Anexo de tratamiento de datos (DPA)

Esta página es una traducción hecha con ayuda de IA, que se ofrece para mayor comodidad, y puede contener errores. Solo la versión en inglés y su PDF son vinculantes, también ante los tribunales.

El presente Anexo de tratamiento de datos (el "DPA") forma parte de los Términos del servicio de Zipchat publicados en https://www.zipchat.ai/legal/terms-conditions (el "Contrato") celebrado entre Zipchat Inc. ("Zipchat") y el cliente que ha aceptado el Contrato (el "Cliente" y, junto con Zipchat, las "Partes").

Este DPA se publica en https://www.zipchat.ai/legal/dpa y se aplica automáticamente al tratamiento de Datos Personales que Zipchat realiza por cuenta del Cliente desde la fecha en que el Cliente acepta el Contrato. No se requiere firma. El Cliente que necesite una copia firmada por ambas partes puede solicitarla en support@zipchat.ai. Zipchat suscribe este DPA en su propio nombre y, en la medida en que lo exijan las Leyes de Privacidad, en nombre de sus filiales. Los términos en mayúscula que se usan en este DPA sin definirse en él tienen el significado que se les atribuye en el Contrato.

1. Definiciones

1.1 "Métricas de Uso Agregadas" (Aggregated Usage Metrics) tiene el significado que se le atribuye en la Sección 6.5 del Contrato.

1.2 "Subencargado Autorizado" (Authorized Subprocessor) significa un tercero al que Zipchat recurre para tratar Datos Personales con el fin de prestar los Servicios, en virtud de la autorización general prevista en la Sección 6.

1.3 "Datos de Cuenta de Zipchat" (Zipchat Account Data) significa los datos personales relacionados con la relación de Zipchat con el Cliente, incluidos los nombres y los datos de contacto de las personas a las que el Cliente ha autorizado a acceder a su cuenta, y los datos de facturación de las personas que el Cliente ha asociado a su cuenta.

1.4 "Datos de Uso de Zipchat" (Zipchat Usage Data) significa los datos de uso del Servicio que Zipchat recopila y trata en relación con la prestación de los Servicios, incluidos los datos que sirven para identificar el origen y el destino de una comunicación, los registros de actividad y datos similares.

1.5 "Data Privacy Framework" o "DPF" significa, según corresponda, el EU-U.S. Data Privacy Framework, la UK Extension to the EU-U.S. Data Privacy Framework y el Swiss-U.S. Data Privacy Framework.

1.6 "Interesado" (Data Subject) significa una persona física cuyos Datos Personales están protegidos por las Leyes de Privacidad. El término "Interesado" incluye el término "Consumidor" (Consumer) de las Leyes de Privacidad.

1.7 "Solicitud del Interesado" (Data Subject Request) significa una solicitud de un Interesado para ejercer los derechos que le reconocen las Leyes de Privacidad sobre sus Datos Personales.

1.8 "Usuario Final" (End User) significa una persona física que interactúa con los Servicios en los canales del Cliente, como un comprador o un visitante del sitio web.

1.9 "CCT de la UE" (EU SCCs) significa las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, en su versión modificada o sustituida en cada momento, y tal como se completan en la Sección 9 de este DPA.

1.10 "Transferencia desde el EEE" (ex-EEA Transfer) significa una transferencia de Datos Personales sujetos al RGPD de la UE desde el Espacio Económico Europeo (el "EEE") a un país o destinatario no amparado por una decisión de adecuación de la Comisión Europea.

1.11 "Transferencia desde el Reino Unido" (ex-UK Transfer) significa una transferencia de Datos Personales sujetos al RGPD del Reino Unido desde el Reino Unido a un país o destinatario no amparado por la normativa de adecuación adoptada en virtud del RGPD del Reino Unido y de la Data Protection Act 2018.

1.12 "Datos Personales" (Personal Data) significa cualquier información facilitada a Zipchat por el Cliente o en su nombre, o recopilada por Zipchat por cuenta del Cliente en relación con los Servicios, que se refiera a un Interesado identificado o identificable y que constituya "datos personales", "información personal" o un término equivalente conforme a las Leyes de Privacidad. Los Datos Personales no incluyen los Datos de Cuenta de Zipchat, los Datos de Uso de Zipchat ni las Métricas de Uso Agregadas.

1.13 "Leyes de Privacidad" (Privacy Laws) significa todas las leyes y normas aplicables al tratamiento de Datos Personales en virtud del Contrato, incluidos, en la medida en que sean aplicables: (i) el Reglamento (UE) 2016/679 (el "RGPD de la UE") y el RGPD de la UE tal como forma parte del Derecho de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud del artículo 3 de la European Union (Withdrawal) Act 2018 (el "RGPD del Reino Unido" y, junto con el RGPD de la UE, el "RGPD"); (ii) la Ley Federal suiza de Protección de Datos, de 25 de septiembre de 2020 (la "FADP"); (iii) la Data Protection Act 2018 del Reino Unido; (iv) las Privacy and Electronic Communications (EC Directive) Regulations 2003; y (v) las leyes estatales integrales de privacidad de los Estados Unidos, como la California Consumer Privacy Act, modificada por la California Privacy Rights Act de 2020 (la "CCPA"); en todos los casos, en su versión modificada o sustituida en cada momento. Los términos "finalidad comercial" (business purpose), "Responsable del Tratamiento" (Controller), "Violación de la Seguridad de los Datos Personales" (Personal Data Breach), "Encargado del Tratamiento" (Processor), "tratar" o "tratamiento" (process, processing), "vender" (sell), "compartir" (share) y "autoridad de control" (supervisory authority) tienen el significado que las Leyes de Privacidad atribuyen a esos términos o a sus equivalentes. "Responsable del Tratamiento" incluye "Business" y "Encargado del Tratamiento" incluye "Service Provider", según se definen en la CCPA.

