Anexo A — Convenio de Encargo de Tratamiento de Datos Personales

Versión

7.0

Última actualización

10 de octubre de 2026

Naturaleza

Anexo integral de los Términos y Condiciones de AOLA™

Aceptación

El Cliente lo acepta en el mismo acto en que acepta los Términos

1. Partes y roles

Este Convenio de Encargo (el "Convenio") forma parte integral de los Términos y Condiciones del servicio AOLA™ y se celebra entre:

• El Cliente, quien respecto de los datos personales de sus Usuarios Finales actúa como Responsable del tratamiento; y
• El Proveedor, quien respecto de dichos datos actúa como Encargado, tratándolos por cuenta y conforme a las instrucciones del Cliente.

Los términos no definidos aquí tienen el significado que se les da en los Términos y Condiciones y en la Ley.

Formalización. Este Convenio constituye el instrumento jurídico que exige el Reglamento para acreditar la existencia, alcance y contenido de la relación entre Responsable y Encargado.

2. Objeto y alcance del encargo

El Cliente encarga al Proveedor el tratamiento de los datos personales de sus Usuarios Finales necesarios para la prestación del Servicio: un asistente conversacional con inteligencia artificial en WhatsApp para la atención automatizada y el agendamiento y, cuando el Cliente la active, para la invitación a volver a agendar descrita en la sección 4.5 de los Términos. El tratamiento se limita a lo necesario para ese fin y por el tiempo que dure la relación contractual.

Categorías de titulares: los Usuarios Finales que se comunican con el Cliente a través de los Canales, y las personas cuyos datos el Usuario Final proporcione en la conversación.

Categorías de datos tratados:

Prohibición de datos sensibles y financieros. El Cliente se obliga a no utilizar el Servicio para tratar datos personales sensibles, patrimoniales o financieros, salvo que cuente con el consentimiento y las medidas que la Ley exige y lo haya acordado por escrito con el Proveedor.

3. Instrucciones del Responsable

El Proveedor tratará los datos personales únicamente conforme a las instrucciones documentadas del Cliente y para las finalidades del Servicio. No los tratará para finalidades propias ni distintas.

Constituyen instrucciones documentadas del Cliente: los Términos y Condiciones, el presente Convenio, la configuración que el Cliente realice en el Panel, y las instrucciones adicionales que el Cliente comunique por escrito.

En particular, la activación en el Panel de la invitación a volver a agendar constituye instrucción documentada del Cliente para enviar ese mensaje a los Usuarios Finales que cumplan las condiciones de la sección 4.5 de los Términos. El Proveedor no la envía a quienes tengan activa cualquiera de las marcas de la Cláusula 2.

El Proveedor asumiría el carácter de responsable, con las obligaciones y sanciones que ello implica, si destinara los datos a una finalidad distinta a la autorizada o efectuara una transferencia incumpliendo las instrucciones del Cliente.

4. Obligaciones del Encargado

El Proveedor se obliga a:

I. Tratar los datos personales únicamente conforme a las instrucciones del Cliente.

II. Abstenerse de tratar los datos para finalidades distintas a las instruidas.

III. Implementar y mantener las medidas de seguridad previstas en la Cláusula 9.

IV. Guardar confidencialidad respecto de los datos personales tratados, obligación que subsiste aun después de terminada la relación, conforme al artículo 20 de la Ley y a la Cláusula 10.

V. Suprimir los datos personales al término de la relación, conforme a la Cláusula 12, salvo previsión legal que exija su conservación. El Proveedor no devuelve ni entrega copias de los datos al término de la relación.

VI. Abstenerse de transferir los datos personales, salvo que el Cliente lo determine, que la comunicación derive de una subcontratación autorizada conforme a la Cláusula 5, o que lo requiera autoridad competente.

VII. Permitir al Cliente acreditar el cumplimiento de estas obligaciones, conforme a la Cláusula 13.

VIII. Auxiliar al Cliente en la atención de los derechos ARCO de sus Usuarios Finales, conforme a la Cláusula 14.

5. Subencargados

El Cliente autoriza al Proveedor a subcontratar a los terceros listados a continuación para la prestación del Servicio. Esta autorización se otorga en el propio instrumento que formaliza el encargo, conforme lo permite el Reglamento.

Cada subencargado asume las mismas obligaciones que corresponden al Encargado, y la carga de acreditar que la subcontratación se realizó con autorización del Responsable corresponde al Proveedor.

