Acuerdo de Tratamiento de Datos

Versión 2026-10-v1. La fecha de entrada en vigor es la que indica el encabezado de esta página.

Este Acuerdo de Tratamiento de Datos Personales (el «DPA») lo celebran el Cliente, como responsable, y Business in a Wave, S.A. de C.V. («BW»), como encargado, respecto de los datos personales que el Cliente trata en Chainlink. Constituye el instrumento jurídico que exige la normativa aplicable para la relación entre el responsable y el encargado. Forma parte de los Términos del Servicio, se acepta al aceptarlos y, en materia de datos personales, prevalece sobre ellos.

1. Definiciones

1.1 Las palabras con mayúscula inicial que no se definen aquí tienen el significado que les dan los Términos del Servicio, como Cliente, Servicio, Instancia, Usuario, Datos del Cliente, Datos de la cuenta, Servidor dedicado, Servidor propio y Día hábil.

1.2 Además:

(a) Ley: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y las disposiciones reglamentarias y lineamientos aplicables en lo que no se opongan a ella.
(b) Autoridad: la Secretaría Anticorrupción y Buen Gobierno o la autoridad que ejerza sus funciones en materia de protección de datos personales en posesión de los particulares.
(c) Datos Personales del Cliente: los datos personales contenidos en los Datos del Cliente, descritos en el Anexo 1.
(d) Titular: la persona a quien corresponden los Datos Personales del Cliente.
(e) Tratamiento: cualquier operación sobre datos personales, como su obtención, uso, registro, organización, conservación, consulta, comunicación, bloqueo o supresión.
(f) Remisión: la comunicación de datos personales entre el responsable y el encargado, o entre el encargado y un Subencargado.
(g) Subencargado: la persona que BW contrata y que trata Datos Personales del Cliente por cuenta de BW.
(h) Vulneración de seguridad: la pérdida o destrucción no autorizada; el robo, extravío o copia no autorizada; el uso, acceso o tratamiento no autorizado; o el daño, alteración o modificación no autorizada de Datos Personales del Cliente que estén bajo el control de BW o de sus Subencargados.
(i) Instrucciones: las indicaciones documentadas del Cliente sobre el Tratamiento, conforme a la cláusula 3.

2. Objeto y carácter de las partes

2.1 BW trata los Datos Personales del Cliente solo para prestar el Servicio, darle soporte, protegerlo y respaldarlo, conforme a las Instrucciones y a este DPA.

2.2 Este DPA no aplica a los Datos de la cuenta, que BW trata como responsable conforme a su Aviso de Privacidad.

2.3 Los registros de sesiones, dispositivos y alertas de seguridad de los Usuarios forman parte de la Instancia y BW los trata como encargado. BW también los usa como responsable, solo en la medida necesaria para autenticar a los Usuarios, proteger el Servicio y verificar el cumplimiento de las Licencias con nombre, conforme a su Aviso de Privacidad.

2.4 En Servidor propio, los Datos Personales del Cliente están en el servidor del Cliente y BW no tiene acceso a ellos. Este DPA aplica solo cuando BW accede a ellos, con autorización del Cliente, para darle soporte.

3. Instrucciones

3.1 Son Instrucciones del Cliente: (a) los Términos del Servicio y este DPA; (b) la configuración y el uso del Servicio por el Cliente y sus administradores, incluidas las integraciones, importaciones, exportaciones y supresiones que ordenen; y (c) las solicitudes que el Cliente haga por escrito por los canales de soporte, siempre que sean compatibles con el Servicio.

3.2 BW no trata los Datos Personales del Cliente para fines propios, no los vende, no los usa para entrenar modelos de inteligencia artificial y no los combina con datos de otros clientes. Puede generar datos estadísticos agregados y disociados sobre el uso del Servicio, que no son datos personales.

3.3 Si BW considera que una Instrucción infringe la Ley, lo informará al Cliente y podrá abstenerse de ejecutarla mientras el Cliente la confirma por escrito o la modifica.

3.4 Si BW trata Datos Personales del Cliente para fines distintos de las Instrucciones, asumirá el carácter de responsable respecto de ese tratamiento, con las obligaciones que la Ley impone.

