Acuerdo de tratamiento de datos.

1. Acerca de este acuerdo

Este acuerdo de tratamiento de datos («DPA») forma parte de los términos del servicio de Mijra entre tú, el cliente, y Cornerz.io. Se aplica siempre que Cornerz.io trate datos personales por cuenta tuya para prestar el servicio.

Al aceptar los términos del servicio, aceptas este DPA. Si necesitas una copia firmada, consulta «Solicitar una copia firmada» más abajo.

2. Definiciones

«Datos personales del cliente» son los datos personales de tu espacio de trabajo que tratamos por cuenta tuya, como los mensajes, los datos de contacto y los pedidos de tus clientes.

«Leyes de protección de datos» son las leyes aplicables a ese tratamiento, que pueden incluir la Ley de Protección de Datos Personales de Egipto (Ley n.º 151 de 2020), la Ley de Protección de Datos Personales de Arabia Saudita, las leyes de protección de datos de los Emiratos Árabes Unidos y de Catar, y el RGPD de la UE y el UK GDPR.

«Subencargado» es un tercero al que contratamos para tratar datos personales del cliente. «Responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les dan las leyes de protección de datos.

3. Partes y funciones

Respecto de los datos personales del cliente, tú eres el responsable del tratamiento y Cornerz.io es el encargado del tratamiento. Tú decides por qué y cómo se tratan los datos; nosotros los tratamos para prestarte Mijra por cuenta tuya.

Cornerz.io es responsable del tratamiento solo de los datos que necesita para gestionar su propio negocio, como los datos de tu cuenta, de facturación y del sitio web. Nuestra política de privacidad cubre ese tratamiento.

4. Objeto, naturaleza, finalidad y duración

Objeto: la prestación de Mijra, un Sistema operativo de conversaciones con clientes que reúne tus canales, tu tienda y tus herramientas de pago y envío en un solo espacio de trabajo.

Naturaleza y finalidad: recibir, almacenar, mostrar, organizar, enviar y analizar mensajes y registros relacionados para que tú, tu equipo y tus agentes de IA puedan responder a los clientes, crear pedidos, enviar enlaces de pago, reservar envíos y hacer seguimiento.

Duración: mientras utilices el servicio y, después, hasta que los datos se devuelvan o se eliminen conforme a la sección «Devolución y eliminación».

5. Tipos de datos personales

Datos de contacto, como nombres, números de teléfono, direcciones de correo electrónico y nombres de usuario en redes sociales; contenido de los mensajes, incluidos textos, imágenes, notas de voz y archivos; y metadatos de las conversaciones, como marcas de tiempo, canal y asignación.

Registros comerciales de la tienda y las herramientas que conectas: pedidos, carritos, estado de los pagos, direcciones de envío y seguimiento de envíos. Los datos de las tarjetas se introducen en la página del proveedor de pagos y no los recibimos nosotros.

Registros que tú o tus agentes de IA crean en el espacio de trabajo, como etiquetas, notas, resúmenes y perfiles del cliente.

El servicio no está diseñado para categorías especiales de datos, como los datos de salud. Si utilizas Mijra en un sector como el sanitario, tú decides si ese uso es lícito y debes recopilar solo lo que necesites.

6. Categorías de interesados

Tus clientes, leads y clientes potenciales que se ponen en contacto contigo o con los que tú te pones en contacto a través de los canales conectados; los clientes de tu tienda; y los miembros de tu equipo que utilizan el servicio.

7. Tus instrucciones y responsabilidades

Tus instrucciones son estos términos, este DPA y la configuración y las acciones que eliges en el producto, incluidas las automatizaciones y los agentes de IA que activas.

Eres responsable de contar con una base jurídica para el tratamiento, de facilitar a tus clientes los avisos de privacidad exigidos y de obtener y registrar un consentimiento y un opt-in válidos para los mensajes que envías.