Alta y cambio de subencargados. El Proveedor informará al Cliente, por correo electrónico y con al menos cinco (5) días hábiles de anticipación, el alta o la sustitución de cualquier subencargado, indicando su nombre, su finalidad y los países en que tratará los datos. Cuando la sustitución sea urgente por razones de seguridad, por una falla o terminación del servicio del subencargado, o por decisión de un tercero ajeno al Proveedor, este podrá realizarla de inmediato e informará al Cliente a la brevedad.

Oposición del Cliente. El Cliente podrá oponerse por escrito, por causa justificada en materia de protección de datos, dentro de los cinco (5) días hábiles siguientes al aviso. La oposición no suspende el cambio: dado que el Servicio opera con una misma infraestructura para todos los Clientes, el nuevo subencargado tratará los datos del Cliente a partir de la fecha anunciada. A partir de la oposición, las partes contarán con diez (10) días hábiles para buscar una solución. Si no se alcanza, cualquiera de ellas podrá dar por terminada la relación sin penalización, mediante aviso por escrito. En ese caso no procederá la devolución de los montos correspondientes a periodos ya facturados, conforme a la sección 14.2 de los Términos, y la supresión de los datos se regirá por la sección 14.3 de los Términos.

6. Remisiones y transferencias internacionales

6.1. El Cliente reconoce y acepta que, para operar el Servicio, los datos de sus Usuarios Finales se remiten a los subencargados señalados en la Cláusula 5, cuyos servidores o entidades contratantes se ubican en Estados Unidos de América, Irlanda, España y Singapur, sin perjuicio de que la infraestructura del subencargado de agregación de mensajería (Zernio) pueda extenderse a otros países de Europa para archivos y servidores, y a Estados Unidos para registros técnicos (logs).

6.2. Las comunicaciones entre el Responsable y sus encargados, dentro o fuera del territorio mexicano, constituyen remisiones y no requieren el consentimiento del titular ni ser informadas como transferencias. No obstante, el Cliente, como Responsable, debe informarlas en su propio aviso de privacidad conforme al principio de información.

6.3. El Proveedor no realizará transferencias de datos a terceros ajenos a la prestación del Servicio sin instrucción o autorización del Cliente, salvo en los supuestos de excepción del artículo 36 de la Ley o cuando lo requiera una autoridad competente.

6.4. Requerimientos de autoridad. Si una autoridad requiere al Proveedor la entrega de datos tratados por cuenta del Cliente, el Proveedor verificará la legitimidad y el alcance del requerimiento, limitará la entrega a lo estrictamente necesario y, cuando legalmente esté permitido, lo notificará al Cliente antes de atenderlo.

6.5. Materiales de referencia. El Proveedor no utilizará datos personales de los Usuarios Finales, ni contenido de sus conversaciones, en casos de éxito, testimonios, demostraciones comerciales ni materiales de difusión, salvo que se encuentren efectivamente disociados y medie autorización previa y por escrito del Cliente. El uso del nombre comercial y logotipo del Cliente se rige por la sección 10.3 de los Términos y Condiciones.

7. Punto de recolección directa: página pública de reservas

El Cliente reconoce que el subencargado de agendamiento genera una página pública de reservas alojada en un dominio de dicho subencargado, en la que el Usuario Final captura directamente su nombre, teléfono y correo.

El aviso de privacidad debe ponerse a disposición del titular en el momento en que se recaban los datos. Dado que el Proveedor administra dicha página, el Proveedor se obliga a mostrar en ella, junto al formulario, la identidad y domicilio del Cliente, las finalidades del tratamiento y la liga a su aviso de privacidad integral, conforme al texto modelo de la Parte C de la plantilla, con la información que el Cliente capture en el Panel. El Cliente se obliga a proporcionar dicha información y a mantenerla actualizada.

8. Tratamiento automatizado y elaboración de perfiles

8.1. El Proveedor trata los datos de los Usuarios Finales mediante procesamiento automatizado e inteligencia artificial para: interpretar mensajes, generar respuestas, transcribir audios, describir imágenes, clasificar mensajes y asignar a cada Usuario Final una etapa de embudo y una calificación de interés comercial.

