Acuerdo de Procesamiento de Datos

01 Roles y declaraciones de las partes

El Cliente como responsable: el Cliente decide sobre el tratamiento de los datos personales de sus deudores: qué datos registra, con qué finalidad, por qué medios los contacta y por cuánto tiempo los conserva.

Tesser como encargado: Tesser trata esos datos únicamente por cuenta del Cliente y para prestarle el servicio, en términos de la LFPDPPP y de los artículos 49 a 52 del Reglamento.

Declaraciones del Cliente: el Cliente declara que:

• Obtuvo los datos de sus deudores de forma lícita.
• Cuenta con su propio aviso de privacidad, lo puso a disposición de sus deudores y registrará en la plataforma la URL donde se publica.
• Tiene una base jurídica para tratar los datos y contactar a sus deudores por los medios que registre: la relación jurídica que mantiene con ellos (artículo 9, fracción IV, de la LFPDPPP) o su consentimiento.

02 Objeto y categorías de datos

Tesser tratará los datos de los deudores solo para prestar las funciones contratadas: registro de cartera, envío de recordatorios, atención por el asistente de WhatsApp, ligas de pago, lectura de comprobantes, conciliación y reportes. Las categorías de datos son:

• Contacto del deudor: nombre, teléfono celular y correo electrónico.
• Deuda y operaciones: concepto, montos, saldo, fechas de vencimiento, periodicidad, abonos y pagos.
• Comprobantes: imágenes de comprobantes de pago y el texto extraído de ellas mediante OCR, que puede incluir datos bancarios del deudor (banco, número de cuenta o CLABE, folio de la operación).
• Gestión de cobranza: eventos de cobranza (recordatorios enviados, entregas, bajas) y promesas de pago.
• Conversaciones: los mensajes que el deudor intercambia con el asistente de WhatsApp.
• Ligas de pago: el número de veces que se consulta la liga de pago.
• Contactos adicionales de cobranza (opcionales): datos de un tercero relacionado con la deuda, que el Cliente solo podrá registrar si cuenta con base jurídica para ello.

03 Obligaciones de Tesser como encargado

Tesser se obliga a:

• Instrucciones: tratar los datos solo conforme a las instrucciones del Cliente, que se expresan en estos documentos y en la configuración que el Cliente hace en la plataforma.
• No uso propio: no tratar los datos para finalidades propias ni distintas de las instruidas, y no venderlos, cederlos ni transferirlos.
• Confidencialidad del personal: que las personas autorizadas para acceder a los datos estén sujetas a un deber de confidencialidad, que subsiste después de concluida su relación con Tesser.
• Medidas de seguridad: mantener las siguientes medidas:
  • HTTPS/TLS en las comunicaciones y conexión cifrada con TLS a la base de datos.
  • Contraseñas almacenadas con bcrypt y bloqueo de la cuenta tras 5 intentos de acceso fallidos.
  • Tokens de acceso de corta duración.
  • Control de acceso basado en roles.
  • Aislamiento de los datos de cada Cliente por organización a nivel de aplicación.
  • Bitácora de auditoría de acciones sensibles.
  • Cifrado en reposo proporcionado por los proveedores de infraestructura (base de datos administrada y almacenamiento de objetos).
  • Respaldos automáticos gestionados por el proveedor de la base de datos.
• Derechos ARCO: apoyar al Cliente en la atención de solicitudes de acceso, rectificación, cancelación y oposición de sus deudores. El Cliente puede exportar, corregir y cancelar los datos de un deudor desde la plataforma. Si un deudor presenta directamente a Tesser una solicitud relativa a sus datos, Tesser la remitirá al Cliente dentro de los 5 (cinco) días hábiles siguientes a su recepción e informará al deudor que el Cliente es el responsable que debe resolverla.
• Información y auditoría: proporcionar al Cliente, a su solicitud y hasta una vez al año, información razonable que permita verificar el cumplimiento de este DPA.

04 Tratamiento automatizado e inteligencia artificial

• Ejecución: en producción, el asistente conversacional y el análisis de comprobantes (OCR) funcionan con modelos ejecutados en servidores controlados por Tesser. Las conversaciones no se utilizan para entrenar modelos de terceros. Si en el futuro se utiliza un proveedor externo de IA, se incluirá en el listado de subencargados con aviso previo, conforme a la cláusula 6.
• Identificación y límites del asistente: el asistente se identifica como asistente automatizado en su primer mensaje. No puede convenir quitas, descuentos, diferimientos ni condonaciones. Puede registrar promesas de pago, turnar propuestas del deudor al equipo del Cliente y canalizar la conversación a una persona.
• Datos sensibles en conversaciones: si el deudor menciona circunstancias de salud u otras de carácter sensible, el asistente no almacena el detalle y solo registra un motivo genérico («situación personal»).
• Etiqueta de puntualidad: la plataforma calcula, solo dentro de cada Cliente y a partir de los saldos vencidos del deudor con ese Cliente, una etiqueta de puntualidad de pago (bueno, regular o malo). La etiqueta nunca se comparte entre Clientes. Es una herramienta de apoyo: el Cliente se obliga a que las decisiones que afecten al deudor cuenten con revisión humana. El deudor puede oponerse a este tratamiento, en términos del artículo 26, fracción II, de la LFPDPPP, mediante solicitud al Cliente; Tesser apoyará al Cliente para atenderla.

