; para Nueva Zelanda, una violación de la privacidad notificable; para Canadá, una violación de las medidas de seguridad que cree un riesgo real de daño significativo).

10. Auditorías

Belcome pondrá a disposición la información necesaria para demostrar el cumplimiento de este DPA, incluidos sus informes de cumplimiento de AWS bajo acuerdo de confidencialidad cuando AWS lo permita, y responderá una vez al año cuestionarios de seguridad razonables por escrito. El Cliente puede auditar, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, con 30 días de aviso por escrito, a su costo, una vez al año, o después de una violación de la seguridad de los datos personales o de una solicitud de una autoridad de control.

11. Devolución y eliminación

El Cliente puede exportar los Datos de Clientes mientras la cuenta esté activa y durante 30 días después de que termine. Después, Belcome elimina los Datos de Clientes de los sistemas en uso; las copias de seguridad cifradas se sobrescriben en su ciclo normal, dentro de 35 días. Belcome guarda solo lo que la ley le obliga a guardar, y lo protege según este DPA.

12. Transferencias internacionales

Los Datos de Clientes se almacenan en los Estados Unidos (Amazon Web Services, región us-east-1, Northern Virginia). Cada transferencia de Datos de Clientes a Belcome como importador se rige por el Anexo de la región del Cliente:

• UE y EEE: Anexo 1, las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo Dos.
• Reino Unido: Anexo 2, el International Data Transfer Addendum de la ICO a esas Cláusulas.
• Suiza: Anexo 1 con los ajustes de la sección 1.9 del Anexo 1.
• Brasil: Anexo 3, las cláusulas contractuales tipo de la Resolución CD/ANPD n.º 19/2024 de la ANPD, en portugués, adoptadas íntegramente (publicadas en www.belcome.app/pt/clausulas-anpd/).
• Canadá, Australia y Nueva Zelanda: esas leyes no exigen cláusulas de transferencia para un proveedor de servicios; las obligaciones de Belcome en este DPA dan la protección comparable que exigen el principio 4.1.3 de la PIPEDA, el Australian Privacy Principle 8 y el Information Privacy Principle 12 de Nueva Zelanda.

Belcome no está certificada bajo el Marco de Privacidad de Datos UE-EE. UU.; se basa en las cláusulas anteriores.

13. Acceso de las autoridades públicas

Si una autoridad pública pide Datos de Clientes a Belcome, Belcome intentará redirigirla al Cliente, notificará al Cliente salvo que la ley lo prohíba, impugnará una solicitud que considere ilegal y divulgará solo el mínimo exigido. Estos compromisos se suman a la Cláusula 15 de las Cláusulas Contractuales Tipo.

14. Datos de salud y menores

Cuando el Cliente es un med spa u otro negocio de salud, los Datos de Clientes pueden incluir datos relativos a la salud. El Cliente es responsable de su base jurídica (para el RGPD y el UK GDPR, una condición del artículo 9, apartado 2, por lo general el consentimiento explícito; para la LGPD, el artículo 11) y usa los campos de consentimiento de los formularios del Servicio para recabarla. Belcome aplica las garantías adicionales descritas en el Anexo I.B. El Cliente es responsable del consentimiento de un padre, madre o tutor cuando reserva para un menor.

15. Responsabilidad y vigencia

La responsabilidad de cada parte según este DPA está sujeta a los límites de los Términos, salvo cuando la Ley de Protección de Datos o las Cláusulas Contractuales Tipo prohíban esos límites. Este DPA dura mientras Belcome trate Datos de Clientes para el Cliente.

16. Representante

Belcome no está establecida en la UE ni en el Reino Unido. Belcome designará un representante conforme al artículo 27 del RGPD, establecido en la UE, y un representante conforme al artículo 27 del UK GDPR, establecido en el Reino Unido, y publicará sus nombres y datos de contacto en este DPA y en la Política de Privacidad de Belcome antes de atender al primer negocio de salud (como un med spa o un negocio de bienestar o de cuidado de la piel) establecido en la UE, el EEE o el Reino Unido. Hasta entonces, Belcome no publica la página de reserva de un negocio así. Escriba a info@designmastersolutions.com sobre cualquier asunto relativo a este DPA.

Anexo 1: Cláusulas Contractuales Tipo de la UE

1.1 Incorporación

Las cláusulas contractuales tipo para la transferencia de datos personales a terceros países que figuran en el Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (Diario Oficial de la Unión Europea L 199, 7 de junio de 2021, p. 31) ("CCT de la UE"), Módulo Dos (transferencia de responsable a encargado), se incorporan a este DPA por referencia y se completan como sigue. El Cliente es el exportador de datos y Belcome es el importador de datos. Aceptar este DPA en el Servicio tiene el mismo efecto que firmar las CCT de la UE y el Anexo I.A.

