Acuerdo de tratamiento de datos

Este acuerdo de tratamiento de datos ("Acuerdo") forma parte de los términos del servicio entre tú (el "Cliente") y RINCOT TECHNOLOGY LTD., la empresa que opera la marca ioZen (Business Number 796518827, con domicilio en 22922 132 Ave, Maple Ridge, BC V4R 2R2, Canadá; "ioZen" o "nosotros"). Aplica cada vez que tratamos datos personales por tu cuenta al prestar el Servicio.

Al aceptar los términos, aceptas este Acuerdo. Si necesitas una copia firmada, escríbenos a hello@iozen.ai.

Si tu cuenta existía antes del 29 de octubre de 2026, este Acuerdo aplica para ti desde el 28 de noviembre de 2026; hasta entonces aplica la versión que aceptaste.

1. Definiciones y roles

"Datos personales", "tratamiento", "responsable", "encargado", "titular" y "brecha de datos personales" tienen el significado que les da la ley de protección de datos aplicable, como el RGPD europeo, la LGPD de Brasil, la LOPDP de Ecuador, la Ley 1581 de Colombia, la LFPDPPP de México, la Ley 19.628 y la Ley 21.719 de Chile, la PIPEDA de Canadá y la CCPA ("Ley de Protección de Datos"). "Datos Personales del Cliente" son los datos personales que tratamos por tu cuenta a través del Servicio. "Subencargado" es un proveedor que contratamos y que trata Datos Personales del Cliente.

Tú eres el responsable de los Datos Personales del Cliente (en inglés, "controller") e ioZen es tu encargado (en inglés, "processor"). Bajo la CCPA, ioZen es tu proveedor de servicios: no vendemos ni compartimos Datos Personales del Cliente, y no los usamos para nada distinto de darte el Servicio.

2. Qué tratamos

• Objeto: prestar el Servicio según los términos.
• Duración: mientras los términos estén vigentes, más el plazo de borrado de la sección 11.
• Naturaleza y finalidad: recoger, guardar, organizar, mostrar, analizar (también con IA), enviar y borrar datos para operar FlowApps, Intake Bots, Process Boards, el Contact Center, conversaciones de WhatsApp, distribución de casos, atribución y envío de conversiones, y conexiones con las apps que elijas, según los configures.
• Tipos de datos personales: los decides tú. Normalmente nombres, correos, teléfonos, respuestas a tus preguntas, archivos subidos, mensajes, ubicación aproximada, datos del dispositivo y del navegador, e identificadores publicitarios. Categorías especiales solo si decides recogerlas.
• Titulares: los decides tú. Normalmente tus clientes y posibles clientes, las personas que escriben a tus números de WhatsApp y las personas de tu equipo.

3. Tus instrucciones

Tratamos los Datos Personales del Cliente solo según tus instrucciones documentadas. Tus instrucciones son estos términos, este Acuerdo y lo que configuras en el Servicio, como las preguntas que haces, los canales que conectas, las funciones de IA que activas, las plataformas de anuncios y apps que conectas y los datos que borras. Si la ley nos exige tratarlos de otra forma, te avisamos antes de hacerlo, salvo que la ley lo prohíba. Si creemos que una instrucción incumple la Ley de Protección de Datos, te lo decimos.

4. Confidencialidad

Damos acceso a los Datos Personales del Cliente solo al personal y a los contratistas que lo necesitan para prestar o dar soporte al Servicio, y solo después de que se comprometen a guardar confidencialidad.

5. Seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• HTTPS en cada conexión, y cifrado de los datos guardados por parte de nuestros proveedores.
• Aislamiento de cada espacio de trabajo, con una base de datos que niega el acceso directo por defecto (seguridad a nivel de fila).
• Campos privados guardados aparte del resto del caso, campos cifrados en Supabase Vault, y un registro de cada lectura de unos u otros.
• Cifrado de las credenciales de las plataformas de anuncios (AES-256-GCM), y claves de API guardadas solo como hash.
• Roles (propietario, administrador, miembro), y la opción de limitar a los miembros a los casos que tienen asignados.
• Límites de cantidad de solicitudes, y verificación de la firma de los webhooks que recibimos.
• Registros de actividad de los cambios en Intake Bots, espacios de trabajo y miembros.

Podemos actualizar estas medidas siempre que el nivel general de protección no baje.

6. Subencargados

Autorizas a los subencargados listados en la sección 8 de nuestra política de privacidad. Obligamos a cada uno por contrato a cumplir obligaciones de protección de datos no menos protectoras que este Acuerdo, y respondemos ante ti por su trabajo.