8.2. Finalidad de la clasificación. La etapa de embudo y la calificación de interés comercial se generan con la única finalidad de que el Cliente organice y priorice el seguimiento de sus Usuarios Finales desde el Panel, determinando a quién contactar primero y en qué estado se encuentra cada solicitud. Estas clasificaciones se muestran al Cliente en el Panel. El Proveedor no las utiliza para ninguna finalidad propia y el Servicio no adopta, con base en ellas, ninguna decisión respecto del Usuario Final: la decisión sobre cómo atenderlo corresponde íntegramente al Cliente.

8.3. Las partes reconocen que esta asignación constituye elaboración de perfiles y encuadra en el supuesto del artículo 26, fracción II de la Ley, que concede al titular el derecho de oponerse al tratamiento automatizado sin intervención humana que produzca efectos jurídicos no deseados o afecte significativamente sus intereses o derechos.

8.4. En consecuencia, el Cliente se obliga a:

• informar este tratamiento y su finalidad en su aviso de privacidad;
• atender el derecho de oposición del artículo 26, fracción II;
• atender las conversaciones que el Servicio le transfiera automáticamente conforme a la sección 4.4 de los Términos, así como las solicitudes de intervención humana y de reconsideración de la clasificación que reciba por sus propios medios de contacto; y
• mantener publicado y accesible el medio de contacto para el ejercicio de estos derechos.

8.5. Escalamiento a persona humana. El Servicio transfiere automáticamente la conversación al Cliente cuando detecta que no puede resolver la solicitud del Usuario Final. El Servicio no opera mediante palabras clave para este fin. La atención humana posterior corresponde al Cliente.

8.6. Auxilio en la reconsideración. El Proveedor se obliga a auxiliar al Cliente proporcionándole, a solicitud razonable, los datos que se utilizaron en la clasificación de un Usuario Final determinado, en la medida en que se conserven conforme a los plazos de la Cláusula 12.1, para que el Cliente pueda atender las solicitudes de acceso, rectificación y reconsideración.

8.7. No entrenamiento. El Proveedor no utiliza el contenido de las conversaciones para entrenar modelos propios. Conforme a las condiciones publicadas por sus subencargados de inteligencia artificial, los datos enviados por interfaz de programación no se utilizan por defecto para entrenar sus modelos (OpenAI), ni para entrenar o ajustar modelos (TypeSafe).

9. Medidas de seguridad

Conforme al artículo 18 de la Ley, el Proveedor implementa y mantiene medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo, a la sensibilidad de los datos y al desarrollo tecnológico, entre ellas:

Técnicas

• Cifrado de la información en tránsito y, cuando es aplicable, en reposo.
• Aislamiento lógico entre Clientes mediante seguridad a nivel de fila en todas las tablas de la base de datos.
• Credenciales privilegiadas residentes exclusivamente en el servidor, nunca expuestas al navegador; el Panel opera con una llave de alcance limitado a la sesión.
• Autenticación delegada a proveedor especializado, con almacenamiento de contraseñas mediante función de derivación con sal. El Proveedor no almacena ni tiene acceso a contraseñas en claro.
• Rutas privadas protegidas por control de acceso y sesiones ligadas al dominio.
• Bitácoras de acceso y de actividad relevante.

Administrativas

• Inventario documentado de datos personales y sistemas de tratamiento.
• Deber de confidencialidad del personal con acceso a los datos.
• Selección y evaluación de subencargados conforme a criterios razonables de seguridad.
• Procedimiento documentado de atención a vulneraciones.

10. Confidencialidad

El Proveedor y las personas que intervengan en cualquier fase del tratamiento están obligados a mantener la confidencialidad de los datos personales, obligación que subsiste aun después de terminada la relación con el Cliente, conforme al artículo 20 de la Ley. El Proveedor procurará que dicho deber conste por escrito respecto de su personal y colaboradores.

11. Vulneraciones de seguridad

11.1. Se consideran vulneraciones: la pérdida o destrucción no autorizada; el robo, extravío o copia no autorizada; el uso, acceso o tratamiento no autorizado; y el daño, alteración o modificación no autorizada.

11.2. En caso de una vulneración que afecte los datos tratados por cuenta del Cliente, el Proveedor lo notificará al Cliente de forma inmediata una vez confirmada la vulneración y habiendo iniciado la revisión de su magnitud, sin dilación alguna, a fin de que el Cliente pueda cumplir su propia obligación de informar a los Usuarios Finales conforme al artículo 19 de la Ley.