1.14 "Cláusulas Contractuales Tipo" (Standard Contractual Clauses) significa, según corresponda, las CCT de la UE y las CCT del Reino Unido.

1.15 "Lista de Subencargados" (Subprocessor List) significa la lista de Subencargados Autorizados de Zipchat publicada en https://www.zipchat.ai/legal/subprocessors, actualizada conforme a la Sección 6.

1.16 "Adenda del Reino Unido" (UK Addendum) significa la International Data Transfer Addendum a las CCT de la UE emitida por el Information Commissioner del Reino Unido en virtud del artículo 119A de la Data Protection Act 2018, en su versión modificada en cada momento, y tal como se completa en el Apéndice D.

1.17 "CCT del Reino Unido" (UK SCCs) significa las CCT de la UE modificadas por la Adenda del Reino Unido.

2. Función de las Partes; descripción del tratamiento

2.1 En relación con los Datos Personales, el Cliente es el Responsable del Tratamiento y Zipchat es un Encargado del Tratamiento o, cuando el Cliente sea Encargado del Tratamiento por cuenta de un tercero Responsable del Tratamiento, Zipchat es un subencargado. El tratamiento por Zipchat de los Datos de Cuenta de Zipchat y de los Datos de Uso de Zipchat en calidad de Responsable del Tratamiento se rige por la Sección 13.

2.2 Zipchat tratará los Datos Personales únicamente: (i) para los fines establecidos en el Contrato; (ii) siguiendo las instrucciones documentadas del Cliente, que comprenden el Contrato, este DPA y la configuración y el uso de los Servicios por parte del Cliente; y (iii) cuando lo exijan las Leyes de Privacidad o una autoridad de control, en cuyo caso Zipchat informará al Cliente de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba. El objeto, la naturaleza, la finalidad y la duración del tratamiento, los tipos de Datos Personales y las categorías de Interesados se describen en el Apéndice A.

2.3 Los Datos Personales se almacenan en los Estados Unidos, salvo que se acuerde otra cosa por escrito.

3. Obligaciones del Cliente

3.1 En su uso de los Servicios, el Cliente tratará los Datos Personales y dará instrucciones para su tratamiento de conformidad con las Leyes de Privacidad, y se asegurará de que el tratamiento conforme a sus instrucciones no haga que Zipchat incumpla las Leyes de Privacidad. El Cliente es el único responsable de la exactitud, la calidad y la licitud de los Datos Personales facilitados a Zipchat por el Cliente o en su nombre, de los medios por los que el Cliente los obtuvo, de las instrucciones que da a Zipchat y de los avisos que deba dar a sus Usuarios Finales y los consentimientos que deba obtener de ellos.

3.2 El Cliente no facilitará ni pondrá a disposición de Zipchat Datos Personales en incumplimiento del Contrato, incluidos los datos descritos en la Sección 5.2 del Contrato, ni datos que de otro modo no sean adecuados para la naturaleza de los Servicios, y mantendrá indemne a Zipchat frente a cualquier reclamación y pérdida derivada de dichos datos.

3.3 Zipchat informará sin demora al Cliente si, en opinión de Zipchat, una instrucción infringe las Leyes de Privacidad o una instrucción de una autoridad de control.

4. Uso de los Datos Personales

4.1 Zipchat se compromete a no: (i) vender ni compartir Datos Personales; (ii) conservar, usar ni comunicar Datos Personales fuera de la relación comercial directa con el Cliente, ni para ningún fin distinto de una finalidad comercial conforme a la CCPA por cuenta del Cliente o de lo necesario para prestar los Servicios al Cliente en virtud del Contrato, salvo que el Contrato o las Leyes de Privacidad lo permitan de otro modo; ni (iii) combinar los Datos Personales recibidos del Cliente o en su nombre con datos personales recibidos de otra persona o en nombre de esta, salvo cuando sea necesario para prestar los Servicios o el Cliente así lo indique.

