Anexo I. Acuerdo de Tratamiento de Datos Personales (DPA)

Versión 1.0 1. Objeto y alcance El presente Anexo regula el tratamiento de datos personales realizado por CashPilot por cuenta del Usuario durante la prestación de los servicios de software como servicio (SaaS). Forma parte integrante de los Términos de Servicio y del Contrato de Suscripción de CashPilot, y será aplicable tanto a las cuentas de prueba como a las suscripciones de pago, durante el tiempo en que CashPilot trate datos personales por cuenta del Usuario. En caso de contradicción entre este Anexo y los Términos de Servicio o el Contrato de Suscripción respecto del tratamiento de datos personales por cuenta del Usuario, prevalecerá este Anexo, salvo disposición legal imperativa en contrario. 2. Identificación y funciones de las partes Responsable del tratamiento: el Usuario, persona física o moral que determina las finalidades y los medios esenciales del tratamiento de los datos personales que incorpora a CashPilot. Encargado del tratamiento: Ralph Oberholzer Aguirre, persona física, RTN 08011970033500, con domicilio en Geranios 37, Jardines de San Mateo, Naucalpan de Juárez, C.P. 53240, Estado de México, México, titular y operador de la plataforma, en adelante, «CashPilot». El Usuario conserva el control jurídico sobre los datos personales que incorpora a la plataforma. CashPilot tratará dichos datos exclusivamente para prestar los servicios contratados y conforme a las instrucciones documentadas del Usuario, incluyendo las configuraciones y operaciones que este realice dentro de la plataforma. Respecto de los datos de registro, autenticación, facturación, atención al cliente y administración comercial que CashPilot recabe para sus propias finalidades, CashPilot podrá actuar como Responsable independiente, conforme a su Aviso de Privacidad. 3. Categorías de datos y personas titulares Los datos personales tratados podrán comprender: • Datos identificativos y de contacto de clientes, proveedores, empleados y representantes. • Información de cuentas por cobrar y cuentas por pagar vinculada a personas físicas. • Datos de operaciones, importes, fechas, vencimientos, referencias y movimientos financieros. • Información bancaria vinculada a personas físicas, cuando sea incorporada por el Usuario. • Información de usuarios autorizados y registros de actividad dentro de la plataforma. Las categorías concretas dependerán de la información que el Usuario decida incorporar. CashPilot no está diseñado para el tratamiento de datos personales sensibles como finalidad ordinaria del servicio. El Usuario deberá abstenerse de incorporar datos sensibles que no sean necesarios para las finalidades contratadas, salvo acuerdo específico y medidas adicionales apropiadas. 4. Finalidades e instrucciones del tratamiento CashPilot tratará los datos personales únicamente para: a) Importar, organizar, almacenar y procesar la información incorporada por el Usuario. b) Elaborar proyecciones de flujo de efectivo y análisis de liquidez. c) Identificar desviaciones, compromisos y posibles tensiones financieras. d) Permitir simulaciones de escenarios y seguimiento de decisiones. e) Facilitar consultas, reportes, exportaciones y funcionalidades autorizadas. f) Proporcionar soporte técnico, mantenimiento, seguridad y continuidad del servicio. Queda prohibido utilizar los datos personales del Usuario para comercializarlos, venderlos, elaborar perfiles comerciales ajenos al servicio o entrenar modelos de inteligencia artificial de propósito general sin autorización previa, específica y documentada del Usuario. El uso de herramientas de inteligencia artificial, cuando corresponda, deberá respetar las finalidades autorizadas, los controles de acceso y las condiciones aplicables a los subencargados. 5. Obligaciones del Usuario El Usuario declara y se obliga a: a) Contar con una base jurídica válida para recopilar y tratar los datos personales que incorpore. b) Proporcionar los avisos de privacidad correspondientes y obtener los consentimientos que legalmente resulten necesarios. c) Determinar qué información debe incorporarse y limitarla a la estrictamente necesaria. d) Administrar los permisos y usuarios autorizados de su organización. e) Atender las solicitudes de ejercicio de derechos de las personas titulares, con la asistencia razonable de CashPilot cuando corresponda. f) Abstenerse de cargar información obtenida ilícitamente o cuyo tratamiento infrinja derechos de terceros. 