Acuerdo de procesamiento de datos

Este Acuerdo de procesamiento de datos («DPA» o «Adenda»), incluidas las Cláusulas contractuales estándar (tal como se definen a continuación) adjuntas al mismo (colectivamente, el «DPA»), se celebra a partir de la fecha efectiva (la «Fecha efectiva») de la aceptación por parte del cliente correspondiente (el «Cliente») de las Condiciones de servicio entre Zenovay («Empresa» o «Zenovay») y el Cliente al que se adjunta e incorpora este DPA (el «Acuerdo»). Todos los términos en mayúsculas no definidos de otro modo en este DPA tendrán el significado que se les atribuye en el Acuerdo.

Esta Adenda se volverá legalmente vinculante cuando el Cliente celebre el Acuerdo o cuando se ejecute esta Adenda.

1. Definiciones

A los efectos de este DPA, los siguientes términos tienen los significados establecidos a continuación:

• «Afiliada» significa (i) una entidad de la cual una parte posee directa o indirectamente el cincuenta por ciento (50%) o más del capital u otro interés de capital, (ii) una entidad que posee al menos el cincuenta por ciento (50%) o más del capital u otro interés de capital de una parte, o (iii) una entidad que está bajo control común con una parte al tener al menos el cincuenta por ciento (50%) o más del capital u otro interés de capital de dicha entidad y una parte que son propiedad de la misma persona, pero dicha entidad solo se considerará una Afiliada mientras exista dicha propiedad.
• «Interesado» significa una persona física identificada o identificable cuya Información personal está protegida por las Leyes de protección de datos aplicables, e incluye al «consumidor» tal como se define ese término en el CCPA y a los términos equivalentes de otras Leyes de protección de datos aplicables.
• «Datos del cliente» significa cualquier contenido, dato, información u otro material (incluida Información personal) que el Cliente, los Usuarios finales o las Afiliadas del Cliente envíen, o que sean recopilados por los Servicios para su procesamiento por Zenovay en relación con los Servicios.
• «EEE» significa el Espacio Económico Europeo.
• «Leyes de protección de datos» significa todas las leyes y normativas de privacidad y protección de datos aplicables al tratamiento de Información personal en virtud del Acuerdo, incluidas, cuando y en la medida en que resulten aplicables: el Reglamento (UE) 2016/679 (GDPR) y sus leyes nacionales de desarrollo; el UK GDPR y la Data Protection Act 2018; la Directiva 2002/58/CE (ePrivacy) según haya sido transpuesta a nivel nacional; la Ley Federal Suiza de Protección de Datos de 25 de septiembre de 2020 (revFADP/revDSG, en vigor desde el 1 de septiembre de 2023) y su Ordenanza; y las leyes estatales de privacidad de los Estados Unidos aplicables, incluida la California Consumer Privacy Act en su versión modificada (CCPA). Las referencias en este DPA a una disposición de una de estas leyes se entenderán, respecto de un Interesado protegido por otra de ellas, como referencias a la disposición funcionalmente equivalente de esa otra ley.
• «Información personal» o «Datos personales» significa información que identifica, se relaciona con, describe, es razonablemente capaz de asociarse con, o podría razonablemente vincularse, directa o indirectamente, con un Interesado particular. La Información personal incluye información que se considera «datos personales», «información de identificación personal» o términos similares tal como se definen en las Leyes de protección de datos aplicables.
• «Procesamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Información personal, ya sea o no por medios automatizados, como recopilación, registro, organización, estructuración, almacenamiento, adaptación, recuperación, consulta, uso, divulgación, difusión, restricción, borrado o destrucción.
• «Cláusulas contractuales estándar» o «CCE» significa las cláusulas contractuales estándar para la transferencia de datos personales a procesadores establecidos en terceros países aprobadas por la Decisión de la Comisión Europea 2021/914 del 4 de junio de 2021.
• «Subprocesador» significa cualquier procesador de terceros contratado por Zenovay o sus Afiliadas para procesar Información personal en nombre del Cliente bajo el Acuerdo.

2. Relación de las partes; Procesamiento de datos

2.1 Roles y alcance del procesamiento

Las partes reconocen y acuerdan que, con respecto al procesamiento de Información personal, el Cliente es el responsable del tratamiento (o «empresa» bajo el CCPA) y Zenovay es el encargado del tratamiento (o «proveedor de servicios» bajo el CCPA). El Cliente, en su uso de los Servicios, procesará Información personal de acuerdo con los requisitos de las Leyes de protección de datos aplicables. Las instrucciones del Cliente para el procesamiento de Información personal cumplirán con las Leyes de protección de datos aplicables. El Cliente es el único responsable de la exactitud, calidad y legalidad de la Información personal y de los medios por los cuales el Cliente adquirió la Información personal.