4.2 Ningún entrenamiento sin la autorización del Cliente. Zipchat no usa los Datos Personales, incluidas las conversaciones de los Usuarios Finales, ni los resultados de IA generados a partir de ellos, para entrenar ni ajustar ningún modelo de IA, ya sean modelos propios de Zipchat o modelos de terceros. Si en el futuro Zipchat quisiera hacerlo, primero pedirá autorización al Cliente, por correo electrónico o en el producto, y le explicará qué datos se usarían y con qué finalidad. El Cliente podrá aceptar o negarse. Sin la aceptación expresa del Cliente nada cambia: el silencio o el uso continuado de los Servicios no constituyen aceptación. El Cliente podrá retirar su aceptación en cualquier momento, con efectos para el futuro. Ninguna modificación del Contrato o de este DPA suprime ni restringe este compromiso. Los subencargados de IA de Zipchat tratan los Datos Personales únicamente para prestar su servicio a Zipchat, en virtud de contratos que les prohíben entrenar sus modelos con ellos. Algunos pueden conservar datos limitados durante un tiempo, con fines de observabilidad o de supervisión de abusos. Tratar Datos Personales para prestar los Servicios al Cliente, por ejemplo indexar el contenido propio del Cliente o recordar, para el Cliente, a los Usuarios Finales que vuelven, no constituye entrenamiento.

4.3 Métricas de Uso Agregadas. Zipchat puede elaborar Métricas de Uso Agregadas según se describe en la Sección 6.5 del Contrato. Estas métricas se combinan entre clientes o entre muchas conversaciones, no identifican al Cliente, a ningún Interesado ni a ninguna otra persona, no son Datos Personales y nunca se usan para entrenar ni ajustar modelos de IA.

4.4 Separación. Zipchat mantiene los Datos Personales de cada cliente separados de forma lógica, de modo que no queden expuestos en las conversaciones de otro cliente.

5. Auditoría

5.1 Zipchat mantendrá registros suficientes para demostrar que cumple este DPA. Previa solicitud por escrito del Cliente, con una periodicidad razonable y con sujeción a controles de confidencialidad razonables, Zipchat: (i) pondrá a disposición la información y la documentación razonablemente necesarias para demostrar que cumple este DPA, como una descripción de sus medidas técnicas y organizativas y un resumen de los resultados de su prueba de penetración más reciente; o (ii) si la información prevista en el punto (i) no es suficiente conforme a las Leyes de Privacidad, permitirá que un auditor externo independiente designado por el Cliente audite la infraestructura y los procedimientos de seguridad de datos de Zipchat en la medida necesaria para demostrar el cumplimiento de las Leyes de Privacidad, siempre que: (a) el Cliente lo notifique por escrito con una antelación razonable y la auditoría no perturbe de forma injustificada la actividad de Zipchat; (b) la auditoría se realice en horario laboral y no más de una vez por año natural, salvo que una autoridad de control exija otra cosa o tras una Violación de la Seguridad de los Datos Personales que afecte a los Datos Personales del Cliente; y (c) la auditoría se limite a los datos relativos al Cliente. El Cliente asume los costes de cualquier auditoría, incluido el reembolso del tiempo dedicado por Zipchat a las auditorías presenciales. Cuando se apliquen las Cláusulas Contractuales Tipo conforme a la Sección 9, las auditorías descritas en la Cláusula 8.9 de las CCT de la UE se realizarán de acuerdo con esta Sección 5.1.

5.2 En la medida en que lo permitan las Leyes de Privacidad, si el Cliente determina que Zipchat está tratando Datos Personales de forma no autorizada, el Cliente podrá, previa notificación por escrito y teniendo en cuenta la naturaleza del tratamiento, adoptar medidas comercialmente razonables y adecuadas para detener el tratamiento no autorizado y subsanarlo.

6. Subencargados Autorizados

6.1 Autorización general. El Cliente otorga a Zipchat una autorización general por escrito para recurrir a sus filiales y a los Subencargados Autorizados que figuran en la Lista de Subencargados, y para recurrir a otros subencargados conforme a esta Sección 6, con el fin de tratar Datos Personales en la medida necesaria para prestar los Servicios.

6.2 Lista de Subencargados. La Lista de Subencargados vigente se publica en https://www.zipchat.ai/legal/subprocessors. En ella se indica, para cada Subencargado Autorizado, qué trata, dónde lo trata y si se usa siempre o solo cuando el Cliente activa una funcionalidad o conecta un canal. Zipchat puede añadir, sustituir o retirar Subencargados Autorizados actualizando la Lista de Subencargados, sin modificar el Contrato ni este DPA. El Apéndice B recoge, a título informativo, la lista a la fecha de esta versión; prevalece la Lista de Subencargados publicada.

6.3 Notificación. Al menos diez (10) días antes de que un nuevo subencargado empiece a tratar Datos Personales, Zipchat lo añadirá a la Lista de Subencargados y lo notificará al Cliente por correo electrónico a la dirección que figure en la cuenta del Cliente. Cuando sea necesaria una sustitución urgente por motivos de seguridad o de continuidad del servicio, Zipchat lo notificará en cuanto sea razonablemente posible. El Cliente también puede pedir que se le notifique cada actualización de la Lista de Subencargados escribiendo a support@zipchat.ai.

6.4 Oposición. El Cliente puede oponerse a un nuevo subencargado escribiendo a support@zipchat.ai en un plazo de diez (10) días desde la notificación, por motivos razonables relacionados con la protección de datos. Si el Cliente no se opone en ese plazo, el subencargado pasa a ser un Subencargado Autorizado. Las Partes examinarán la oposición de buena fe. Si Zipchat no puede ofrecer una alternativa comercialmente razonable en un plazo razonable, el único recurso del Cliente será dejar de usar la parte afectada de los Servicios o resolver el Contrato conforme a sus términos. El Cliente reconoce que algunos subencargados son esenciales para los Servicios. La resolución en virtud de esta Sección no exime al Cliente del pago de las tarifas adeudadas en virtud del Contrato, y los reembolsos se rigen por la Sección 4.6 del Contrato.