6. Obligaciones de CashPilot CashPilot se obliga a: a) Tratar los datos conforme a las instrucciones documentadas del Usuario. b) Mantener la confidencialidad de la información. c) Restringir el acceso al personal y proveedores que lo requieran para funciones autorizadas. d) Implementar medidas técnicas, administrativas y organizativas de seguridad proporcionales al riesgo. e) No divulgar los datos a terceros, salvo subcontratación autorizada, instrucciones del Usuario u obligación legal aplicable. f) Cooperar razonablemente con el Usuario para atender solicitudes relacionadas con datos personales. g) Notificar los incidentes de seguridad conforme a la cláusula 9. h) Devolver, poner a disposición o suprimir la información conforme a la cláusula 11. 7. Seguridad de la información CashPilot mantendrá controles de seguridad adecuados a la naturaleza de los datos y a los riesgos del servicio. Estos controles comprenderán, según corresponda a la arquitectura efectivamente implementada: • Comunicaciones cifradas mediante HTTPS/TLS. • Cifrado de datos almacenados. • Autenticación y control de acceso. • Separación lógica de información entre empresas. • Políticas de acceso administrativo restringido. • Controles de autorización a nivel de base de datos. • Registro y supervisión de actividades relevantes. • Procedimientos de respaldo y recuperación. • Gestión de vulnerabilidades y actualizaciones de seguridad. La descripción de estos controles no constituye una garantía de seguridad absoluta ni una certificación independiente. CashPilot documentará los controles implementados y comunicará al Usuario las modificaciones sustanciales que afecten la protección de sus datos. 8. Subencargados y servicios tecnológicos El Usuario autoriza la utilización de proveedores tecnológicos necesarios para operar CashPilot, sujetos a obligaciones contractuales de confidencialidad, seguridad y protección de datos. El registro de subencargados deberá identificar, como mínimo, el proveedor, servicio prestado, categorías de datos tratadas y países o regiones relevantes del tratamiento. A la fecha de esta versión, el registro es el siguiente: • Supabase: Base de datos, autenticación, almacenamiento y respaldos. Datos: Toda la información de la cuenta y de los usuarios. Región: Estados Unidos (us-east-2, Ohio). • Vercel: Alojamiento y ejecución de la aplicación; estadísticas agregadas de uso. Datos: Tráfico de la aplicación en tránsito; estadísticas sin datos financieros. Región: Estados Unidos y red global de entrega. • Sentry: Detección de errores técnicos. Datos: Datos técnicos de errores, con filtros de minimización. Región: Estados Unidos. • Brevo: Envío de correos. Datos: Destinatarios y contenido de informes y avisos. Región: Unión Europea (Francia). • Anthropic: Redacción del Informe y sugerencia de columnas. Datos: Cifras calculadas, que pueden incluir nombres de clientes; encabezados y tipos de datos de los archivos. Región: Estados Unidos. CashPilot deberá mantener dicho registro actualizado y comunicar las incorporaciones o sustituciones materiales de subencargados, ofreciendo al Usuario un mecanismo razonable para presentar objeciones justificadas en materia de protección de datos. Las objeciones podrán enviarse a privacidad@roconsultoriafinanciera.com.mx. Los subencargados deberán asumir obligaciones de protección sustancialmente equivalentes a las establecidas en este Anexo. Las remisiones internacionales deberán realizarse conforme a la legislación aplicable y a las garantías contractuales correspondientes. 9. Incidentes de seguridad CashPilot notificará al Usuario sin demora indebida una vez que tenga conocimiento confirmado de un incidente de seguridad que afecte datos personales tratados por cuenta de dicho Usuario. Como objetivo contractual, la notificación inicial se realizará dentro de las cuarenta y ocho (48) horas siguientes a dicha confirmación, siempre que resulte técnicamente posible. La notificación incluirá, en la medida en que la información esté disponible: a) Naturaleza del incidente. b) Categorías de datos y titulares potencialmente afectados. c) Consecuencias conocidas o razonablemente previsibles. d) Medidas de contención y corrección adoptadas. e) Acciones recomendadas al Usuario. CashPilot proporcionará actualizaciones razonables cuando existan nuevos elementos relevantes. El Usuario conservará la responsabilidad de determinar y efectuar las notificaciones que legalmente correspondan a los titulares o autoridades, sin perjuicio de la cooperación de CashPilot. Los incidentes podrán reportarse a CashPilot en privacidad@roconsultoriafinanciera.com.mx. 10. Derechos de las personas titulares Cuando CashPilot reciba directamente una solicitud relacionada con datos personales tratados por cuenta del Usuario, la canalizará a este sin demora indebida, salvo obligación legal en contrario. CashPilot proporcionará asistencia técnica razonable para localizar, consultar, rectificar, exportar, bloquear o eliminar datos, en la medida permitida por las funcionalidades de la plataforma y la legislación aplicable. La determinación sobre la procedencia de las solicitudes corresponderá al Usuario como Responsable. 