Acuerdo de Procesamiento de Datos

1. Definiciones

• Responsable (Controller): El Cliente — la empresa que contrata a Suplifai y determina los fines y medios del tratamiento de datos de sus clientes finales.
• Encargado (Processor): Suplifai — procesa datos personales únicamente bajo instrucciones del Responsable.
• Datos Personales: Cualquier información que permita identificar a una persona física (nombres, teléfonos, correos, conversaciones de chat).
• Tratamiento: Cualquier operación sobre datos personales: recopilación, almacenamiento, consulta, uso, transmisión o eliminación.
• Sub-Encargado: Tercero contratado por Suplifai que participa en el tratamiento bajo las condiciones de este DPA.

2. Objeto y Alcance del Tratamiento

Suplifai tratará datos personales en nombre del Cliente con el único propósito de operar los Colaboradores Digitales contratados. Los datos pueden incluir:

• Nombre, número de teléfono y conversaciones de clientes finales en WhatsApp, Instagram o Web.
• Información de pedidos, cotizaciones y preferencias de compra.
• Datos de inventario y precios proporcionados por el sistema del Cliente.

El tratamiento se realiza en el territorio de México y, en algunos casos, en servidores fuera del país, bajo las condiciones de la Cláusula 8.

3. Instrucciones del Responsable

Suplifai tratará los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, tal como se establecen en los Términos y Condiciones y en la configuración de la plataforma. Si Suplifai considera que una instrucción infringe la legislación aplicable, lo notificará al Cliente.

4. Obligaciones de Suplifai como Encargado

• Tratar los datos únicamente para los fines especificados en este DPA.
• Garantizar que el personal autorizado a acceder a los datos esté sujeto a obligaciones de confidencialidad.
• Implementar las medidas de seguridad descritas en la Cláusula 6.
• Asistir al Cliente para atender las solicitudes de sus clientes finales, incluidas las relativas a derechos ARCO y a la oposición a decisiones automatizadas (Cláusula 9).
• Notificar al Cliente cualquier solicitud de un titular de datos dentro de los 5 días hábiles.
• Notificar al Cliente cualquier vulneración de seguridad que afecte sus datos dentro de las 72 horas de haberla detectado.
• No transferir datos a terceros no autorizados sin instrucción previa del Cliente.
• Cooperar con el Cliente en auditorías de cumplimiento bajo condiciones acordadas mutuamente.

5. Obligaciones del Cliente como Responsable

• Contar con base legal para el tratamiento de datos de sus clientes finales (consentimiento, contrato o interés legítimo).
• Informar a sus clientes finales sobre el uso de herramientas de IA en la atención, conforme a la legislación aplicable.
• No instruir a Suplifai a realizar tratamientos que violen la ley.
• Atender, como Responsable, el ejercicio de los derechos de sus clientes finales.

6. Medidas de Seguridad

Suplifai implementa las siguientes medidas técnicas y organizativas:

7. Sub-Encargados (Sub-Processors)

El Cliente autoriza a Suplifai a contratar Sub-Encargados para la prestación del servicio. Suplifai se asegura de que cada Sub-Encargado esté sujeto a obligaciones de protección de datos equivalentes a las de este DPA. Trabajamos con las siguientes categorías de Sub-Encargados:

El listado específico y actualizado de Sub-Encargados está disponible para el Cliente a solicitud, escribiendo a legal@suplifai.com. Suplifai notificará al Cliente con al menos 10 días de anticipación ante cambios materiales en dicha lista; el Cliente puede oponerse por escrito dentro de ese plazo.

8. Transferencias Internacionales de Datos

Algunos Sub-Encargados se encuentran fuera de México (principalmente en los Estados Unidos). Dichas transferencias se realizan porque son necesarias para la prestación del servicio contratado por el Cliente y para el cumplimiento de la relación entre el Cliente y Suplifai, conforme a los supuestos previstos en la LFPDPPP vigente. En todos los casos, Suplifai obliga contractualmente a cada Sub-Encargado a mantener medidas de protección de datos equivalentes a las de este DPA.

9. Tratamiento Automatizado e Inteligencia Artificial

El servicio genera respuestas y cotizaciones mediante Inteligencia Artificial de forma automatizada, en nombre del Cliente. Suplifai:

• Asiste al Cliente para atender la oposición de un titular a decisiones basadas únicamente en tratamientos automatizados y sus solicitudes de intervención humana.
• Diseña los flujos para escalar a un agente humano cuando la IA no puede resolver con certeza.
• No utiliza los datos personales del Cliente ni de sus clientes finales para entrenar modelos propios fuera de la prestación del servicio.

10. Conservación y Eliminación de Datos

Al terminar el contrato, Suplifai eliminará o anonimizará todos los datos personales del Cliente y de sus clientes finales dentro de los 90 días calendario posteriores a la terminación, salvo que la ley exija un período de conservación mayor. El Cliente puede solicitar una confirmación escrita de la eliminación.

11. Auditorías y Asistencia

Suplifai permitirá al Cliente realizar auditorías de cumplimiento de este DPA, con previo aviso de 30 días hábiles y bajo condiciones acordadas mutuamente (costos y alcance). Alternativamente, Suplifai podrá proporcionar certificaciones o informes de auditoría de terceros como evidencia de cumplimiento.

12. Vigencia

Este DPA tiene la misma vigencia que los Términos y Condiciones suscritos entre las partes y se actualiza en paralelo con ellos. La versión vigente siempre estará publicada en esta URL.

13. Contacto DPA

Para consultas relacionadas con este Acuerdo de Procesamiento de Datos:

📧 legal@suplifai.com

Asunto: "DPA — [Nombre de su empresa]" · Tiempo de respuesta: máximo 5 días hábiles.