Acuerdo de Tratamiento de Datos de Adray

Este Acuerdo de Tratamiento de Datos (el «Acuerdo») forma parte de los Términos de Servicio de Adray y aplica siempre que Adray trate datos personales por cuenta de un comercio. Debe leerse junto con el Aviso de Privacidad de Adray.

Al conectar una tienda de Shopify u otra plataforma de comercio electrónico o de captación de prospectos a Adray, el Cliente acepta este Acuerdo. No se requiere firma por separado. Si el Cliente necesita una copia firmable, puede solicitarla en privacy@adray.ai.

1. Partes y encuadre

Este Acuerdo se celebra entre ADRAY, INC., una corporación constituida conforme a las leyes del Estado de Delaware, Estados Unidos, con domicilio en 1111B S Governors Avenue STE 53849, Dover, Delaware 19904, EE. UU. («Adray», el «Encargado»), y el comercio que usa los Servicios (el «Cliente», el «Responsable»).

El Cliente es el responsable de los datos personales de sus propios clientes y visitantes. Adray actúa como encargado del tratamiento y trata esos datos únicamente para prestar los Servicios conforme a las instrucciones del Cliente. Esto es coherente con el papel que ya declara el Aviso de Privacidad de Adray.

2. Objeto y finalidad del tratamiento

Adray trata los datos personales exclusivamente para:

• Atribución de marketing — vincular cada pedido con la sesión de navegación y el clic de anuncio que lo produjo, y calcular el ingreso y el retorno de la inversión verificados por canal.
• Analítica de conducta — medir el recorrido, la fricción y el abandono en el sitio del propio Cliente, y producir informes agregados para ese mismo Cliente.
• Envío de conversiones a las plataformas publicitarias que el propio Cliente conecta y configura (Meta Conversions API, Google Ads), como eventos de servidor por cuenta del Cliente.

Adray no vende datos personales, no los comparte con otros comercios y no construye perfiles que cruzen comercios. Ninguna superficie del producto cruza cuentas: toda consulta está acotada por el identificador de la cuenta del Cliente.

3. Categorías de datos e interesados

Interesados: clientes, clientes potenciales y visitantes del sitio del Cliente.

Categorías de datos personales:

Nunca se tratan: datos de tarjetas ni de medios de pago, contraseñas de los clientes finales, ni categorías especiales de datos personales.

4. Obligaciones de Adray

Adray se obliga a:

• Tratar los datos sólo conforme a las instrucciones documentadas del Cliente y para las finalidades de la sección 2.
• Minimizar: tratar únicamente los datos necesarios para esas finalidades. Los identificadores de contacto se indexan por hash y no por valor, y de la dirección sólo se leen los campos a nivel de localidad que las plataformas publicitarias aceptan — calle, número, interior y geolocalización no se piden nunca.
• Mantener la confidencialidad e imponerla a su personal.
• Aplicar las medidas de seguridad de la sección 5.
• No contratar subencargados distintos de los de la sección 7 sin informar al Cliente con antelación razonable, dándole derecho a objetar.
• Asistir al Cliente ante solicitudes de los interesados (acceso, supresión, oposición a la venta o compartición de datos) y ante consultas de las autoridades.
• Notificar al Cliente cualquier violación de seguridad de datos personales sin dilación indebida y, para incidentes confirmados de acceso no autorizado, dentro de 24 horas desde la confirmación, conforme a la política de respuesta a incidentes de Adray.
• A la terminación, suprimir o devolver los datos personales, salvo obligación legal de conservación.
• Permitir al Cliente verificar el cumplimiento mediante la información de este Acuerdo y la documentación técnica que Adray facilite.

