Acuerdo de procesamiento de datos (DPA)

Última actualización: 2026-05-25

Anexos contractuales que regulan el procesamiento de datos de tus clientes finales bajo principios GDPR / LGPD.

1. Objeto y ámbito

Este Acuerdo de Procesamiento de Datos (en adelante "DPA") complementa los Términos del Servicio entre Voilatier Inc. y el Cliente, y regula el tratamiento de datos personales que el Cliente confía a Voilatier al usar la plataforma. Se rige por los principios del Reglamento General de Protección de Datos (GDPR), la Lei Geral de Proteção de Dados (LGPD) y las leyes locales latinoamericanas aplicables.

2. Partes y roles

• Responsable del tratamiento (Data Controller): el Cliente.
• Encargado del tratamiento (Data Processor): Voilatier Inc.

El Cliente determina las finalidades y los medios del tratamiento de los datos de sus clientes finales. Voilatier actúa exclusivamente bajo las instrucciones documentadas del Cliente.

3. Instrucciones documentadas

Voilatier solo trata los Datos del Cliente para: (a) prestar el Servicio conforme a los Términos; (b) cumplir instrucciones razonables del Cliente comunicadas a través del panel o por escrito; (c) cumplir obligaciones legales a las que esté sujeta. Cualquier instrucción que, a juicio de Voilatier, viole la legislación aplicable, será notificada al Cliente sin proceder a ejecutarla.

4. Confidencialidad

Voilatier garantiza que las personas autorizadas para tratar los Datos del Cliente están sujetas a un deber de confidencialidad contractual o legal equivalente. El acceso a los datos en producción está restringido al personal de ingeniería autorizado, con registro de cada acceso.

5. Medidas técnicas y organizativas

Voilatier implementa medidas apropiadas al riesgo, incluyendo:

• Cifrado en tránsito (TLS 1.2+) y en reposo (cifrado a nivel de disco para todo el almacenamiento, cifrado a nivel de columna para PII identificable).
• Autenticación de doble factor obligatoria para roles administrativos.
• Registro de auditoría inmutable de acciones significativas (Spatie ActivityLog + ledgers append-only para movimientos contables).
• Aislamiento lógico estricto de tenants: ninguna query puede cruzar company_id sin pasar por una excepción explícita en código.
• Backups diarios cifrados con retención de 30 días.
• Política de gestión de incidentes documentada con playbooks por categoría.
• Revisiones de código mandatorias para cambios que tocan superficies de seguridad o PII.
• Penetration tests anuales por terceros (programa formal a partir de 2027).

6. Subprocesadores

Voilatier puede contratar subprocesadores para prestar partes del Servicio. La lista actualizada está en el Anexo B. Antes de incorporar un nuevo subprocesador, Voilatier notificará al Cliente con al menos 30 días de anticipación. El Cliente tiene derecho a objetar por razones razonables; si la objeción no puede resolverse, el Cliente podrá terminar el contrato sin penalización.

Voilatier impone a cada subprocesador obligaciones contractuales equivalentes a las de este DPA en materia de confidencialidad, seguridad y notificación de brechas.

7. Asistencia con derechos del titular

Voilatier asiste razonablemente al Cliente para responder a solicitudes de titulares de datos (acceso, rectificación, supresión, portabilidad, oposición). Si un titular contacta directamente a Voilatier, lo redirigirá al Cliente sin procesar la solicitud unilateralmente, salvo obligación legal en contrario.

El panel ofrece herramientas de autoservicio para exportar (CSV), anonimizar (campo anonymized_at que preserva agregados sin PII) y eliminar registros de clientes finales.

8. Notificación de brechas

Si Voilatier toma conocimiento de una brecha de seguridad que afecte los Datos del Cliente, notificará al Cliente sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a la detección. La notificación incluirá: descripción de la naturaleza de la brecha, categorías y volumen aproximado de titulares y datos afectados, consecuencias probables y medidas tomadas o propuestas para mitigarla.

9. Auditoría

El Cliente tiene derecho a verificar el cumplimiento de este DPA hasta una vez al año (más una adicional tras una brecha confirmada) bajo las siguientes condiciones:

• Notificación con 30 días de anticipación.
• Acuerdo de confidencialidad (NDA) firmado por el auditor designado.
• Auditoría conducida en horario laboral, sin interrumpir el Servicio.
• Costos a cargo del Cliente, salvo que se descubran incumplimientos materiales en cuyo caso Voilatier asume los costos directos.

En lugar de una auditoría in situ, Voilatier puede satisfacer este derecho mediante la entrega del último reporte de auditoría independiente equivalente (SOC 2 Type II u homologable, una vez disponible) y respuestas a un cuestionario de seguridad estándar (CAIQ).

10. Transferencias internacionales

Cuando los Datos del Cliente se transfieran fuera de la jurisdicción de origen, la transferencia se ampara en Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea o mecanismos equivalentes reconocidos por las autoridades locales. Las jurisdicciones de procesamiento están listadas en el Anexo B.

11. Duración y devolución

Este DPA mantiene vigencia mientras Voilatier procese Datos del Cliente. Al terminar el contrato, el Cliente tiene 60 días para exportar sus datos vía panel o API. Transcurrido ese plazo, Voilatier eliminará o anonimizará los datos, salvo obligación legal de conservación. A solicitud del Cliente, Voilatier emitirá una certificación de eliminación.

Anexo A — Detalles del tratamiento

Categorías de titulares

• Clientes finales del Comercio (personas que reciben comunicaciones de fidelización).
• Personal del Comercio que opera el panel.

Categorías de datos personales

• Identificación: nombre, apellidos, identificadores externos opcionales (DNI, RFC, NIT, RUC).
• Contacto: teléfono móvil, correo electrónico (ambos cifrados a nivel de columna).
• Demográficos: fecha de nacimiento (opcional), idioma preferido, país.
• Comportamiento: historial de transacciones, puntos acumulados, segmento RFM, nivel de lealtad, suscripciones a canales.
• Consentimientos: opt-in / opt-out por canal (email, SMS, WhatsApp), marcas de tiempo asociadas.

Finalidades del tratamiento

• Operación del programa de fidelización (acumulación, redención, niveles).
• Comunicación con clientes finales en los canales autorizados.
• Analítica y segmentación para uso interno del Comercio.
• Cumplimiento de obligaciones legales del Comercio.

Duración del tratamiento

Mientras la Cuenta del Comercio esté activa, más 60 días tras la terminación para exportación, salvo instrucción de eliminación anticipada por parte del Comercio.

Anexo B — Subprocesadores autorizados

Lista vigente al Última actualización: 2026-05-25:

• Resend — Estados Unidos · Entrega de correos transaccionales y de marketing.
• LabsMobile — España / múltiples LATAM · Entrega de mensajes SMS.
• Meta Platforms (WhatsApp Cloud API) — Estados Unidos / Irlanda · Entrega de mensajes WhatsApp.
• Cloudflare — Estados Unidos · CDN, CAPTCHA, protección DDoS.
• AWS / DigitalOcean — Estados Unidos · Alojamiento de aplicación y almacenamiento de bases de datos.
• Stripe — Estados Unidos · Procesamiento de pagos del Comercio (no procesa datos del cliente final).
• Anthropic — Estados Unidos · Modelos de lenguaje para funciones opcionales de redacción asistida; los prompts no persisten datos personales identificables del Comercio ni de sus clientes finales.

Para preguntas sobre subprocesadores o suscribirse a notificaciones de cambios, escribir a [email protected].