Texto oficial: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj (consultado el 12 de octubre de 2026).

1.2 Opciones en las cláusulas

• Cláusula 7 (cláusula de incorporación): no incluida.
• Cláusula 9, letra a): Opción 2, autorización general por escrito; el plazo es de 30 días (sección 7 del DPA).
• Cláusula 11, letra a): el organismo independiente de resolución de litigios opcional no se incluye.
• Cláusula 13, letra a): la autoridad de control es la del Anexo I.C.
• Cláusula 17: Opción 2. Las CCT de la UE se rigen por el Derecho del Estado miembro de la UE en el que está establecido el exportador de datos; cuando ese Derecho no reconozca derechos a los terceros beneficiarios, por el Derecho de Irlanda.
• Cláusula 18, letra b): los órganos jurisdiccionales del Estado miembro de la UE en el que está establecido el exportador de datos.

1.3 Auditorías de la Cláusula 8.9 y eliminación de la Cláusula 8.5

Las auditorías de la Cláusula 8.9 siguen la sección 10 del DPA. La certificación de la eliminación conforme a la Cláusula 8.5 y la Cláusula 16, letra d), se entrega a solicitud por escrito del Cliente.

1.4 Anexo I.A: Lista de las partes

Exportador de datos

• Nombre: el negocio que acepta este DPA en Belcome, tal como consta en su cuenta de Belcome.
• Dirección: la dirección del negocio que consta en su cuenta de Belcome.
• Nombre, cargo y datos de contacto de la persona de contacto: el titular de la cuenta, en el correo que consta en la cuenta; el delegado de protección de datos o el representante en la UE, si el negocio los tiene, tal como los registre.
• Actividades pertinentes para los datos transferidos: operar un salón, barbería, spa, med spa o estudio y usar Belcome para su agenda, reservas en línea, fichas de clientes, pagos y mensajes.
• Firma y fecha: por aceptación en el Servicio, en la fecha que consta en el registro de aceptación.
• Función: responsable del tratamiento.

Importador de datos

• Nombre: Design Master Solutions, LLC (operador de Belcome).
• Dirección: 116 Kennedy Dr, Malden, MA 02148-3494, United States.
• Nombre, cargo y datos de contacto de la persona de contacto: Alan de Bortolo, Manager, info@designmastersolutions.com. Representante en la UE y representante en el Reino Unido: sección 16 del DPA.
• Actividades pertinentes para los datos transferidos: prestar el servicio Belcome (agenda, reservas en línea, recepción, fichas de clientes, formularios, pagos y mensajes de citas) como encargado del tratamiento.
• Firma y fecha: en la fecha de aceptación del Cliente en el Servicio.
• Función: encargado del tratamiento.

1.5 Anexo I.B: Descripción de la transferencia

Categorías de interesados

• Los clientes y posibles clientes del Cliente (personas que reservan, a quienes se les reserva, que entran en una lista de espera, compran una tarjeta de regalo o una membresía, o completan un formulario), incluidos los menores para quienes reserva un padre, madre o tutor.
• Los miembros del equipo del Cliente (como registros de trabajo: horarios, ausencias, servicios realizados, comisiones).
• Las personas que contactan al Cliente a través de Belcome (mensajes, reseñas, la recepcionista con IA).

Categorías de datos personales

• Identidad y contacto: nombre y apellido, correo, celular, idioma preferido, fecha de nacimiento o cumpleaños cuando el Cliente la recaba, dirección para visitas a domicilio.
• Reservas: citas, servicios, miembro del equipo, horarios, ubicación, estado, cancelaciones, inasistencias, entradas en lista de espera, reseñas.
• Ficha del cliente: notas, historial de servicios, compras de productos, puntos de fidelidad, tarjetas de regalo, membresías, fotos de antes y después, respuestas a formularios y firmas electrónicas.
• Pagos: importes, moneda, propinas, reembolsos, tipo de medio de pago y los últimos cuatro dígitos de una tarjeta. Los números completos de tarjeta se ingresan directamente en Stripe y nunca llegan a Belcome.
• Mensajes: el consentimiento para mensajes de texto o de WhatsApp y su registro, los mensajes de citas enviados (que nunca nombran el servicio reservado), respuestas como STOP, los mensajes atendidos por la recepcionista con IA.
• Técnicos: dirección IP y datos del navegador de las páginas públicas de reserva (para seguridad y protección contra bots).

