ZORYA

ATD

Acuerdo de Tratamiento de Datos

El presente Acuerdo de Tratamiento de Datos (el "ATD")forma parte integrante del Acuerdo celebrado entre Zorya y el Cliente y seincorpora por referencia a los Términos y Condiciones de Uso, tanto en sumodalidad Self Service como Enterprise. El ATD regula exclusivamente eltratamiento que Zorya realiza, por cuenta del Cliente, respecto de los datospersonales de los Usuarios Finales. No sustituye ni limita el Aviso dePrivacidad de Zorya, el cual rige el tratamiento que Zorya realiza en sucarácter de responsable respecto de los datos personales del Cliente y de susrepresentantes.
‍

1. Definiciones

Lostérminos en mayúscula inicial no definidos en el presente ATD tendrán elsignificado que se les atribuye en los Términos, en la Orden de Servicio o enel MSA, según corresponda. Para efectos de este ATD:

•       "Datos de Usuarios Finales" significa losdatos personales de los Usuarios Finales que Zorya trata por cuenta y en nombredel Cliente en relación con la prestación del Servicio, incluidos el Contenidodel Cliente y los metadatos asociados a su transmisión y entrega. Forman partede los Datos del Cliente y excluyen los Datos de Zorya.

•       "Datos de Plataformas de Terceros" significaaquellos Datos de Usuarios Finales que, por virtud de su transmisión a unaPlataforma de Terceros, quedan sujetos a las condiciones de dicha plataforma,incluida la información que derive de ellos o se combine con ellos, en lostérminos en que dichas condiciones lo dispongan.

•       "Derechos ARCO" significa los derechos deacceso, rectificación, cancelación y oposición previstos en la Ley, así comocualesquiera derechos equivalentes reconocidos por la normativa aplicable a losUsuarios Finales.

•       "Encargado", "Responsable", "Titular","Tratamiento", "Transferencia" y "Remisión"tendrán el significado que les atribuye la Ley.

•       "Incidente de Seguridad" significa todavulneración de la seguridad que ocasione la destrucción, pérdida, alteración,divulgación o acceso no autorizado a los Datos de Usuarios Finales tratados porZorya o por sus Sub-encargados.

•       "Ley" significa la Ley Federal de Protecciónde Datos Personales en Posesión de los Particulares, publicada en el DiarioOficial de la Federación el 20 de marzo de 2025, y las demás disposiciones queresulten aplicables.

•       "Plataforma de Terceros" significa cualquierplataforma, red o canal de mensajería operado por un tercero que resulteindispensable para la entrega de las comunicaciones solicitadas por el Cliente,incluyendo de manera enunciativa mas no limitativa a Meta Platforms, Inc. y susAfiliadas (WhatsApp Business API), Google LLC y sus Afiliadas (RCS BusinessMessaging) y los Operadores.

•       "Sub-encargado" significa cualquier tercerocontratado por Zorya para tratar Datos de Usuarios Finales en el cumplimientode la prestación del Servicio. Las Plataformas de Terceros no constituyenSub-encargados, conforme a la Cláusula 8 del presente ATD.

2. Objeto y Roles de lasPartes

2.1 Objeto

Elpresente ATD tiene por objeto regular las condiciones bajo las cuales Zoryatrata los Datos de Usuarios Finales por cuenta del Cliente, así como lasobligaciones que corresponden a cada Parte en materia de finalidades,instrucciones, seguridad, confidencialidad, sub-encargo, transferenciasinternacionales, asistencia al Responsable, atención de Derechos ARCO,notificación de Incidentes de Seguridad y devolución o supresión de datos.

2.2 Roles

Respectode los Datos de Usuarios Finales, el Cliente actúa como Responsable y Zoryacomo Encargado. Zorya no determina las finalidades ni los medios esenciales deltratamiento, ni utiliza los Datos de Usuarios Finales para finalidades propias.