8. Nuestras obligaciones como encargado del tratamiento

Tratamos los datos personales del cliente únicamente siguiendo tus instrucciones documentadas, salvo que la ley exija otra cosa. En ese caso, te lo comunicaremos antes del tratamiento, salvo que la ley lo prohíba.

Te avisaremos si consideramos que una instrucción infringe las leyes de protección de datos. No vendemos los datos personales del cliente ni los utilizamos para fines propios más allá de prestar, proteger y dar soporte al servicio.

9. Confidencialidad del personal

Solo pueden acceder a los datos personales del cliente los empleados y contratistas que necesitan ese acceso para prestar, dar soporte o proteger el servicio. Están sujetos a obligaciones de confidencialidad y reciben orientación sobre el tratamiento de datos personales.

10. Medidas de seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo del tratamiento. El anexo siguiente las resume. Las revisamos a medida que cambian el servicio y los riesgos, y no reduciremos el nivel general de protección.

No afirmamos contar con una certificación de ninguna norma de seguridad ni con cifrado de extremo a extremo en ningún canal, porque solo publicamos afirmaciones que podemos respaldar con documentos.

11. Anexo: medidas de seguridad

A. Acceso oficial. WhatsApp se conecta mediante la WhatsApp Business API oficial a través de un socio de Meta. No utilizamos clientes de WhatsApp ni herramientas de automatización no oficiales.

B. Acceso que tú apruebas. Los datos de la tienda se leen a través de la aplicación que instalas desde Salla, Zid o Shopify, o de la conexión que autorizas para WooCommerce, y puedes retirar ese acceso en cualquier momento. Los espacios de trabajo están separados, cada uno con sus propios canales, equipo y conversaciones.

C. Control de acceso. Acceso basado en roles dentro de cada espacio de trabajo, con roles personalizados y restricciones por IP en el plan Scale. El acceso interno se limita a las personas que lo necesitan.

D. Control humano de la IA. Tú eliges lo que pueden hacer los agentes de IA, y las conversaciones pasan a tu equipo cuando un agente no está seguro.

E. Cifrado. Los datos se cifran en tránsito con TLS y en reposo con AES de 256 bits.

F. Alojamiento y resiliencia. El servicio funciona en Amazon Web Services. Los datos se replican en varios centros de datos y la base de datos se respalda a diario. [Región de alojamiento: pendiente de confirmar.]

G. Supervisión y respuesta. Probamos y supervisamos nuestra seguridad con regularidad, revisamos las reglas del cortafuegos y las restricciones de acceso, y seguimos un procedimiento de respuesta a incidentes que incluye la notificación de violaciones de seguridad.

H. Personas. El personal con acceso a datos de clientes recibe formación y está sujeto a acuerdos de confidencialidad.

12. Subencargados

Nos autorizas a utilizar subencargados para prestar el servicio. Entre ellos se incluyen nuestros proveedores de alojamiento e infraestructura, los proveedores de modelos de IA y las herramientas que nos ayudan a ofrecer soporte y enviar correos electrónicos. Nuestros subencargados actuales son Amazon Web Services (infraestructura en la nube), Google Cloud Platform (analítica y almacenamiento), Stripe (procesamiento de pagos) y SendGrid (envío de correo electrónico). [Ubicación de cada subencargado y proveedores de modelos de IA: pendiente de confirmar.]

Los servicios que conectas por tu cuenta, como Meta, Telegram, tu plataforma de tienda y tus proveedores de pago y envío, tratan los datos conforme a tu propio acuerdo con ellos. No son nuestros subencargados.

Imponemos a cada subencargado condiciones de protección de datos que protegen al menos tanto como este DPA, y seguimos siendo responsables de su desempeño.

Notificaremos cualquier subencargado nuevo o sustituto al menos [30 días: pendiente de confirmar] antes de que empiece a tratar datos personales del cliente. Puedes oponerte por motivos razonables de protección de datos; si no podemos resolver la objeción, puedes dar por terminado el servicio afectado y recibir el reembolso de las tarifas pagadas por adelantado correspondientes al periodo no utilizado.