6.5 Funcionalidades y canales. Algunos Subencargados Autorizados tratan Datos Personales solo cuando el Cliente activa una funcionalidad o conecta un canal, según se indica en la Lista de Subencargados. Al activar esa funcionalidad o conectar ese canal, el Cliente da instrucciones a Zipchat para que use el Subencargado Autorizado correspondiente.

6.6 Obligaciones. Zipchat celebrará con cada Subencargado Autorizado un acuerdo por escrito que le imponga obligaciones de protección de datos que no ofrezcan menos protección que las impuestas a Zipchat en este DPA. Zipchat sigue siendo responsable ante el Cliente del cumplimiento de las obligaciones de cada Subencargado Autorizado, con sujeción al Contrato.

6.7 Cuando se apliquen las Cláusulas Contractuales Tipo conforme a la Sección 9: (i) las autorizaciones de esta Sección 6 constituyen la autorización previa por escrito del Cliente para la subcontratación prevista en la Cláusula 9 de las CCT de la UE; y (ii) las copias de los contratos con subencargados que Zipchat deba facilitar conforme a la Cláusula 9, letra c), de las CCT de la UE se facilitarán solo a petición del Cliente, y Zipchat podrá eliminar previamente la información comercial y la información no relacionada con las Cláusulas Contractuales Tipo.

7. Confidencialidad; seguridad de los Datos Personales

7.1 Zipchat se asegurará de que toda persona a la que autorice a tratar Datos Personales esté sujeta a un deber de confidencialidad adecuado. Zipchat podrá comunicar Datos Personales a sus asesores, auditores u otros terceros en la medida razonablemente necesaria para cumplir sus obligaciones conforme a las Leyes de Privacidad, este DPA o el Contrato, o para prestar los Servicios al Cliente, con sujeción a obligaciones de confidencialidad equivalentes.

7.2 Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, Zipchat mantendrá medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, según se describe en el Apéndice C. Zipchat podrá actualizar estas medidas, siempre que las actualizaciones no reduzcan de forma sustancial el nivel general de protección. Ningún método de transmisión o almacenamiento es completamente seguro, y Zipchat no garantiza una seguridad absoluta.

8. Violación de la Seguridad de los Datos Personales

8.1 Zipchat informará al Cliente sin dilación indebida tras tener conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a los Datos Personales del Cliente, y adoptará las medidas que considere razonablemente necesarias para contenerla y subsanarla, en la medida en que la subsanación esté bajo el control razonable de Zipchat. La notificación describirá, en la medida en que se conozcan en ese momento, la naturaleza de la violación, las categorías y el número aproximado de Interesados y de registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas.

8.2 Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Zipchat prestará al Cliente una cooperación y una asistencia razonables para que el Cliente pueda cumplir las obligaciones que le imponen las Leyes de Privacidad de notificar a la autoridad de control competente y a los Interesados afectados.

8.3 Las Secciones 8.1 y 8.2 no se aplican a una Violación de la Seguridad de los Datos Personales causada por actos u omisiones del Cliente o de sus usuarios. La notificación o la respuesta de Zipchat ante una Violación de la Seguridad de los Datos Personales no constituye un reconocimiento de culpa ni de responsabilidad.

9. Transferencias de Datos Personales

9.1 El Cliente reconoce que las principales operaciones de tratamiento de Zipchat, así como el tratamiento de Datos Personales por parte de sus Subencargados Autorizados, se realizan en los Estados Unidos, y que la transferencia de Datos Personales a los Estados Unidos es necesaria para prestar los Servicios. Zipchat podrá transferir Datos Personales fuera del EEE, del Reino Unido o de Suiza en la medida necesaria para prestar los Servicios, con las garantías que exijan las Leyes de Privacidad.

9.2 Data Privacy Framework. Zipchat Inc. está certificada en el marco del EU-U.S. Data Privacy Framework, de la UK Extension to the EU-U.S. Data Privacy Framework y del Swiss-U.S. Data Privacy Framework. Su certificación figura en https://www.dataprivacyframework.gov/list. Por tanto, las transferencias de Datos Personales desde el EEE a Zipchat están amparadas por la decisión de adecuación de la Comisión Europea relativa al EU-U.S. Data Privacy Framework, de 10 de julio de 2023, y las transferencias desde el Reino Unido y Suiza, por las correspondientes constataciones de adecuación del Reino Unido y de Suiza relativas al DPF. Para estas transferencias no se requieren Cláusulas Contractuales Tipo ni una evaluación de impacto de la transferencia. Zipchat notificará al Cliente si deja de poder cumplir sus obligaciones conforme a los Principios del DPF.