2.3 Delimitación

Losdatos personales del Cliente, de sus representantes legales y de los usuariosde su cuenta en el Panel no constituyen Datos de Usuarios Finales. Respecto dedichos datos, Zorya actúa como Responsable y su tratamiento se rige por elAviso de Privacidad de Zorya y no por el presente ATD.

3. InstruccionesDocumentadas

3.1 Alcance de lasinstrucciones

Zoryatratará los Datos de Usuarios Finales únicamente conforme a las instruccionesdocumentadas del Cliente y para la prestación del Servicio. Constituyeninstrucciones documentadas completas y suficientes del Cliente: (i) losTérminos; (ii) el presente ATD y sus Anexos; (iii) la Orden de Servicio o elMSA, en su caso; (iv) la Documentación; y (v) las configuraciones, parámetros,plantillas, listas de destinatarios y solicitudes de envío que el Clienteejecute a través del Panel o de las API.

3.2 Instruccionesadicionales

Cualquierinstrucción adicional que exceda el alcance del Servicio deberá constar porescrito y ser aceptada por Zorya. Zorya podrá condicionar su atención a lasuscripción de un anexo y al pago de los costos razonables que ello implique.

3.3 Instruccionescontrarias a la Ley

SiZorya considera, a su razonable criterio, que una instrucción del Clienteinfringe la Ley o la normativa aplicable, lo notificará al Cliente sin dilaciónindebida y podrá suspender la ejecución de dicha instrucción hasta que seaconfirmada, modificada o retirada, sin que ello constituya incumplimiento deZorya.

3.4 Tratamiento exigidopor la ley

Zoryapodrá tratar los Datos de Usuarios Finales al margen de las instrucciones delCliente cuando la legislación aplicable se lo exija. En tal caso, informará alCliente de dicha exigencia antes del tratamiento, salvo que la propialegislación lo prohíba.

4. Obligaciones delCliente como Responsable

ElCliente declara, garantiza y se obliga a:

•       Contar, respecto de la totalidad de los Datos de UsuariosFinales, con una base de licitud válida conforme a la Ley y a la normativaaplicable en la jurisdicción de los Usuarios Finales, incluido elconsentimiento cuando resulte exigible, y conservar la evidenciacorrespondiente.

•       Poner a disposición de sus Usuarios Finales el aviso deprivacidad que corresponda, informando el tratamiento, las transferencias y losmedios para ejercer sus Derechos ARCO.

•       Atender, en su carácter de Responsable, las solicitudes deejercicio de Derechos ARCO y cualquier requerimiento de autoridad relacionadocon los Datos de Usuarios Finales.

•       Asegurar la exactitud, pertinencia y actualización de losDatos de Usuarios Finales que proporcione a Zorya, así como la licitud delContenido del Cliente.

•       Cumplir con las políticas de las Plataformas de Tercerosque le resulten aplicables, incluidas las políticas de Meta y de Google, y conla Política de Uso Aceptable prevista en los Términos.

4.1 Prohibición de datospersonales sensibles

ElCliente se obliga a no transmitir, a través del Servicio, datos personalessensibles en el Contenido del Cliente ni en ningún campo, plantilla, archivoadjunto o parámetro del mismo. El Servicio no está diseñado ni configurado parael tratamiento de datos personales sensibles y las Plataformas de Tercerosdeclaran, en los instrumentos de transferencia que resultan aplicables, que nose transfieren categorías de datos personales confidenciales.

Excepcionalmente,el Cliente podrá solicitar por escrito a Zorya la habilitación de un flujo queinvolucre datos personales sensibles. Dicha solicitud deberá ser aceptada porescrito por Zorya, precisará las categorías involucradas, las medidas de seguridadreforzadas aplicables y los canales habilitados, y quedará documentada mediantela actualización del Anexo A. En ausencia de dicha aceptación escrita, seentenderá que el Cliente no transmite datos personales sensibles.

