Acuerdo de tratamiento de datos

01 Partes, objeto, duración y prelación

Este Acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre el Cliente, como responsable, y Flouvia, como encargado, respecto de los datos personales que Flouvia trata por cuenta del Cliente al prestar CORD (los «Datos del Cliente»). «Flouvia», «Cliente», «CORD» y los demás términos definidos tienen el significado que les dan los Términos y Condiciones de CORD (los «Términos»).

El Acuerdo forma parte de los Términos y el Cliente lo acepta al aceptarlos. A petición del Cliente, Flouvia firma una copia. En tratamiento de datos, el Acuerdo prevalece sobre los Términos y sobre cualquier otro documento de CORD; las cláusulas tipo que incorpora la sección 6 prevalecen sobre el Acuerdo.

El Acuerdo se aplica cuando el Cliente o sus clientes y proveedores están sujetos al Reglamento General de Protección de Datos de la Unión Europea (RGPD), a su equivalente del Reino Unido, a la Ley General de Protección de Datos Personales de Brasil (LGPD), a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México o a otra ley que exija un contrato entre responsable y encargado.

Dura lo que duren los Términos y, después, hasta que Flouvia devuelva o borre los Datos del Cliente conforme a la sección 8.

No cubre los datos que Flouvia trata como responsable conforme a su Aviso de Privacidad: los de las cuentas de los usuarios, los de la facturación de la suscripción y los que trata para sus propias finalidades, como la prevención de fraude, el cobro de sus comisiones, las estadísticas del producto o la defensa en reclamaciones.

02 Descripción del tratamiento

Personas titulares de los datos: clientes y prospectos del Cliente y sus contactos, pagadores, firmantes, deudores, proveedores del Cliente cuyos documentos recibe Cord, representantes y titulares de los certificados fiscales que el Cliente carga, y las demás personas cuyos datos el Cliente introduce en CORD.

Categorías de datos:

• identificación y contacto;
• datos fiscales: identificador, razón social, domicilio y régimen;
• datos comerciales: cotizaciones, facturas, conceptos, importes y condiciones;
• datos de cobro: resumen del método de pago, mandatos de domiciliación, autorizaciones de cobro automático con su dirección IP y estado de cada cobro;
• comunicaciones con los clientes del Cliente, incluida la cobranza;
• evidencia de firma;
• archivos que el Cliente sube;
• lo que devuelven las autoridades fiscales.

El Cliente se obliga a no introducir en CORD categorías especiales de datos (salud, biometría, origen, creencias y similares) ni datos de menores sin acuerdo previo por escrito con Flouvia.

Finalidad y naturaleza: prestar CORD conforme a los Términos. Eso incluye almacenar y consultar los datos, generar cotizaciones y facturas, transmitirlas a las autoridades fiscales y plataformas autorizadas que el Cliente active, enviar correos a nombre del Cliente, procesar cobros por medio del procesador de pagos, ejecutar las integraciones y automatizaciones que el Cliente configure y usar las funciones de inteligencia artificial que el Cliente invoque.

Frecuencia: continua mientras el Cliente usa CORD.

Conservación: la que indica la tabla de plazos del Aviso de Privacidad y la sección 8.

03 Obligaciones de Flouvia como encargado

Flouvia se obliga a:

1. Tratar los Datos del Cliente solo conforme a las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales. Son instrucciones documentadas los Términos, este Acuerdo, la configuración que el Cliente hace en CORD y las peticiones que envía por la API. Si el derecho aplicable obliga a Flouvia a tratar los datos de otro modo, se lo informará al Cliente antes, salvo que ese derecho lo prohíba.
2. Informar de inmediato al Cliente si considera que una instrucción infringe la ley de protección de datos.
3. Garantizar que las personas autorizadas para tratar los Datos del Cliente se hayan obligado a guardar confidencialidad.
4. Aplicar las medidas de seguridad de la sección 4.
5. Respetar las condiciones de la sección 5 para recurrir a subencargados.
6. Ayudar al Cliente, con las medidas técnicas y organizativas apropiadas, a atender las solicitudes de las personas titulares. Si Flouvia recibe directamente una solicitud sobre Datos del Cliente, se la remitirá dentro de los cinco días hábiles siguientes y no la contestará por su cuenta salvo que el Cliente lo autorice.
7. Ayudar al Cliente, con la información disponible, a cumplir sus obligaciones de seguridad, de notificación de incidentes, de evaluación de impacto y de consulta previa a la autoridad.
8. Devolver o borrar los Datos del Cliente al terminar el servicio, conforme a la sección 8.
9. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir auditorías, incluidas inspecciones, conforme a la sección 8.
10. Informar al Cliente, salvo prohibición legal, de cualquier requerimiento de una autoridad sobre los Datos del Cliente.