9.3 Mecanismo subsidiario. Las Cláusulas Contractuales Tipo se incorporan por referencia a este DPA y se aplican a una Transferencia desde el EEE, a una Transferencia desde el Reino Unido o a una transferencia desde Suiza únicamente: (a) si el Data Privacy Framework deja de ser un mecanismo de transferencia válido para esa transferencia o si la certificación de Zipchat caduca; o (b) si el Cliente solicita por escrito que se apliquen como garantía adicional. Cuando se apliquen, se completan del siguiente modo:

(a) El Módulo Dos (de responsable a encargado) se aplica cuando el Cliente es Responsable del Tratamiento y Zipchat es Encargado del Tratamiento; el Módulo Tres (de encargado a encargado) se aplica cuando el Cliente es Encargado del Tratamiento y Zipchat es subencargado; y el Módulo Uno (de responsable a responsable) se aplica a los Datos de Cuenta de Zipchat y a los Datos de Uso de Zipchat que Zipchat trata como Responsable del Tratamiento conforme a la Sección 13.

(b) No se aplica la cláusula opcional de incorporación de la Cláusula 7.

(c) En la Cláusula 9, se aplica la Opción 2 (autorización general por escrito), y el plazo de preaviso de los cambios de subencargados es el establecido en la Sección 6.3.

(d) En la Cláusula 11, no se aplica el texto opcional.

(e) En la Cláusula 13, la autoridad de control competente se determina según lo establecido en el Apéndice B.

(f) En la Cláusula 17 (Opción 1), las CCT de la UE se rigen por el Derecho de Irlanda y, conforme a la Cláusula 18, letra b), los litigios se resuelven ante los tribunales de Irlanda.

(g) El Anexo I se completa con los Apéndices A y B, el Anexo II con el Apéndice C y el Anexo III con la Lista de Subencargados.

(h) Al aceptar el Contrato, se considera que las Partes han firmado las CCT de la UE, incluidos sus Anexos, en la fecha en que el Cliente aceptó el Contrato.

9.4 Transferencias desde el Reino Unido. Cuando la Sección 9.3 se aplique a una Transferencia desde el Reino Unido, se aplican las CCT del Reino Unido, completadas según lo establecido en el Apéndice D. La Adenda del Reino Unido se rige por el Derecho de Inglaterra y Gales, y los litigios derivados de ella se resuelven ante los tribunales de Inglaterra y Gales.

9.5 Transferencias desde Suiza. Cuando la Sección 9.3 se aplique a una transferencia sujeta a la FADP, se aplican las CCT de la UE con las siguientes modificaciones: (a) las referencias al RGPD incluyen la FADP para esas transferencias; (b) el Comisionado Federal suizo de Protección de Datos e Información es la autoridad de control competente para las transferencias regidas por la FADP; y (c) el término "Estado miembro" no impide que los Interesados en Suiza ejerciten acciones en su lugar de residencia habitual conforme a la Cláusula 18, letra c).

9.6 Solicitudes de acceso de las autoridades públicas. Para cualquier transferencia realizada al amparo de las Cláusulas Contractuales Tipo: (a) a la fecha de esta versión, Zipchat no ha recibido ninguna solicitud jurídicamente vinculante de un organismo público de inteligencia o de seguridad para acceder a los Datos Personales del Cliente; (b) si Zipchat recibe una solicitud de una autoridad pública relativa a Datos Personales, intentará remitir a la autoridad al Cliente, para lo cual podrá facilitar los datos de contacto básicos del Cliente, y, cuando esté obligada a comunicar Datos Personales, lo notificará al Cliente en la medida en que la ley lo permita y cooperará de forma razonable para que el Cliente pueda solicitar una orden de protección u otra medida; (c) Zipchat no comunicará voluntariamente Datos Personales a ninguna autoridad policial o gubernamental; y (d) si un mecanismo de transferencia deja de ser válido o una autoridad de control exige que se suspendan las transferencias, las Partes acordarán un mecanismo alternativo que cumpla las Leyes de Privacidad.

10. Evaluaciones de protección de datos

10.1 Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, Zipchat cooperará de forma razonable con el Cliente en cualquier evaluación de impacto relativa a la protección de datos o consulta previa que exijan las Leyes de Privacidad, en particular facilitando la información que el Cliente no pueda obtener por otros medios. Cada Parte sigue siendo responsable de las medidas que le atribuyen las Leyes de Privacidad.

11. Solicitudes de los Interesados

11.1 En la medida en que lo permitan las Leyes de Privacidad, Zipchat notificará al Cliente si recibe una Solicitud del Interesado relativa a Datos Personales e indicará al Interesado que dirija la solicitud al Cliente. El Cliente es responsable de responder a las Solicitudes de los Interesados, incluso mediante las funciones de los Servicios, como la eliminación o la exportación de los datos de las conversaciones.

11.2 A petición del Cliente, y teniendo en cuenta la naturaleza del tratamiento, Zipchat ayudará al Cliente, mediante medidas técnicas y organizativas apropiadas, a responder a una Solicitud del Interesado cuando el Cliente no pueda responder sin la ayuda de Zipchat y Zipchat pueda hacerlo de forma lícita. En la medida en que la ley lo permita, el Cliente asumirá los costes razonables de esa ayuda.