3.5 Las Instrucciones que exijan trabajo fuera del funcionamiento normal del Servicio pueden cotizarse por separado.

4. Obligaciones del Cliente como responsable

4.1 El Cliente cuenta con la causa legal para tratar los Datos Personales del Cliente y para remitirlos a BW, y pone a disposición de los Titulares su propio aviso de privacidad, que comprende el tratamiento que hace con el Servicio.

4.2 En particular, el Cliente informa a sus trabajadores que el Servicio registra sus sesiones, sus dispositivos y la actividad que realizan, que genera alertas de posible uso compartido de credenciales y, cuando el Cliente las usa, métricas de productividad, y que las fotografías de evidencia pueden mostrar personas de forma incidental.

4.3 El Cliente no carga datos personales sensibles sin acuerdo por escrito con BW que prevea medidas reforzadas.

4.4 El Cliente mantiene los datos exactos y limitados a lo necesario, administra a sus Usuarios, resguarda sus credenciales y usa los controles de seguridad disponibles en su Plan.

4.5 El Cliente atiende las solicitudes de los Titulares, con la asistencia de BW prevista en la cláusula 9.

4.6 En Servidor propio, el Cliente responde por la seguridad del servidor, su sistema operativo, su red y sus respaldos.

5. Confidencialidad

5.1 BW limita el acceso a los Datos Personales del Cliente al personal que lo necesita para prestar el Servicio o atender una solicitud del Cliente. Ese personal está obligado a guardar confidencialidad.

5.2 Los accesos del personal de BW a una Instancia quedan registrados.

5.3 La obligación de confidencialidad subsiste después de terminado este DPA.

6. Medidas de seguridad

6.1 BW mantiene las medidas administrativas, técnicas y físicas descritas en el Anexo 2, que no son menores a las que aplica a su propia información.

6.2 BW puede actualizar esas medidas siempre que no reduzca el nivel de protección.

6.3 La seguridad también depende de la configuración que elige el Cliente, como la autenticación de dos factores, la aprobación de dispositivos y la baja oportuna de Usuarios.

7. Cómputo en la nube y Subencargados

7.1 El Cliente reconoce que el Servicio es de cómputo en la nube y que BW lo presta con proveedores de infraestructura. BW declara que sus proveedores de infraestructura cuentan con políticas de protección de datos y de seguridad, no se atribuyen la titularidad de los datos que alojan, guardan confidencialidad sobre ellos, permiten su supresión al terminar el servicio y comunican a sus propios subcontratistas.

7.2 El Cliente autoriza de forma general a BW a usar los Subencargados publicados en la Lista de Subencargados, que forma parte de este DPA.

7.3 BW celebra con cada Subencargado un contrato o acepta sus condiciones de servicio, con obligaciones de confidencialidad y de seguridad no menores, en lo sustancial, a las de este DPA, y responde ante el Cliente por su cumplimiento.

7.4 BW avisará con 30 días naturales de anticipación la incorporación o el reemplazo de un Subencargado que trate Datos Personales del Cliente, mediante su publicación en la Lista de Subencargados y por correo al Propietario de la cuenta, indicando el servicio, los datos que tratará y su ubicación.

7.5 Dentro de ese plazo, el Cliente puede objetar el cambio por razones fundadas de protección de datos. BW buscará una alternativa razonable; si no la hay, el Cliente puede terminar el Servicio afectado antes de que el cambio surta efecto, sin penalización y con la devolución proporcional de lo pagado por el periodo no usado. Este es el único remedio del Cliente frente a un cambio de Subencargado.

7.6 En una emergencia, como la falla o el cierre de un proveedor, BW puede hacer el cambio con un aviso menor. Lo informará cuanto antes y el Cliente conserva su derecho de objeción.

8. Ubicación y remisiones internacionales

8.1 Los Datos Personales del Cliente se alojan en los centros de datos de los proveedores de infraestructura de BW ubicados en los Estados Unidos de América, cuando la Instancia está en la nube o en un Servidor dedicado, y en el servidor del Cliente cuando está en un Servidor propio. La ubicación de cada Subencargado se indica en la Lista de Subencargados.

8.2 El Cliente instruye y autoriza a BW a remitir los Datos Personales del Cliente a esas ubicaciones para prestar el Servicio. BW remite datos al extranjero solo a Subencargados obligados en los términos de la cláusula 7.3.