11.3. La notificación incluirá, en la medida en que la información esté disponible:

1. la naturaleza del incidente;
2. los datos personales comprometidos;
3. las recomendaciones para que los titulares protejan sus intereses;
4. las acciones correctivas realizadas de forma inmediata; y
5. los medios donde se puede obtener más información.

11.4. El Proveedor analizará las causas del incidente e implementará las acciones correctivas, preventivas y de mejora necesarias para evitar su repetición.

12. Conservación y supresión

12.1. Durante la vigencia. Los datos se conservan para la prestación del Servicio. Salvo instrucción distinta del Cliente, se aplican los siguientes plazos:

12.2. Datos sensibles no solicitados. Las partes reconocen que los mensajes se procesan automáticamente al momento de su recepción, de modo que la transcripción de audios y la descripción de imágenes ocurren antes de que sea posible evaluar su contenido. En consecuencia, el Proveedor no puede impedir el procesamiento inicial de datos sensibles o documentos de identificación enviados espontáneamente por un Usuario Final.

Respecto de dicha información, el Proveedor se obliga a: (i) no utilizarla para ninguna finalidad distinta de la prestación del Servicio; y (ii) suprimirla sin dilación a instrucción del Cliente, incluidas sus copias en la base de datos operativa, en los registros de eventos y en el almacenamiento de archivos.

12.3. Al término de la relación. Según la vía de terminación prevista en la sección 14.3 de los Términos: (a) si el Cliente elimina su cuenta desde el Panel, la supresión es inmediata, conforme a la Cláusula 12.5; (b) si el Cliente da por terminada la relación por correo electrónico u otro medio, el Proveedor ejecutará el mismo proceso de la Cláusula 12.5 en la fecha de terminación o, a más tardar, el día hábil siguiente; y (c) si la relación termina por decisión del Proveedor, incluida la falta de pago, el Proveedor ejecutará dicho proceso dentro de los 30 días naturales siguientes a la terminación, periodo durante el cual el asistente permanecerá desactivado y los datos no serán objeto de tratamiento alguno. El Proveedor no devuelve ni entrega copias de los datos, ni los conserva bloqueados por cuenta del Cliente, salvo que una disposición legal exija su conservación. Corresponde al Cliente, como Responsable, conservar por sus propios medios la información que requiera para efectos del artículo 24 de la Ley.

12.4. Alcance de la supresión y copias técnicas residuales. La supresión comprende, de forma inmediata, la base de datos operativa, el almacenamiento de archivos (imágenes, audios y notas de voz) y los registros de eventos crudos. Subsisten únicamente las siguientes copias, que caducan de forma automática y sobre las que no se realiza tratamiento alguno distinto de su conservación:

• Registros técnicos del servidor de aplicación (Render): por cada mensaje entrante, el número telefónico del remitente y los primeros 120 caracteres del texto, utilizados exclusivamente para diagnosticar fallas; se eliminan automáticamente a los 7 días.
• Información en poder de subencargados, conforme a sus propias políticas y a la columna de retención de la Cláusula 5 (por ejemplo, OpenAI hasta 30 días para detección de abuso).
• Eventos de error en el proveedor de monitoreo: contienen el tipo de error, la ubicación en el código e identificadores internos que solo el Proveedor puede asociar a un Cliente o Usuario Final, sin incluir el número telefónico, el nombre ni el contenido de los mensajes de los Usuarios Finales; se alojan en Estados Unidos y caducan a los 30 días.

12.5. Mecanismo técnico de baja. El usuario titular de la cuenta del Cliente puede eliminarla mediante el botón "Eliminar cuenta" de la sección de Ajustes (Settings) del Panel; los usuarios con rol de administrador o agente no tienen acceso a esta función. La eliminación es inmediata y comprende:

• los datos del negocio: configuración, embudo, equipo y notificaciones;
• los datos de sus Usuarios Finales: nombres, teléfonos, conversaciones, citas, notas y calificaciones;
• los archivos enviados por los Usuarios Finales: imágenes, audios y notas de voz;
• el registro técnico de los eventos recibidos a través de WhatsApp;
• la vinculación de la Cuenta de Mensajería ante el subencargado de agregación (Zernio) y el acceso al calendario del Cliente a través del subencargado de agendamiento (Nylas), que se revoca; y
• todos los usuarios de acceso del Cliente al Panel: el del titular y los de los miembros de su equipo.