5. Medidas técnicas y organizativas

• Cifrado en tránsito — todo el tráfico por HTTPS/TLS.
• Cifrado en reposo — PostgreSQL y MongoDB están cifrados por el proveedor gestionado; los respaldos heredan ese cifrado.
• Seudonimización — el emparejamiento de identidad y las búsquedas corren sobre hashes SHA-256 del correo y el teléfono, que son los que llevan los índices; las direcciones mismas se conservan en el registro del pedido y en el evento del píxel que las trajo, nunca se usan como llave de búsqueda y quedan cubiertas por el registro de acceso de abajo.
• Tokens de plataforma cifrados en la base de datos, con una clave de cifrado dedicada.
• Control de acceso por rol (propietario / administrador / miembro), aislamiento por cuenta en cada consulta y candado separado para el personal de Adray.
• Registro de acceso a datos personales — las lecturas que entregan el nombre o el correo de un comprador a través del producto quedan registradas de forma durable, con el actor, la cuenta, la superficie, el tipo de dato y el número de filas — nunca el valor.
• Verificación en dos pasos obligatoria para todo el personal de Adray en el dominio corporativo.
• Separación de entornos — producción y pruebas corren contra bases de datos distintas.
• Prevención de pérdida de datos — recuperación a un punto en el tiempo de los proveedores gestionados; las operaciones destructivas sobre datos se ejecutan con diario y reversión, y los scripts de mantenimiento corren en seco por defecto.
• Respuesta a incidentes — una política escrita con severidades definidas, coordinador y suplente nombrados, registro dedicado y los plazos de notificación de la sección 4.
• Monitoreo de errores con depuración de datos personales antes del envío.

6. Retención

• Datos de analítica (sesiones, eventos, pedidos): 730 días, tras los cuales se purgan automáticamente.
• Grabaciones de sesión: el material en crudo se elimina 24 horas después de generarse el paquete derivado, y el ciclo de vida del almacenamiento expira los objetos a los 14 días.
• Registro de solicitudes de privacidad: se conserva como constancia de cumplimiento.
• A solicitud del Cliente o del interesado, la supresión es inmediata y en cascada (ver la sección 8).

7. Subencargados

Adray usa los siguientes subencargados para prestar los Servicios:

Las plataformas publicitarias (Meta, Google, TikTok, LinkedIn) no son subencargados de Adray. Son destinos que el propio Cliente conecta con sus credenciales y a los que Adray envía datos por instrucción del Cliente. El Cliente es responsable de su relación con ellas.

8. Derechos de los interesados y supresión

Adray implementa los tres webhooks de cumplimiento de Shopify —solicitud de datos, supresión del cliente y supresión de la tienda— y la supresión es real, no un acuse: elimina el nombre y los hashes de identidad de los pedidos, y borra al interesado del grafo de identidad, de los paquetes de sesión y de las grabaciones. Cada solicitud queda registrada con su resultado, identificando al titular por hash y nunca por su valor.

Adray respeta además la señal Global Privacy Control del navegador y expone endpoints de oposición: una conversión marcada como suprimida no se envía a ninguna plataforma publicitaria.

9. Transferencias internacionales

La infraestructura principal de Adray está en Estados Unidos (ver la sección 7). Cuando haya transferencia de datos personales fuera de México, se ampara en cláusulas contractuales tipo, cuyas copias Adray facilita a solicitud del Cliente.

El personal de ingeniería de Adray opera desde México y accede a la infraestructura alojada en Estados Unidos. Los tres hechos son distintos y los tres constan aquí a propósito: domicilio legal en Delaware, tratamiento en Estados Unidos, personal en México.

10. Vigencia, cambios y contacto

Este Acuerdo aplica mientras Adray trate datos personales por cuenta del Cliente y termina al concluir los Servicios, tras cumplir la sección 4.8. En caso de conflicto con los Términos de Servicio respecto al tratamiento de datos personales, prevalece este Acuerdo.

Adray puede actualizar este Acuerdo. Cuando un cambio sea sustancial —en particular la incorporación de un subencargado— Adray dará al Cliente aviso previo razonable y derecho a objetar, conforme a la sección 4.5. La versión y la fecha de vigencia al inicio de esta página identifican el texto en vigor.

Este Acuerdo se publica en inglés y en español. Los dos textos pretenden decir lo mismo; en caso de discrepancia, rige el texto en inglés, de forma coherente con los Términos de Servicio de los que este Acuerdo forma parte.

Contacto de protección de datos: privacy@adray.ai · Contacto de seguridad: support@adray.ai

ADRAY, INC.
1111B S Governors Avenue STE 53849
Dover, Delaware 19904
United States