8.3 Un Cliente Enterprise puede pactar en su Propuesta la ubicación de los datos o la limitación de funciones que usen proveedores extranjeros.

9. Asistencia con los derechos de los Titulares

9.1 Si BW recibe directamente una solicitud de un Titular sobre Datos Personales del Cliente, la hará llegar al Cliente dentro de los 5 Días hábiles siguientes, informará al Titular que lo hizo y no la resolverá por su cuenta, salvo Instrucción del Cliente.

9.2 El Servicio permite al Cliente consultar, corregir, exportar y suprimir datos, y administrar o dar de baja a sus Usuarios.

9.3 Cuando esas herramientas no basten, BW dará al Cliente la asistencia razonable que necesite para responder en los plazos de la Ley. Las asistencias que exijan trabajo extraordinario pueden cotizarse.

9.4 Si una autoridad requiere a BW Datos Personales del Cliente, BW se lo avisará al Cliente, salvo que la ley lo prohíba, y entregará solo lo requerido.

10. Vulneraciones de seguridad

10.1 BW avisará al Cliente de toda Vulneración de seguridad que afecte Datos Personales del Cliente sin dilación y, en todo caso, dentro de las 72 horas siguientes a que la confirme.

10.2 El aviso incluirá, en la medida en que se conozca: la naturaleza del incidente y su fecha; los datos personales comprometidos y el número aproximado de Titulares; las recomendaciones para que los Titulares protejan sus intereses; las acciones correctivas realizadas o propuestas; y el contacto de BW donde obtener más información. El aviso puede ser parcial y se completará conforme avance la investigación.

10.3 Informar a los Titulares corresponde al Cliente, como responsable, conforme al artículo 19 de la Ley. BW le dará la información que tenga y no informará a los Titulares por su cuenta, salvo que la ley se lo exija o el Cliente se lo pida.

10.4 BW analiza las causas de cada Vulneración de seguridad, la documenta con sus efectos y adopta las medidas correctivas para evitar que se repita.

10.5 El aviso se envía al Propietario de la cuenta y a los contactos que el Cliente registre en el Portal. Avisar una Vulneración de seguridad no implica aceptar responsabilidad.

11. Devolución y supresión

11.1 Durante la suscripción, el Cliente puede exportar sus datos en cualquier momento desde el Portal, en los términos de los Términos del Servicio.

11.2 Al terminar la suscripción, BW conserva la Instancia durante los plazos que establecen los Términos del Servicio para la exportación y la reactivación, y después suprime los Datos Personales del Cliente:

Plazo desde la terminación	Qué pasa
Días 1 a 30	Solo lectura y exportación para los administradores del Cliente con permiso de facturación.
Días 31 a 90	Acceso bloqueado. El Cliente puede contratar de nuevo.
A partir del día 90	Supresión de la base de datos, los archivos y los dominios de la Instancia.
Dentro de los 35 días siguientes	Supresión de las copias en los respaldos, al rotar.

11.3 Si el Cliente pide la supresión anticipada, BW la confirmará con el Propietario de la cuenta, ofrecerá una exportación y suprimirá los datos 7 días naturales después de la confirmación.

11.4 En Servidor dedicado, la supresión comprende el servidor y sus discos. En Servidor propio, los datos permanecen en el servidor del Cliente; BW suprime los paquetes de diagnóstico que haya recibido a más tardar 30 días naturales después de cerrar la solicitud de soporte correspondiente.

11.5 A solicitud del Cliente, BW emitirá una constancia de supresión dentro de los 15 Días hábiles siguientes a que concluya la rotación de los respaldos.

11.6 BW solo conservará Datos Personales del Cliente después de esos plazos si una ley se lo exige, bloqueados y únicamente para ese fin.

12. Demostración de cumplimiento y auditoría

12.1 Una vez cada 12 meses, a solicitud del Cliente, BW entregará un resumen de sus medidas de seguridad, la lista vigente de Subencargados y respuestas razonables a un cuestionario de seguridad.

12.2 Si esa información no basta para demostrar el cumplimiento, el Cliente puede hacer una auditoría una vez cada 12 meses, con aviso de 30 días naturales, en Días hábiles y en forma remota salvo acuerdo distinto, directamente o por medio de un auditor independiente que no sea competidor de BW y firme un convenio de confidencialidad. La auditoría es a costa del Cliente, no da acceso a datos de otros clientes ni a sistemas cuya revisión comprometa la seguridad del Servicio, y no puede interrumpir la operación.