12. Conservación, devolución y eliminación de los Datos Personales

12.1 Durante la suscripción. Zipchat conserva los Datos Personales, incluidos los datos de las conversaciones, mientras la suscripción del Cliente esté activa, para que el Cliente pueda acceder a ellos y el agente de IA pueda recordar a los Usuarios Finales que vuelven. Las conversaciones no se eliminan automáticamente mientras la suscripción esté activa. El Cliente puede eliminar el historial de conversaciones en cualquier momento y puede pedir a support@zipchat.ai que active la eliminación automática una vez transcurrido el plazo que el Cliente elija, lo que Zipchat aplicará en un plazo razonable.

12.2 Exportación. El Cliente puede exportar los datos de las conversaciones a través de la API de Zipchat sin coste adicional mientras su cuenta esté activa y durante los 90 días siguientes a la terminación, hasta que se eliminen los datos, mediante la API o escribiendo a support@zipchat.ai.

12.3 Tras la terminación. Zipchat eliminará los Datos Personales en un plazo de 90 días desde la terminación o el vencimiento del Contrato, sin perjuicio de los ciclos de copias de seguridad, salvo que la ley exija conservarlos durante más tiempo o sea necesario para los registros de facturación, fiscales o legales. Los Datos Personales que Zipchat conserve en virtud de esta excepción siguen protegidos por este DPA y no se someten a ningún otro tratamiento, salvo el que exija la ley.

12.4 Cuando se apliquen las Cláusulas Contractuales Tipo, la certificación de la eliminación prevista en las Cláusulas 8.1, letra d), y 8.5 de las CCT de la UE se facilitará a petición del Cliente.

13. Zipchat como Responsable del Tratamiento

13.1 Respecto de los Datos de Cuenta de Zipchat y los Datos de Uso de Zipchat, Zipchat es un Responsable del Tratamiento independiente, no un corresponsable del tratamiento junto con el Cliente. Zipchat trata estos datos: (i) para gestionar su relación con el Cliente; (ii) para llevar a cabo sus operaciones empresariales básicas, como la contabilidad, las auditorías, las obligaciones fiscales y el cumplimiento normativo; (iii) para supervisar, investigar, prevenir y detectar fraudes, incidentes de seguridad y usos indebidos de los Servicios; (iv) para verificar la identidad; (v) para cumplir sus obligaciones legales; (vi) para prestar, proteger, mantener y mejorar los Servicios, incluso mediante la elaboración de Métricas de Uso Agregadas; y (vii) en los demás casos permitidos por las Leyes de Privacidad, el Contrato y este DPA. Zipchat no usa el contenido de las conversaciones incluido en estos datos para entrenar ni ajustar modelos de IA. Este tratamiento se describe en la Política de privacidad de Zipchat, disponible en https://www.zipchat.ai/legal/privacy-policy.

14. Modificaciones de este DPA

14.1 Zipchat puede actualizar este DPA, por ejemplo para reflejar cambios en las Leyes de Privacidad, en los mecanismos de transferencia o en los Servicios, publicando la versión actualizada en su sitio web. Los cambios que reduzcan de forma sustancial la protección del Cliente surten efecto 30 días después de que Zipchat lo notifique al Cliente por correo electrónico, salvo que las Leyes de Privacidad exijan que surtan efecto antes. Los cambios en la Lista de Subencargados se rigen por la Sección 6, no por esta Sección. Ninguna actualización puede suprimir ni restringir el compromiso de la Sección 4.2.

15. Disposiciones varias

15.1 En caso de conflicto, se aplica el siguiente orden de prelación: (1) las Cláusulas Contractuales Tipo, cuando se apliquen conforme a la Sección 9; (2) este DPA; (3) la Política de privacidad de Zipchat, en lo que respecta al tratamiento de datos personales, de forma coherente con la Sección 6.4, letra d), del Contrato; y (4) el Contrato.

15.2 Cualquier reclamación relacionada con este DPA está sujeta al Contrato, incluidos la legislación aplicable y las exclusiones y limitaciones de responsabilidad que en él se establecen, salvo que las Cláusulas Contractuales Tipo dispongan otra cosa.

15.3 Las notificaciones a Zipchat en virtud de este DPA deben enviarse a support@zipchat.ai. Las notificaciones al Cliente se envían a la dirección de correo electrónico que figure en la cuenta del Cliente.

15.4 Este DPA está redactado en inglés. Cualquier traducción, incluidas las traducciones realizadas con ayuda de IA publicadas en el sitio web de Zipchat, se ofrece únicamente a título informativo y puede contener errores. La versión en inglés es la única versión vinculante y prevalece en caso de discrepancia, también en cualquier litigio, arbitraje o procedimiento judicial.

Apéndice A: Detalles del tratamiento

Objeto. La prestación de los Servicios en virtud del Contrato: un agente de IA para ecommerce que responde y ayuda a los Usuarios Finales del Cliente en los canales que el Cliente conecta, como el chat del sitio web, el buscador, las fichas de producto, el correo electrónico, WhatsApp, Instagram, Messenger y, cuando esté activada, la voz.

Naturaleza del tratamiento. Recogida, registro y recuperación; almacenamiento y estructuración; análisis y consulta, incluida la generación de respuestas de IA; indexación del contenido del Cliente; actualización y rectificación; protección, incluidos el cifrado y la restricción; comunicación a los Subencargados Autorizados y a las herramientas que el Cliente conecta; devolución al Cliente o a los Interesados; y supresión.