Datos sensibles transferidos y garantías

En med spas y otros negocios de salud: datos relativos a la salud (historial médico, alergias, medicamentos, notas de tratamiento, formularios de consentimiento y fotos de tratamiento). Garantías: los datos permanecen en servicios de AWS cubiertos por el AWS Business Associate Addendum de Belcome; las integraciones que recibirían datos de clientes quedan apagadas; la sincronización de calendario muestra solo "Ocupado"; los mensajes de texto, de WhatsApp y las notificaciones push nunca nombran el servicio; el acceso se limita por función en el equipo; cada cambio en una ficha de cliente agrega un registro a un registro de auditoría al que solo se puede agregar; los informes de errores quitan nombres, correos y teléfonos antes de salir de los servidores de Belcome. Belcome no pide ni está diseñada para guardar categorías especiales de datos de negocios que no son de salud.

Frecuencia de la transferencia: continua, mientras el Cliente use el Servicio.

Naturaleza del tratamiento: alojamiento, almacenamiento, organización, consulta, visualización, transmisión de mensajes y notificaciones, procesamiento de pagos a través de Stripe, copia de seguridad y eliminación.

Finalidades de la transferencia y del tratamiento ulterior: prestar el Servicio según los Términos, mantenerlo seguro y funcionando, dar el soporte que el Cliente pida y cumplir obligaciones legales.

Conservación: según decida el Cliente en el Servicio; se eliminan 30 días después de que termine la cuenta, y las copias de seguridad cifradas se sobrescriben dentro de 35 días (sección 11 del DPA). Registros de seguridad: hasta 12 meses.

Para las transferencias a subencargados: objeto, naturaleza y duración según el Anexo III, durante la vigencia de los Términos.

1.6 Anexo I.C: Autoridad de control competente

La autoridad de control del Estado miembro de la UE en el que está establecido el exportador de datos (para un exportador de datos en Irlanda, la Data Protection Commission; en Portugal, la Comissão Nacional de Proteção de Dados; en España, la Agencia Española de Protección de Datos).

1.7 Anexo II: Medidas técnicas y organizativas

Verificadas el 12 de octubre de 2026 sobre el código y la infraestructura de Belcome.

• Cifrado en tránsito: solo TLS 1.2 y 1.3 en cada host de API y de reservas de Belcome, con HTTP Strict Transport Security; mensajes a AWS, Stripe y Google por TLS.
• Cifrado en reposo: la base de datos (PostgreSQL 17) y la caché funcionan en volúmenes cifrados de Amazon EBS; copias de seguridad en Amazon S3 con cifrado del lado del servidor (AES-256), control de versiones y acceso público bloqueado; contraseñas guardadas solo como hash de una vía.
• Disponibilidad y restauración: archivado continuo del registro de escritura anticipada (write-ahead log) en S3 (punto de recuperación de 5 minutos), copias completas semanales y diferenciales diarias (se conservan cinco copias completas), instantáneas diarias de EBS (se conservan siete), un simulacro de restauración automatizado en el entorno de staging, comprobaciones de estado y alarmas sobre la disponibilidad y las copias de seguridad.
• Identificación y autorización: cuentas por usuario, verificación en dos pasos opcional (TOTP) para los usuarios de negocios, TOTP obligatorio para el back office interno de Belcome, permisos por función dentro de cada negocio, cada solicitud limitada al negocio del propio usuario, límites de frecuencia en el inicio de sesión y en los endpoints públicos, Cloudflare Turnstile contra bots en las páginas públicas de reserva.
• Registro y rendición de cuentas: registro de auditoría al que solo se puede agregar para los cambios en las fichas de clientes y en las aceptaciones legales; registros de seguridad guardados hasta 12 meses.
• Minimización de datos: los informes de errores (Sentry) se envían con los datos personales por defecto desactivados y un filtro que quita nombres, correos y teléfonos; las notificaciones llevan texto genérico y solo referencias internas; los mensajes nunca nombran el servicio reservado.
• Infraestructura: una cuenta de AWS dedicada a Belcome dentro de la organización de Design Master Solutions, región us-east-1, cubierta por el AWS Business Associate Addendum; acceso de administración de servidores (SSH) restringido a un rango de red aprobado; sin alojamiento compartido.
• Organización: acceso a producción limitado a personal identificado de Design Master Solutions con autenticación multifactor; cambios publicados a través de un control de calidad automatizado; respuesta a incidentes según la sección 9 del DPA.
• Asistencia al responsable del tratamiento: exportación, corrección y eliminación de un cliente en la app; exportación de la cuenta durante 30 días después del cierre.

1.8 Anexo III: Lista de subencargados

El exportador de datos autoriza a estos subencargados (Cláusula 9, letra a), Opción 2; la lista también se publica en www.belcome.app/subprocessors). Todos tratan los Datos de Clientes en los Estados Unidos, salvo que se indique otra cosa.

1.9 Suiza

Para las transferencias sujetas a la Ley Federal de Protección de Datos de Suiza (FADP), las CCT de la UE se aplican con estos cambios: las referencias al RGPD se entienden hechas a la FADP; la autoridad de control competente del Anexo I.C es el Federal Data Protection and Information Commissioner; "Estado miembro" en la Cláusula 18, letra c), incluye a Suiza, para que los interesados en Suiza puedan demandar allí.

Anexo 2: International Data Transfer Addendum del Reino Unido

Este Anexo es el International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, versión B1.0, en vigor desde el 21 de marzo de 2022, emitido por el Information Commissioner conforme a la sección 119A(1) de la Data Protection Act 2018 ("UK Addendum"). Se aplica a las transferencias de Datos de Clientes sujetas al UK GDPR.

Texto oficial: https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf (consultado el 12 de octubre de 2026). La ICO indica que prevé actualizar el IDTA y el Addendum durante 2026 tras la Data (Use and Access) Act 2025 y que hasta entonces deben usarse las versiones actuales.

Parte 1: Tablas

Tabla 1: Partes

• Fecha de inicio: la fecha en que el Cliente acepta este DPA en el Servicio.
• Exportador (quien envía la Restricted Transfer): el Cliente, con el nombre legal, el nombre comercial, la dirección principal, el número de registro y el contacto principal que constan en su cuenta de Belcome.
• Importador (quien recibe la Restricted Transfer): Design Master Solutions, LLC; nombre comercial Belcome; dirección principal 116 Kennedy Dr, Malden, MA 02148-3494, United States; contacto principal Alan de Bortolo, Manager, info@designmastersolutions.com.
• Firma: aceptación en el Servicio (la Parte 2, Sección 2 del UK Addendum admite cualquier forma jurídicamente vinculante).

Tabla 2: CCT seleccionadas, Módulos y Cláusulas seleccionadas

La versión de las Approved EU SCCs a la que se adjunta este Addendum es el Anexo 1 de este DPA, incluida la Appendix Information, con estos módulos y opciones:

Tabla 3: Appendix Information

• Anexo 1A, Lista de las partes: Anexo 1, sección 1.4.
• Anexo 1B, Descripción de la transferencia: Anexo 1, sección 1.5.
• Anexo II, Medidas técnicas y organizativas: Anexo 1, sección 1.7.
• Anexo III, Lista de subencargados: Anexo 1, sección 1.8.

Tabla 4: Terminación de este Addendum cuando cambie el Approved Addendum

Partes que pueden terminar este Addendum según la Sección 19: Importador.

Parte 2: Cláusulas obligatorias

Parte 2: Mandatory Clauses del Approved Addendum, que es la plantilla de Addendum B.1.0 emitida por la ICO y presentada ante el Parlamento conforme a la s119A de la Data Protection Act 2018 el 2 de febrero de 2022, según se revise conforme a la Sección 18 de esas Mandatory Clauses.

Para las transferencias según el UK Addendum, la autoridad de control competente es el Information Commissioner, y la ley aplicable y los tribunales son los de Inglaterra y Gales (UK Addendum, Parte 2, Secciones 12(c), 15(j), 15(k), 15(m) y 15(n)).

Anexo 3: Brasil (cláusulas contractuales tipo de la ANPD)

Para los Clientes establecidos en Brasil, o cuando la LGPD se aplica a la transferencia de Datos de Clientes a Belcome en los Estados Unidos, se aplican las cláusulas contractuales tipo aprobadas en el Anexo II de la Resolución CD/ANPD n.º 19, de 23 de agosto de 2024, adoptadas íntegramente y sin cambios, en el texto en portugués publicado en www.belcome.app/pt/clausulas-anpd/. Conforme al artículo 16, § 3 de ese Reglamento, las Secciones I, II y III del Anexo II son un anexo del instrumento aceptado entre el Cliente (exportador, controlador) y Belcome (importador, operador).

Fuentes (consultadas el 12 de octubre de 2026)

• Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, DO L 199 de 7.6.2021, p. 31: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914
• ICO, International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, versión B1.0, en vigor desde el 21 de marzo de 2022: https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
• ICO, What are standard data protection clauses (the UK IDTA and the Addendum)?: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/international-transfers/appropriate-safeguards/what-are-standard-data-protection-clauses-the-uk-idta-and-the-addendum/
• Resolução CD/ANPD nº 19, de 23 de agosto de 2024, DOU 23/08/2024, edição 163, seção 1, p. 123: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-19-de-23-de-agosto-de-2024-580095396
• RGPD (Reglamento (UE) 2016/679), artículos 9, 27, 28, 33 y 46: https://eur-lex.europa.eu/eli/reg/2016/679/oj