Acuerdo de Procesamiento de Datos

Encargado del Tratamiento (Processor bajo GDPR / Service Provider bajo CCPA): Voltaflow LLC, sociedad constituida en Wyoming, Estados Unidos, operación 100% remota. Contacto de privacidad: privacy@voltaflow.com. Operadora del producto GetDecant ofrecido en getdecant.com.

Responsable del Tratamiento (Controller bajo GDPR / Business bajo CCPA): el Cliente que contrata el servicio (en adelante, el “Tenant”), que opera una o más perfumerías y utiliza GetDecant para gestionar su negocio.

Este DPA se interpreta de forma consistente con la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) de México, el Reglamento General de Protección de Datos (GDPR) de la UE y la California Consumer Privacy Act (CCPA), según aplique al Tenant.

Voltaflow LLC procesa, por instrucción del Tenant, las siguientes categorías de datos personales:

• Empleados del Tenant: nombre, email, teléfono, rol (owner / admin / pos_operator / warehouse / staff), identificadores de sucursal, registros de acceso y auditoría.
• Clientes finales del Tenant: nombre, teléfono, email opcional, dirección de envío, historial de compra, preferencias de fragancia y contenido de tickets enviados por mensajería.
• Datos operativos: inventario por mililitro, transferencias entre sucursales, ventas POS, guías de envío. Solo incluyen PII cuando el Tenant las asocia explícitamente con un cliente final.

Finalidad: prestar las funcionalidades de GetDecant (POS, inventario, multi-sucursal, catálogo IA-asistido, tickets WhatsApp/SMS, logística integrada) según las instrucciones documentadas del Tenant.

El Tenant autoriza a Voltaflow LLC a utilizar los siguientes sub-procesadores para prestar el servicio. Esta lista es exhaustiva a la fecha de vigencia y se actualiza conforme a la Sección 9 (Subcontratación).

Voltaflow LLC opera una capa de redacción y sanitización que se aplica antes de enviar cualquier prompt o imagen a los modelos de IA generativa (Gemini via Vercel AI Gateway). Garantizamos lo siguiente:

• Los prompts NO incluyen nombres, emails, teléfonos, direcciones, RFC, CURP ni ningún identificador directo de los clientes finales del Tenant.
• Las imágenes procesadas por la visión IA son fotografías de productos (frascos de fragancia, etiquetas), no de personas. La capa rechaza imágenes que contengan rostros antes del envío.
• Las queries para el catálogo (Fragella) y para el asistente de pricing competitivo (Serper) se sanitizan para eliminar PII antes de salir.
• Vercel AI Gateway opera como router sin almacenamiento persistente de prompts. Google (Gemini) procesa prompts sanitizados según los términos comerciales del modelo.

La implementación de esta política vive en apps/web/lib/intelligence/redaction.ts y está respaldada por suites de pruebas automáticas que validan la ausencia de PII en los prompts emitidos por la capa de redacción. La detección y rechazo de imágenes con rostros (gating pre-Gemini) está documentada como compromiso operativo y se implementa por etapas: el control inicial filtra por dimensiones / aspect-ratio y se endurece progresivamente con detección activa. Voltaflow LLC se compromete a mantener y auditar esta capa durante toda la vigencia del contrato y a notificar cambios materiales.

• Cifrado en tránsito: TLS 1.2 o superior para todas las conexiones cliente↔servidor y Voltaflow↔sub-procesadores.
• Cifrado en reposo: AES-256 (gestionado por Supabase a nivel de almacenamiento físico de la base de datos).
• Aislamiento por tenant: Row-Level Security (RLS) en PostgreSQL con políticas que restringen acceso por tenant_id y, cuando aplica, por branch_id.
• Audit logs: registros de acceso administrativo, impersonación de SaaS admins (con cookie HttpOnly) y operaciones sensibles. Retención mínima 12 meses.
• Control de acceso: autenticación Supabase con MFA disponible, roles granulares (owner/admin/pos_operator/warehouse/staff) y rotación periódica de service role keys.
• Monitoreo: Sentry para detección de errores en producción; revisión de logs de Supabase y Vercel.

