Acuerdo de tratamiento de datos de Taxpace y Pacekeeping

Versión: 2026-10-12 · Estado: borrador para revisión del abogado

Este Acuerdo de tratamiento de datos (el "DPA") es parte de los Términos del servicio de Taxpace y Pacekeeping entre Twenty Techworks LLC (el "Proveedor") y el Suscriptor que usa el Servicio con datos de sus clientes: un despacho de taxes, una oficina contable o un preparador (el "Despacho"). Las palabras con mayúscula que no se definen aquí tienen el significado que les dan los Términos. Si esta versión y la versión en inglés no coinciden, manda la versión en inglés.

Está escrito para que el Despacho, cuando es una institución financiera, cumpla una obligación de la Regla de Salvaguardas de la FTC (16 CFR §314.4(f)): supervisar a sus proveedores con un contrato que los obligue a cuidar los datos. También le ayuda a cumplir la publicación 4557 del IRS y la sección 7216.

1. Papeles y alcance

• Papeles: el Despacho es el responsable de la información de sus clientes (cuando aplica la Regla de Salvaguardas, como institución financiera). El Proveedor trata los Datos del cliente solo como proveedor del Despacho.
• Productos: este DPA aplica a Taxpace, al Bundle y a Pacekeeping Business. Con Pacekeeping Personal, el Suscriptor lleva su propia contabilidad y no atiende clientes; este DPA le aplica solo en lo que los datos que suba incluyan información personal de otras personas. [ABOGADO: confirmar.]
• Alcance: este DPA cubre todos los Datos del cliente, incluidas la Información del contribuyente, la Información contable (estados de cuenta, recibos, cheques y lo que sale de ellos) y cualquier "información del cliente" según 16 CFR §314.2. [ABOGADO: confirmar si una oficina contable que solo usa Pacekeeping Business es institución financiera para la Regla de Salvaguardas.]

2. Instrucciones

• Para qué se tratan: el Proveedor trata los Datos del cliente solo para dar, proteger y atender el Servicio. Sigue las instrucciones del Despacho, que se dan con los Términos, la configuración del Servicio y lo que el Despacho pida por escrito.
• Instrucciones contra la ley: el Proveedor le avisará al Despacho si cree que una instrucción va contra la ley.
• Inteligencia artificial: leer con inteligencia artificial los documentos que se suben para eso es parte del Servicio, sobre todo en Pacekeeping. El Proveedor lo hace solo con los subprocesadores de la lista, solo para dar el resultado y sin que se usen para entrenar modelos.
• Sección 7216: el Proveedor no usará ni revelará la Información del contribuyente salvo en lo que permite a un proveedor auxiliar la regulación del Tesoro §301.7216-2(d).

3. Confidencialidad del personal

Todas las personas del Proveedor que pueden ver Datos del cliente:

• tienen obligación de confidencialidad;
• reciben capacitación de seguridad;
• tienen solo el acceso que pide su función.

Cómo funciona el acceso a los Datos del cliente:

• Sin acceso en el día a día: la operación diaria no requiere ver Datos del cliente.
• Cuándo se entra: solo por soporte que pida el Despacho, por seguridad o porque la ley lo exige.
• Registro: cada uno de esos accesos queda registrado.

4. Programa de seguridad de la información

El Proveedor tiene un programa escrito de seguridad de la información que sigue los elementos de 16 CFR §314.4. Incluye por lo menos las medidas del Anexo A. El Proveedor:

• nombra a una persona capacitada para supervisarlo;
• evalúa los riesgos por lo menos una vez al año;
• lo mantiene al día.

5. Subprocesadores

• Autorización: el Despacho autoriza a los subprocesadores de la lista en /legal/subprocesadores.
• Sus obligaciones: el Proveedor obliga a cada uno a proteger los datos al menos como lo pide este DPA, y responde por lo que hagan.
• Nuevos subprocesadores: el Proveedor avisará con al menos 30 días antes de agregar o cambiar un subprocesador que vaya a tratar Información del contribuyente.
• Objeciones: el Despacho puede objetar con motivos razonables. Si no se llega a un acuerdo, el Despacho puede cancelar y recibir lo pagado por adelantado del periodo que no use.

6. Incidentes de seguridad

• Aviso: el Proveedor le avisará al Despacho sin demora indebida y, en todo caso, dentro de las 72 horas después de confirmar un incidente de seguridad en el que alguien sin permiso vio o se llevó Datos del cliente del Despacho.
• Qué dice el aviso: qué pasó, qué datos se vieron afectados, qué está haciendo el Proveedor y con quién comunicarse.
• Ayuda con lo que le toca al Despacho: el Proveedor dará ayuda razonable para que el Despacho cumpla sus propias obligaciones. Por ejemplo:
  • avisar a la FTC dentro de 30 días si el evento afecta a 500 personas o más (16 CFR §314.4(j));
  • avisar al enlace del IRS (Stakeholder Liaison);
  • cumplir las leyes estatales de aviso de filtraciones.

7. Ayuda

El Proveedor dará ayuda razonable para que el Despacho pueda:

• contestar lo que pidan los contribuyentes sobre su información;
• llenar cuestionarios de seguridad;
• tener su propio plan escrito de seguridad (WISP).

8. Dónde están los datos

Los Datos del cliente se guardan y se tratan en Estados Unidos.

9. Devolución y borrado

• Exportar: mientras dure la suscripción, el Despacho puede exportar sus Datos del cliente cuando quiera.
• Al cancelar la suscripción: no se borra nada; los Datos del cliente siguen en la cuenta.
• Al cerrar la cuenta o terminar: el Proveedor los deja disponibles para consultar y exportar durante 30 días. Después los borra de forma automática como dice la sección 10 de los Términos (en ningún caso después de 60 días), salvo que la ley pida conservarlos.
• Constancia: al terminar el borrado, el Proveedor manda un correo como constancia, y si el Despacho lo pide, lo confirma por escrito.

10. Auditorías e información

• Cada año: si el Despacho lo pide, el Proveedor le da un resumen de su programa de seguridad y del resultado de su evaluación de riesgos más reciente.
• Otras revisiones: para cualquier otra revisión, las partes acuerdan de buena fe el alcance y las fechas, como máximo una vez al año. El Despacho paga lo que cobren terceros.

11. Vigencia

Este DPA dura mientras el Proveedor trate Datos del cliente del Despacho.

12. Qué manda

Si este DPA y los Términos no coinciden en la protección de los Datos del cliente, manda este DPA.

Anexo A. Medidas de seguridad