2.2 Instrucciones de procesamiento del Cliente

Al celebrar este DPA, el Cliente instruye a Zenovay a procesar Información personal únicamente de acuerdo con la ley aplicable: (a) para proporcionar los Servicios y el soporte técnico relacionado; (b) según lo especificado adicionalmente a través del uso de los Servicios por parte del Cliente (incluido a través del panel, API u otras interfaces); (c) según se documenta en el Acuerdo, incluido este DPA; y (d) según se documenta adicionalmente en cualquier otra instrucción escrita proporcionada por el Cliente y reconocida por Zenovay como instrucciones a los efectos de este DPA.

2.3 Cumplimiento de Zenovay con las instrucciones

Zenovay procesará Información personal únicamente de acuerdo con las instrucciones documentadas del Cliente, a menos que el procesamiento sea requerido por las leyes aplicables a las que está sujeta Zenovay, en cuyo caso Zenovay informará al Cliente de ese requisito legal antes del procesamiento, a menos que dicha ley prohíba dicha información por razones importantes de interés público.

2.4 Detalles del procesamiento

El objeto, la naturaleza, el propósito, la duración y los tipos de Información personal y las categorías de Interesados procesados bajo este DPA se describen en el Anexo A (Detalles del procesamiento) adjunto al presente.

3. Confidencialidad

Zenovay se asegurará de que cualquier persona autorizada a procesar Información personal en su nombre esté sujeta a un deber de confidencialidad, ya sea por contrato u obligación legal.

4. Seguridad

4.1 Medidas de seguridad

Teniendo en cuenta el estado del arte, los costos de implementación y la naturaleza, alcance, contexto y propósitos del procesamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, Zenovay implementará y mantendrá medidas técnicas y organizativas apropiadas para proteger la Información personal de Incidentes de seguridad (tal como se definen a continuación) y para preservar la seguridad y confidencialidad de la Información personal, como se describe en el Anexo B (Medidas de seguridad) adjunto al presente.

4.2 Notificación de incidente de seguridad

«Incidente de seguridad» significa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de la Información personal tratada por Zenovay en virtud de este DPA, o la comunicación o el acceso no autorizados a dicha Información personal. No incluye los intentos fallidos ni la actividad que no comprometa la seguridad de la Información personal, como pings, escaneos de puertos, intentos fallidos de inicio de sesión, ataques de denegación de servicio o captura de paquetes en la infraestructura de red. Zenovay notificará al Cliente sin demora indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de un Incidente de seguridad. Zenovay es encargado del tratamiento y no notifica a las autoridades de control ni a los Interesados en nombre del Cliente; el Cliente, como responsable del tratamiento, sigue siendo responsable de cualquier notificación de ese tipo y de determinar si resulta necesaria. La notificación de Zenovay no constituye, ni se interpretará como, un reconocimiento de culpa o de responsabilidad. Dicha notificación deberá, en la medida en que Zenovay disponga entonces de la información:

• Describir la naturaleza del Incidente de seguridad, incluidas las categorías y el número aproximado de Interesados y registros de Información personal afectados
• Comunicar los datos de contacto del contacto designado de privacidad de Zenovay ([email protected]), del que se pueda obtener más información
• Describir las consecuencias probables del Incidente de seguridad
• Describir las medidas tomadas o propuestas para abordar el Incidente de seguridad y mitigar sus posibles efectos adversos

5. Subprocesadores

5.1 Subprocesadores autorizados

El Cliente reconoce y acepta que Zenovay puede contratar Subprocesadores para procesar Información personal en nombre del Cliente. La lista actual de Subprocesadores está disponible en zenovay.com/legal/subprocessors.

5.2 Obligaciones de los Subprocesadores

Zenovay deberá:

• Celebrar un acuerdo escrito con cada Subprocesador que imponga obligaciones de protección de datos sustancialmente similares a las impuestas a Zenovay bajo este DPA
• Seguir siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de cada Subprocesador
• Seleccionar Subprocesadores que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, teniendo en cuenta la naturaleza del Tratamiento que se les encomienda, y mantener actualizado en consecuencia el registro público de Subprocesadores

5.3 Cambios a los Subprocesadores

Zenovay proporcionará al Cliente al menos 30 días de aviso escrito previo a la adición de cualquier nuevo Subprocesador. El Cliente puede objetar el uso por parte de Zenovay de un nuevo Subprocesador notificando a Zenovay por escrito dentro de los 10 días posteriores a la recepción del aviso de Zenovay, siempre que dicha objeción se base en motivos razonables relacionados con la protección de datos. Si el Cliente objeta razonablemente a un nuevo Subprocesador y Zenovay no puede proporcionar una alternativa comercialmente razonable, el Cliente puede rescindir los Servicios afectados proporcionando aviso escrito a Zenovay.

