Acuerdo de tratamiento de datos

Última actualización: 5 de octubre de 2026 · Forma parte de los Términos del servicio

Entre Zaaz Technology and Software Ltd («ZaazCRM», el encargado) y la empresa que contrata ZaazCRM (usted, el responsable). Aplica siempre que usted ingrese en ZaazCRM datos personales de sus clientes, prospectos, empleados, proveedores o cualquier otra persona.

Usted es el responsable. Decide de quién son los datos que ingresa, qué se registra, cuánto tiempo se conserva y quién en su empresa puede verlo. Es responsable de tener la facultad para ingresar esos datos, de dar a los titulares su propio aviso de privacidad y de obtener los consentimientos que la ley exija.

Nosotros somos el encargado. Tratamos esos datos solo para prestar el servicio y solo conforme a sus instrucciones, que son: los Términos del servicio, la configuración que usted elija en el producto y lo que nos pida por escrito.

No usaremos los datos de sus clientes para fines propios, no los divulgaremos salvo lo que este acuerdo permite y no los usaremos para entrenar, ajustar ni evaluar modelos de aprendizaje automático. Si consideramos que una instrucción suya infringe la ley de protección de datos aplicable, se lo diremos en lugar de simplemente ejecutarla.

Titulares. Sus clientes y prospectos, sus contactos dentro de otras empresas, sus proveedores y su propio personal.

Tipos de datos. Datos de identificación y contacto; datos comerciales como cotizaciones, pedidos, facturas y pagos; correspondencia; documentos que usted suba; notas y registros de casos; y, si su empresa activa módulos de operaciones de campo, datos de ubicación de vehículos o personal.

No requerimos datos personales sensibles para prestar el servicio. Si usted los registra, lo hace como responsable y debe obtener el consentimiento expreso que la ley exija.

Duración. Mientras su espacio de trabajo esté abierto, y después conforme a la sección 8.

• contar con una base legal y los consentimientos necesarios para los datos que ingresa, y poner su aviso de privacidad a disposición de los titulares;
• mantener actualizados los accesos de sus usuarios y retirar a quien deje la empresa;
• usar los controles por campo y por rol que ofrece la plataforma cuando un caso lo requiera;
• atender las solicitudes de derechos ARCO de sus propios clientes, con nuestra ayuda conforme a la sección 7.

Esto describe la plataforma tal como es hoy, no como pretendemos que sea.

• Separación. Cada empresa tiene su propia base de datos, su propio almacenamiento de archivos, su propio espacio de caché y cola de tareas, y su propio dominio. Un dominio no reconocido se rechaza.
• Control de acceso. Permisos por rol y por módulo (ver, crear, editar, eliminar) y por campo (escritura, solo lectura, invisible). Los campos invisibles se eliminan en el servidor antes de enviar un registro al navegador.
• Autenticación. Las contraseñas se guardan con hash y sal. Las sesiones caducan y un administrador de la empresa puede revocarlas. La autenticación de múltiples factores todavía no está disponible; es un compromiso de nuestra hoja de ruta.
• En tránsito. TLS en todos los puntos de acceso.
• En reposo. Servidores dedicados en Canadá, en una instalación de OVHcloud en Beauharnois, Quebec, con almacenamiento redundante y controles de acceso del sistema operativo. Las credenciales que guardamos por cuenta suya (contraseñas de buzones, tokens de Microsoft y Google, llaves de almacenamiento y telefonía) se cifran dentro de la base de datos. Los registros de clientes no se cifran a nivel de aplicación y los servidores de producción no tienen cifrado de disco completo. Actualizaremos esta sección cuando eso cambie.
• Bitácora. Los cambios a los registros quedan registrados con el usuario, la hora y la dirección IP, y la actividad sobre documentos se guarda en su propia bitácora de solo adición.
• Respaldos. Copias diarias de la base de datos de cada empresa con un periodo de retención rotativo. Una restauración es por empresa y no requiere ni afecta los datos de otra.
• Personas. El acceso a producción se limita a personal designado que lo necesita, bajo obligaciones de confidencialidad, con credenciales individuales, y se revoca al cambiar de función o dejar la empresa.

Usted autoriza de forma general a los subencargados siguientes. Seguimos siendo responsables de lo que hagan con sus datos y les imponemos obligaciones no menos protectoras que las de este acuerdo.

• OVHcloud: alojamiento en servidores dedicados en Canadá (Beauharnois, Quebec). Recibe todos los datos de la aplicación.
• SMTP2GO: entrega del correo que el servicio envía por cuenta propia, como avisos y restablecimiento de contraseñas. Recibe el contenido y los destinatarios de esos mensajes.
• Stripe: facturación de la suscripción y pagos con tarjeta. Recibe solo datos de facturación, nunca datos de sus clientes. Los números de tarjeta van directo a Stripe y nunca llegan a nosotros.
• Google Firebase Cloud Messaging: entrega de notificaciones a las apps en Android. Recibe el nombre de quien envía y una vista previa breve del mensaje o del evento.