ElCliente será el único responsable de cualquier reclamación, sanción, multa odaño derivado del incumplimiento de la presente Cláusula, en términos de lasdisposiciones de indemnización previstas en los Términos.

5. Obligaciones de Zoryacomo Encargado

Zoryase obliga a:

•       Tratar los Datos de Usuarios Finales únicamente conforme alas instrucciones documentadas del Cliente y para la prestación del Servicio, yno para finalidades propias, salvo tratándose de Datos de Zorya en los términosprevistos en los Términos y en la Cláusula 8.4 del presente ATD.

•       Abstenerse de transferir los Datos de Usuarios Finales,salvo por instrucción del Cliente, por exigencia de la legislación aplicable oconforme a las Cláusulas 7 y 8 del presente ATD.

•       Implementar y mantener las medidas de seguridad señaladasen el Anexo B.

•       Asegurar que las personas autorizadas para tratar los Datosde Usuarios Finales se encuentren sujetas a obligaciones de confidencialidad,conforme a la Cláusula 6.

•       Asistir al Cliente en la atención de los Derechos ARCO,conforme a la Cláusula 10.

•       Notificar al Cliente los Incidentes de Seguridad, conformea la Cláusula 9.

•       Devolver o suprimir los Datos de Usuarios Finales a laterminación del Acuerdo, conforme a la Cláusula 12.

•       Poner a disposición del Cliente la informaciónrazonablemente necesaria para acreditar el cumplimiento de las obligaciones delpresente ATD, conforme a la Cláusula 11.

•       Guardar confidencialidad respecto de los Datos de UsuariosFinales aun después de concluida la relación jurídica con el Cliente.

6. Confidencialidad delPersonal

Zoryalimitará el acceso a los Datos de Usuarios Finales al personal que requieraconocerlos para la prestación del Servicio, conforme al principio de necesidadde conocer. Dicho personal se encuentra obligado a la confidencialidad medianteinstrumento escrito o por disposición legal, obligación que subsiste conposterioridad a la terminación de su relación con Zorya. Zorya establecerácontroles o mecanismos que tengan por objeto que todas las personas queintervengan en cualquier fase del tratamiento guarden confidencialidad respectode los Datos de Usuarios Finales.

7. Sub-encargados

7.1 Autorización general

ElCliente otorga a Zorya una autorización general y por escrito para contratarSub-encargados para la prestación del Servicio. Las categorías deSub-encargados vigentes se señalan en el Anexo C. La lista actualizada seencuentra a disposición del Cliente, previa solicitud a legal@zorya.mx.

7.2 Altas y sustituciones

Zoryanotificará al Cliente el alta o la sustitución de cualquier Sub-encargado conal menos quince (15) días naturales de anticipación, a través del Panel o delcorreo electrónico registrado. El Cliente podrá objetar el alta o lasustitución dentro de dicho plazo, por causa razonable y fundada en materia deprotección de datos personales, mediante notificación escrita a legal@zorya.mx.De no ser posible resolver la objeción, cualquiera de las Partes podrá dar porterminado el Acuerdo respecto del Servicio afectado, sin responsabilidad y sinderecho a reembolso de las Tarifas devengadas. La ausencia de objeción dentrodel plazo se entenderá como aceptación.

7.3 Obligacionesequivalentes

Zoryacelebrará con cada Sub-encargado un instrumento jurídico vinculante que leimponga obligaciones de protección de datos personales no menos protectoras quelas previstas en el presente ATD. Dicho instrumento obligará alSub-encargado a notificar a Zorya cualquier Incidente de Seguridad dentro delas veinticuatro (24) horas siguientes a su descubrimiento.

7.4 Responsabilidad

Zoryaresponderá frente al Cliente por los actos y omisiones de sus Sub-encargadoscomo si fueran propios.

