Acuerdo de Procesamiento de Datos (DPA)
EnglishÚltima actualización: 8 de octubre de 2026
Este Acuerdo de Procesamiento de Datos (“DPA”) forma parte de los Términos de Servicio entre SPEUX E.I.R.L. (RUC 20607072168, “Zentro”, Encargado del Tratamiento) y el Cliente (Responsable del Tratamiento), y aplica cuando el tratamiento de datos personales por Zentro en nombre del Cliente esté sujeto a normativas como GDPR (UE), UK GDPR, CCPA/CPRA (California), LGPD (Brasil), o equivalentes.
1. Definiciones
- Datos Personales: cualquier información relativa a una persona física identificada o identificable que el Cliente nos confíe a través del Servicio.
- Tratamiento: cualquier operación realizada sobre Datos Personales.
- Responsable: el Cliente, que determina los fines y medios del Tratamiento.
- Encargado: Zentro, que trata datos por cuenta del Cliente.
- Sub-encargado: tercero contratado por Zentro para tratar Datos.
2. Objeto y duración
Zentro tratará Datos Personales únicamente en la medida necesaria para prestar el Servicio descrito en los Términos. Este DPA aplica mientras dure la relación comercial y hasta la eliminación de los datos.
3. Naturaleza y finalidad del tratamiento
- Importación y gestión de pedidos COD del Cliente, incluidos los de sus tiendas Shopify conectadas, y devolución a esas tiendas de los cambios de sus pedidos.
- Comunicación con los compradores del Cliente, por instrucción suya, para gestionar sus pedidos (sección 8 de los Términos de Servicio).
- Sincronización con couriers e integraciones autorizadas.
- Generación de reportes operativos para el Cliente.
- Soporte técnico cuando el Cliente lo solicite.
4. Categorías de Datos Personales y titulares
- Usuarios del Cliente: nombre, email, rol, logs de acceso.
- Clientes finales del Cliente: nombre, teléfono, DNI, dirección, historial de pedidos.
No tratamos categorías especiales de datos (salud, biométricos, ideología, etc.). Si el Cliente carga este tipo de datos, lo hace bajo su propia responsabilidad y debe contar con las bases legales correspondientes.
5. Obligaciones de Zentro como Encargado
- Tratar los Datos solo conforme a las instrucciones documentadas del Cliente.
- Garantizar que el personal autorizado se compromete a la confidencialidad o esté sujeto a obligación legal de confidencialidad.
- Implementar medidas técnicas y organizativas apropiadas: encriptación AES-256-GCM, TLS 1.2+, control de accesos por roles (RBAC), aislamiento multi-tenant, registros de auditoría.
- Asistir al Cliente en el cumplimiento de sus obligaciones (responder a derechos de titulares, evaluaciones de impacto, notificaciones de brecha).
- Notificar al Cliente sin demoras indebidas (objetivo: 72 horas) ante una brecha de seguridad que afecte sus Datos.
- A elección del Cliente, eliminar o devolver los Datos al finalizar la prestación, salvo obligación legal de conservación.
6. Sub-encargados (Sub-procesadores)
El Cliente autoriza a Zentro a contratar a los siguientes Sub-encargados. Zentro mantiene contratos que imponen obligaciones equivalentes a las de este DPA con cada Sub-encargado:
| Sub-encargado | Función | Ubicación |
|---|---|---|
| Vercel Inc. | Hosting, funciones del servidor y CDN | EE. UU. / red global |
| Neon (PostgreSQL) | Base de datos administrada, cifrada en reposo, y sus copias de respaldo | EE. UU. |
| Vercel Blob | Almacenamiento de archivos: comprobantes de pago, fotos de entrega, imágenes y archivos multimedia de WhatsApp | EE. UU. |
| Sentry | Monitoreo de errores y rendimiento | EE. UU. |
| Browserbase | Navegador automatizado para registrar envíos en couriers sin API (integración Zeus) | EE. UU. |
| Pusher | Actualización en tiempo real de la bandeja de mensajes | EE. UU. |
| Vercel AI Gateway (modelos Gemini de Google) | Lectura automática de comprobantes de pago, clasificación de mensajes entrantes y el Asistente Zentro | EE. UU. |
| Amazon Web Services | Servidor propio con IP fija por el que salen las consultas a algunos couriers; el tráfico viaja cifrado | EE. UU. |
Zentro notificará al Cliente con al menos 30 días de antelación cualquier incorporación o reemplazo de Sub-encargados. El Cliente puede objetar por escrito a privacy@zentro.one.
7. Transferencias internacionales
Cuando los Datos se transfieren fuera del país del Cliente, Zentro solo transfiere lo necesario para prestar el Servicio, y únicamente a los Sub-encargados de la sección 6. Los proveedores de la infraestructura donde se alojan los Datos (Vercel y Neon) cuentan con certificaciones SOC 2 e ISO 27001. Si el Cliente necesita un mecanismo de transferencia específico, como las Cláusulas Contractuales Tipo de la Comisión Europea para datos de la UE o del Reino Unido, puede solicitarlo a privacy@zentro.one.
8. Derechos de los titulares
Zentro provee mecanismos en la plataforma para que el Cliente atienda solicitudes de los titulares (acceso, rectificación, eliminación, portabilidad). Si un titular contacta directamente a Zentro, lo redirigiremos al Cliente y prestaremos la asistencia razonable.
9. Auditoría
El Cliente puede solicitar, una vez al año y con 30 días de aviso previo, evidencia de cumplimiento de las medidas de seguridad: la descripción de los controles y las certificaciones que publican los Sub-encargados. Auditorías presenciales requieren acuerdo previo y son a costo del Cliente.
10. Limitación de responsabilidad
La responsabilidad bajo este DPA está sujeta a las limitaciones de los Términos de Servicio. La responsabilidad agregada no excederá lo pagado por el Cliente en los 12 meses anteriores al hecho generador.
11. Aceptación
Este DPA forma parte de los Términos de Servicio y se acepta junto con ellos, al usar el servicio o al instalar la app de Shopify de Zentro. Si el Cliente necesita además una copia firmada, puede:
- Solicitarlo firmado escribiendo a privacy@zentro.one con asunto “DPA Request”.
- Aceptarlo electrónicamente desde Configuración → Cumplimiento (próximamente).
12. Contacto
Encargado del Tratamiento: SPEUX E.I.R.L. · RUC 20607072168 · privacy@zentro.one