Actualizamos esa lista al menos 30 días antes de que un subencargado nuevo empiece a tratar Datos Personales del Cliente, salvo en una emergencia, en cuyo caso te avisamos lo antes posible. Escríbenos a hello@iozen.ai para recibir estos avisos por correo. Puedes oponerte por motivos razonables de protección de datos dentro de 30 días; si no podemos resolver la objeción, puedes terminar la parte afectada del Servicio y te devolvemos lo que hayas pagado por adelantado por ella.

Las apps, plataformas de anuncios y sistemas que conectas tú (sección 8 de los términos) no son subencargados nuestros. Reciben datos por tu instrucción y según sus propios términos.

7. Solicitudes de los titulares

El Servicio te permite encontrar, corregir, exportar y borrar Datos Personales del Cliente. Si necesitas más ayuda para responder la solicitud de un titular, te la damos. Si un titular nos escribe sobre Datos Personales del Cliente, te pasamos la solicitud sin demora indebida y no la respondemos nosotros, salvo para decirle que te la enviamos.

8. Evaluaciones y autoridades

Te damos la información que razonablemente necesites para evaluaciones de impacto en la protección de datos y para consultas con una autoridad de protección de datos sobre el Servicio.

9. Brechas de datos personales

Te avisamos sin demora indebida, y dentro de 48 horas desde que tomamos conocimiento de una brecha de datos personales que afecte Datos Personales del Cliente. El aviso describe, en la medida en que lo sepamos en ese momento, qué pasó, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables y las medidas que tomamos o proponemos. Sumamos detalles a medida que los conocemos, y te ayudamos a cumplir tu propio deber de avisar a las autoridades y a los titulares.

10. Transferencias internacionales

Los Datos Personales del Cliente se guardan en Estados Unidos, y algunos subencargados los tratan en otros países. Cuando la Ley de Protección de Datos del Espacio Económico Europeo, el Reino Unido o Suiza aplica a una transferencia a ioZen, las Cláusulas Contractuales Tipo de la Comisión Europea (Módulo 2, de responsable a encargado) quedan incorporadas a este Acuerdo, con el anexo del Reino Unido y los ajustes para Suiza cuando correspondan. Cuando otra ley exige un mecanismo de transferencia específico, como las cláusulas contractuales tipo aprobadas por la ANPD de Brasil, lo ponemos en marcha si lo pides.

11. Borrado y devolución

Puedes exportar contactos, casos y registros desde el Servicio cuando quieras. Cuando eliminas un espacio de trabajo, se puede recuperar durante 30 días y después se borra de forma definitiva, incluidos sus archivos y valores cifrados. Cuando termina tu acceso, tienes 30 días para exportar los Datos Personales del Cliente, y después los borramos, salvo que la ley nos exija conservar una parte. Las copias en respaldos desaparecen a medida que los respaldos rotan, y nunca se restauran al Servicio. Si lo pides, confirmamos el borrado por escrito.

12. Auditorías

Una vez al año, con 30 días de aviso por escrito, puedes pedirnos la información que necesites para verificar que cumplimos este Acuerdo, y te respondemos, por ejemplo completando un cuestionario de seguridad razonable. Si eso no basta, o si una autoridad de protección de datos lo exige, tú o un auditor independiente obligado a confidencialidad pueden auditar las partes del Servicio que tratan Datos Personales del Cliente, a tu costo, en una fecha acordada con anticipación y sin afectar el Servicio ni los datos de otros clientes.

13. Tus obligaciones

Te corresponde tener una base legal, y el consentimiento cuando la ley lo exija, para el tratamiento que nos indicas, incluido contactar a personas por WhatsApp o por correo, agregar píxeles publicitarios a los Intake Bots, enviar conversiones a plataformas de anuncios y enviar datos a las apps que conectas. Les das a los titulares los avisos que exige la Ley de Protección de Datos, incluido que usas ioZen y que sus datos viajan a Estados Unidos. No nos indicas tratar datos en contra de la ley.

14. Responsabilidad, vigencia y prelación

La responsabilidad de cada parte bajo este Acuerdo está sujeta a los límites de la sección 12 de los términos, salvo donde la Ley de Protección de Datos no lo permita. Este Acuerdo aplica mientras tratemos Datos Personales del Cliente, y sus obligaciones de confidencialidad, seguridad y borrado siguen vigentes después de que terminen los términos. Si este Acuerdo y los términos se contradicen sobre el tratamiento de datos personales, prevalece este Acuerdo; si aplican las Cláusulas Contractuales Tipo y contradicen este Acuerdo, prevalecen las Cláusulas. Este Acuerdo se publica en inglés y en español; si las dos versiones difieren, prevalece la versión en inglés.

15. Contacto

• Correo: hello@iozen.ai
• Responsable de privacidad: Jacobo Moreno, CEO
• RINCOT TECHNOLOGY LTD. (Business Number 796518827), 22922 132 Ave, Maple Ridge, BC V4R 2R2, Canadá