8. Plataformas deTerceros

8.1 Reconocimiento einstrucción

ElCliente reconoce que la entrega de las comunicaciones que solicita a través delServicio requiere, de manera necesaria e indispensable, la transmisión de Datosde Usuarios Finales a las Plataformas de Terceros. La solicitud de envío queel Cliente ejecuta a través del Panel o de las API constituye su instrucciónexpresa e inequívoca para que Zorya realice dicha transmisión.

8.2 Naturaleza

LasPlataformas de Terceros no constituyen Sub-encargados de Zorya. Cada Plataformade Terceros determina de manera autónoma sus propias condiciones, políticas yroles en materia de protección de datos personales, y en determinados supuestosactúa en carácter de responsable. Zorya no negocia, modifica ni controla dichascondiciones.

8.3 Sujeción a lascondiciones de las Plataformas de Terceros

ElCliente reconoce y acepta que el tratamiento de los Datos de Plataformas deTerceros queda sujeto a las condiciones de la Plataforma de Terceros quecorresponda, las cuales: (i) se incorporan por referencia a los acuerdoscelebrados entre Zorya y dicha plataforma; (ii) pueden ser actualizadasunilateralmente por la plataforma sin requerir el consentimiento de Zorya nidel Cliente; y (iii) prevalecen, en materia de protección de datos personales,sobre las estipulaciones del presente ATD que les resulten contrarias,únicamente respecto de los Datos de Plataformas de Terceros y en la medidaestrictamente necesaria.

8.4 Restricciones sobreDatos de Plataformas de Terceros

Encongruencia con las condiciones aplicables, Zorya se obliga, respecto de losDatos de Plataformas de Terceros, a: (i) no tratarlos para finalidadesdistintas de aquellas autorizadas por la Plataforma de Terceroscorrespondiente; y (ii) no re-identificarlos, desanonimizarlos, descifrarlos,invertirles el algoritmo hash ni aplicarles técnicas de ingeniería inversa.

Enconsecuencia, la definición de "Datos de Zorya" prevista en losTérminos no comprende información alguna que derive de Datos de Plataformas deTerceros o se combine con ellos cuando las condiciones de la plataformacorrespondiente restrinjan su uso.

8.5 Supresión odevolución a demanda

ElCliente reconoce que la Plataforma de Terceros puede requerir a Zorya, encualquier momento y a su elección, la supresión o devolución de los Datos dePlataformas de Terceros, así como acreditar dicha supresión o devolución. Zoryaatenderá dichos requerimientos y lo notificará al Cliente sin dilaciónindebida, en la medida en que le sea permitido. La atención de talesrequerimientos no constituirá incumplimiento de Zorya frente al Cliente.

8.6 Suspensión por laPlataforma de Terceros

ElCliente reconoce que la Plataforma de Terceros puede limitar, suspender ocancelar el acceso a los Datos de Plataformas de Terceros o al canalcorrespondiente. La indisponibilidad derivada de dicha medida no será imputablea Zorya.

8.7 Restricciones dedivulgación

ElCliente reconoce que las condiciones de determinadas Plataformas de Tercerosrestringen la facultad de Zorya para divulgar información relativa altratamiento de los Datos de Plataformas de Terceros, incluida la relativa a unIncidente de Seguridad, sin la aprobación previa de dicha plataforma. Zoryaproporcionará al Cliente la información que le sea exigible conforme a la Ley yal presente ATD, y que dichas restricciones le permitan divulgar.

9. TransferenciasInternacionales

9.1 Reconocimiento

ElCliente reconoce que la prestación del Servicio implica la transferencia deDatos de Usuarios Finales a, o el acceso a los mismos desde, jurisdiccionesdistintas a los Estados Unidos Mexicanos, incluidos los Estados Unidos deAmérica, Irlanda y aquellas en las que se ubiquen los Usuarios Finales, lasPlataformas de Terceros o los Sub-encargados.

