Acuerdo de Tratamiento de Datos Personales (DPA)

ACUERDO DE TRATAMIENTO DE DATOS PERSONALES (DPA)
zenit

Anexo estándar incorporable por referencia

1. Objeto y alcance

Este Acuerdo de Tratamiento de Datos Personales (el “DPA”) rige el tratamiento de datos personales que zenit realice por cuenta de sus clientes con motivo de la prestación de sus servicios. Aplica de manera automática a toda relación de servicios entre el cliente correspondiente (el “Cliente”) y la sociedad mercantil mexicana operadora del servicio contratado (“zenit”), formando parte integrante del contrato, orden de servicio o términos y condiciones que documenten dicha relación (el “Contrato Principal”), desde el inicio de la prestación de los servicios y sin necesidad de firma ni mención expresa. En caso de conflicto entre el Contrato Principal y este DPA respecto del tratamiento de datos personales, prevalecerá este DPA, salvo que el Contrato Principal contenga un acuerdo de tratamiento de datos específico celebrado entre las partes, en cuyo caso prevalecerá este último.

Este DPA se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la “Ley de Datos”) y su normativa aplicable. Los términos utilizados y no definidos tendrán el significado que les asigna dicha ley.

2. Roles de las partes

Respecto de los datos personales de usuarios finales, colaboradores, beneficiarios o clientes del Cliente que zenit trate para prestar los servicios conforme a las instrucciones del Cliente, el Cliente actúa como responsable y zenit como encargado.

Respecto de los tratamientos en los que zenit determina fines y medios —de manera enunciativa: el cumplimiento de sus obligaciones legales, incluida la prevención de lavado de dinero conforme a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, la prevención de fraudes, la seguridad de su plataforma y la gestión de la red de pagos—, zenit actúa como responsable y dicho tratamiento se rige por su Aviso de Privacidad, disponible en https://zenit.co/aviso-de-privacidad. Cada parte es individualmente responsable del cumplimiento de las obligaciones que la Ley de Datos le impone en el rol que le corresponda.

3. Descripción del tratamiento

El tratamiento a cargo de zenit como encargado comprende las operaciones necesarias para prestar los servicios del Contrato Principal —de manera enunciativa: recepción, registro, organización, conservación, consulta, uso y comunicación de datos de identificación, contacto y transaccionales de los titulares vinculados al programa del Cliente—, por la duración del Contrato Principal y los plazos de conservación legales.

4. Obligaciones de zenit como encargado

zenit se obliga a:

• tratar los datos personales únicamente conforme a las instrucciones documentadas del Cliente, contenidas en el Contrato Principal, en este DPA o comunicadas por los canales pactados, y solo en la medida necesaria para prestar los servicios;
• abstenerse de tratar los datos para finalidades propias distintas de las señaladas en el apartado 2;
• guardar confidencialidad respecto de los datos personales, obligación que subsiste a la terminación del Contrato Principal, y asegurar que el personal autorizado esté sujeto a deberes de confidencialidad;
• implementar y mantener las medidas de seguridad administrativas, técnicas y físicas previstas en el apartado 6;
• abstenerse de transferir los datos salvo instrucción del Cliente, los supuestos de este DPA o requerimiento legal, informando al Cliente de este último cuando la ley lo permita;
• asistir razonablemente al Cliente en la atención de solicitudes de derechos de acceso, rectificación, cancelación y oposición, así como de revocación y limitación, conforme al apartado 8;
• notificar al Cliente las vulneraciones de seguridad conforme al apartado 7;
• suprimir o devolver los datos al término de los servicios conforme al apartado 10; y
• poner a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA, conforme al apartado 9.

5. Subencargados

El Cliente autoriza de manera general que zenit se apoye en subencargados para la prestación de los servicios —de manera enunciativa: proveedores de infraestructura, procesamiento, comunicaciones y soporte—. zenit impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos sustancialmente equivalentes a las de este DPA, y permanecerá responsable frente al Cliente por el tratamiento que aquellos realicen. zenit mantendrá a disposición del Cliente la relación de categorías de subencargados y le informará, por los canales disponibles, los cambios relevantes.

6. Medidas de seguridad

zenit mantendrá medidas de seguridad administrativas, técnicas y físicas apropiadas al riesgo, alineadas con los estándares de la industria de medios de pago, incluyendo controles de acceso e identidad, cifrado de la información en tránsito y en reposo cuando resulte aplicable, segregación de ambientes, monitoreo, respaldos y procedimientos de respuesta a incidentes.

7. Vulneraciones de seguridad

zenit notificará al Cliente, sin dilación injustificada tras tener conocimiento de ella, cualquier vulneración de seguridad que afecte datos personales tratados por cuenta del Cliente, proporcionando la información disponible sobre su naturaleza, los datos y titulares afectados, las medidas adoptadas y las recomendaciones aplicables, y la complementará conforme avance la investigación. Corresponde al Cliente, como responsable, determinar y realizar las notificaciones a titulares o autoridades que la Ley de Datos exija, con la asistencia razonable de zenit.

8. Derechos de los titulares

Si zenit recibe directamente una solicitud de derechos de un titular cuyos datos trata por cuenta del Cliente, la canalizará al Cliente sin dilación y no la responderá por sí misma, salvo instrucción del Cliente o obligación legal. zenit brindará al Cliente la asistencia razonable para atender dichas solicitudes dentro de los plazos legales.

9. Información y auditorías

zenit pondrá a disposición del Cliente información, reportes o certificaciones que acrediten razonablemente el cumplimiento de este DPA. El Cliente podrá, además, realizar auditorías sobre dicho cumplimiento hasta una vez por año calendario —o adicionalmente ante una vulneración de seguridad o requerimiento de autoridad—, mediante aviso con al menos treinta días naturales de anticipación, en horarios hábiles, a su costa, bajo obligaciones de confidencialidad y sin acceso a información de otros clientes de zenit.

10. Conservación, devolución y supresión

Al terminar el Contrato Principal, y a elección del Cliente, zenit devolverá o suprimirá los datos personales tratados por su cuenta, salvo aquellos que zenit deba conservar por obligación legal —incluidos los plazos de conservación previstos por la normativa de prevención de lavado de dinero—, los cuales permanecerán bloqueados y sujetos a confidencialidad hasta su supresión.

11. Responsabilidad

Cada parte responderá por los daños derivados de su propio incumplimiento de este DPA o de la Ley de Datos, conforme al régimen de responsabilidad y a los límites pactados en el Contrato Principal, sin que dichos límites apliquen a la responsabilidad que conforme a la ley no pueda limitarse.

12. Vigencia, ley aplicable y tribunales

Este DPA surte efectos junto con el Contrato Principal y permanecerá vigente mientras zenit trate datos personales por cuenta del Cliente. Se rige por las leyes de los Estados Unidos Mexicanos; para cualquier controversia, las partes se someten a la competencia de los tribunales de la ciudad de Guadalajara, Jalisco, renunciando a cualquier otro fuero que pudiera corresponderles, salvo que el Contrato Principal establezca una jurisdicción distinta, en cuyo caso prevalecerá esta.

Versiones anteriores