Acuerdo de Procesamiento de Datos

Este Acuerdo de Procesamiento de Datos ("DPA") complementa el contrato de servicios entre FFID y el Contratante, y regula el tratamiento de datos personales conforme a la Ley General de Protección de Datos (Ley 13.709/2018 — LGPD, ley brasileña de protección de datos).

Responsable del tratamiento (Controlador): El Contratante, que determina las finalidades y los medios del tratamiento de los datos personales de sus clientes y leads.

Encargado del tratamiento (Operador): FFID, que trata los datos personales en nombre y conforme a las instrucciones del Responsable.

Datos Personales Tratados: Nombre, teléfono (WhatsApp), correo electrónico, datos de interacción con AI Agents, historial de conversaciones, datos de crédito (cuando corresponda a Auria Cred) y demás datos recabados durante el recorrido de atención.

Titulares: Clientes, leads y prospectos del Contratante que interactúan por WhatsApp u otros canales integrados a la plataforma FFID.

El Responsable (Contratante) es responsable de:

Obtener el consentimiento válido de los titulares para el tratamiento de datos y el envío de mensajes por WhatsApp;

Definir las finalidades del tratamiento de datos personales;

Garantizar la legalidad de la recolección y del intercambio de los datos con FFID;

Atender las solicitudes de los titulares respecto de sus derechos previstos en la LGPD;

Mantener registros de consentimiento (opt-in) actualizados y auditables.

El Encargado (FFID) es responsable de:

Tratar los datos personales exclusivamente conforme a las instrucciones documentadas del Responsable;

Implementar medidas técnicas y organizativas adecuadas para proteger los datos;

Notificar al Responsable sobre incidentes de seguridad en un plazo máximo de 48 horas;

Asistir al Responsable en la atención de las solicitudes de los titulares;

No compartir datos personales con terceros sin autorización previa del Responsable.

FFID implementa las siguientes medidas técnicas y organizativas para la protección de los datos:

Cifrado: Datos en tránsito protegidos mediante TLS 1.2+ y datos en reposo con cifrado AES-256;

Control de acceso: Autenticación multifactor (MFA), principio de mínimo privilegio y revisión periódica de accesos;

Infraestructura: Servidores en proveedores enterprise (AWS/GCP) con certificaciones SOC 2 e ISO 27001;

Monitoreo: Registros de acceso y auditoría, detección de intrusiones y alertas en tiempo real;

Respaldo: Copias de seguridad cifradas con política de retención definida y pruebas periódicas de restauración;

Capacitación: Equipo capacitado en protección de datos y seguridad de la información.

FFID utiliza los siguientes subencargados para la prestación de los servicios:

Meta Platforms, Inc. (EE. UU.) — WhatsApp Business API para el envío y la recepción de mensajes;

Amazon Web Services / Google Cloud Platform — Infraestructura de alojamiento y procesamiento;

OpenAI / Anthropic — Procesamiento de lenguaje natural para los AI Agents;

El Contratante está informado y acepta el uso de estos subencargados. Cualquier cambio en la lista de subencargados será comunicado con 30 días de anticipación, lo que permitirá al Contratante oponerse de manera fundamentada.

Todos los subencargados están vinculados por cláusulas contractuales de protección de datos equivalentes a las de este DPA.

Debido a la naturaleza de los servicios (WhatsApp Business API, infraestructura en la nube), algunos datos personales pueden ser transferidos fuera de Brasil.

Estas transferencias se realizan con base en el Art. 33 de la LGPD, mediante:

Cláusulas contractuales estándar aprobadas por la ANPD;

Transferencia a países con un grado de protección de datos adecuado;

Consentimiento específico del titular cuando corresponda.

FFID mantiene registros de las transferencias internacionales y garantiza que los destinatarios ofrezcan un nivel de protección equivalente al de la LGPD.

Durante el contrato: Los datos se conservan durante el período necesario para la prestación de los servicios y conforme a las instrucciones del Responsable.

Tras la terminación: FFID conservará los datos durante 90 días para fines de exportación por parte del Contratante. Transcurrido ese plazo, los datos serán eliminados de forma segura e irreversible.

Excepciones de retención: Los datos podrán conservarse por períodos superiores cuando lo exija una obligación legal o regulatoria (p. ej.: registros fiscales, obligaciones del Marco Civil da Internet).

El Responsable puede solicitar la eliminación anticipada de los datos en cualquier momento, sin perjuicio de las obligaciones legales aplicables.

En caso de un incidente de seguridad que involucre datos personales tratados bajo este DPA, FFID se compromete a:

Notificar al Responsable en un plazo máximo de 48 horas tras la confirmación del incidente, informando: naturaleza del incidente, categorías de datos afectados, número aproximado de titulares impactados, medidas adoptadas y recomendaciones;

Cooperar plenamente con el Responsable en la investigación, mitigación y comunicación del incidente a la ANPD y a los titulares, según lo exige la LGPD;

Documentar el incidente en un registro propio, conservando los registros durante un mínimo de 5 años.

FFID asiste al Responsable en la atención de las solicitudes de los titulares previstas en el Art. 18 de la LGPD:

Confirmación de la existencia de tratamiento;

Acceso a los datos personales;

Corrección de datos incompletos, inexactos o desactualizados;

Anonimización, bloqueo o eliminación de datos innecesarios;

Portabilidad de los datos;

Eliminación de los datos tratados con base en el consentimiento;

Información sobre el intercambio con terceros;

Revocación del consentimiento.

Las solicitudes deben dirigirse al Responsable, quien podrá recurrir a FFID para obtener soporte técnico en su atención.