13. Transferencias internacionales

Los datos personales del cliente pueden tratarse en países distintos del tuyo, incluidos aquellos en los que operan nuestros subencargados. [Región de alojamiento: pendiente de confirmar.]

Cuando las leyes de protección de datos restrinjan una transferencia, recurrimos a un mecanismo de transferencia lícito, como las cláusulas contractuales tipo de la UE (y el anexo del Reino Unido cuando corresponda) o los mecanismos que exigen la legislación egipcia y la saudí.

14. Solicitudes de los interesados

Si un interesado se pone en contacto directamente con nosotros en relación con datos personales del cliente, te trasladaremos la solicitud y no responderemos nosotros, salvo que nos lo pidas o la ley lo exija.

Teniendo en cuenta la naturaleza del tratamiento, te ayudaremos a responder a las solicitudes de acceso, rectificación, supresión, limitación o exportación de datos personales, a través del producto cuando sea posible y, en caso contrario, previa solicitud.

15. Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad que afecte a datos personales del cliente, te lo notificaremos sin dilación indebida y, en cualquier caso, en un plazo de 72 horas.

Nuestra notificación describirá, en la medida en que lo sepamos en ese momento, qué ocurrió, los datos y las personas que probablemente se vean afectados, las consecuencias probables y las medidas que hemos adoptado o proponemos. Te mantendremos informado a medida que sepamos más.

La notificación de una violación de la seguridad no constituye una admisión de culpa ni de responsabilidad.

16. Evaluaciones de impacto y consulta

Te facilitaremos información razonable para ayudarte a realizar una evaluación de impacto relativa a la protección de datos, y cualquier consulta previa a una autoridad de control, cuando la ley la exija para tu uso del servicio.

17. Auditorías

Previa solicitud razonable, pondremos a tu disposición la información necesaria para demostrar que cumplimos este DPA, como respuestas a cuestionarios de seguridad y resúmenes de nuestras prácticas.

Si esa información no basta para cumplir un requisito legal, puedes realizar una auditoría, a tu cargo, con un preaviso por escrito de al menos 30 días, en horario laboral, no más de una vez al año, con sujeción a condiciones de confidencialidad y sin acceso a datos de otros clientes.

18. Devolución y eliminación

Puedes exportar tus datos mientras tu cuenta esté activa. Cuando finaliza el servicio, dispones de 90 días para exportarlos; después, eliminamos los datos personales del cliente del servicio activo.

Las copias en los respaldos se eliminan según el ciclo normal de respaldos [periodo de conservación de los respaldos: pendiente de confirmar]. Solo podemos conservar los datos durante más tiempo cuando la ley lo exija, y seguimos protegiéndolos mientras tanto.

19. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones y exclusiones de responsabilidad de los términos del servicio, en la medida en que lo permitan las leyes de protección de datos.

20. Orden de prelación

Si este DPA entra en conflicto con los términos del servicio en lo relativo al tratamiento de datos personales, prevalece este DPA. Si se aplican las cláusulas contractuales tipo y entran en conflicto con este DPA, prevalecen las cláusulas contractuales tipo.

21. Solicitar una copia firmada

Si tu organización necesita una copia de este DPA firmada por ambas partes, escríbenos a hello@mijra.io. Puedes enviar tus preguntas sobre el tratamiento de datos a dpo@mijra.io. Cornerz.io, 3 Makram Ebeid St, Nasr City, El Cairo, Egipto.

22. Contacto

Puedes enviar tus preguntas sobre este documento a hello@mijra.io o a través de la página de contacto. Para asuntos de privacidad, cookies y protección de datos, escribe a privacy@mijra.io.

Cornerz.io, 3 Makram Ebeid St, Nasr City, El Cairo, Egipto.