9.2 Garantías adecuadas

Zoryaadoptará las garantías adecuadas para que los Datos de Usuarios Finalesconserven un nivel de protección equivalente al previsto en la Ley, mediante lacelebración de instrumentos jurídicos vinculantes con los receptores y, cuandoresulte aplicable, mediante la adopción de cláusulas contractuales tiporeconocidas internacionalmente, entre ellas las cláusulas contractuales tipo dela Red Iberoamericana de Protección de Datos.

9.3 Régimen aplicable

LasPartes reconocen que las transferencias necesarias para el mantenimiento ocumplimiento de la relación jurídica entre el Responsable y el Titular, asícomo aquellas necesarias por virtud de un contrato celebrado en interés delTitular, se ubican en los supuestos de excepción previstos en el artículo 36 dela Ley. Lo anterior sin perjuicio de las obligaciones del Cliente en materia deinformación conforme a la Cláusula 4.

10. Incidentes deSeguridad

10.1 Notificación alCliente

Zoryanotificará al Cliente cualquier Incidente de Seguridad sin dilación indebiday, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a sudescubrimiento, o dentro del plazo menor que exija la normativa aplicable.

10.2 Contenido de lanotificación

Lanotificación describirá, en la medida de la información razonablementedisponible: (i) la naturaleza del Incidente de Seguridad; (ii) las categorías yel volumen aproximado de Datos de Usuarios Finales afectados; (iii) lasconsecuencias probables; (iv) las medidas adoptadas o propuestas para atenderloy mitigar sus efectos; y (v) un punto de contacto para obtener mayorinformación. Cuando no sea posible proporcionar la totalidad de la informaciónde manera simultánea, ésta se entregará de forma escalonada sin dilaciónindebida.

10.3 Cooperación

Zoryacooperará razonablemente con el Cliente y le proporcionará la asistencia queéste requiera de manera razonable para investigar el Incidente de Seguridad ycumplir con las obligaciones que le corresponden como Responsable, incluidaslas de notificación a los Titulares y, en su caso, a la autoridad competente.Corresponde exclusivamente al Cliente, como Responsable, determinar si procedenotificar y realizar dichas notificaciones.

10.4 No reconocimiento deresponsabilidad

Lanotificación de un Incidente de Seguridad no constituirá reconocimiento deresponsabilidad ni de culpa por parte de Zorya.

11. Asistencia alResponsable y Derechos ARCO

11.1 Canalización

CuandoZorya reciba directamente de un Usuario Final una solicitud de ejercicio deDerechos ARCO o cualquier comunicación relativa al tratamiento de sus datospersonales, se abstendrá de responderla en cuanto al fondo y la canalizará alCliente sin dilación indebida y, en todo caso, dentro de los cinco (5) díashábiles siguientes a su recepción, informando al solicitante que su solicitudfue canalizada al Responsable.

11.2 Asistencia técnica

Teniendoen cuenta la naturaleza del tratamiento, Zorya asistirá razonablemente alCliente mediante las funcionalidades disponibles en el Panel y en las API, aefecto de que el Cliente pueda atender las solicitudes de Derechos ARCO. Cuandola atención requiera intervención manual de Zorya, ésta se prestará dentro delos diez (10) días hábiles siguientes a la solicitud escrita del Cliente.

11.3 Asistencia adicional

Zoryaasistirá razonablemente al Cliente en la elaboración de evaluaciones de impactoen la protección de datos personales y en las consultas ante la autoridadcompetente, cuando ello resulte exigible y se refiera al tratamiento objeto delpresente ATD, poniendo a su disposición la información que obre razonablementeen su poder.

11.4 Costos

Laasistencia prevista en las Cláusulas 11.2 y 11.3 se prestará sin costo cuandopueda atenderse mediante las funcionalidades estándar del Servicio. Cuandorequiera desarrollo, extracción o esfuerzo manual significativo, Zorya podrárepercutir al Cliente los costos razonables y documentados, previa cotizaciónaceptada por escrito.

