Partes
- Operador: GetCart, persona jurídica controladora del producto (responsable de los medios).
- Responsable: la persona jurídica titular de la tienda en Shopify, Nuvemshop o Tray donde se instaló GetCart.
1. Objeto
Este DPA define cómo el Operador trata los datos personales en nombre del Responsable para entregar el servicio descrito en los Términos: enviar mensajes, negociar con el agente, generar el cupón, armar el enlace y cobrar la tasa.
2. Instrucciones del Responsable
El Operador trata los datos solo según las instrucciones del Responsable expresadas en los Términos, la Política de privacidad y la configuración que el Responsable hizo en el panel. Si una instrucción infringe la LGPD, el Operador avisa inmediatamente.
Tratamiento más allá de las instrucciones — por ejemplo, para entrenar modelos — solo ocurre con consentimiento separado del Responsable.
3. Finalidad y naturaleza del tratamiento
Finalidad: recuperar carritos abandonados por WhatsApp. Naturaleza: lectura de los datos del carrito, envío del mensaje, negociación, generación del cupón único, atribución del pedido pagado a GetCart y cobro.
4. Categorías de datos y titulares
Datos: nombre, teléfono, productos del carrito, monto del carrito, fecha de la última visita, contenido de los mensajes intercambiados con la tienda. Titulares: clientes finales de la tienda del Responsable.
5. Base legal
El tratamiento se hace con base en el interés legítimo del Responsable (art. 7, IX, de la LGPD) para el primer mensaje enviado por plantilla aprobada, y en el consentimiento del titular (art. 7, I) para la conversación abierta con el agente y para cualquier descuento negociado.
6. Medidas de seguridad
Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256). Control de acceso por rol (RBAC) con registro en log. Aislamiento por empresa (cada tienda ve solo sus datos). Copias de seguridad cifradas y pruebas periódicas de restauración.
Hay un resumen del reporte de seguridad disponible previa solicitud a [email protected].
7. Sub-operadores
El Operador puede contratar sub-operadores para servicios auxiliares (Meta para WhatsApp, el proveedor de la tienda, la pasarela de pago, infraestructura en la nube). La lista vigente está en getcart.ai/legal/sub-operadores y se actualiza con al menos 30 días de aviso antes de cualquier cambio.
8. Derechos de los titulares
El Operador ayuda al Responsable a responder a los derechos del art. 18 de la LGPD en hasta 5 días hábiles después de recibir la solicitud.
9. Incidentes de seguridad
En caso de incidente que cause riesgo o daño a los titulares, el Operador avisa al Responsable en hasta 24 horas y a la ANPD en hasta 2 días hábiles (art. 48 de la LGPD), con información sobre lo ocurrido, qué datos fueron afectados y qué se hizo para mitigar.
10. Transferencia internacional
Los datos pueden ser tratados en servidores fuera de Brasil cuando el Responsable elija una región distinta en /billing/payment-method, bajo las mismas garantías de este DPA y según los arts. 33–36 de la LGPD.
11. Vigencia y rescisión
Este DPA vale mientras el Responsable use GetCart. Al terminar, el Operador elimina o devuelve los datos personales tratados en hasta 30 días, salvo lo que la ley obligue a conservar más tiempo.