Contrato de Encargado del Tratamiento de Datos

1. Partes

Responsable del tratamiento: el tenant (cuenta de equipo) de Connver que contrata el Servicio y decide los fines y medios del tratamiento de los datos personales de sus contactos ("el Responsable"). Actúa como tal en los términos del artículo 3, fracción XIV, de la LFPDPPP.

Encargado del tratamiento: Voltaflow LLC, sociedad de responsabilidad limitada constituida en el Estado de Wyoming, EE.UU., con domicilio en 1021 E Lincolnway, 7729, Cheyenne, WY 82001, US ("el Encargado" o "Voltaflow"), que trata los datos personales por cuenta y bajo las instrucciones documentadas del Responsable.

Contacto para asuntos de este DPA y para el ejercicio de derechos: hi@connver.com.

2. Objeto y alcance

El Responsable encarga al Encargado el tratamiento de los datos personales de los contactos que el Responsable gestiona a través del Servicio, exclusivamente para prestar y operar Connver por cuenta del Responsable.

Los datos objeto de tratamiento son: (a) los mensajes intercambiados a través de los canales conectados (WhatsApp y otros); (b) la ficha de cada contacto (nombre, teléfono y demás datos que el Responsable registre); y (c) el catálogo de productos y las configuraciones asociadas. Se excluyen expresamente los datos de facturación del propio Responsable, que son tratados por Paddle.com Market Ltd como comerciante registrado (Merchant of Record), y los datos de la cuenta de usuario del Responsable, de los que Voltaflow es responsable del tratamiento en su calidad de proveedor del Servicio.

3. Instrucciones documentadas

El Encargado tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable, que se entienden contenidas en los Términos de Servicio, este DPA y las configuraciones que el Responsable realice dentro del Servicio (automatizaciones, políticas, personalidad del agente y demás ajustes).

El Encargado no usará los datos para fines distintos de los instruidos y, en particular, no los empleará para entrenar modelos de terceros ni para propósitos ajenos a prestar el Servicio al Responsable. Cualquier instrucción que, a juicio del Encargado, infrinja la LFPDPPP será comunicada al Responsable; el Encargado podrá suspender su ejecución hasta recibir confirmación o rectificación.

4. Confidencialidad

El Encargado y su personal mantendrán la confidencialidad de los datos personales tratados, incluso después de terminado el tratamiento, de conformidad con el artículo 20 de la LFPDPPP.

El acceso a los datos se limita a quienes lo necesitan para prestar el Servicio, bajo obligaciones de confidencialidad y con el principio de mínimo privilegio.

5. Sub-encargados

El Encargado podrá valerse de sub-encargados para prestar el Servicio. La lista vigente de subprocesadores es la descrita en la sección "Subprocesadores" del Aviso de Privacidad de Connver, disponible en /privacidad, y se entiende incorporada por referencia a este DPA.

Cada sub-encargado queda sujeto a obligaciones contractuales de confidencialidad y seguridad equivalentes a las de este DPA. El Encargado comunicará al Responsable la incorporación o sustitución de sub-encargados mediante la actualización del Aviso de Privacidad y le reconocerá el derecho a oponerse por motivos legítimos escribiendo a hi@connver.com. En caso de objeción fundada, el Encargado podrá, a su elección, dejar de usar ese sub-encargado para los datos del Responsable o permitir que el Responsable resuelva el contrato sin penalización.

6. Medidas de seguridad

El Encargado implementa y mantiene las medidas de seguridad técnicas, administrativas y físicas necesarias para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, conforme al artículo 18 de la LFPDPPP.

Tales medidas incluyen, sin limitación: cifrado en tránsito (TLS) y en reposo, aislamiento por tenant mediante Row Level Security de Postgres, autenticación multifactor disponible y principio de mínimo privilegio en los accesos internos.

7. Asistencia en derechos ARCO

El Encargado asistirá al Responsable, en la medida de lo razonable y mediante medidas técnicas y organizativas adecuadas, para atender las solicitudes de Acceso, Rectificación, Cancelación y Oposición (derechos ARCO) que presenten los titulares de los datos.

El Responsable es el punto de contacto de los titulares y el responsable de dar trámite a las solicitudes. El Encargado pondrá a disposición del Responsable los mecanismos del Servicio y, cuando resulte necesario, atenderá los requerimientos específicos que el Responsable le dirija a hi@connver.com.

8. Vulneraciones de seguridad

En caso de una vulneración de seguridad que afecte los datos personales tratados por cuenta del Responsable, el Encargado notificará al Responsable sin dilación indebida y, en todo caso, en un plazo que permita al Responsable cumplir sus obligaciones ante la autoridad competente (la Secretaría Anticorrupción y Buen Gobierno) y ante los titulares, conforme al artículo 19 de la LFPDPPP.

La notificación incluirá, cuando esté disponible, la naturaleza de la vulneración, las categorías y el número aproximado de titulares y registros afectados, las medidas adoptadas o propuestas para contenerla y un punto de contacto para más información.

9. Duración, borrado y devolución

Este DPA estará vigente mientras el Servicio se preste al Responsable y el Encargado trate datos personales por su cuenta.

Al terminar el Servicio, el Encargado conservará los datos durante el período de retención de 90 días naturales descrito en el Aviso de Privacidad, tras el cual los suprimirá o anonimizará, salvo obligaciones legales de conservación. A petición del Responsable y cuando sea técnicamente viable, el Encargado facilitará la exportación de los datos antes de su supresión.

10. Responsabilidad

La responsabilidad de las partes se rige por el artículo 53 de la LFPDPPP y, en lo que resulte aplicable, por la sección de limitación de responsabilidad de los Términos de Servicio.

El Responsable declara contar con las bases legales necesarias para el tratamiento de los datos personales de sus contactos y será responsable de las instrucciones que imparta. El Encargado será responsable por los daños que cause cuando no haya cumplido las obligaciones de este DPA o haya actuado fuera de las instrucciones documentadas del Responsable.

11. Aceptación y contacto

La aceptación de este DPA se produce al marcar la casilla de aceptación durante el proceso de alta (onboarding) del Servicio, y queda registrada con la versión vigente indicada al inicio de este documento. Las modificaciones futuras se notificarán conforme a los Términos de Servicio y requerirán nueva aceptación.

Voltaflow LLC · 1021 E Lincolnway, 7729, Cheyenne, WY 82001, US · hi@connver.com.