Finalidad. Prestar, mantener, proteger y dar soporte a los Servicios para el Cliente conforme al Contrato y a las instrucciones del Cliente. Los Datos Personales no se usan para entrenar ni ajustar modelos de IA sin la autorización del Cliente (Sección 4.2).

Duración. Durante la vigencia del Contrato y según lo establecido en la Sección 12: los Datos Personales se conservan mientras la suscripción esté activa, salvo que el Cliente los elimine o active la eliminación automática, y se eliminan en un plazo de 90 días desde la terminación, sin perjuicio de los ciclos de copias de seguridad y de las excepciones de la Sección 12.3.

Categorías de Interesados. Los Usuarios Finales del Cliente (compradores y visitantes del sitio web que interactúan con los Servicios), y el personal del Cliente y los usuarios autorizados de los Servicios.

Categorías de Datos Personales.

• Datos de contacto, como el nombre, la dirección de correo electrónico y el número de teléfono.

• Identificadores de mensajería, como los números de teléfono de WhatsApp y los ID de perfil de Instagram y Messenger, cuando el Cliente conecta esos canales.

• Contenido de las conversaciones: mensajes de chat, correos electrónicos, consultas y solicitudes de soporte, y archivos multimedia que envían los Usuarios Finales, como imágenes y notas de voz.

• Información de pedidos y compras obtenida de las plataformas conectadas del Cliente, como números de pedido, estado del pedido e historial de pedidos.

• Información devuelta por las herramientas o skills personalizadas que configura el Cliente, que puede incluir datos de pedidos y de clientes.

• Datos técnicos, como la dirección IP, la ubicación aproximada y la información del navegador y del dispositivo, incluidas las señales usadas para la detección de bots cuando el Cliente activa la protección contra bots.

• Respecto de los usuarios del Cliente: nombre, dirección de correo electrónico, rol y actividad de la cuenta.

Categorías especiales de datos. Zipchat nunca pide a los Usuarios Finales categorías especiales de datos personales. Un Usuario Final puede facilitar este tipo de datos por iniciativa propia, por ejemplo un embarazo o una alergia al preguntar por un producto, porque de ello depende una respuesta segura y pertinente. Por diseño, Zipchat no oculta estos datos automáticamente: eliminarlos antes de que el modelo de IA los vea empeoraría la respuesta o la haría insegura. Estos datos se tratan únicamente para responder a ese Usuario Final, se envían solo a los subencargados de IA que figuran en la Lista de Subencargados, todos ellos en los Estados Unidos, se cifran en tránsito y en reposo, nunca se usan para entrenar modelos de IA y se excluyen de los registros de la aplicación de Zipchat. El Cliente puede eliminar la conversación en cualquier momento. El Cliente no usará los Servicios para recopilar deliberadamente categorías especiales de datos ni los datos excluidos por la Sección 5.2 del Contrato.

Frecuencia. Continua, mientras el Cliente use los Servicios.

Apéndice B: Partes, descripción de la transferencia y subencargados

Este Apéndice contiene la información exigida por los Anexos I y III de las CCT de la UE y por la Tabla 1 y los Anexos 1A y 1B de la Adenda del Reino Unido, cuando se apliquen conforme a la Sección 9.

1. Las Partes

Exportador de datos: el Cliente, identificado en su cuenta de Zipchat. Datos de contacto: los que figuran en la cuenta del Cliente. Actividades pertinentes para la transferencia: uso de los Servicios en virtud del Contrato. Función: Responsable del Tratamiento o Encargado del Tratamiento, según lo establecido en la Sección 2. Firma y fecha: al aceptar el Contrato, se considera que el Cliente ha firmado, en la fecha de la aceptación.

Importador de datos: Zipchat Inc., 407 E Ayre St #1207, Wilmington, Delaware DE 19804, Estados Unidos. Contacto: support@zipchat.ai. Actividades pertinentes para la transferencia: prestación de los Servicios en virtud del Contrato. Función: Encargado del Tratamiento (o subencargado), y Responsable del Tratamiento respecto de los Datos de Cuenta de Zipchat y los Datos de Uso de Zipchat conforme a la Sección 13. Firma y fecha: al prestar los Servicios en virtud del Contrato, se considera que Zipchat ha firmado, en la fecha en que el Cliente aceptó el Contrato.

2. Descripción de la transferencia

3. Autoridad de control competente

La autoridad de control del exportador de datos, determinada conforme a la Cláusula 13 de las CCT de la UE. Cuando el exportador de datos no tenga un establecimiento en el EEE y haya designado un representante, la autoridad de control del Estado miembro en el que esté establecido el representante. Para la Adenda del Reino Unido, el Information Commissioner del Reino Unido. Para las transferencias sujetas a la FADP, el Comisionado Federal suizo de Protección de Datos e Información.

4. Subencargados Autorizados

La lista vigente es la Lista de Subencargados publicada en https://www.zipchat.ai/legal/subprocessors, que prevalece y puede actualizarse conforme a la Sección 6. A la fecha de esta versión (12 de noviembre de 2026), incluye los siguientes. Todos tratan los datos en los Estados Unidos.