La baja se ejecuta en el siguiente orden: (i) Nylas, (ii) Zernio, (iii) la base de datos operativa y el almacenamiento de archivos del Proveedor, y (iv) Supabase Auth. El proceso es de mejor esfuerzo (best-effort): si un paso ante un subencargado externo falla, ello no aborta ni revierte la baja en los pasos subsecuentes; la falla se reporta al sistema de monitoreo de errores como baja incompleta y el Proveedor completa la supresión pendiente en un máximo de siete (7) días naturales, mediante eliminación manual. No existe proveedor de pagos que dar de baja, dado que el Servicio no integra ningún procesador de cobro.

Quedan fuera del control del Proveedor, y por tanto de la baja: (a) los mensajes que conserven Meta y Zernio conforme a sus propias políticas, así como las conversaciones que permanecen en los dispositivos del Cliente y de sus Usuarios Finales; y (b) las citas ya creadas en el calendario del Cliente, que le pertenece. Las copias técnicas residuales se rigen por la Cláusula 12.4.

12.6. Mensajes no asociados a ningún Cliente. Los mensajes recibidos en un número que no esté vinculado a ningún Cliente no forman parte de ningún encargo; se conservan un máximo de 30 días, exclusivamente para fines técnicos, y se eliminan automáticamente mediante un proceso programado.

13. Acreditación del cumplimiento

A solicitud razonable y por escrito del Cliente, no más de una vez al año salvo incidente de seguridad, el Proveedor pondrá a su disposición la información necesaria para demostrar el cumplimiento de las obligaciones de este Convenio, incluyendo la relación de medidas de seguridad y la lista actualizada de subencargados.

14. Auxilio en el ejercicio de derechos ARCO

Cuando un Usuario Final ejerza ante el Cliente sus derechos de acceso, rectificación, cancelación u oposición, o revoque su consentimiento, el Proveedor auxiliará al Cliente, en la medida de lo posible y conforme a las funcionalidades del Servicio, para atender la solicitud dentro de los plazos del artículo 31 de la Ley (20 días para comunicar la determinación y 15 para hacerla efectiva).

Cuando el Servicio detecte en la conversación una solicitud del Usuario Final relacionada con sus datos personales (por ejemplo, el ejercicio de derechos ARCO, la supresión de un dato o la petición de dejar de recibir mensajes), transferirá la conversación al Cliente en el Panel, conforme a la sección 4.4 de los Términos, para que una persona de su equipo la atienda.

Instrucción general. El Cliente instruye al Proveedor a atender en su nombre las solicitudes de supresión y de cese de mensajes que sus Usuarios Finales presenten a través del Servicio, conforme al procedimiento interno de supresión del Proveedor, y a informarle de cada una. Cuando la solicitud requiera acreditar la identidad del Usuario Final, el Proveedor la recabará por un medio distinto de los Canales, la utilizará únicamente para verificarla y la suprimirá en cuanto concluya la verificación; conservará solo un registro de la solicitud, sin copia de la identificación ni del contenido suprimido. El Cliente podrá indicar, antes de la supresión, la información que requiera conservar por sus propios medios.

El Proveedor pondrá a disposición del Cliente, desde el Panel o a solicitud, las herramientas para exportar, rectificar y suprimir los datos de un Usuario Final determinado.

Cuando el Cliente comunique al Proveedor la revocación del consentimiento de un Usuario Final, el Proveedor cesará el tratamiento correspondiente.

15. Vigencia

Este Convenio estará vigente mientras el Proveedor trate datos personales por cuenta del Cliente. Las obligaciones de confidencialidad, supresión y acreditación subsisten con posterioridad a la terminación de la relación.

16. Responsabilidad

16.1. Cada parte responderá del incumplimiento de las obligaciones que le corresponden conforme a la Ley, su Reglamento y este Convenio.

16.2. El Cliente, como Responsable, responde de la licitud del tratamiento frente a sus Usuarios Finales, de la obtención del consentimiento, de la puesta a disposición de su aviso de privacidad y de la atención de los derechos ARCO.

16.3. Lo previsto en los Términos y Condiciones en materia de limitación de responsabilidad resulta aplicable a este Anexo en lo conducente, sin que ello exima al Proveedor de las obligaciones que la Ley y su Reglamento le imponen como Encargado.