Anexo de tratamiento de datos personales

Versión 2026-10-31. Aplicable a nuevas relaciones desde su publicación. Los acuerdos rigen para cada cliente desde su aceptación registrada.

1. Partes, roles y objeto

Son partes Metricsbi LLC y el cliente identificado en la ficha del acuerdo de piloto. Este anexo forma parte de ese acuerdo. Sus versiones quedarán vinculadas en el comprobante de aceptación.

El cliente decide las finalidades del tratamiento de los datos personales de su tienda y actúa como responsable. MetricsBI los trata por cuenta del cliente y actúa como encargado. Los datos de contacto y contratación que MetricsBI trate para sus propias obligaciones se regulan en la política de privacidad.

Este anexo cubre la recepción, consulta, organización, almacenamiento, análisis solicitado, actualización, comunicación autorizada, exportación y eliminación de datos necesarios para el servicio. No constituye una autorización ilimitada para recibir cualquier dato disponible en una API.

2. Categorías, personas y duración

Los datos pueden corresponder a compradores, destinatarios de envíos, contactos comerciales y usuarios autorizados de la tienda. Las categorías incluyen identificadores, contacto, pedidos, productos, envíos, facturación, estado de pagos y comunicaciones autorizadas.

Solo se tratarán los campos necesarios para las funciones utilizadas. No se encarga el tratamiento deliberado de datos sensibles, datos de menores o datos completos de tarjetas. Si aparecen datos innecesarios o prohibidos, las partes revisarán su exclusión, bloqueo o eliminación.

El tratamiento durará mientras exista una instrucción válida y una finalidad necesaria. La vigencia indefinida del piloto no constituye conservación indefinida por categoría. El cierre activa las reglas de devolución y eliminación.

3. Instrucciones y obligaciones del cliente

Las instrucciones se documentan mediante este anexo, las conexiones aprobadas y las acciones o reglas que configure un usuario autorizado. El cliente puede retirar o modificar esas instrucciones por los mecanismos del servicio o por info@metricsbi.com.

El cliente debe tener fundamento para recabar y comunicar los datos. Debe informar a sus compradores y obtener las autorizaciones que correspondan. También debe mantener una persona de contacto para derechos e incidentes.

MetricsBI aplicará las obligaciones de protección de datos del cliente que este le comunique y las finalidades autorizadas por los titulares. Si una instrucción resulta incompatible con esas obligaciones, informará al cliente antes de ejecutarla.

Para datos financieros o patrimoniales, el cliente identificará el consentimiento expreso o la excepción legal aplicable. MetricsBI no interpretará la firma del vendedor como consentimiento de cada comprador. Los pronósticos locales siguen sujetos a las finalidades autorizadas y a las condiciones de la plataforma de origen.

El cliente no debe ordenar tratamientos contrarios a la ley o a las condiciones de la plataforma de origen. Si una instrucción presenta ese problema, MetricsBI debe informarlo y suspender la operación afectada hasta resolverlo. La declaración del cliente no elimina las obligaciones propias de MetricsBI.

4. Obligaciones de MetricsBI

MetricsBI se compromete a:

1. Tratar datos únicamente para las instrucciones documentadas y obligaciones legales aplicables.
2. Restringir el acceso interno a empleados autorizados con una necesidad concreta.
3. Mantener compromisos de confidencialidad que continúen tras la relación laboral o contractual.
4. Aplicar controles de seguridad proporcionales al riesgo y revisar su funcionamiento.
5. Ayudar al cliente a atender derechos, incidentes y requerimientos de autoridades.
6. Informar si no puede cumplir una instrucción o una obligación de este anexo.
7. Eliminar o devolver los datos según las reglas acordadas y documentar el resultado.

El encargo permite pronósticos con modelos locales basados exclusivamente en datos de la propia cuenta. MetricsBI no enviará esos datos a proveedores externos de IA ni entrenará modelos combinando datos de varios clientes. Los modelos y resultados específicos de una cuenta no se reutilizarán para otra.

MetricsBI no utilizará datos de tiendas o compradores para comparativas entre clientes, estadísticas propias o mejora de productos con fines secundarios. No venderá datos ni permitirá usos propios incompatibles a los proveedores. Los modelos específicos deben incluirse en el inventario de devolución y eliminación cuando corresponda.

5. Proveedores y procesamiento internacional

Los empleados de MetricsBI operan desde Estados Unidos y Colombia. La base principal de datos operativos se aloja en AWS, Estados Unidos. El cliente autoriza los siguientes servicios dentro de sus funciones e instrucciones:

La entidad contratada y las condiciones de cada servicio se conservarán en el registro interno de proveedores. Los proveedores no se autorizan a explotar los datos de compradores para fines propios. Hostinger y HubSpot no recibirán la base completa de compradores por el hecho de participar en el servicio.

