Acuerdo de tratamiento de datos

Este acuerdo se celebra entre el dueño de un workspace en Exylia Seller (el «Cliente», responsable) y Cristobal Aranda, con domicilio en Chile (el «Encargado»). Se aplica a los datos personales que el Encargado trata por cuenta del Cliente a través del Servicio, principalmente los de los compradores de sus ventas («Datos del Cliente»). Se acepta junto con los Términos del servicio y dura mientras el Cliente tenga un workspace, más el tiempo necesario para eliminar sus datos.

Los datos de las cuentas del Cliente y de sus miembros los trata el Encargado como responsable conforme a la Política de privacidad, no conforme a este acuerdo. Cuando el Cliente trata los datos de un comprador a su vez como encargado de un marketplace, este acuerdo se aplica como un acuerdo con un subencargado.

Tampoco se rige por este acuerdo la analítica de uso del sitio y del panel (Google Analytics y Microsoft Clarity, solo para los Usuarios que la aceptan): son datos de uso sobre cómo los Usuarios usan el panel, que el Encargado trata como responsable. El contenido del panel se enmascara en las grabaciones de Clarity. Las direcciones y títulos de las páginas pueden incluir nombres de workspaces, números de venta o términos de búsqueda; se usan solo para medir y mejorar el Servicio y nunca se venden ni se usan para publicidad. Por eso Google y Microsoft no son subencargados de los Datos del Cliente.

• Objeto y finalidad: prestar al Cliente las funciones del Servicio que utilice: sincronizar ventas, mensajes, publicaciones, precios y stock con sus canales; preparar, etiquetar y despachar ventas; gestionar devoluciones, documentos tributarios y atención al cliente; enviar avisos y mostrar analítica.
• Naturaleza: recopilación mediante las API de los canales conectados, importaciones e ingreso manual; almacenamiento, organización, consulta, geocodificación de direcciones, generación de etiquetas y documentos, comunicación a los servicios que el Cliente conecta, y eliminación.
• Titulares: compradores y destinatarios de las ventas del Cliente; personas que hacen preguntas o reclamos en sus publicaciones; contactos de sus proveedores, transportes y revendedores; y miembros de su equipo en cuanto aparecen en el registro de actividad del workspace.
• Categorías de datos: las indicadas en la sección 3 de la Política de privacidad: nombre, apodo, correo y teléfono del comprador; nombre y teléfono del destinatario, dirección de despacho y coordenadas; datos de facturación, incluido el número de documento de identidad o RUT; productos, montos y seguimiento; preguntas, reclamos, mensajes y adjuntos; fotos de devoluciones; datos de contacto de proveedores y revendedores; y registro de actividad con direcciones IP.
• Categorías especiales: no se prevén. El Cliente no debe usar el Servicio para tratarlas.
• Duración: mientras exista el workspace o hasta que el Cliente borre los datos, y el plazo de la sección 9 tras su eliminación.

El Encargado:

• Tratará los Datos del Cliente solo según sus instrucciones documentadas, que son estos términos y la configuración que el Cliente haga en el Servicio, salvo que la ley exija otra cosa; en ese caso informará antes al Cliente, salvo que la ley lo prohíba. Avisará al Cliente si considera que una instrucción infringe la normativa de protección de datos.
• Garantizará que las personas autorizadas a tratar los datos estén sujetas a confidencialidad.
• Aplicará las medidas de seguridad de la sección 5.
• No usará los Datos del Cliente para fines propios, no los venderá ni los combinará con datos de otros Clientes, salvo cifras agregadas que no identifiquen a ninguna persona ni Cliente y se usen solo para operar y mejorar el Servicio. No los usará para entrenar modelos de inteligencia artificial.
• Asistirá al Cliente, según la naturaleza del tratamiento, en la atención de las solicitudes de los titulares, en la seguridad, en la notificación de brechas y en cualquier evaluación de impacto o consulta previa.
• Pondrá a disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías razonables, según la sección 8.

El Cliente es responsable de la licitud del tratamiento: contará con una base legal, usará los datos de compradores solo para cumplir sus ventas, la atención posventa y sus obligaciones legales, respetará las reglas de cada marketplace, no ingresará categorías especiales de datos ni datos de tarjetas de pago y atenderá las solicitudes de los titulares. Garantiza que sus instrucciones cumplen la ley.

Conectar un marketplace, transporte, facturador o canal de avisos (por ejemplo, Discord, Telegram, Slack, WhatsApp o un correo) es una instrucción de comunicar a ese servicio los Datos del Cliente que la función necesita. Esos servicios actúan por cuenta del Cliente y conforme a las condiciones que el Cliente aceptó con ellos; no son subencargados del Encargado.