6. Derechos de los Interesados

Zenovay deberá, en la medida legalmente permitida y dentro del alcance de su rol como encargado del tratamiento, notificar prontamente al Cliente si Zenovay recibe una solicitud de un Interesado para acceder, corregir, modificar o eliminar la Información personal de esa persona. Zenovay deberá, teniendo en cuenta la naturaleza del procesamiento, asistir al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de las obligaciones del Cliente de responder a las solicitudes de ejercicio de los derechos de los Interesados bajo las Leyes de protección de datos, incluido el derecho de acceso, rectificación, borrado, restricción del procesamiento, portabilidad de datos y objeción al procesamiento.

7. Devolución y eliminación de datos

7.1 Períodos de retención de datos

La Información personal se retiene de acuerdo con el plan de suscripción del Cliente:

• Plan gratuito: 1 año (365 días)
• Plan Pro: 2 años (730 días)
• Plan Scale: 4 años (1.460 días)
• Plan Enterprise: Período de retención personalizado según lo acordado en el Formulario de pedido aplicable

7.2 Vencimiento de la retención: ocultación, período de gracia y eliminación

Cuando la Información personal supera el período de retención aplicable al plan del Cliente, pasa por tres etapas antes de su eliminación:

• Fase 1 - Ocultamiento temporal: La Información personal más antigua que el período de retención se marca como oculta y se excluye de las consultas de análisis del Cliente. Los datos permanecen en los sistemas de Zenovay pero no son accesibles a través de los Servicios.
• Fase 2 - Período de gracia: El Cliente es notificado por correo electrónico de que los datos han sido ocultados. Comienza un período de gracia de 30 días, durante el cual el Cliente puede actualizar a un plan superior para recuperar los datos ocultos.
• Fase 3 - Eliminación permanente: Después de que expire el período de gracia de 30 días, la Información personal oculta se elimina permanentemente usando métodos de eliminación segura.

7.3 Recuperación de datos

Si el Cliente actualiza a un plan con un período de retención más largo durante el período de gracia, Zenovay recuperará automáticamente (mostrará) la Información personal que cae dentro del nuevo período de retención. Los datos que fueron eliminados permanentemente no pueden recuperarse.

7.4 Eliminación al término

A la terminación o expiración del Acuerdo, el Cliente podrá, en un plazo de treinta (30) días, elegir por escrito que Zenovay (a) ponga la Información personal a disposición para su exportación a través de los Servicios, o (b) la elimine. En ausencia de dicha elección, Zenovay eliminará la Información personal de sus sistemas activos de producción dentro de los noventa (90) días siguientes al final de ese plazo de treinta días. La eliminación de las copias de seguridad cifradas ordinarias se produce al vencimiento normal del ciclo de copia de seguridad aplicable y no bajo demanda; hasta que vence, no se accede a la Información personal respaldada y esta queda protegida por las medidas del Anexo B. Esta Sección no se aplica en la medida en que la ley aplicable obligue a Zenovay a conservar Información personal, o en que Zenovay la conserve en forma agregada o desidentificada que ya no sea atribuible a un Interesado, o conserve registros de facturación, fiscales, de auditoría y de prevención de abusos según lo permitido o exigido por la ley, en cuyo caso Zenovay la aislará y protegerá frente a cualquier tratamiento ulterior salvo en la medida exigida por dicha ley. Eliminar la cuenta del Cliente a través de los Servicios elimina la Información personal asociada de forma inmediata y permanente; el Cliente es responsable de exportar previamente todo aquello que desee conservar.

8. Derechos de auditoría

Zenovay pondrá a disposición del Cliente, previa solicitud razonable y sujeto a obligaciones de confidencialidad, toda la información necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Cliente o un auditor mandatado por el Cliente. El Cliente puede ejercer sus derechos de auditoría bajo esta Sección:

• Revisando las certificaciones y atestaciones de seguridad mantenidas por los proveedores de infraestructura de Zenovay (Cloudflare: SOC 2 Tipo II, ISO 27001, ISO 27018; Oracle Cloud Infrastructure: SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018), proporcionadas previa solicitud razonable. Zenovay no está actualmente certificada SOC 2; actualizaremos esta divulgación cuando se complete una auditoría.
• Enviando a Zenovay un cuestionario sobre las prácticas de protección de datos de Zenovay (limitado a una vez al año a menos que lo requieran las Leyes de protección de datos)
• En circunstancias excepcionales, realizando una auditoría in situ o remota de las prácticas de protección de datos de Zenovay, sujeto a aviso razonable, obligaciones de confidencialidad y reembolso de los costos razonables de Zenovay