12. Acreditación delCumplimiento y Auditoría

12.1 Información ycertificaciones

Asolicitud escrita del Cliente, con una periodicidad no mayor a una vez por añocalendario y previo aviso razonable, Zorya pondrá a su disposición lainformación, políticas, certificaciones o reportes de evaluación de tercerosque acrediten el cumplimiento de las obligaciones previstas en el presente ATD.

12.2 Auditoría in situ

Tratándosede Clientes en modalidad Enterprise, cuando la información señalada en laCláusula 12.1 resulte insuficiente para acreditar el cumplimiento respecto deun hallazgo concreto y razonablemente fundado, el Cliente podrá realizar unaauditoría in situ, previo aviso de treinta (30) días naturales, en días yhorarios hábiles, sujeta a obligaciones de confidencialidad, sin acceso ainformación de otros clientes de Zorya y sin interferir con su operación. Loscostos de la auditoría correrán a cargo del Cliente, salvo que ésta acredite unincumplimiento material imputable a Zorya.

12.3 Modalidad SelfService

Tratándosede Clientes en modalidad Self Service, la acreditación del cumplimiento serealizará exclusivamente conforme a la Cláusula 12.1, sin derecho a auditoríain situ.

12.4 Limitaciones

Losderechos previstos en la presente Cláusula se ejercerán sin perjuicio de lasobligaciones de confidencialidad de Zorya frente a terceros, incluidas lasderivadas de las condiciones de las Plataformas de Terceros.

13. Devolución oSupresión de los Datos

13.1 Elección del Cliente

Dentrode los treinta (30) días naturales siguientes a la terminación del Acuerdo porcualquier causa, el Cliente podrá solicitar a Zorya, mediante notificaciónescrita a legal@zorya.mx, la devolución de los Datos de Usuarios Finales en unformato estructurado y de uso común. Zorya podrá repercutir los costosrazonables de extracción cuando ésta exceda las funcionalidades estándar delServicio.

13.2 Supresión

Transcurridoel plazo señalado en la Cláusula 13.1 sin que el Cliente hubiere solicitado ladevolución, o una vez efectuada ésta, Zorya suprimirá los Datos de UsuariosFinales y procurará que sus Sub-encargados hagan lo propio. A solicitud escritadel Cliente, Zorya emitirá una constancia de supresión.

13.3 Conservación

Noobstante lo anterior, Zorya podrá conservar los Datos de Usuarios Finalescuando la legislación aplicable se lo exija o cuando resulte necesario para ladeterminación de posibles responsabilidades derivadas del tratamiento, hasta elplazo de prescripción legal o contractual de éstas. En dicho supuesto, losdatos permanecerán bloqueados, sujetos a las medidas de seguridad del Anexo B ya las obligaciones de confidencialidad del presente ATD, y no serán objeto detratamiento activo alguno distinto del estrictamente necesario para elcumplimiento de dicha obligación.

13.4 Copias de respaldo

Lascopias de respaldo que contengan Datos de Usuarios Finales se suprimiránconforme a los ciclos ordinarios de rotación de respaldos de Zorya,permaneciendo entretanto sujetas a las medidas de seguridad y confidencialidadaplicables.

13.5 Plataformas deTerceros

Loprevisto en la presente Cláusula se entiende sin perjuicio de lo dispuesto enla Cláusula 8.5.

14. Vigencia,Supervivencia y Disposiciones Finales

14.1 Vigencia

Elpresente ATD entrará en vigor en la Fecha de Vigencia o en la fecha desuscripción de la Orden de Servicio o del MSA, según corresponda, y permanecerávigente mientras Zorya trate Datos de Usuarios Finales por cuenta del Cliente.

14.2 Supervivencia

Lasobligaciones de Zorya respecto de los Datos de Usuarios Finales subsistirán conposterioridad a la terminación del Acuerdo, en la medida en que Zorya conserveo continúe tratando dichos datos conforme a la Cláusula 13.3.