12.3 Procede además una auditoría después de una Vulneración de seguridad que afecte Datos Personales del Cliente, o cuando la ordene una autoridad.

13. Responsabilidad

13.1 La responsabilidad de cada parte derivada de este DPA está sujeta a los límites y exclusiones de los Términos del Servicio, salvo lo que la Ley disponga de forma imperativa.

13.2 Cada parte responde frente a la Autoridad y frente a los Titulares por sus propias obligaciones conforme a la Ley.

14. Vigencia y modificaciones

14.1 Este DPA está vigente mientras BW trate Datos Personales del Cliente. Las obligaciones de confidencialidad y de supresión subsisten hasta cumplirse.

14.2 Las modificaciones a este DPA siguen el procedimiento de modificación de los Términos del Servicio. Los cambios materiales se avisan con al menos 30 días naturales de anticipación.

---

Anexo 1. Descripción del Tratamiento

Concepto	Descripción
Titulares	Trabajadores y personal del Cliente (Usuarios y operadores); transportistas y choferes; clientes, destinatarios y proveedores del Cliente; otras personas que aparezcan en los documentos o fotografías que cargue el Cliente.
Identificación y contacto	Nombre, usuario, correo y teléfono.
Datos laborales	Puesto, rol, tipo de licencia y almacén asignado.
Actividad	Operaciones realizadas, con fecha, hora y dispositivo; métricas de productividad por operador cuando el Cliente las usa.
Acceso y seguridad	Sesiones, direcciones IP, navegador, identificador y datos del dispositivo, alertas de seguridad.
Transporte	Nombre y teléfono del chofer, placas del vehículo y del remolque, números de sello.
Destinatarios y proveedores	Nombre, domicilio y teléfono que traigan los documentos de entrada y salida.
Evidencias	Fotografías de recepción, empaque, tareas y devoluciones, recodificadas y sin metadatos de ubicación.
Integraciones	Lo que el Cliente importe por archivo, por la API o desde su ERP.
Equipos	Nombre del equipo de las computadoras con el Chainlink Wizard y datos técnicos de impresoras y lectores.
Datos sensibles	No se esperan (cláusula 4.3).
Operaciones	Alojamiento, consulta, actualización, respaldo, restauración, exportación, supresión y transmisión a los equipos e integraciones que configure el Cliente.
Finalidad	Prestar el Servicio, darle soporte, protegerlo y respaldarlo.
Duración	La vigencia de la suscripción más los plazos de la cláusula 11.
Ubicación	Nube y Servidor dedicado: Estados Unidos de América, según la Lista de Subencargados. Servidor propio: el servidor del Cliente.

Anexo 2. Medidas de seguridad

Aislamiento. Cada Instancia tiene su propia base de datos. Los archivos y las fotografías se guardan en almacenamiento privado y se entregan solo a través de la aplicación, con autorización.

Cifrado. Las comunicaciones con el Servicio usan TLS. Los secretos de autenticación de dos factores se guardan cifrados y las contraseñas, solo como un resumen cifrado de un solo sentido.

Control de acceso de los Usuarios. Roles y permisos con techo por tipo de licencia; autenticación de dos factores para quien administre facturación, usuarios o seguridad; límites de sesiones simultáneas; cierre de sesión por inactividad y por tiempo máximo; credenciales de la aplicación móvil ligadas al dispositivo; y límite de intentos de inicio de sesión.

Personal de BW. Acceso según la necesidad; autenticación reforzada en la consola interna; registro de accesos; y obligaciones de confidencialidad.

Respaldos y continuidad. Respaldos diarios de cada base de datos, conservados hasta 35 días; pruebas periódicas de restauración; y simulacros de recuperación. Objetivos de recuperación: pérdida máxima de 24 horas de datos y recuperación en 8 horas.

Monitoreo. Monitoreo de la disponibilidad y de los errores del servidor, configurado para no enviar datos personales por omisión.

Desarrollo y operación. Revisión de dependencias vulnerables, detección de secretos en el código y paquetes de actualización firmados y verificados antes de instalarse.

Incidentes. Procedimiento de atención de incidentes y aviso al Cliente conforme a la cláusula 10.