9. Transferencias internacionales

9.1 Transferencias de datos

Zenovay está establecida en Suiza. La Comisión Europea ha reconocido que Suiza ofrece un nivel adecuado de protección (Decisión 2000/518/CE, en su versión mantenida), y el Reino Unido ha trasladado esa constatación a su ordenamiento, por lo que una transferencia de Información personal desde el EEE o el Reino Unido a Zenovay en Suiza no requiere por sí misma una herramienta de transferencia adicional. Cuando Zenovay transfiere ulteriormente Información personal a un Subprocesador situado en un país que no ha sido reconocido como adecuado por la Comisión Europea, las autoridades del Reino Unido o el Consejo Federal Suizo, dicha transferencia se realiza al amparo de alguno de los siguientes mecanismos:

• Marco de Privacidad de Datos UE-EE.UU. (DPF) / DPF Suiza-EE.UU.: Para las transferencias a un Subprocesador establecido en los Estados Unidos que esté certificado y en vigor bajo el programa del Marco de Privacidad de Datos correspondiente para las categorías de datos de que se trate, la invocación de la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, la Extensión del Reino Unido en vigor desde el 12 de octubre de 2023 y el reconocimiento suizo con efecto desde el 15 de septiembre de 2024. Zenovay no declara que ningún Subprocesador concreto esté así certificado; el mecanismo invocado para cada uno se indica en la página de Subprocesadores.
• Cláusulas contractuales estándar (CCE): Como se detalla en la Sección 9.2 a continuación.
• Medidas complementarias: Evaluaciones de impacto de transferencia, cifrado en tránsito y en reposo, controles de acceso y otras medidas recomendadas por el EDPB y el PFPDI a la luz del fallo Schrems II.

9.2 Cláusulas contractuales estándar

Las transferencias de Información personal del Cliente desde el EEE o el Reino Unido a Zenovay en Suiza se realizan al amparo de las decisiones de adecuación a las que se refiere la Sección 9.1. Si una decisión de adecuación relativa a Suiza fuera derogada, suspendida, anulada o dejara de otro modo de constituir una base válida para dichas transferencias, se considerará que las partes, con efecto desde esa fecha y sin necesidad de ninguna otra actuación, han celebrado las Cláusulas contractuales estándar, Módulo Dos (responsable del tratamiento a encargado del tratamiento), actuando el Cliente como exportador de datos y Zenovay como importador de datos. Cuando Zenovay transfiera ulteriormente Información personal a un Subprocesador situado fuera de Suiza y fuera de cualquier país adecuado y ese Subprocesador no esté cubierto por la Sección 9.1(a), Zenovay celebrará con dicho Subprocesador las Cláusulas contractuales estándar, Módulo Tres (encargado del tratamiento a encargado del tratamiento), actuando Zenovay como exportador de datos, junto con el Addendum de Transferencia Internacional de Datos del Reino Unido cuando intervengan datos del Reino Unido y las modificaciones reconocidas por el Comisionado Federal Suizo de Protección de Datos y Transparencia cuando intervengan datos suizos. A los efectos de cualesquiera Cláusulas contractuales estándar celebradas conforme a esta Sección:

• Conforme al Módulo Dos, el Cliente es el «exportador de datos» y Zenovay es el «importador de datos»; conforme al Módulo Tres, Zenovay es el «exportador de datos» y el Subprocesador correspondiente es el «importador de datos»
• Las partes acuerdan las cláusulas opcionales en la Cláusula 7, Cláusula 11 y Cláusula 9(a)
• La ley del Estado miembro será la ley del Estado miembro en el que esté establecido el Cliente o, si el Cliente no está establecido en un Estado miembro, la ley de Irlanda
• La autoridad supervisora competente será la autoridad supervisora del Estado miembro en el que esté establecido el Cliente; para los Clientes suizos, el PFPDI (Comisionado Federal de Protección de Datos e Información); para los Clientes no establecidos en un Estado miembro o Suiza, la Comisión Irlandesa de Protección de Datos
• Para las transferencias sujetas al derecho suizo se aplican las modificaciones reconocidas por el Comisionado Federal Suizo de Protección de Datos y Transparencia: las referencias al GDPR se interpretan como referencias a la revFADP, la autoridad de control competente es el FDPIC, y las referencias a la UE o al EEE se interpretan como referencias a Suiza. Para las transferencias sujetas al derecho del Reino Unido se aplica el Addendum de Transferencia Internacional de Datos del Reino Unido, que prevalecerá en la medida en que exista conflicto
• La descripción de la transferencia se establece en el Anexo A (Detalles del procesamiento)
• Las medidas técnicas y organizativas se establecen en el Anexo B (Medidas de seguridad)