Los servicios que operamos nosotros mismos en la misma infraestructura canadiense (reconocimiento de texto en documentos, actualizaciones en tiempo real, videollamadas y edición de documentos en el navegador) no son subencargados externos, pero tratan sus datos y están cubiertos por la sección 4. ZaazCRM no envía datos de sus clientes a proveedores externos de inteligencia artificial.

Las integraciones opcionales que usted active (un buzón conectado, un canal de mensajería, un calendario, un servicio de documentos o de GPS) envían datos a ese proveedor porque usted decidió conectarlo; aplican los términos de ese proveedor. El correo que su personal envía desde ZaazCRM sale por su propio buzón conectado, no por SMTP2GO.

Cambios. Le avisaremos con al menos 30 días de anticipación antes de agregar o sustituir un subencargado que trate datos de sus clientes. Si se opone por motivos razonables de protección de datos dentro de ese plazo, le propondremos una alternativa o podrá terminar el servicio afectado sin penalización por la parte no utilizada.

Si confirmamos una vulneración de seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de los datos de sus clientes, o su divulgación o acceso no autorizados, nos comprometemos a:

• notificar al contacto designado de su empresa sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a la confirmación;
• informarle lo que sepamos: qué ocurrió, qué tipos y aproximadamente cuántos registros, las consecuencias probables y lo que estamos haciendo;
• mantenerle informado conforme sepamos más, sin esperar a tener el panorama completo para la primera notificación;
• ayudarle a cumplir sus propias obligaciones, incluida la de informar a los titulares cuando la vulneración afecte de forma significativa sus derechos.

Usted decide si avisa a los titulares afectados o a la autoridad: son sus datos. No contactaremos a sus clientes en su nombre sin su instrucción.

Solicitudes de derechos ARCO. Si recibimos una solicitud de uno de sus clientes, no la responderemos nosotros: se la trasladaremos de inmediato y le ayudaremos a responder, incluso entregando los datos que tengamos.

Información y auditorías. Con aviso razonable por escrito, no más de una vez al año salvo que una autoridad o un incidente lo requiera, le daremos la información razonablemente necesaria para verificar que cumplimos este acuerdo. Si eso revelaría datos de otra empresa o comprometería la seguridad de la plataforma, la daremos en una forma que no lo haga.

Al terminar o vencer su suscripción:

• durante 30 días puede solicitar una exportación de sus datos en formato legible por máquina, que entregamos sin costo;
• después, y a más tardar 90 días tras el cierre, eliminamos su base de datos, su almacenamiento de archivos y cualquier copia de archivo hecha al cerrar su espacio de trabajo. No conservamos un archivo de largo plazo de sus datos;
• los respaldos caducan en su ciclo rotativo normal, y no restauramos un espacio eliminado a partir de ellos salvo solicitud escrita suya dentro del plazo de exportación;
• podemos conservar los registros mínimos de cuenta y facturación que exigen las leyes fiscales y corporativas, que no incluyen los datos de sus clientes.

A solicitud escrita confirmamos la eliminación por escrito. Exporte antes de cerrar: sus propias obligaciones legales de conservación, por ejemplo fiscales, siguen vigentes después de este acuerdo y no guardamos sus archivos por usted.

Los datos de sus clientes se almacenan y tratan en Canadá. Al contratar ZaazCRM desde México u otro país, usted nos los remite como encargado en Canadá; conforme a la LFPDPPP, las remisiones a un encargado no requieren el consentimiento de los titulares. No trasladaremos el lugar de almacenamiento o tratamiento fuera de Canadá sin avisarle antes, identificando el destino y la garantía aplicable, con derecho a oponerse.

Hay excepciones en la sección 5 que preferimos señalar: el correo del servicio que entrega SMTP2GO y las notificaciones de Android que entrega Google Firebase Cloud Messaging se tratan en la infraestructura de esos proveedores, y las integraciones opcionales que active pueden operar fuera de Canadá.

Este acuerdo está sujeto a la limitación de responsabilidad de los Términos del servicio. Si este acuerdo y los Términos se contradicen en el tratamiento de datos personales de sus clientes, prevalece este acuerdo.

Las leyes de la Provincia de Columbia Británica y las leyes federales de Canadá aplicables en ella, con jurisdicción exclusiva de los tribunales de Columbia Británica, sin perjuicio de las obligaciones y derechos que la LFPDPPP y demás leyes imperativas de su país establezcan.

Preguntas sobre este acuerdo o avisos conforme a él:

Zaaz Technology and Software Ltd
Correo: privacy@zaaztech.com
Domicilio: 105-111 West Broadway, Vancouver, BC V5Y 1P4, Canadá

Consulte también nuestro Aviso de privacidad y los Términos del servicio.