El Cliente se obliga a contar con una base jurídica para cada tratamiento que ordena, a informar a las personas titulares, a dar instrucciones lícitas y a atender en primer lugar las solicitudes de sus personas.

04 Medidas de seguridad

Flouvia mantiene, como mínimo, las siguientes medidas, y las revisa conforme cambian los riesgos:

• Cifrado: en tránsito con TLS y en reposo con el cifrado del proveedor de base de datos. Cord cifra además por campo las cuentas bancarias de cobro, las credenciales fiscales, los tokens de las integraciones y los secretos configurados.
• Aislamiento entre organizaciones: cada consulta corre en el contexto de la organización a la que pertenece, y la base de datos aplica seguridad a nivel de fila por organización.
• Acceso: contraseñas guardadas con Argon2id, segundo factor, llaves de acceso (passkeys), inicio de sesión único con SAML, sesiones en el servidor que el usuario puede revocar y permisos por rol dentro de cada organización. Las llaves de API se guardan con hash y pueden restringirse por recurso y por dirección IP.
• Minimización: las imágenes de identificación se envían al procesador de pagos sin guardarse en Cord y sin sus metadatos de ubicación. Las direcciones IP de las señales de lectura se guardan con hash.
• Registro y monitoreo: bitácora de auditoría de las acciones de la organización, bitácora de la API y alertas operativas sin datos personales.
• Disponibilidad: respaldos continuos del proveedor de base de datos con recuperación a un punto en el tiempo.
• Desarrollo seguro: pruebas automáticas de aislamiento, de las rutas que mueven dinero y de las rutas públicas en cada cambio del código.
• Personal: acceso a la producción limitado a las personas autorizadas por Flouvia, obligadas a confidencialidad.

05 Subencargados

El Cliente autoriza de forma general a Flouvia a recurrir a los subencargados que figuran en la página pública Subencargados. Flouvia impone a cada uno, por contrato, obligaciones de protección de datos equivalentes a las de este Acuerdo y sigue siendo responsable frente al Cliente de su cumplimiento.

Flouvia avisará con al menos 30 días de anticipación antes de agregar o sustituir un subencargado, a quien se haya suscrito a los avisos de esa página. El Cliente puede objetar el cambio por escrito, con razones fundadas en la protección de datos, antes de su entrada en vigor. Si las partes no resuelven la objeción de buena fe, el Cliente puede terminar los servicios afectados y Flouvia le reembolsará la parte prepagada que no haya usado.

Cuando un cambio sea necesario para atender un riesgo urgente de seguridad o la falla de un proveedor, Flouvia podrá hacerlo de inmediato y avisará lo antes posible, con el mismo derecho de objeción a partir del aviso.

Stripe, Mercado Pago, Google y Apple actúan con obligaciones propias y no son subencargados. Las autoridades fiscales y las plataformas autorizadas reciben los documentos por obligación legal del Cliente. Las integraciones que el Cliente conecta, como HubSpot, Shopify, su contabilidad, sus canales de mensajería, su correo, las plataformas que usan la API o los webhooks, reciben datos por instrucción del Cliente y bajo su relación con esos terceros.

06 Transferencias internacionales

Flouvia opera desde México y sus subencargados principales tratan datos en Estados Unidos.