10. Limitación de responsabilidad

La responsabilidad de cada parte derivada de o relacionada con este DPA está sujeta a las exclusiones y limitaciones de responsabilidad establecidas en el Acuerdo, y el tope previsto en el Acuerdo constituye un único tope agregado para el Acuerdo y este DPA considerados en conjunto, y no un tope separado para cada uno. Nada de lo dispuesto en este DPA ni en el Acuerdo limita la responsabilidad de ninguna de las partes frente a un Interesado conforme al artículo 82 del GDPR o a cualquier disposición legal equivalente, ni afecta a los derechos que un Interesado tiene directamente frente a un responsable del tratamiento o a un encargado del tratamiento conforme a las Leyes de protección de datos aplicables; la limitación opera únicamente entre las partes. Cuando se celebren Cláusulas contractuales estándar conforme a la Sección 9.2, nada de lo dispuesto en esta Sección limita la responsabilidad de ninguna de las partes bajo dichas Cláusulas frente a un Interesado.

11. Disposiciones generales

11.1 Orden de precedencia

En caso de cualquier conflicto o inconsistencia entre este DPA y el Acuerdo, las disposiciones de este DPA prevalecerán en la medida de dicho conflicto o inconsistencia.

11.2 Modificación

Zenovay puede actualizar este DPA de vez en cuando para reflejar cambios en las Leyes de protección de datos, orientación regulatoria o mejores prácticas de la industria. Los cambios materiales serán notificados al Cliente con al menos 30 días de anticipación antes de que entren en vigor.

11.3 Divisibilidad

Si alguna disposición de este DPA se considera inválida o inaplicable, las disposiciones restantes permanecerán en plena vigencia.

11.4 Fuerza Mayor

Ninguna de las partes será responsable de ningún incumplimiento o retraso en el cumplimiento de sus obligaciones en virtud del presente DPA (con excepción de las obligaciones de pago) en la medida en que sea causado por un evento de fuerza mayor según se define en el Acuerdo. Sin limitar la generalidad de lo anterior, Zenovay quedará excusada de sus obligaciones como encargado del tratamiento en virtud del presente DPA en la medida en que su cumplimiento se vea impedido, dificultado o retrasado por una interrupción, fallo, incidente de seguridad, orden regulatoria o resolución contractual que afecte a cualquier subencargado enumerado en la página de Subencargados, incluidos, con carácter enunciativo, Cloudflare, Oracle Cloud Infrastructure, Stripe, Resend, OpenAI (a través de Cloudflare AI Gateway), Anthropic, LemonSqueezy, Polar, IPwho.is, Mapbox y Sentry. Zenovay empleará esfuerzos comercialmente razonables y de buena fe para notificar al Cliente cualquier evento sustancial de fuerza mayor que afecte al tratamiento de Información Personal y para mitigar su impacto, sin que ello cree compromiso alguno de nivel de servicio.

Para evitar dudas, la cláusula de fuerza mayor no exime a Zenovay de su obligación, como encargado del tratamiento, de notificar al Cliente un Incidente de seguridad sin demora indebida tras tener conocimiento de él, obligación que el artículo 33(2) del GDPR y el artículo 24(3) de la Ley Federal Suiza de Protección de Datos imponen sin un plazo fijo y que la Sección 4.2 de este DPA complementa con un límite máximo de setenta y dos horas. Zenovay cumplirá dicha obligación de notificación con independencia del evento de fuerza mayor, utilizando los canales de comunicación que sigan disponibles, incluidos canales alternativos como SMS, teléfono o un aviso publicado en la página de estado de Zenovay cuando el canal principal de correo electrónico no esté disponible.

Si un evento de fuerza mayor impide a Zenovay cumplir con sus obligaciones materiales como encargado del tratamiento durante más de treinta (30) días naturales consecutivos, el Cliente podrá resolver el presente DPA mediante notificación escrita. La resolución del presente DPA no implicará, por sí sola, la resolución del Acuerdo, que continuará rigiéndose por sus propias disposiciones de fuerza mayor y resolución.

11.5 Ley Aplicable y Jurisdicción

Este DPA se regirá e interpretará de acuerdo con las disposiciones de ley aplicable y jurisdicción del Acuerdo, excepto cuando las Cláusulas contractuales estándar especifiquen lo contrario.

Anexo A: Detalles del procesamiento

Lista de partes

Exportador de datos: Cliente (tal como se define en el Acuerdo)

Importador de datos: Zenovay, Wanderstrasse 19, 4054 Basel, Suiza

Descripción de la transferencia

Objeto: El objeto del procesamiento de datos es la prestación de servicios de análisis de sitios web.