14.3 Responsabilidad

Laresponsabilidad de las Partes derivada del presente ATD se sujetará a laslimitaciones, exclusiones y topes previstos en los Términos, en la Orden deServicio o en el MSA, según corresponda, salvo por aquellos supuestos queconforme a dichos instrumentos se encuentren excluidos de dichas limitaciones.

14.4 Modificaciones

Zoryapodrá modificar el presente ATD cuando ello resulte necesario para reflejarcambios en la legislación aplicable, en las condiciones de las Plataformas deTerceros o en el Servicio. Las modificaciones sustanciales se notificarán alCliente con al menos quince (15) días naturales de anticipación a su entrada envigor, conforme al procedimiento previsto en los Términos.

14.5 Orden de precedencia

Encaso de conflicto entre el presente ATD y los Términos, respecto deltratamiento de Datos de Usuarios Finales prevalecerá el presente ATD, sinperjuicio del orden de precedencia previsto en los Términos Enterprise y de lodispuesto en la Cláusula 8.3.

14.6 Ley aplicable yresolución de controversias

Elpresente ATD se regirá e interpretará de conformidad con las leyes de losEstados Unidos Mexicanos y se sujetará al mecanismo de resolución decontroversias previsto en los Términos que resulten aplicables al Cliente.

14.7 Perfeccionamiento

Tratándosede la modalidad Self Service, el presente ATD se tiene por aceptado por elCliente al aceptar los Términos y crear y verificar su cuenta en el Panel.Tratándose de la modalidad Enterprise, el presente ATD se tiene por aceptado alsuscribir la Orden de Servicio o el MSA que lo incorpora por referencia, o bienmediante su suscripción autógrafa o por firma electrónica como anexo de losmismos.

Fecha de Última Actualización 

Julio de 2026.

 ‍ 

Anexo A

Detalles del Tratamiento

Concepto

Descripción

Objeto del tratamiento

Prestación del Servicio  de mensajería en la nube, consistente en la transmisión, enrutamiento y  entrega de las comunicaciones que el Cliente dirige a sus Usuarios Finales a  través de los canales contratados.

Naturaleza del tratamiento

Obtención, registro,  almacenamiento, organización, estructuración, conservación, consulta,  utilización, transmisión, habilitación de acceso, cotejo, bloqueo, supresión  y destrucción, por medios automatizados.

Finalidad

Únicamente la  prestación del Servicio conforme a las instrucciones documentadas del  Cliente. Zorya no trata los Datos de Usuarios Finales para finalidades  propias.

Duración

Mientras el Acuerdo se  encuentre vigente, más los plazos de conservación previstos en la Cláusula  13.

Categorías de Titulares

Usuarios Finales, es  decir, los destinatarios de las comunicaciones que el Cliente envía a través  del Servicio.

Categorías de datos personales

• Datos de contacto:  número telefónico móvil, identificador de usuario del canal, y en su caso  nombre.

• Contenido del  Cliente: el contenido de los mensajes y de sus archivos adjuntos, determinado  exclusivamente por el Cliente.

• Metadatos de  transmisión y entrega: fecha y hora de envío, estado de entrega, acuses de  recibo y lectura, identificador del mensaje, canal y Operador utilizados,  códigos de error.

• Datos técnicos:  identificadores de sesión, dirección IP de origen de la solicitud de envío,  cuando resulten técnicamente necesarios.

Datos personales sensibles

Ninguno. El Cliente  se obliga a no transmitir datos personales sensibles a través del Servicio,  conforme a la Cláusula 4.1. Cualquier excepción requiere aceptación escrita  de Zorya y la actualización del presente Anexo.

Frecuencia

Continua, mientras el  Acuerdo se encuentre vigente.

Operaciones de tratamiento

Recepción de la  solicitud de envío; validación y normalización del destinatario; enrutamiento  al canal y a la Plataforma de Terceros que corresponda; entrega; registro del  estado de entrega; conservación conforme a la retención configurada;  supresión.

