ANEXO DE TRATAMIENTO DE DATOS (DPA)

1. Partes, carácter y vigencia

Este anexo integra los Términos de ZEIDY. El Cliente/Negocio que determina las finalidades y las instrucciones de tratamiento es el Responsable de los datos de sus propios clientes, profesionales y personal; Sebastian Leonel Diez, CUIT 20-38955426-0, titular de ZEIDY, actúa como Encargado respecto de esos datos. Para datos propios de contratación, facturación, seguridad, soporte y referidos, ZEIDY actúa como responsable conforme a la Política de Privacidad.

El DPA rige durante el servicio y, por autorización expresa del Responsable, durante los tres meses posteriores a la terminación exclusivamente para exportación, recuperación técnica o ulterior encargo razonablemente previsto, según la Ley 25.326 art. 25.2 y las instrucciones legales. El Responsable puede solicitar supresión anticipada procedente, con las excepciones legales aplicables.

2. Anexo I: descripción del tratamiento

Objeto: automatización de atención, interpretación de mensajes, consulta de servicios, reserva y administración de turnos, reprogramación, cancelaciones, recordatorios, atención manual, CRM operativo e integraciones seleccionadas.

Operaciones: recolección, almacenamiento, consulta, organización, uso, transmisión a integraciones, respaldo, corrección, exportación y supresión, con alcance limitado a la necesidad contractual.

Datos: identificadores y contactos, mensajes y adjuntos proporcionados, registros de turnos, servicios, disponibilidad, profesionales, estado de conversaciones, referencias de pago o seña y metadatos técnicos. Titulares: clientes finales y potenciales, profesionales, personal del negocio y personas que contactan sus canales. Ámbito: servicios autorizados en Argentina con eventuales transferencias internacionales legalmente justificadas.

3. Instrucciones documentadas y licitud

Constituyen instrucciones documentadas los Términos, este DPA, la elección de servicios y conectores en el panel, permisos conferidos, solicitudes verificadas de exportación/supresión y órdenes adicionales autenticadas que sean lícitas. ZEIDY no puede utilizar los datos del Responsable para fines propios incompatibles, venderlos, construir perfiles publicitarios ajenos ni entrenar modelos propios.

Si una instrucción pudiera infringir normas o comprometer datos de terceros, ZEIDY lo comunicará y podrá suspender solo la operación afectada en la medida necesaria. El Responsable debe contar con bases legales, información al titular, autorización para contacto y reglas para datos sensibles y menores.

4. Confidencialidad y control de acceso

ZEIDY restringirá el acceso al personal y sistemas que lo necesiten para operar o asegurar la plataforma, con segregación lógica por negocio, autenticación, permisos por rol y compromiso de confidencialidad. Los accesos de soporte requerirán necesidad legítima y trazabilidad razonable. El Cliente debe mantener contraseñas seguras, administrar operadores y revocar usuarios que dejen de actuar por su cuenta.

5. Medidas técnicas y organizativas: Anexo II

Se utilizarán, según el estado del sistema: conexiones cifradas, gestión de secretos fuera de código público, controles de acceso de mínimo privilegio, separación por inquilino, control de ejecución de trabajadores, supervisión de errores, respaldos periódicos, gestión de parches e incidentes, pruebas de restauración y eliminación programada de información. La eficacia de cada medida debe respaldarse con evidencia operativa y no se garantizan certificaciones no obtenidas.

ZEIDY documentará las solicitudes de acceso o supresión y evitará que una restauración de backup reactive datos cuya eliminación ya fue autorizada. Los registros de seguridad tendrán acceso restringido y conservación justificada.

6. Datos sensibles y menores

El servicio de recepción no tiene por finalidad obtener antecedentes médicos ni realizar historia clínica. El Responsable configurará instrucciones para no solicitar diagnósticos y remitir al profesional toda cuestión médica expresada espontáneamente. ZEIDY no realizará decisiones clínicas, ni usará datos sensibles para entrenamiento. Si un sector requiriera tratamiento estructurado de datos sensibles se exigirán evaluación y salvaguardas adicionales antes de habilitarlo.

El Responsable adopta las medidas para identificar y gestionar representantes de menores para la prestación del servicio profesional; ZEIDY coopera con los derechos de información y supresión sobre datos que custodie.