La residencia principal en AWS no describe todas las ubicaciones de procesamiento, correo o contactos. Las regiones y subencargados efectivos se documentarán según el servicio contratado. No se promete residencia exclusiva en Estados Unidos para todos los flujos.

MetricsBI debe trasladar obligaciones de confidencialidad, seguridad, finalidad y cooperación a los proveedores que traten datos por su cuenta. Debe informar cualquier cambio antes de iniciar un nuevo tratamiento. Si el cliente no acepta un cambio necesario, podrá terminar el servicio y solicitar su salida conforme al acuerdo.

Las partes documentarán la figura jurídica de cada flujo internacional. Para Colombia, el encargo debe reunir los requisitos del contrato de transmisión cuando corresponda. Para México, deben distinguirse las operaciones por encargo y las transferencias sujetas a requisitos adicionales. No se utilizará una aceptación genérica para evitar esos requisitos.

6. Medidas de seguridad

MetricsBI utiliza contraseñas verificadas mediante huellas criptográficas y permisos por usuario y cuenta. Mantendrá documentación interna sobre la protección de credenciales, los registros, los respaldos y los procedimientos de recuperación. La página de seguridad informa sobre estas medidas y los canales para reportar problemas.

No se incorporan declaraciones de cifrado de extremo a extremo, aislamiento total de Internet o disponibilidad continua. El cifrado del almacenamiento de una base de datos no sustituye la protección de campos sensibles ni el control de red.

MetricsBI mantendrá un procedimiento para identificar y corregir vulnerabilidades y comprobará sus controles según el riesgo. Los pendientes operativos se gestionan internamente y no se describen como controles ya cumplidos.

7. Derechos, incidentes y requerimientos

Si MetricsBI recibe una solicitud sobre datos tratados por encargo, la trasladará al contacto autorizado del cliente sin demora injustificada. Preservará el registro y asistirá en la respuesta. No divulgará datos de otras personas ni decidirá finalidades nuevas por cuenta propia.

MetricsBI informará al cliente sin demora injustificada de un incidente que afecte sus datos. Compartirá los hechos conocidos, categorías afectadas, medidas adoptadas y pasos pendientes. Actualizará la información conforme avance la investigación, sin esperar certeza absoluta para un aviso inicial exigible.

Se cumplirán los avisos a Mercado Libre y a las autoridades que correspondan. No se establece una espera universal de 72 horas. Un requerimiento legal de confidencialidad puede limitar la información que se entregue al cliente y deberá documentarse.

8. Salida y conservación

Al cesar la autorización se detendrán nuevas consultas, renovaciones de tokens y acciones de la cuenta. La revocación de una integración no debe quedar supeditada a reuniones, pagos o exportaciones.

Se devolverán los datos operativos disponibles y legalmente entregables en CSV, con un inventario de archivos. No se entregarán contraseñas, tokens, secretos ni información de otras cuentas. Debe comprobarse el destinatario y proteger la transferencia.

Por instrucción del cliente, se conservarán únicamente los datos necesarios para preparar y entregar la exportación por un máximo de 30 días naturales. Se eliminarán antes cuando lo exijan instrucciones válidas, la ley o las condiciones de origen. No se retendrán datos de Mercado Libre cuando sus condiciones exijan suprimirlos antes.

La terminación comercial, la desconexión de una tienda y la revocación de la licencia de API se atenderán según sus respectivos efectos. Ninguna ventana de exportación permite continuar un acceso revocado.

Se identificarán los respaldos que contengan datos retirados y su fecha de expiración. Se bloqueará su uso ordinario y se reaplicarán eliminaciones tras cualquier restauración. Las copias locales y manuales requieren su propio control, además de la configuración de RDS.

Las excepciones legales se limitarán a registros concretos, con fundamento, acceso restringido y vencimiento documentados. La evidencia contractual se conservará separada por el plazo mercantil aplicable, incluidos diez años cuando corresponda. La ventana de exportación no se aplica a esa evidencia ni justifica conservar toda la base de compradores.

9. Evidencia, consultas y vigencia

MetricsBI conservará registros de instrucciones, solicitudes, incidentes y cierre en la medida necesaria. Facilitará al cliente información razonable para comprobar el cumplimiento, sin revelar datos de terceros o secretos de seguridad.

Las consultas se coordinarán por info@metricsbi.com con Andres Felipe Malaver Lara. El contacto del cliente será el indicado en su ficha de aceptación.

Este anexo se acepta junto con el acuerdo de piloto. Los cambios de finalidad, proveedores o compromisos materiales requieren el procedimiento de información y aceptación correspondiente.