Acuerdo de tratamiento de datos

3.1 Objeto y roles

Este Acuerdo regula el tratamiento de datos personales que Expanda realice por cuenta del Cliente como consecuencia de la prestación del servicio. Para estos datos, el Cliente actúa como responsable y Fernando Hernandez Marquez, operando Expanda, actúa como encargado.

El Cliente determina las finalidades del tratamiento y las instrucciones aplicables. Dichas instrucciones podrán documentarse mediante el contrato, la configuración de funcionalidades, autorizaciones específicas u otros instrumentos acordados con el Cliente. Expanda no utilizará los datos para finalidades propias incompatibles con dichas instrucciones.

3.2 Alcance del tratamiento

El tratamiento podrá incluir recepción, registro, organización, consulta, almacenamiento, actualización, transmisión técnica, respaldo, recuperación, exportación, bloqueo y eliminación, según las funcionalidades utilizadas por el Cliente.

Las categorías de personas y datos dependerán de la información que el Cliente decida incorporar a la Plataforma.

3.3 Obligaciones de Expanda como encargado

• Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente y a la legislación aplicable.
• Abstenerse de utilizar los datos para finalidades distintas a las autorizadas.
• Mantener las medidas de seguridad descritas en el apartado 3.7.
• Mantener confidencialidad sobre los datos tratados.
• Limitar el acceso a las personas, proveedores o terceros que intervengan legítimamente en el tratamiento, únicamente dentro del alcance autorizado y necesario.
• Asistir razonablemente al Cliente en la atención de solicitudes de derechos de titulares cuando los datos se encuentren bajo control técnico de Expanda.
• Informar al Cliente sin demora indebida cuando se confirme un incidente de seguridad relevante que afecte sus datos.
• Aplicar los plazos de conservación descritos en el Aviso de Privacidad y conservar la bitácora que acredita su cumplimiento.
• Suprimir, devolver, bloquear o conservar los datos al concluir la relación conforme al apartado 3.10.

3.4 Obligaciones del Cliente

• Contar con una base jurídica válida para recabar, utilizar y cargar a Expanda los datos personales que trate.
• Proporcionar los avisos de privacidad y obtener los consentimientos que le correspondan.
• No instruir tratamientos ilícitos ni incorporar datos innecesarios para las finalidades del negocio.
• Administrar adecuadamente Usuarios, roles y permisos, y revocar los accesos que dejen de ser necesarios.
• Decidir si habilita el asistente de inteligencia artificial e informar a sus Usuarios sobre su uso.
• Atender, como responsable, las solicitudes de derechos de sus clientes, empleados, proveedores u otros titulares cuando corresponda.

3.5 Subencargados y proveedores autorizados

El Cliente autoriza a Expanda a utilizar los proveedores tecnológicos necesarios para las funcionalidades descritas en este Acuerdo y en el Aviso de Privacidad. Actualmente son:

• Amazon Web Services (AWS): infraestructura, base de datos, almacenamiento de archivos y respaldos.
• SW sapien: timbrado de CFDI. Recibe la información de la factura, los datos fiscales necesarios para procesar el comprobante y la información técnica requerida para la operación del certificado del Cliente.
• Expo, y según la plataforma APNs o FCM: entrega de notificaciones push. Expo recibe el token del dispositivo y el contenido de la notificación.
• Google: búsqueda de direcciones y de negocios cercanos mediante Google Places, que recibe el texto escrito por el Usuario y, en la búsqueda de negocios cercanos, su ubicación aproximada; y visualización de mapas mediante Google Maps.
• Anthropic, PBC: procesamiento de las consultas al asistente de inteligencia artificial, cuando el Usuario autoriza expresamente su uso. Recibe la pregunta del Usuario, hasta cuatro turnos anteriores de la conversación, el nombre de la pantalla desde la que se consulta, los archivos que el Usuario adjunte y los resultados de las consultas que el asistente realice conforme a los permisos de su cuenta. Conforme a los Términos Comerciales y al Anexo de Tratamiento de Datos de Anthropic, dicha información no se utiliza para entrenar modelos y se elimina en un plazo máximo de 30 días.

Expanda mantendrá documentada la participación de estos proveedores y procurará que asuman obligaciones de protección y confidencialidad compatibles con el servicio. Los cambios materiales en los proveedores que impliquen nuevas formas de tratamiento se reflejarán en la documentación de privacidad vigente y se comunicarán al Cliente antes de su aplicación.

3.6 Tratamiento internacional

La infraestructura principal se aloja en AWS, región us-east-1 (Norte de Virginia, Estados Unidos): el servidor, la base de datos, los archivos y los respaldos residen en dicha región. Las consultas al asistente son procesadas por Anthropic en las regiones donde opera su infraestructura, fuera de México. Los servicios de notificaciones y de mapas son operados por proveedores con sede en Estados Unidos.

El Cliente reconoce y autoriza que, para la prestación del servicio, sus datos puedan ser almacenados y procesados en dichas regiones y por los subencargados autorizados, conforme a la legislación aplicable.

3.7 Seguridad y confidencialidad

Expanda aplica los controles descritos en la cláusula 1.10 (Seguridad y confidencialidad) de los Términos y Condiciones y en el Aviso de Privacidad: cifrado en tránsito mediante HTTPS/TLS, cifrado en reposo de los archivos y respaldos en Amazon S3, almacenamiento de las credenciales de sesión en el almacén seguro del dispositivo, control de acceso por roles y permisos, y limitación del acceso interno a la información necesaria para cada función.

3.8 Solicitudes de titulares

Si Expanda recibe una solicitud relacionada con datos cuyo responsable sea el Cliente, la registrará y la canalizará al Cliente cuando sea posible. Expanda no decidirá por cuenta del Cliente sobre la procedencia del derecho, salvo instrucción documentada y jurídicamente válida.

Mientras una solicitud se encuentre en trámite, Expanda podrá suspender la eliminación automática de la información involucrada para conservarla hasta que el asunto concluya.

3.9 Incidentes de seguridad

Ante un incidente que afecte Datos del Cliente, Expanda realizará acciones razonables de contención, análisis y corrección, preservará la evidencia disponible e informará al Cliente sin demora indebida con la información necesaria para que éste evalúe sus obligaciones legales frente a las personas titulares, conforme a su procedimiento interno de gestión de incidentes.

3.10 Terminación y datos

• Conservación después de la terminación: 30 días naturales, durante los cuales el Cliente puede solicitar la devolución o exportación de su información.
• Eliminación: concluido ese periodo, los Datos del Cliente se eliminan de los sistemas en operación.
• Respaldos: se conservan 30 días desde su creación y se eliminan automáticamente, por lo que la eliminación queda concluida a más tardar 60 días después de la terminación.

Lo anterior no impedirá el bloqueo o la conservación temporal de datos cuando exista una obligación legal o sea necesario para determinar responsabilidades derivadas del tratamiento.

3.11 Información de cumplimiento

A solicitud razonable del Cliente, Expanda proporcionará la información disponible que resulte necesaria para acreditar el cumplimiento de las obligaciones asumidas en este Acuerdo, incluyendo la evidencia de la ejecución de los plazos de conservación, siempre que ello no comprometa la seguridad de la Plataforma, secretos comerciales o información de terceros.

3.12 Prevalencia

En materia de tratamiento de datos personales por cuenta del Cliente, este Acuerdo prevalecerá sobre disposiciones generales incompatibles de los Términos y Condiciones.