Plazo de conservación

El configurado por el  Cliente en el Panel y, en su defecto, el previsto en la Documentación. Los  metadatos de entrega se conservan durante el plazo necesario para  facturación, soporte y acreditación del cumplimiento regulatorio.

‍

 Anexo B

Medidas de Seguridad

Zoryamantiene un Sistema de Gestión de Seguridad de la Información alineado aestándares reconocidos, incluyendo ISO/IEC 27001, e implementa al menos lassiguientes medidas, las cuales podrán actualizarse siempre que no reduzcan elnivel de protección:

Categoría

Medidas

Organizativas

• Políticas y  procedimientos documentados de seguridad de la información y de protección de  datos personales.

• Designación de  responsables de seguridad y de protección de datos personales.

• Obligaciones de  confidencialidad exigibles al personal y a terceros.

• Capacitación  periódica del personal.

• Gestión de riesgos y  análisis de brecha; plan de trabajo de remediación.

• Procedimiento  documentado de atención a Incidentes de Seguridad.

Técnicas

• Cifrado de la  información en tránsito mediante protocolos vigentes de la industria.

• Cifrado de la  información en reposo respecto de los repositorios que almacenen Datos de  Usuarios Finales.

• Control de acceso  basado en perfiles y en el principio de necesidad de conocer.

• Autenticación  reforzada para el acceso administrativo.

• Segregación lógica de  los datos de cada Cliente.

• Registros de  auditoría de accesos y operaciones, con protección contra alteración.

• Respaldos periódicos  y procedimientos de recuperación probados.

• Gestión de  vulnerabilidades y aplicación oportuna de parches.

• Protección perimetral  y monitoreo de eventos de seguridad.

Físicas

• Alojamiento en  centros de datos de proveedores con controles de acceso físico y  certificaciones reconocidas.

• Controles de acceso  físico a las instalaciones de Zorya.

• Procedimientos de  destrucción segura de soportes.

‍
‍ Anexo C

Sub-encargados y Plataformas de Terceros

C.1  Plataformas de Terceros

Lassiguientes Plataformas de Terceros resultan indispensables para la entrega delas comunicaciones y no constituyen Sub-encargados, conforme a la Cláusula 8.2:

Plataforma

Ubicación

Función

Meta Platforms, Inc.,  Meta Platforms Ireland Limited y sus Afiliadas

Estados Unidos de  América, Irlanda y otras jurisdicciones

Entrega, enrutamiento,  operación, seguridad e integridad de las comunicaciones cursadas por WhatsApp  Business API.

Google LLC y sus  Afiliadas

Estados Unidos de  América y otras jurisdicciones

Entrega, enrutamiento,  operación y seguridad de las comunicaciones cursadas por RCS Business  Messaging.

Operadores,  concesionarios de redes móviles, carriers e integradores

México y las  jurisdicciones de destino de las comunicaciones

Enrutamiento y entrega  de mensajes SMS y demás comunicaciones; atención de requerimientos de  identificación del remitente.

C.2  Categorías de Sub-encargados

Categoría

Función

Infraestructura  tecnológica y cómputo en la nube

Alojamiento,  procesamiento, almacenamiento y respaldo de la información del Servicio.

Soporte técnico y mesa  de ayuda

Atención de incidencias  y solicitudes del Cliente que puedan implicar acceso a Datos de Usuarios  Finales.

Analítica, monitoreo y  seguridad de la información

Monitoreo de  disponibilidad y desempeño, detección de eventos de seguridad y prevención de  abuso.

Facturación y  procesamiento de pagos

Emisión de comprobantes  y procesamiento de cobros derivados del Servicio.

Lalista nominativa y actualizada de Sub-encargados se encuentra a disposición delCliente, previa solicitud a legal@zorya.mx, conforme a la Cláusula 7.1.

‍