Acuerdo de tratamiento de datos

Objeto y roles

Este acuerdo regula cómo Trazza trata los datos personales que cada negocio cliente carga en la plataforma sobre sus clientes finales, su equipo y otras personas. Forma parte de los Términos y condiciones.

El negocio es el responsable del tratamiento y Trazza es el encargado: trata los datos por cuenta del negocio y solo para prestarle el servicio.

Si Trazza usara esos datos para fines propios distintos del servicio, pasaría a ser responsable de ese uso. Nos comprometemos a no hacerlo.

Duración

Este acuerdo rige mientras el negocio use Trazza y, después, durante el tiempo necesario para devolver o eliminar los datos como indica la sección de devolución y eliminación.

Naturaleza y finalidad del tratamiento

Trazza aloja, organiza, consulta, muestra, exporta y elimina datos para hacer funcionar la agenda, el punto de venta, la caja, el inventario, las comisiones, los anticipos, la gestión de clientes, el sitio público y el asistente de inteligencia artificial.

También envía correos en nombre del negocio, como confirmaciones y recordatorios de citas, solo cuando el cliente final tiene un correo registrado y su consentimiento de contacto marcado.

Trazza no vende estos datos y no los usa para publicidad ni para entrenar modelos de inteligencia artificial.

Tipos de datos y personas afectadas

Clientes finales del negocio: nombre, correo, teléfono, documento de identidad, fecha de nacimiento, comuna o barrio, canal de contacto preferido, fecha del consentimiento de contacto, etiquetas, notas internas, seguimientos, citas, compras, pagos, descuentos y propinas.

Equipo y colaboradores: nombre, correo, teléfono, cargo, sucursal, horarios, ausencias y sus motivos, reglas de pago, comisiones, sueldos, arriendos de sillón, anticipos y sus cuotas, propinas y los movimientos de caja que registraron. Si el negocio lo publica, también su perfil en el sitio: nombre visible, cargo, biografía y foto.

Usuarios del negocio: rol, sucursales asignadas y el registro de sus acciones. Los datos de acceso, como el nombre, el correo y la contraseña, los trata Trazza como responsable, según la Política de privacidad.

Terceros que aparecen en archivos: personas mencionadas en comprobantes, facturas o fotos que el negocio sube.

Trazza no pide datos sensibles. Si el negocio escribe en las notas información de salud, como alergias o condiciones de la piel, debe limitarla a lo necesario para atender con seguridad y cumplir las reglas de su país.

Instrucciones del negocio

Trazza trata los datos solo según las instrucciones documentadas del negocio. Esas instrucciones son los Términos y condiciones, incluidos los accesos del equipo de Trazza que allí autorizas, este acuerdo y lo que el negocio configura en la plataforma: qué datos carga, a quién invita y qué permisos entrega.

Si una instrucción nos parece contraria a la ley, te lo diremos y podremos no ejecutarla hasta aclararla.

Como responsable, tu negocio define las finalidades, informa a sus clientes y a su equipo y obtiene los consentimientos que exija su ley.

Confidencialidad

Las personas de Trazza que pueden acceder a estos datos están obligadas a guardar confidencialidad.

Solo pueden entrar a la cuenta de un negocio quienes tienen un rol de plataforma y, salvo la administración general de Trazza, una asignación a ese negocio. Entran para dar soporte, ayudar con la configuración o revisar la cuenta, como el negocio autoriza en los Términos y condiciones. Cada ingreso queda registrado y dura como máximo 8 horas.

Medidas de seguridad

Contraseñas guardadas con scrypt y sal aleatoria, y tokens de sesión guardados solo como hash. Los códigos de recuperación y las invitaciones se verifican contra un hash, pero una copia del correo que los contiene queda en el registro de envíos.

Tráfico cifrado con HTTPS y HSTS, política de seguridad de contenido con un valor único en cada respuesta y conexión cifrada con la base de datos.