05 Canales, horario de envío y bajas

• Canales: recordatorios por SMS y correo electrónico; asistente de WhatsApp para mensajes que inician los deudores, en un número de Tesser compartido por todos sus Clientes. El envío de recordatorios salientes por WhatsApp no está activo.
• Horario: como política propia de Tesser, los recordatorios automatizados solo se envían entre las 10:00 y las 19:00 horas, hora del centro de México (rango comprendido entre las 8:00 y las 20:00 horas en todas las zonas horarias del país). Los envíos que caigan fuera de ese horario, incluidos los retenidos, los manuales y los de «enviar ahora», se reprograman para la siguiente apertura. El Cliente puede elegir como horas de envío las 10:00, 12:00, 15:00 o 18:00 horas.
• Bajas: los deudores pueden dejar de recibir recordatorios automatizados en WhatsApp, escribiendo «BAJA», «ALTO» o «STOP»; por correo electrónico, con la liga «Dejar de recibir recordatorios» incluida en cada correo; y por SMS, desde la liga incluida en el mensaje (la página de pago ofrece la opción «Dejar de recibir recordatorios») o la liga de baja cuando el mensaje no incluya liga de pago.
• Registro: la baja se registra por deudor y por Cliente, con fecha y canal. El Cliente solo podrá reactivar el contacto automatizado con un nuevo consentimiento documentado del deudor.
• Aviso de privacidad del Cliente: Tesser muestra la liga al aviso de privacidad registrado por el Cliente en la página de pago, en el pie de los correos y en la primera respuesta del asistente de WhatsApp.

El Cliente no podrá eludir el horario ni los mecanismos de baja, por ejemplo mediante registros duplicados o cambios en los datos de contacto del deudor.

06 Subencargados

El Cliente autoriza a Tesser a subcontratar servicios que implican el tratamiento de los datos, en términos de los artículos 54 y 55 del Reglamento, en las siguientes categorías:

• Infraestructura de nube y base de datos.
• Almacenamiento de archivos.
• Mensajería SMS.
• Correo electrónico.
• Mensajería WhatsApp.
• Procesamiento de pagos.
• Servicios de mapas y autocompletado de domicilios.

Tesser celebrará con cada subencargado un contrato que le imponga obligaciones de protección de datos equivalentes a las de este DPA y seguirá siendo responsable frente al Cliente por su cumplimiento. Algunos subencargados pueden alojar o tratar datos fuera de México (en Estados Unidos de América y otros países), bajo contratos con protecciones equivalentes. Estas comunicaciones a subencargados son remisiones y no transferencias. El listado nominativo y las reglas de cambio se establecen en el Anexo A.

07 Vulneraciones de seguridad

• Aviso al Cliente: si Tesser confirma una vulneración de seguridad que afecte los datos tratados por cuenta del Cliente, lo notificará por correo electrónico sin demora indebida y, en cualquier caso, dentro de las 48 (cuarenta y ocho) horas siguientes a su confirmación.
• Contenido: la notificación incluirá, en la medida en que se conozca, la naturaleza del incidente, las categorías de datos afectadas, las medidas adoptadas, las recomendaciones para el Cliente y un contacto para obtener más información. Tesser complementará la información conforme avance la investigación.
• Apoyo al Cliente: Tesser apoyará al Cliente para que, como responsable, informe de forma inmediata a los titulares afectados, conforme al artículo 19 de la LFPDPPP.

08 Conservación, devolución y supresión

• Datos de incumplimiento: los datos relativos al incumplimiento de una obligación se eliminan o se anonimizan de forma irreversible a los 72 (setenta y dos) meses contados desde el incumplimiento, conforme al artículo 10 de la LFPDPPP.
• Durante la vigencia: el Cliente puede exportar, corregir y cancelar los datos de un deudor desde la plataforma para atender solicitudes ARCO.
• Exportación al terminar: a partir de la terminación de los Términos, el Cliente dispone de 30 (treinta) días naturales para descargar una exportación completa de su cartera, pagos y seguimiento de cobranza en formato JSON, sin condición alguna relativa a saldos pendientes.
• Supresión: concluido ese plazo, Tesser eliminará la cartera del Cliente dentro de los 30 (treinta) días naturales siguientes. Solo conservará la información que deba mantener por disposición legal, como sus propios registros de facturación y fiscales (5 años, conforme al artículo 30 del Código Fiscal de la Federación), y la evidencia de aceptación de los Términos y de este DPA, bloqueada y solo para esos fines.

09 Vigencia y prevalencia

Este DPA entra en vigor cuando el Cliente acepta electrónicamente los Términos y permanece vigente mientras Tesser trate datos personales por cuenta del Cliente. En caso de contradicción entre este DPA y los Términos en materia de protección de datos personales, prevalece este DPA. Las modificaciones a este DPA siguen el procedimiento de la cláusula 16 de los Términos.

A Anexo A — Subencargados

• Listado nominativo: el listado con el nombre de cada subencargado, su función y el país o región donde trata los datos está disponible para los Clientes a solicitud en privacidad@nymm.studio.
• Cambios: Tesser notificará al Cliente cualquier alta o sustitución de subencargados con al menos 15 (quince) días naturales de anticipación, por correo electrónico y en el panel.
• Objeción: dentro de ese plazo, el Cliente podrá objetar el cambio por razones fundadas de protección de datos. Las partes buscarán una solución de buena fe; si no es posible, el Cliente podrá terminar los Términos sin penalización.