Naturaleza y propósito del procesamiento: Zenovay procesará Información personal para proporcionar servicios de análisis de sitios web y aplicaciones, incluidos:

• Recopilación y análisis de datos de visitantes de sitios web
• Generación de informes e insights de análisis
• Prestación de servicios de panel y visualización de datos
• Almacenamiento y mantenimiento de datos de análisis
• Puntuación automatizada del valor del visitante: una puntuación de 0 a 100 derivada de señales de comportamiento, geografía aproximada y datos del dispositivo, calculada por instrucción del Cliente y mostrada al Cliente. Zenovay no adopta ninguna medida automatizada sobre la base de esa puntuación
• Funciones de analítica asistidas por IA, enrutadas a través de Cloudflare AI Gateway hacia OpenAI cuando el Cliente las utiliza. Según la solicitud, los datos enviados al modelo pueden incluir registros analíticos individuales e identificadores que el Cliente haya facilitado mediante la función de identificación
• Prestación de soporte al cliente y gestión de cuentas

Duración del tratamiento: durante el plazo del Acuerdo más el período de retención de datos aplicable al plan de suscripción del Cliente (1 año para Free, 2 años para Pro, 4 años para Scale, o lo acordado para Enterprise). La Información personal que supera el período de retención está sujeta al proceso de ocultación, período de gracia y eliminación descrito en la Sección 7.2, y la Información personal que quede al finalizar el Acuerdo se trata conforme a la Sección 7.4.

Categorías de Información personal: Las categorías de Información personal transferida pueden incluir:

• Datos de red: Direcciones IP. La dirección se utiliza en texto plano en un primer momento para resolver la ubicación aproximada, aplicar límites de velocidad y detectar abusos, y después se convierte en un hash SHA-256 con sal diaria; lo que se escribe en la base de datos analítica es el hash, no la dirección. Geolocalización aproximada (país, región, ciudad)
• Datos del dispositivo: Cadenas de agente de usuario, tipo de dispositivo, navegador, sistema operativo, resolución de pantalla
• Datos de navegación: URLs de páginas visitadas, títulos de páginas, URLs de referencia, marcas de tiempo, tiempo en las páginas
• Datos de comportamiento: Profundidad de desplazamiento, recuentos de clics, interacciones con formularios (excluyendo campos sensibles), métricas de participación
• Datos de campaña: Parámetros UTM, identificadores de clics de plataformas publicitarias (p. ej., Google, Facebook, TikTok)
• Datos de conversión: Eventos personalizados, completaciones de objetivos y valores asociados según la configuración del Cliente
• Datos de sesión: Identificadores de sesión, duración, páginas por sesión, estado de visitante recurrente

Datos opcionales (cuando el Cliente habilita las funciones):

• Repetición de sesión: Instantáneas del DOM, movimientos del ratón, clics y comportamiento de desplazamiento. Los campos de entrada se enmascaran y los campos de contraseña y de tarjeta de pago se bloquean de forma predeterminada; el texto que muestra la página se captura tal como se presenta, salvo que el Cliente active el enmascarado de texto, por lo que el Cliente es responsable de no mostrar Información personal que no desee que quede registrada
• Mapas de calor: Datos agregados de posición de clics y desplazamiento
• Identificación de usuario: Nombre, correo electrónico, teléfono, empresa e identificadores personalizados cuando los proporciona la implementación del Cliente
• Enriquecimiento B2B: Nombre de empresa, dominio, industria, tamaño y otros atributos comerciales derivados de servicios de enriquecimiento de terceros

El Cliente es responsable de determinar qué Información personal se recopila y garantizar el cumplimiento de las leyes de privacidad aplicables.

Categorías de Interesados: Los Interesados cuya Información personal se procesa incluyen:

• Visitantes de los sitios web y aplicaciones del Cliente
• Usuarios de los servicios en línea del Cliente
• Clientes de los productos o servicios del Cliente
• Empleados o representantes del Cliente (para fines de gestión de cuentas)

Datos sensibles: Zenovay no tiene intención de procesar datos personales sensibles (p. ej., información de salud, datos biométricos, detalles de cuentas financieras). El Cliente tiene prohibido transmitir datos personales sensibles a Zenovay sin acuerdo previo por escrito y salvaguardas apropiadas.

Frecuencia de la transferencia: La frecuencia de transferencia de los datos personales es continua, hasta que el acuerdo llegue a su fin.

Anexo B: Medidas de seguridad

Este Anexo describe las medidas técnicas y organizativas vigentes en la fecha de Última actualización de este DPA. Zenovay opera una infraestructura pequeña y altamente automatizada y depende de sus proveedores de infraestructura para una parte sustancial de estas medidas; cuando una medida la opera un proveedor en lugar de implementarla Zenovay directamente, así se indica. Zenovay podrá modificar medidas concretas con el tiempo, incluso en respuesta a cambios tecnológicos o del panorama de amenazas, siempre que el nivel global de seguridad no se reduzca de forma sustancial. Las medidas son las que Zenovay considera adecuadas al riesgo en el sentido del artículo 32 del GDPR y de las disposiciones equivalentes de otras Leyes de protección de datos. No constituyen una garantía de que la Información personal no se verá afectada por un Incidente de seguridad.