Se usan con todos los clientes

Se usan cuando se aplica una funcionalidad

Apéndice C: Medidas técnicas y organizativas

Este Apéndice contiene la información exigida por el Anexo II de las CCT de la UE y el Anexo II de la Adenda del Reino Unido, cuando se apliquen conforme a la Sección 9. Zipchat aplica las siguientes medidas para proteger los Datos Personales frente al acceso, la comunicación, la alteración y la pérdida no autorizados.

• Cifrado. Todos los datos se cifran en reposo, incluido el almacenamiento de las bases de datos, el almacenamiento de archivos y las copias de seguridad. Todo el tráfico se cifra en tránsito: todas las conexiones se realizan mediante HTTPS a través de Cloudflare, y las conexiones a las bases de datos están cifradas. Determinadas credenciales de integración sensibles, como los tokens de acceso, las contraseñas de bases de datos y los secretos de las skills personalizadas, se cifran además en reposo a nivel de aplicación, y los valores de los secretos de las skills personalizadas son de solo escritura a través de la API.

• Control de acceso. La aplicación para clientes requiere autenticación. Los permisos basados en roles distinguen entre propietarios, editores, miembros y administradores, y restringen las funciones sensibles. Las herramientas internas están restringidas a administradores autorizados. Las contraseñas se almacenan solo como hashes con sal.

• Separación de los datos de los clientes. Los Datos Personales están asociados de forma lógica al espacio de trabajo y al agente de IA del cliente. El acceso a la aplicación se limita a los agentes a los que puede acceder cada usuario, y las búsquedas en la base de conocimiento usan espacios de nombres específicos de cada agente, para impedir el acceso entre cuentas de clientes distintas.

• Integraciones seguras. Las integraciones con servicios externos usan HTTPS y solicitudes de API autenticadas. Los webhooks de Shopify se verifican mediante firma, y las credenciales de la API del backend se comprueban mediante una comparación en tiempo constante.

• Registro y supervisión. Los errores y la actividad de los sistemas se supervisan de forma continua, con notificación de errores y monitorización del rendimiento de la aplicación. Los secretos y el contenido de los mensajes se excluyen de los registros, y las páginas de error detalladas están desactivadas en producción.

• Copias de seguridad y resiliencia. Zipchat hace copias de seguridad periódicas de las bases de datos. El procesamiento en segundo plano reintenta los fallos recuperables, los procedimientos de despliegue están diseñados para reducir las interrupciones del servicio y existe un mecanismo de acceso de solo lectura, impuesto por la propia base de datos, para las investigaciones operativas.

• Desarrollo y gestión de cambios. Cada cambio de código se guarda en un sistema de control de versiones y se somete a revisión y a pruebas automatizadas antes de su despliegue, con una verificación en un entorno de preproducción antes de pasar a producción.

• Gestión de vulnerabilidades. Zipchat realiza pruebas de penetración periódicas y mantiene un proceso continuo de gestión de vulnerabilidades para su aplicación y sus dependencias.

• Ciclo de vida de los datos. Los clientes pueden eliminar en cualquier momento las conversaciones, los agentes y los datos indexados de la base de conocimiento, y pueden pedir al equipo de soporte que active la eliminación automática de las conversaciones una vez transcurrido el plazo que elijan. Zipchat elimina los Datos Personales en un plazo de 90 días desde la terminación, sin perjuicio de los ciclos de copias de seguridad (Sección 12).

• Limitación de la finalidad. Los Datos Personales se tratan únicamente siguiendo las instrucciones del Cliente para prestar los Servicios. No se usan con fines publicitarios ni para entrenar o ajustar ningún modelo de IA sin la autorización del Cliente (Sección 4.2).

• Subencargados. Zipchat recurre a subencargados en virtud de acuerdos por escrito con obligaciones de protección de datos que no ofrecen menos protección que este DPA, y a subencargados de IA en virtud de condiciones que prohíben el entrenamiento con Datos Personales (Sección 6).

Apéndice D: Adenda del Reino Unido

International Data Transfer Addendum a las cláusulas contractuales tipo de la Comisión Europea. Este Apéndice solo se aplica cuando se aplican las CCT del Reino Unido conforme a las Secciones 9.3 y 9.4.

Parte 1: Tablas

Tabla 1: Partes

Tabla 2: CCT, módulos y cláusulas seleccionados. La versión de las CCT de la UE aprobadas a la que se adjunta esta Adenda del Reino Unido, tal como se incorpora al DPA y se completa en la Sección 9.3.

Tabla 3: Información de los apéndices. Anexo 1A (lista de partes): Apéndice B. Anexo 1B (descripción de la transferencia): Apéndices A y B. Anexo II (medidas técnicas y organizativas): Apéndice C. Anexo III (lista de subencargados, Módulos 2 y 3): la Lista de Subencargados.

Tabla 4: Terminación de esta Adenda del Reino Unido cuando cambie la Adenda del Reino Unido aprobada. Tanto el Importador como el Exportador pueden poner fin a esta Adenda del Reino Unido según lo establecido en la Sección 19 de la Adenda del Reino Unido.

Parte 2: Cláusulas obligatorias

Las Cláusulas obligatorias de la Adenda del Reino Unido aprobada, emitidas por el Information Commissioner del Reino Unido y modificadas en cada momento, se incorporan por referencia.