Legal
Anexo de tratamiento de datos
Este documento está disponible en español y en inglés; en caso de discrepancia, prevalece la versión en inglés.
Borrador — todavía no revisado por un abogado. Estos son los hechos que un abogado debe convertir en un anexo firmado. Los clientes que necesiten una copia firmada antes de lanzar deben escribir a privacy@railyard.run.
Roles
Tú eres el responsable del tratamiento de los datos personales en tus aplicaciones y en la cuenta de tu equipo. Railyard es el encargado del tratamiento de los datos que el plano de control guarda en tu nombre: datos de cuenta de los miembros de tu equipo, variables de entorno, logs de despliegue y ejecución, métricas y registros de auditoría. Las bases de datos y archivos de tus aplicaciones se quedan en tus servidores y no los procesa Railyard.
Instrucciones
Railyard procesa esos datos solo para operar el servicio como está documentado y como tú lo configuras en el panel, la CLI y la API, nunca para fines propios.
Seguridad
- Las variables de entorno y los archivos secretos se cifran en reposo; la base de datos del plano de control está cifrada; los backups se cifran en el bucket de tu equipo.
- El acceso al plano de control depende del rol, con inicio de sesión en dos pasos disponible para todos y obligatorio para los operadores.
- Los agentes en tus servidores se autentican con un token por servidor; un servidor comprometido no puede hacerse pasar por otro.
- Cada acción dentro de un equipo se escribe en su registro de auditoría, exportable como CSV.
Subprocesadores
Listados en la página de subprocesadores; los cambios se anuncian 30 días antes y puedes objetar.
Asistencia y eliminación
Los propietarios de equipo pueden exportar y eliminar ellos mismos los datos de su equipo; los miembros pueden exportar y eliminar su propia cuenta. Railyard ayuda con las solicitudes de los interesados dentro de 30 días. Cuando se elimina un equipo, sus datos se eliminan del plano de control; los backups en tu propio bucket son tuyos, para conservar o eliminar.
Incidentes
Una brecha de datos personales que afecte tus datos se reporta a los propietarios del equipo sin demora indebida, con lo que se sepa en ese momento y las medidas tomadas.
Transferencias
El plano de control está en Estados Unidos (AWS, us-east-1). Para clientes fuera de EE. UU. esto es una transferencia fuera de su jurisdicción; las garantías son las medidas anteriores y las cláusulas contractuales estándar a solicitud.