• Cifrado en tránsito (TLS) en todo el acceso al Servicio y en las conexiones con los canales.
• Credenciales de los servicios conectados cifradas con AES-256-GCM; contraseñas guardadas con bcrypt y tokens de renovación de sesión solo como hash; cookies de sesión HTTP-only.
• Verificación de correo, passkeys opcionales y nueva comprobación de identidad para eliminar un workspace.
• Separación lógica de los datos de cada Cliente por workspace en todas las consultas, y permisos por rol verificados en el servidor en cada operación; los revendedores acceden solo a sus propias ventas.
• Bases de datos y almacenamiento de archivos operados por el Encargado y no expuestos directamente a internet; etiquetas, adjuntos y fotos de devoluciones entregados solo mediante enlaces firmados y temporales.
• Límites de uso, verificación de firma de los webhooks entrantes y registro de actividad por workspace.
• Eliminación automática a los 30 días de los avisos y registros técnicos y a los 7 días de los trabajos de impresión.

El Cliente otorga una autorización general para que el Encargado recurra a subencargados. Los actuales son:

• Cloudflare, Inc. (Estados Unidos; red global): DNS, terminación TLS y protección de red para todo el tráfico.
• Zoho Corporation (centro de datos en Estados Unidos): envío de los avisos por correo que configure el Cliente.
• WhatsApp (Meta Platforms): entrega de los avisos por WhatsApp que configure el Cliente, enviados desde el número de Exylia.
• Fundación OpenStreetMap (Reino Unido), servicio Nominatim: geocodificación de direcciones de despacho, sin nombre ni teléfono.

El Servicio, sus bases de datos, su almacenamiento de archivos y sus funciones de inteligencia artificial se alojan en servidores operados por el propio Encargado en Chile. Los mapas del panel los carga el navegador del equipo del Cliente directamente desde Mapbox.

El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a estas y seguirá respondiendo por su cumplimiento. Anunciará cualquier subencargado nuevo en el panel o por correo con al menos 30 días de antelación; el Cliente podrá oponerse por motivos razonables y, si no se encuentra una solución, eliminar su workspace.

El Cliente puede consultar, corregir y exportar los Datos del Cliente desde el panel, eliminar las ventas de un canal completo (salvo las que tienen documentos tributarios o cortes de revendedores asociados, que se conservan como respaldo) y desconectar canales para detener la recopilación. Para lo que no pueda hacer desde el panel, como eliminar los datos de un comprador concreto, puede escribir a [email protected] y el Encargado lo hará en un plazo de 30 días.

Si un titular contacta directamente al Encargado, este trasladará la solicitud al Cliente sin dilación indebida y no la responderá por su cuenta salvo instrucción del Cliente.

El Encargado notificará al Cliente sin dilación indebida, y en todo caso dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier brecha de datos personales que afecte a los Datos del Cliente, con la información disponible en ese momento: su naturaleza, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Completará la información a medida que disponga de ella.

A solicitud escrita, no más de una vez al año salvo que haya habido una brecha o lo exija una autoridad, el Encargado responderá cuestionarios razonables sobre su cumplimiento y entregará la documentación pertinente. Las auditorías presenciales, si fueran necesarias, se acordarán con antelación, a costa del Cliente y bajo confidencialidad.

Cuando el Cliente elimina su workspace, sus canales se desconectan y nadie puede acceder a sus datos. Durante 30 días el workspace puede recuperarse a pedido de su dueño. Después, los Datos del Cliente se conservan bloqueados hasta su eliminación definitiva, que el Encargado realiza a solicitud del Cliente a [email protected] en un plazo de 30 días, salvo que la ley exija conservarlos. Antes de eliminar el workspace, el Cliente puede exportar los datos que necesite.

El Encargado está en Chile, país sin decisión de adecuación de la Comisión Europea. Para los Datos del Cliente sujetos al RGPD, las partes incorporan por referencia las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión: Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado) cuando el Cliente sea a su vez encargado. Para esas cláusulas: se aplica la cláusula 7 (adhesión); en la cláusula 9 se aplica la opción 2 (autorización general) con el plazo de aviso de la sección 6; no se aplica la redacción opcional de la cláusula 11; en las cláusulas 17 y 18 se aplican la ley y los tribunales de Irlanda; el Anexo I se completa con las secciones 1 y 2 de este acuerdo, el Anexo II con la sección 5 y el Anexo III con la sección 6. Para datos sujetos a la ley del Reino Unido se incorpora del mismo modo el Addendum de Transferencia Internacional de Datos emitido por la ICO. En caso de conflicto, las cláusulas prevalecen sobre este acuerdo.

En todo lo demás, este acuerdo se rige por la ley y los tribunales indicados en los Términos del servicio, y le son aplicables los límites de responsabilidad de esos términos en la medida que la ley lo permita.