1. Seguridad física y ambiental (operada por los proveedores de infraestructura)

• El cómputo, el almacenamiento en caché y la seguridad de red los proporciona Cloudflare, Inc. en su red de borde global. Cloudflare mantiene las certificaciones SOC 2 Type II, ISO 27001 e ISO 27018; se trata de certificaciones de Cloudflare, no de Zenovay
• Desde el 28 de octubre de 2026, la base de datos principal (incluidos los datos de autenticación) y sus copias de seguridad están alojadas en Oracle Cloud Infrastructure en Suiza (eu-zurich-1, Zúrich), donde Zenovay opera por sí misma el software de base de datos; la base de datos de analítica y sus copias de seguridad están alojadas allí desde el 23 de octubre de 2026. Las certificaciones de Oracle son propias de Oracle, no de Zenovay. Desde el 29 de octubre de 2026, los archivos (imágenes y archivos adjuntos subidos, repeticiones de sesión y capturas de mapas de calor) se almacenan en Backblaze, Inc. en la Unión Europea (eu-central, Ámsterdam, Países Bajos); las certificaciones de Backblaze son propias de Backblaze, no de Zenovay. Desde el 31 de octubre de 2026, Backblaze, Inc. también almacena una copia cifrada de las copias de seguridad nocturnas de la base de datos principal y de la base de datos de analítica.
• Zenovay no opera ningún centro de datos, sala de servidores ni otra instalación propia, y no conserva Información personal en soportes físicos controlados por Zenovay en el curso ordinario de la prestación de los Servicios. Todos los controles físicos y ambientales de los sistemas que albergan Información personal son responsabilidad de los proveedores mencionados anteriormente
• El control de acceso a las instalaciones, la supervisión y la protección ambiental los realizan dichos proveedores y se describen en sus propias certificaciones e informes de auditoría publicados, que Zenovay pone a disposición del Cliente previa solicitud en lugar de una inspección in situ

2. Controles de acceso al sistema

• El acceso administrativo a la consola interna de operaciones de Zenovay se encuentra tras un perímetro de acceso de confianza cero que se vuelve a verificar en el origen, una sesión autenticada y una comprobación de autorización frente a una lista explícita de administradores que se mantiene en la configuración del entorno y no en la base de datos, de modo que un compromiso de la base de datos no pueda conceder acceso administrativo. Se ha desplegado un desafío de passkey respaldado por hardware como factor adicional
• Control de acceso basado en roles. Dentro del espacio de trabajo del Cliente, el acceso está limitado por rol (propietario, administrador, editor, visualizador). Del lado de Zenovay, las capacidades administrativas se delimitan mediante una matriz de permisos de lectura/escritura por sección, quedando la gestión de roles y de miembros reservada al operador y sin que pueda concederse nunca a través de esa matriz
• Cuentas nominativas individuales para el acceso administrativo; no se utilizan credenciales administrativas compartidas ni genéricas
• La autenticación multifactor, mediante contraseña de un solo uso basada en tiempo o mediante passkey, está disponible para los usuarios del Cliente. El Cliente es responsable de habilitarla para sus propios Usuarios autorizados y de revocar su acceso cuando dejen de estar vinculados
• Las acciones administrativas y privilegiadas se escriben en registros de auditoría de solo anexado, sin política de actualización ni de eliminación. Las escrituras de auditoría son deliberadamente no bloqueantes, de modo que un fallo de registro no pueda impedir la acción subyacente; por ello los registros constituyen un instrumento de rendición de cuentas y no se garantiza que sean un registro completo de todos los eventos

3. Controles de acceso a datos

• Todas las conexiones a los Servicios se sirven a través de HTTPS, con terminación TLS en el borde de Cloudflare; el tráfico entre la capa de cómputo de Zenovay y la base de datos está cifrado en tránsito
• La Información personal en reposo está cifrada por los proveedores que la almacenan (Oracle Cloud Infrastructure, con claves gestionadas por Oracle, para la base de datos principal, la base de datos de analítica y sus copias de seguridad; Backblaze, con claves gestionadas por Backblaze, para el almacenamiento de archivos). El cifrado en reposo y la gestión de claves asociada son controles operados por el proveedor, con una excepción: la copia adicional de las copias de seguridad nocturnas de las bases de datos almacenada en Backblaze la cifra Zenovay antes de subirla, con una clave que Zenovay conserva sin conexión y que Backblaze no posee. Aparte de ello, Zenovay no opera una capa separada de cifrado o de gestión de claves sobre la Información personal almacenada.
• Acceso a Información personal restringido solo al personal autorizado
• Los Datos del Cliente están segregados lógicamente por sitio web y por equipo. Row Level Security está habilitado en todas las tablas de la base de datos de producción, y además cada ruta de consulta de la aplicación impone un predicado de inquilino; en la ruta de la API, que se autentica con un rol de servicio, esa comprobación en la capa de aplicación es el control principal y Row Level Security actúa como defensa en profundidad