Aislamiento entre negocios verificado en el servidor en cada acción y por la propia base de datos, con pruebas automáticas que lo comprueban.

Límites de intentos y de uso, y revisión diaria de señales de ataque.

Archivos privados en un almacenamiento separado, que se entregan solo después de verificar la sesión y los permisos, y validación del tipo y el tamaño de cada archivo que se sube.

Registro de auditoría de los cambios importantes y de los accesos del equipo de Trazza.

Bases de datos y credenciales separadas para producción y pruebas.

Subencargados

Para prestar el servicio usamos los subencargados de la tabla de esta página. Al aceptar este acuerdo, autorizas su uso.

Cada uno recibe solo los datos que necesita para su función. OpenAI solo se usa si tu plan incluye inteligencia artificial y está activada. Google Analytics y la verificación contra bots del formulario de demostración no están en esta lista: Trazza los usa para fines propios, como responsable, y los describe la Política de privacidad.

Te avisaremos con anticipación de cualquier subencargado nuevo o reemplazado, para que puedas oponerte por motivos razonables antes de que empiece a tratar tus datos, y actualizaremos esta lista.

Ayuda con las solicitudes de las personas

Si un cliente final o alguien de tu equipo pide acceder, corregir o eliminar sus datos, u oponerse a su uso, puedes atender la mayoría de esas solicitudes desde la plataforma: editar o desactivar fichas, eliminar clientes sin ventas ni citas y exportar la base de clientes en CSV.

Si una solicitud llega directamente a Trazza, te la enviaremos sin demora y no la responderemos por nuestra cuenta, salvo que la ley nos obligue.

Te daremos la información razonable que necesites para responder solicitudes, hacer evaluaciones de impacto o contestar consultas de una autoridad.

Incidentes de seguridad

Si detectamos un incidente de seguridad que afecte datos de tu negocio, te avisaremos sin dilación indebida y, cuando la ley de tu país fije un plazo menor para el encargado, dentro de ese plazo.

El aviso incluirá lo que sepamos sobre la naturaleza del incidente, los datos y las personas afectadas, sus posibles consecuencias y las medidas tomadas o propuestas. Completaremos la información a medida que la tengamos.

Como responsable, tu negocio decide si notifica a la autoridad y a las personas afectadas. Te daremos la información que necesites para hacerlo.

Transferencias internacionales

La aplicación y la base de datos funcionan en São Paulo (Brasil). Algunos subencargados están en otros países, probablemente en Estados Unidos, y el almacenamiento de archivos podría estar fuera de Brasil; eso implica transferencias internacionales.

Cuando la ley de tu país exija garantías para estas transferencias, como cláusulas contractuales tipo, las acordaremos contigo y con los subencargados en la medida que corresponda.

Devolución y eliminación al terminar

Durante el contrato puedes exportar tu base de clientes en CSV. Al terminar, puedes pedirnos una copia de los demás datos que necesites.

Después del término, y a tu pedido, eliminaremos los datos de tu negocio dentro del plazo que exija la ley aplicable, salvo los que una ley nos obligue a conservar.

Hoy la eliminación completa de un negocio se hace a pedido y no desde la plataforma. Los registros de auditoría, de correos enviados y de uso de inteligencia artificial, y los archivos que el negocio subió, se eliminan en un paso aparte del proceso de borrado. Las copias en los sistemas de recuperación de nuestros proveedores pueden permanecer por un tiempo limitado hasta que se renuevan.

Información y auditorías

A tu pedido, te daremos información razonable para demostrar que cumplimos este acuerdo, como una descripción de nuestras medidas de seguridad y de nuestros subencargados.

Si la ley de tu país exige una auditoría o inspección, la coordinaremos contigo con aviso previo, en un plazo razonable y protegiendo la confidencialidad de otros clientes.

Responsabilidad

Cada parte responde por sus propios incumplimientos de este acuerdo y de la ley de protección de datos.

Se aplican los límites de responsabilidad de los Términos y condiciones, salvo cuando la ley no permita limitarla.