1. Las partes y sus roles
- Responsable: el negocio que contrata Zevi (el Cliente). Decide para qué se usan los datos de sus clientes finales.
- Encargado: Zevi SpA, RUT 78.452.965-7, con domicilio en Raúl Torres Orellana 630 V-408, Coquimbo, Chile. Trata esos datos únicamente siguiendo las instrucciones del Cliente y para prestarle el servicio.
2. Objeto y duración
El encargado trata los datos personales de los clientes finales del Cliente —nombre, datos de contacto, citas, pedidos y conversaciones— durante la vigencia de los Términos de Servicio.
3. Obligaciones del encargado
- Tratar los datos solo conforme a las instrucciones documentadas del Cliente.
- Garantizar la confidencialidad del personal con acceso a los datos.
- Aplicar medidas de seguridad apropiadas: cifrado, control de acceso, aislamiento entre cuentas, auditoría y enmascarado de datos personales en los registros técnicos.
- No recurrir a otro subencargado sin autorización, mantener la lista de la sección 6 y avisar al Cliente de cualquier cambio.
- Asistir al Cliente para responder las solicitudes de derechos de sus clientes (acceso, rectificación, cancelación, oposición y portabilidad): el panel permite exportar y eliminar los datos de un cliente.
- Notificar al Cliente sin dilación indebida ante una brecha de seguridad.
- A elección del Cliente, devolver o eliminar los datos al terminar el servicio.
- Poner a disposición del Cliente la información necesaria para demostrar este cumplimiento.
4. Obligaciones del Cliente
- Contar con una base legal para tratar los datos de sus clientes y obtener el consentimiento que corresponda, en especial para datos sensibles (por ejemplo, de salud).
- Informar a sus clientes cómo trata sus datos, con su propia política de privacidad, y cargar su enlace en el panel para que se muestre en el chat de su sitio.
- Usar el servicio conforme a la ley.
5. Transferencias internacionales
Algunos subencargados tratan datos fuera de Chile (ver la sección 6). El Cliente autoriza esas transferencias, que se realizan con garantías contractuales adecuadas con cada proveedor.
6. Subencargados
| Proveedor | Para qué | Dónde |
|---|---|---|
| Meta Platforms | Mensajería por WhatsApp, Instagram y Messenger | EE.UU. |
| Transbank | Procesamiento de pagos | Chile |
| MongoDB Atlas (sobre AWS) | Base de datos | Brasil (São Paulo) |
| Fly.io | Servidores de la aplicación | Brasil (São Paulo) |
| Cloudflare | Hosting y CDN del panel, la web y el chat del sitio | Red global |
| Resend | Envío de correos transaccionales | EE.UU. |
| OpenAI | Respuestas del asistente y, si el negocio la habilita, transcripción de notas de voz | EE.UU. |
| Better Stack | Registros técnicos y monitoreo, con datos personales enmascarados | EE.UU. / UE |
7. Mensajes después de la visita y avisos de último minuto
- Si el Cliente activa en el panel el pedido de reseña en Google o el aviso para volver, el encargado envía esos mensajes por WhatsApp a nombre del Cliente y por su instrucción. El Cliente responde de tener una relación con esas personas que lo justifique y de que el enlace de reseñas sea el suyo. Quien escribe BAJA deja de recibirlos.
- Si el Cliente activa la invitación a los avisos de horas de último minuto, autoriza al encargado a ofrecer a sus clientes que agendaron por WhatsApp, una sola vez y justo después de agendar, inscribirse en ese servicio de Zevi. Para la invitación se usa solo el número de WhatsApp de la conversación, el rubro del Cliente y la comuna que el Cliente indicó.
- Quien acepta pasa a ser usuaria de Zevi para ese servicio: respecto de su inscripción (número, rubros, comunas y la constancia de su consentimiento), Zevi es responsable y no encargado, conforme a la Política de Privacidad. Esa inscripción no incluye otros datos del Cliente (nombre, historial, citas), no se comparte con otros negocios ni les da acceso a los datos del Cliente.
- El Cliente puede desactivar la invitación cuando quiera. Desactivarla no borra a quienes ya se inscribieron, porque esa inscripción es de cada persona: se da de baja escribiendo BAJA.
8. Medidas de seguridad
HTTPS en todo el servicio; credenciales sensibles cifradas en reposo (AES-256-GCM); aislamiento entre cuentas; roles y permisos; límites de uso contra abusos; eliminación automática de las conversaciones a los 30 días; plazos de conservación y anonimización descritos en la Política de Privacidad; enmascarado de correos y teléfonos en los registros técnicos; registro de auditoría de las acciones administrativas; y respaldos de la base de datos con prueba periódica de restauración.
9. Aceptación y cambios
El Cliente acepta este Anexo junto con los Términos de Servicio desde su panel. Queda registrado quién lo aceptó, la versión y la fecha. Si el Anexo cambia, publicaremos la versión nueva en esta página y el panel pedirá aceptarla de nuevo.