• Espacio Económico Europeo: cuando el Cliente transfiere Datos del Cliente sujetos al RGPD a Flouvia, se aplican las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, módulo 2 (de responsable a encargado), que se incorporan por referencia a este Acuerdo con estas opciones:

  • se incluye la cláusula 7 (cláusula de incorporación);
  • en la cláusula 9, la opción 2 (autorización general con el aviso de la sección 5);
  • no se incluye la opción de la cláusula 11;
  • en la cláusula 17, la ley del Estado miembro en que esté establecido el Cliente o, si no lo está, la de Irlanda;
  • en la cláusula 18, los tribunales de ese mismo Estado miembro.

  La sección 2 es su anexo I.B, la sección 4 su anexo II y la página de subencargados su anexo III. La autoridad de control competente es la que determine la cláusula 13.

• Reino Unido: las mismas cláusulas con la Adenda de Transferencia Internacional de Datos de la Information Commissioner’s Office.

• Brasil: las cláusulas contractuales estándar de la Resolución CD/ANPD n.º 19/2024.

• Hacia los subencargados: cuando un subencargado trata Datos del Cliente fuera del país de origen, Flouvia se apoya en su certificación en el Marco de Privacidad de Datos UE–EE. UU. y su extensión al Reino Unido, cuando la tiene, o en las Cláusulas Contractuales Tipo (módulo 3, de encargado a encargado). Facturapi se rige por el punto siguiente.

• Facturapi: solo timbra los CFDI de Clientes establecidos en México, y un Cliente mexicano, por lo general, no queda sujeto al RGPD por facturar a un cliente en el Espacio Económico Europeo. Si un Cliente sí está sujeto al RGPD, la salvaguarda de la transferencia a Facturapi son las Cláusulas Contractuales Tipo, módulo 3 (de encargado a encargado), anexas al contrato de encargado entre Flouvia y Facturapi como su subencargado. Mientras Facturapi no las haya firmado, ese Cliente no debe usar el timbrado de CFDI de CORD para facturar a personas que se encuentren en el Espacio Económico Europeo.

07 Incidentes de seguridad

Si Flouvia tiene conocimiento de una violación de la seguridad que afecte a Datos del Cliente, se lo notificará al Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes. La notificación incluirá, en la medida en que se conozca:

• la naturaleza de la violación;
• las categorías y el número aproximado de personas y registros afectados;
• las consecuencias probables;
• las medidas tomadas o propuestas para mitigarlas;
• un contacto.

Lo que no se conozca de inmediato se entregará por etapas. Flouvia cooperará con el Cliente para que este cumpla sus propias obligaciones de notificación a la autoridad y a las personas afectadas. Notificar una violación no implica que Flouvia reconozca su responsabilidad.

08 Auditoría, devolución, borrado y disposiciones finales

Auditoría. Flouvia pone a disposición del Cliente la documentación que demuestra el cumplimiento de este Acuerdo. Si esa documentación no basta, el Cliente puede hacer una inspección, por sí o por un auditor independiente obligado a confidencialidad, con 30 días de aviso, una vez por año, en horario hábil y a su costo, sin acceso a datos de otros clientes ni a información que comprometa la seguridad. Ese límite anual no aplica cuando lo exija una autoridad de control o después de una violación de seguridad que afecte a Datos del Cliente.

Devolución y borrado. Mientras el servicio está vigente, el Cliente puede exportar en cualquier momento todos los Datos del Cliente desde Ajustes, incluidos sus documentos fiscales con sus XML y acuses. Al pedir la eliminación de su organización, esta se programa con 30 días de gracia, durante los que el Cliente puede exportar sus datos o cancelar la eliminación. Después, Flouvia borra los Datos del Cliente de su base de datos. Los respaldos se sobrescriben al cumplirse su ventana de recuperación. Flouvia conserva solo lo que la ley le obligue a conservar y una constancia de la eliminación. A petición del Cliente, Flouvia certifica por escrito la eliminación.

Responsabilidad. La responsabilidad de cada parte se rige por la sección 12 de los Términos, sin limitar los derechos que las cláusulas tipo de la sección 6 otorgan a las personas titulares.

Ley y jurisdicción. Salvo lo que dispongan las cláusulas tipo, este Acuerdo se rige por la ley y la jurisdicción de la sección 16 de los Términos.

Modificaciones. Las modificaciones a este Acuerdo siguen la sección 17 de los Términos. Un cambio de subencargado sigue la sección 5 de este Acuerdo.