Anexo de Tratamiento de Datos Personales (Contrato de Encargado)

Versión 1.0 — Junio 2026

Partes

• El Encargado: Intra Ventures México, S.C. (RFC IVM1610045N9), operador del servicio Orkestra.
• El Responsable: la persona física o moral titular de la cuenta de negocio que contrata Orkestra (el "Cliente" o "Negocio").

El Cliente es el responsable de los datos personales de sus propios clientes finales y demás titulares cuyos datos trate a través de Orkestra (los "Datos del Cliente"). Orkestra los trata como encargado, por cuenta y bajo instrucciones del Cliente.

1. Objeto

Este Anexo regula el tratamiento que el Encargado realiza de los Datos del Cliente con el único fin de prestar el servicio Orkestra (recepción y envío de mensajes omnicanal, unificación de clientes, análisis por IA, campañas, apps activadas y funciones asociadas).

2. Instrucciones del Responsable

2.1 El Encargado tratará los Datos del Cliente exclusivamente conforme a las instrucciones del Cliente, materializadas en el uso del servicio y en este Anexo.

2.2 El Encargado no usará los Datos del Cliente para finalidades propias, ni los venderá, cederá o comercializará.

2.3 Si el Encargado considerara que una instrucción infringe la normativa de protección de datos, lo informará al Cliente.

3. Categorías de datos y titulares

• Titulares: clientes finales del Negocio y otras personas con las que el Negocio se comunique a través de los canales conectados.
• Datos: identificadores de contacto (teléfono, identificadores de WhatsApp/Instagram/Messenger), nombre o alias, contenido de las conversaciones (texto, audio, video, imágenes), y la información de perfil que el servicio infiera o el Negocio registre (intereses, notas, historial).

El Cliente se obliga a no usar el servicio para tratar datos personales sensibles salvo que cuente con la base de licitud correspondiente y asuma la responsabilidad que ello implica.

4. Obligaciones del Encargado

El Encargado se obliga a:

• a) Tratar los Datos del Cliente solo conforme a las instrucciones del Cliente.
• b) Guardar confidencialidad sobre los Datos del Cliente, obligación que subsiste tras terminar la relación.
• c) Implementar medidas de seguridad administrativas, técnicas y físicas razonables (ver sección 6).
• d) No transferir los Datos del Cliente a terceros, salvo a los sub‑encargados autorizados (sección 5) o por mandato de autoridad competente, en cuyo caso lo notificará al Cliente cuando legalmente sea posible.
• e) Asistir al Cliente para atender las solicitudes de derechos ARCO y de revocación de consentimiento de los titulares, así como en evaluaciones de impacto o consultas de la autoridad, en la medida que corresponda.
• f) Notificar al Cliente sin demora injustificada cualquier vulneración de seguridad que afecte los Datos del Cliente de la que tenga conocimiento, con la información disponible para que el Cliente cumpla sus obligaciones de notificación.
• g) Suprimir o devolver los Datos del Cliente al terminar el servicio, conforme a la sección 7.
• h) Permitir y contribuir, dentro de lo razonable, a auditorías o verificaciones documentales que el Cliente solicite con preaviso para acreditar el cumplimiento de este Anexo.

5. Sub‑encargados

5.1 El Cliente autoriza al Encargado a apoyarse en los siguientes sub‑encargados para prestar el servicio:

Sub‑encargado	Finalidad	Ubicación
Meta Platforms (WhatsApp Cloud API, Instagram, Messenger)	Envío/recepción de mensajes	EE.UU.
Google (Gemini)	Análisis, transcripción y resumen por IA	EE.UU.
DigitalOcean	Hosting de la aplicación y base de datos	EE.UU.

5.2 Cada app de pago u otra app que el Cliente active podrá incorporar sus propios sub‑encargados (p. ej. pasarelas de pago como Mercado Pago o PayPal), los cuales se informan en el anexo legal específico de esa app y se entienden autorizados al instalarla.

5.3 El Encargado exigirá a sus sub‑encargados obligaciones de protección equivalentes a las de este Anexo. Cuando incorpore o sustituya un sub‑encargado que trate Datos del Cliente, lo informará al Cliente, quien podrá oponerse por motivos razonables.

5.4 Dado que algunos sub‑encargados operan fuera de México, el Cliente reconoce y, en su carácter de responsable, informa a sus titulares que el tratamiento puede implicar almacenamiento o procesamiento de datos en el extranjero (EE.UU.).

6. Medidas de seguridad

El Encargado mantiene, como mínimo: cifrado de credenciales, aislamiento de la información por empresa (arquitectura multitenant con seguridad a nivel de registro), control de acceso por roles, transporte cifrado (HTTPS), bitácoras de actividad administrativa, respaldos periódicos y procesos de gestión de incidentes. Estas medidas se revisarán y actualizarán conforme evolucione el riesgo.

7. Conservación, devolución y supresión

7.1 Los Datos del Cliente se conservan mientras la cuenta del Negocio esté activa.

7.2 El Negocio puede suprimir conversaciones o datos de clientes finales desde el propio servicio en cualquier momento.

7.3 Tras la cancelación o terminación de la cuenta, el Encargado conservará los Datos del Cliente por un periodo máximo de 90 días —para permitir su recuperación o exportación— y posteriormente los suprimirá de forma definitiva, salvo obligación legal de conservarlos por más tiempo. A solicitud del Cliente dentro de ese periodo, se devolverán en un formato de uso común.

8. Responsabilidad del Cliente como responsable

El Cliente, en su carácter de responsable, se obliga a:

• a) Contar con la base de licitud y los consentimientos necesarios para tratar los Datos del Cliente (incluido el opt‑in para comunicaciones de marketing por WhatsApp y demás canales).
• b) Poner a disposición de sus titulares un aviso de privacidad propio (puede partir de la plantilla que Orkestra proporciona).
• c) Usar el servicio conforme a la ley y a las políticas de los canales (Meta y, en su momento, TikTok).
• d) Atender, como responsable, las solicitudes de derechos de sus titulares, con la asistencia del Encargado.

9. Vigencia

Este Anexo está vigente mientras exista la relación de servicio entre las partes y, en lo aplicable (confidencialidad, supresión), sobrevive a su terminación.

10. Ley aplicable y jurisdicción

Este Anexo se rige por las leyes de los Estados Unidos Mexicanos. Para su interpretación y cumplimiento, las partes se someten a los tribunales competentes en Guadalajara, Jalisco, renunciando a cualquier otro fuero.