Voltaflow LLC notificará al Tenant dentro de las 72 horas siguientes a la confirmación de un incidente de seguridad que afecte datos personales bajo su responsabilidad. La notificación se enviará al email de contacto registrado por el Tenant e incluirá:

• Naturaleza del incidente y categorías de datos potencialmente afectadas.
• Volumen aproximado de registros y de personas titulares afectadas.
• Medidas adoptadas o propuestas para contener y mitigar el impacto.
• Punto de contacto de Voltaflow para coordinar la respuesta.

El Tenant es responsable de notificar a los titulares y autoridades competentes (INAI en México, autoridades GDPR en UE, fiscal AG en California) según corresponda. Voltaflow LLC cooperará con la información razonablemente necesaria.

Una vez al año natural, o cuando exista una causa razonable derivada de un incidente, el Tenant podrá solicitar evidencia de cumplimiento de este DPA (descripción de controles, reportes de sub-procesadores, certificaciones SOC 2 / ISO 27001 cuando estén disponibles). Voltaflow LLC responderá dentro de 30 días hábiles.

Auditorías on-site serán evaluadas caso por caso, sujetas a NDA, agenda acordada y costo razonable a cargo del Tenant solicitante (excepto cuando la auditoría sea requerida por una autoridad competente).

A la terminación del contrato, Voltaflow LLC ofrece al Tenant un periodo de 90 días para exportar sus datos en formato estándar (CSV / JSON), contado desde la fecha efectiva de cancelación.

Vencido el periodo de gracia, Voltaflow LLC procederá a la eliminación lógica y luego física de los datos del Tenant en sus sistemas y los de sus sub-procesadores principales (Supabase, Stripe, Resend, Sentry), salvo cuando una obligación legal de retención aplicable a Voltaflow exija conservar registros mínimos (logs fiscales, registros contables, sin contenido transaccional sensible).

Backups con datos eliminados rotan según el calendario operativo de Supabase (~30 días), tras lo cual desaparecen definitivamente.

Voltaflow LLC podrá agregar, sustituir o eliminar sub-procesadores. Cuando un cambio implique una nueva categoría de procesamiento o una nueva ubicación geográfica, Voltaflow notificará al Tenant con al menos 30 días de anticipación mediante:

• Email al contacto principal del Tenant.
• Actualización pública de esta página /dpa con bump de versión.

El Tenant podrá objetar el nuevo sub-procesador por causa razonable dentro del plazo de notificación. Si la objeción no puede resolverse, el Tenant tendrá derecho a terminar el contrato sin penalidad y a la devolución pro-rata del tiempo no utilizado.

Cuando datos personales de titulares ubicados en el Espacio Económico Europeo (EEE), Reino Unido o Suiza sean transferidos a Voltaflow LLC o a sus sub-procesadores fuera de esas jurisdicciones, las partes incorporan por referencia las Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea (Decisión 2021/914), módulo 2 (Controller-to-Processor) o módulo 3 (Processor-to-Processor) según corresponda.

Para transferencias bajo Reino Unido (UK GDPR) aplica el International Data Transfer Addendum (IDTA) emitido por el ICO. Para Suiza, las SCCs UE se aplican con las modificaciones del FDPIC.

Voltaflow LLC mantiene Transfer Impact Assessments (TIAs) para los principales sub-procesadores y los pondrá a disposición del Tenant ante solicitud razonable.

Versión: v1.0.
Vigente desde: 6 de mayo de 2026.
Idioma controlante: español (México). En caso de traducciones, prevalece el texto en español.
Contacto: privacy@voltaflow.com o legal@getdecant.com.

Para preguntas sobre tu solicitud de derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) bajo LFPDPPP, escribe a privacidad@getdecant.com.