7. Subencargados: Anexo III y objeciones

El Responsable autoriza a ZEIDY a recurrir a los prestadores necesarios identificados en Subencargados y Servicios de Terceros, según las funciones elegidas. ZEIDY impondrá, cuando corresponda, obligaciones sustancialmente equivalentes de confidencialidad, seguridad, asistencia y supresión. Informará adiciones o sustituciones materiales con 30 días corridos de antelación, salvo reemplazos urgentes por seguridad, indisponibilidad u obligación legal, que notificará tan pronto sea razonable.

El Responsable podrá objetar de buena fe un nuevo subencargado por razones concretas de protección de datos. Ambas partes procurarán una alternativa viable; si el tratamiento no pudiera continuar de manera legal o razonable, el Cliente podrá terminar la función afectada o la suscripción conforme a sus derechos imperativos.

8. Transferencias internacionales

No se ordenarán transferencias a países sin protección adecuada por la sola referencia genérica a un proveedor. ZEIDY documentará destinatario, rol, país y mecanismo jurídico, aplicando el artículo 12 de la Ley 25.326, las cláusulas modelo de la Disposición 60/2016 o Resolución AAIP 198/2023, otra herramienta válida o excepción legal, según proceda. Cuando la instrucción o integración elegida requiera una transferencia sin mecanismo válido, deberá denegarse o suspenderse esa integración hasta regularizarla.

9. Asistencia en derechos, privacidad y documentación

El Encargado asistirá razonablemente al Responsable para buscar, exportar, corregir, restringir o suprimir datos y para documentar incidentes y consultas de titulares. Transmitirá sin demora las solicitudes dirigidas erróneamente a ZEIDY cuando corresponda resolverlas al Responsable, sin divulgar identidades ajenas. Se mantendrán registros de instrucciones, aceptación y actuaciones necesarios para la rendición de cuentas.

10. Incidentes de seguridad

Ante un incidente confirmado de confidencialidad, disponibilidad o integridad que afecte datos del Responsable, ZEIDY informará sin demora indebida y en un máximo de 72 horas desde que tome conocimiento y confirme el incidente, con tipo de datos afectados, impacto conocido, medidas adoptadas y persona de contacto, ampliando lo informado cuando avance la investigación. La notificación inicial podrá basarse en información provisional y no debe retrasarse para completar todas las conclusiones. Cada parte conserva las obligaciones regulatorias propias.

11. Devolución, eliminación y respaldos

Durante la relación y el plazo adicional autorizado de tres meses, el Responsable podrá solicitar exportación razonablemente interoperable de sus datos, previa verificación y protección de terceros. Transcurrido ese plazo, ZEIDY suprimirá o anonimizará la información activa por encargo, salvo obligaciones legales válidas y la rotación controlada de respaldos técnicos. Las copias de seguridad tendrán plazos documentados y razonables, sin acceso cotidiano; las supresiones autorizadas deberán reaplicarse después de restaurar.

Los datos fiscales, contractuales o antifraude que ZEIDY trate como responsable independiente no se incluyen indiscriminadamente en una solicitud de eliminación por encargo. La pérdida o bloqueo del número de WhatsApp no obliga a recuperar una sesión o plataforma controlada por Meta.

12. Auditorías, responsabilidad y prevalencia

ZEIDY aportará evidencia razonable de cumplimiento y permitirá mecanismos de revisión proporcionados, sujetos a confidencialidad, protección de otros negocios, seguridad y disponibilidad operativa. El alcance y costos de auditorías extraordinarias se acordarán de buena fe, salvo imposición legal diferente.

Para el tratamiento por encargo este DPA prevalece sobre una cláusula general incompatible; ninguna limitación de responsabilidad reduce las obligaciones imperativas ni puede exonerar dolo, culpa grave o derechos irrenunciables. Las personas legitimadas mantienen sus acciones legales.

13. Aceptación

El Cliente debe aceptar este DPA de manera identificable y versionada al contratar o habilitar tratamientos por encargo, con registro de fecha, versión y actor. Las modificaciones sustanciales estarán sujetas a aviso y nueva aceptación cuando la ley lo exija. Comunicaciones: legal@zeidy.app.