11. Conservación, exportación y eliminación de datos 11.1. Vigencia del tratamiento. Los datos se conservarán durante el periodo necesario para prestar el servicio y conforme a las instrucciones del Usuario y las obligaciones legales aplicables. 11.2. Periodo de gracia. Al finalizar una prueba gratuita sin contratación, se concederán cinco (5) días naturales de gracia. 11.3. Solo lectura. Concluido el periodo de gracia sin contratación, la cuenta pasará a modalidad de solo lectura durante treinta (30) días naturales, en los que el Usuario podrá consultar y exportar la información disponible. 11.4. Aviso de eliminación. Al finalizar el periodo de solo lectura, CashPilot notificará al Usuario que su información queda sujeta al procedimiento de eliminación y comunicará el plazo y las condiciones aplicables. 11.5. Supresión. CashPilot ejecutará la eliminación de los datos conforme al procedimiento operativo documentado, sujeto a las obligaciones legales de conservación y a las limitaciones técnicas justificadas de respaldos y sistemas de recuperación. La eliminación de los datos activos de una empresa la aprueba CashPilot desde su consola de administración y queda registrada. 11.6. Respaldos. Los datos que permanezcan temporalmente en respaldos deberán conservarse protegidos, sin utilización operativa ordinaria, y eliminarse conforme al ciclo de retención establecido en la política técnica correspondiente. Los respaldos diarios de la base de datos se conservan siete (7) días naturales. 11.7. Evidencia. CashPilot mantendrá evidencia razonable de las operaciones de eliminación efectuadas. 11.8. Reactivación. Si el Usuario contrata antes de que se haya ejecutado la eliminación, podrá solicitar la reactivación de su cuenta conforme a las condiciones comerciales vigentes. Este apartado deberá interpretarse conjuntamente con la cláusula 4 del Contrato de Suscripción. 12. Confidencialidad y acceso administrativo El personal de CashPilot y sus colaboradores autorizados deberán estar sujetos a obligaciones de confidencialidad. El acceso administrativo a los datos de un Usuario solo podrá realizarse cuando resulte necesario para soporte autorizado, mantenimiento, seguridad, cumplimiento legal o atención de incidentes. Dicho acceso deberá estar restringido según funciones y privilegios, y quedar sujeto a mecanismos de control y trazabilidad apropiados. 13. Verificación del cumplimiento Previa solicitud razonable, CashPilot proporcionará información documental suficiente para que el Usuario pueda evaluar el cumplimiento de las obligaciones establecidas en este Anexo, considerando la confidencialidad, la seguridad y los derechos de terceros. Las auditorías técnicas adicionales deberán acordarse previamente respecto de su alcance, metodología, confidencialidad y costos. 14. Responsabilidad y legislación aplicable Cada parte responderá por el cumplimiento de las obligaciones que legal y contractualmente le correspondan. Este Anexo se regirá por la legislación mexicana aplicable en materia de protección de datos personales, incluyendo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y las disposiciones reglamentarias que resulten aplicables. Las condiciones sobre responsabilidad contractual, jurisdicción y solución de controversias serán las previstas en el Contrato de Suscripción o, para las cuentas de prueba, en los Términos de Servicio, sin perjuicio de los derechos y obligaciones que no puedan limitarse contractualmente. 15. Integración y aceptación El presente Anexo forma parte integrante de los Términos de Servicio y del Contrato de Suscripción de CashPilot. Su aceptación podrá realizarse mediante mecanismos electrónicos que permitan identificar la versión aceptada, la fecha, la cuenta correspondiente y la evidencia de aceptación. La aceptación de este Anexo no sustituye el Aviso de Privacidad que CashPilot deba proporcionar cuando actúe como Responsable del tratamiento.