4. Controles de transmisión

• Cifrado de la transmisión de datos usando protocolos TLS/SSL
• APIs seguras con controles de autenticación y autorización
• Limitación de velocidad, puntuación de reputación de IP y heurísticas de abuso aplicadas en el borde y en la capa de aplicación

5. Controles de entrada

• Registro de auditoría de creación, modificación y eliminación de datos
• Procedimientos de control de versiones y gestión de cambios
• Copias de seguridad automatizadas de la base de datos principal y de la base de datos de analítica cada seis horas, una de ellas cada noche, realizadas por Zenovay y almacenadas en Oracle Cloud Infrastructure Object Storage en Suiza (eu-zurich-1, Zúrich). De la base de datos principal se conservan las 4 últimas copias cada seis horas y las 7 últimas copias nocturnas; de la base de datos de analítica, las 3 últimas copias cada seis horas y las 14 últimas copias nocturnas. La recuperación en un punto en el tiempo no está habilitada actualmente, por lo que, en funcionamiento normal, el objetivo de punto de recuperación es de hasta seis (6) horas. Desde el 31 de octubre de 2026, también se almacena en Backblaze, Inc., en la Unión Europea (eu-central, Ámsterdam, Países Bajos), una copia adicional de la copia de seguridad nocturna de la base de datos principal y de la base de datos de analítica, como segunda copia independiente por si el proveedor de infraestructura principal dejara de estar disponible. Esta copia se cifra en los servidores de Zenovay antes de subirse, además del cifrado en reposo de Backblaze; la clave de descifrado la conserva Zenovay sin conexión y Backblaze no la posee. Los servidores solo pueden añadir copias de seguridad allí, sin poder leerlas ni eliminarlas, y cada copia está protegida contra su eliminación durante 14 días. Las copias se conservan 30 días (base de datos principal) o 14 días (base de datos de analítica) y después se eliminan automáticamente

6. Controles de disponibilidad

• Red de borde global de Cloudflare, con conmutación por error entre ubicaciones de borde operada por el proveedor
• Servidores de base de datos en Oracle Cloud Infrastructure, con mantenimiento del hardware y del centro de datos operado por el proveedor; el software de base de datos lo opera y mantiene Zenovay, con copias de seguridad automatizadas cada seis horas
• La base de datos principal se ejecuta en una única región (eu-zurich-1, Zúrich, Suiza), y sus copias de seguridad cada seis horas y nocturnas se almacenan en Oracle Cloud Infrastructure Object Storage en la misma región; además, una copia cifrada de cada copia de seguridad nocturna se almacena en Backblaze, Inc., en la Unión Europea (Ámsterdam, Países Bajos). Zenovay no opera ningún otro conjunto de copias de seguridad distribuido geográficamente
• Un manual documentado de recuperación ante desastres y continuidad del negocio, cuyos objetivos de recuperación son metas internas y no compromisos frente al Cliente
• Procedimientos de monitoreo del sistema y respuesta a incidentes
• Nota: No se proporciona ningún SLA de tiempo de actividad específico a menos que se acuerde por separado en un contrato Enterprise

7. Medidas organizativas

• El acceso a la Información personal está limitado al operador y al personal expresamente autorizado por el operador, y solo se concede cuando resulta necesario para prestar, proteger o dar soporte a los Servicios
• Toda persona autorizada a tratar Información personal por cuenta de Zenovay está sujeta a un deber de confidencialidad, ya sea por contrato o por ley, según se establece en la Sección 3
• Procedimientos de respuesta a incidentes y notificación de brechas
• Análisis de seguridad automatizado de los repositorios de código de Zenovay con periodicidad semanal, que abarca vulnerabilidades de dependencias, análisis estático y detección de secretos. Zenovay supervisa las actualizaciones de seguridad del software de base de datos que opera y aplica las actualizaciones mediante un procedimiento de actualización probado. Zenovay no ha encargado ninguna prueba de penetración independiente ni auditoría de seguridad de terceros, y no declara haberlo hecho
• Los Subprocesadores se contratan mediante condiciones escritas de tratamiento de datos que imponen obligaciones de protección de datos sustancialmente similares a las de este DPA, y se recogen en un registro que Zenovay mantiene y publica en zenovay.com/legal/subprocessors

Información de contacto

Para preguntas sobre este DPA o prácticas de procesamiento de datos, contáctenos: