Política de Uso de Datos y MCP para Socios

El acceso a los datos de clientes, a la plataforma Tailor.ia y al MCP está condicionado a la existencia de un contrato de asociación firmado y vigente entre Tailor.ia y el socio. No hay acceso de manera informal, de cortesía, en pruebas prolongadas ni por recomendación de terceros.

El contrato de asociación incorpora por referencia esta Política, el DPA, los Términos de Uso y la Política de WhatsApp Compliance.

Son condiciones acumulativas para la habilitación del socio:

Contrato de asociación firmado por los representantes legales y dentro de su plazo de vigencia;

Designación formal de un responsable técnico y de un responsable de seguridad de la información;

Aceptación expresa de esta Política por parte de las personas que recibirán acceso;

Registro nominal de los usuarios que operarán la plataforma o el MCP.

Un contrato terminado, rescindido, suspendido o vencido implica el cese inmediato del acceso, sin necesidad de previo aviso.

Mientras dure la asociación, el socio se obliga a mantener, como mínimo:

Autenticación multifactor (MFA) en todas las cuentas con acceso a la plataforma Tailor.ia, al MCP y a los correos corporativos asociados;

Cuentas nominales e individuales — se prohíbe compartir credenciales entre personas, usar cuentas genéricas y transferir el acceso a subcontratistas sin autorización previa por escrito;

Revocación del acceso en un plazo máximo de 24 horas ante la desvinculación o el cambio de función de cualquier usuario habilitado;

Dispositivos gestionados, con disco cifrado, sistema operativo con soporte y protección contra malware;

Red y entorno sin exposición pública de credenciales, tokens o volcados de datos en repositorios, planillas compartidas o canales de mensajería;

Registro de accesos conservado por el socio durante un mínimo de 12 meses.

Tailor.ia puede solicitar, en cualquier momento, evidencia documental del cumplimiento de estos requisitos.

El MCP de Tailor.ia es remoto, autenticado por usuario y aislado por cliente: cada persona accede únicamente a los datos de los clientes a los que haya sido vinculada formalmente por Tailor.ia.

Alcance por cliente: el socio solo puede conectar el MCP a cuentas de clientes para los cuales exista autorización registrada del propio cliente y de Tailor.ia.

Hosts permitidos: el MCP debe utilizarse únicamente en hosts oficiales y actualizados (Claude Desktop, Claude Code, Cursor y demás hosts homologados por Tailor.ia). Se prohíbe intermediar el MCP mediante proxies, gateways o agentes propios sin homologación previa.

Sin claves compartidas: no existe una clave de API que deba transferirse. Los intentos de extraer, replicar, almacenar o compartir tokens de sesión constituyen una violación grave de esta Política.

Automatización: las ejecuciones automatizadas, programadas o por lotes sobre el MCP dependen de la autorización previa por escrito de Tailor.ia, con límites de volumen y de finalidad definidos caso por caso.

Todas las llamadas al MCP se registran y se atribuyen al usuario autenticado.

Los datos a los que accede el socio pertenecen al cliente final. El socio actúa como subencargado del tratamiento, tratando los datos exclusivamente para ejecutar los servicios contratados por el cliente y conforme a las instrucciones documentadas de Tailor.ia y del cliente.

Usos permitidos: operación y configuración de los recorridos contratados, análisis del desempeño de la operación del propio cliente, soporte y diagnóstico técnico.

Está expresamente prohibido:

Exportar datos personales de forma masiva, salvo con autorización escrita y finalidad delimitada;

Usar datos de un cliente en beneficio de otro cliente, del propio socio o de terceros;

Enriquecer, cruzar o revender bases obtenidas a través de Tailor.ia;

Utilizar datos de clientes para entrenar, ajustar o evaluar modelos de IA propios o de terceros;

Almacenar datos fuera de los entornos homologados, incluidos planillas locales, unidades personales y herramientas no aprobadas;

Realizar envíos, campañas o contactos no previstos en el alcance contratado ni en el opt-in del titular;

Pruebas de seguridad, escaneos o ingeniería inversa sobre la plataforma o el MCP sin autorización escrita.

Se aplican al socio los principios de finalidad, necesidad y minimización previstos en la LGPD (ley brasileña de protección de datos): se accede al mínimo de datos necesario para la tarea.

Un socio comprometido no opera. Si el socio sufre una intrusión, una filtración, un secuestro de datos (ransomware) o el compromiso de cuentas, dispositivos o credenciales — aun sin evidencia de acceso indebido a los datos de Tailor.ia —, se aplican las reglas siguientes.

Notificación en un plazo máximo de 24 horas: el socio debe comunicar a Tailor.ia a través de [email protected] dentro de las 24 horas siguientes a tener conocimiento del incidente, informando naturaleza, vector identificado, sistemas y cuentas afectados, período de exposición y medidas ya adoptadas.

Suspensión preventiva inmediata: Tailor.ia suspende el acceso del socio a la plataforma y al MCP y revoca las sesiones activas, independientemente de que el incidente se origine en sistemas del socio o de terceros contratados por este. La suspensión es una medida de contención, no una sanción, y no depende de la existencia de culpa.

Autosuspensión: al identificar el incidente, el socio debe interrumpir de inmediato el uso de la plataforma y del MCP, sin esperar un pronunciamiento de Tailor.ia.

Reanudación condicionada: el acceso solo se restablece después de que el socio presente, y Tailor.ia acepte: informe del incidente con causa raíz, comprobación de contención y erradicación, rotación de todas las credenciales involucradas, reinstalación o saneamiento de los dispositivos afectados y plan de corrección con plazos.

Cooperación: el socio debe cooperar plenamente con la investigación, preservar evidencias y registros y apoyar a Tailor.ia y al cliente en las comunicaciones a la ANPD (Autoridad Nacional de Protección de Datos de Brasil) y a los titulares, cuando lo exija la LGPD.

Los incidentes reiterados, la omisión de notificación o la negativa a cooperar conllevan la rescisión de la asociación.

El uso de la marca Tailor.ia y del sello "Socio Tailor.ia" en sitios web, materiales, propuestas, firmas y redes sociales constituye una licencia revocable, no exclusiva e intransferible, válida solo mientras la asociación esté activa y al día en sus obligaciones.

Tailor.ia puede retirar el sello y revocar el uso de la marca, a su criterio y mediante comunicación, en los siguientes supuestos, entre otros:

Terminación, rescisión, suspensión o vencimiento del contrato de asociación;

Incidente de seguridad no notificado, mal gestionado o reiterado;

Violación de esta Política, del DPA o de las políticas de WhatsApp y antispam;

Uso indebido de datos de clientes;

Comunicación engañosa sobre el alcance de la asociación, sobre certificaciones inexistentes o sobre resultados atribuidos a Tailor.ia;

Conducta que exponga a los clientes de Tailor.ia a riesgos reputacionales, jurídicos o de seguridad.

Una vez retirado el sello, el socio debe eliminar toda referencia a la asociación y a la marca Tailor.ia en un plazo máximo de 5 días hábiles, en todos los canales propios y de terceros bajo su control.

El retiro del sello puede producirse de forma aislada o junto con la suspensión del acceso, según la gravedad del caso.

Tailor.ia registra y monitorea los accesos del socio a la plataforma y al MCP, incluidas autenticaciones, consultas, volúmenes y patrones de uso.

Los patrones anómalos — volumen atípico de consultas, accesos fuera del alcance autorizado, horarios incompatibles con la operación, intentos de exportación masiva — pueden generar un bloqueo automático y preventivo hasta su aclaración.

Tailor.ia puede realizar una auditoría documental del cumplimiento de esta Política por parte del socio, con un aviso previo de 10 días hábiles, o de inmediato en caso de incidente.

El socio debe responder los cuestionarios de seguridad y las solicitudes de evidencia en un plazo máximo de 10 días hábiles.

Terminada la asociación, por cualquier motivo:

Todos los accesos, sesiones y conexiones MCP se revocan en la fecha de terminación;

El socio debe eliminar, en un plazo máximo de 30 días, todas las copias locales de datos de clientes obtenidas a través de Tailor.ia, y comprobar la eliminación mediante declaración firmada;

El sello y la marca Tailor.ia deben eliminarse de todos los canales en un plazo máximo de 5 días hábiles;

Permanecen vigentes, tras la terminación, las obligaciones de confidencialidad, de protección de datos y de no utilización de las bases a las que se accedió.

La devolución de datos al cliente final la gestiona Tailor.ia directamente con el cliente, no el socio.

Esta Política rige mientras dure la asociación y forma parte del contrato firmado entre las partes.

Las modificaciones sustanciales se comunican al socio con 30 días de anticipación. Las modificaciones exigidas por ley, por orden de una autoridad o por una necesidad urgente de seguridad pueden tener vigencia inmediata.

El incumplimiento de esta Política somete al socio, según la gravedad y de forma acumulativa, a: advertencia formal, suspensión del acceso, retiro del sello de socio, rescisión del contrato y responsabilidad por los daños y perjuicios causados a Tailor.ia, a los clientes y a los titulares de los datos.

En caso de conflicto entre esta Política y el contrato de asociación, prevalece la disposición más protectora de los datos personales y de la seguridad de los clientes.