DPA

Última actualización: 11 de agosto de 2026

Este DPA se aplica a todos los clientes que aceptan nuestros Términos de Servicio. No se requiere firma aparte. Una copia prefirmada en nombre de Dedupely está disponible para descargar al principio de esta página.

Este Anexo de Tratamiento de Datos ("DPA") forma parte de los Términos de Servicio entre el Cliente y Dedupely Software, Inc. ("Dedupely"), bajo los cuales el Cliente accede al Servicio. Recoge el acuerdo de las partes sobre el tratamiento de datos personales.

Si la entidad Cliente que suscribe este DPA ha firmado un formulario de pedido, una declaración de trabajo u otro acuerdo escrito con Dedupely (un "Documento de Pedido") pero no es parte de los Términos, este DPA es un anexo a dicho Documento de Pedido y a sus renovaciones aplicables.

1. Definiciones

"CCPA" significa la Ley de Privacidad del Consumidor de California de 2018, Cal. Civ. Code § 1798.100 y siguientes, en su versión modificada por la Ley de Derechos de Privacidad de California, y sus reglamentos de desarrollo.

"Datos Personales del Cliente" significa los datos personales contenidos en los registros que el Cliente sincroniza con el Servicio para su deduplicación.

"Legislación de Protección de Datos" significa el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) ("GDPR"); el GDPR del Reino Unido y la Data Protection Act 2018; la Ley Federal Suiza de Protección de Datos de 25 de septiembre de 2020; la Personal Information Protection and Electronic Documents Act (Canadá); y cualquier otra ley aplicable relativa al tratamiento de datos personales y a la privacidad, en cada caso en su versión modificada, sustituida o reemplazada en cada momento y en la medida en que sea aplicable al tratamiento de los Datos Personales del Cliente.

"Servicio" significa dedupe.ly y la aplicación Dedupely en app.dedupe.ly.

"Cláusulas Contractuales Tipo" o "SCC" significa las cláusulas anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, Módulo Dos (de responsable a encargado).

"Adenda del Reino Unido" significa la International Data Transfer Addendum a las SCC emitida por el Information Commissioner del Reino Unido en virtud del artículo 119A de la Data Protection Act 2018.

"Responsable del tratamiento", "encargado del tratamiento", "interesado", "datos personales", "tratamiento" y "medidas técnicas y organizativas apropiadas" tienen los significados que les atribuye la Legislación de Protección de Datos. Los demás términos en mayúscula tienen los significados que les atribuyen las Condiciones.

2. Roles

El Cliente es el responsable del tratamiento y Dedupely es el encargado del tratamiento en relación con los Datos Personales del Cliente.

El presente DPA no se aplica a los datos personales respecto de los cuales Dedupely es el responsable del tratamiento, incluidos los datos sobre los titulares de cuenta y usuarios del Cliente, que se rigen por nuestra Política de Privacidad.

El objeto del tratamiento es el Servicio contratado por el Cliente. El tratamiento continúa durante la vigencia de la contratación del Servicio por el Cliente y durante el periodo de conservación establecido en la cláusula 3(9). El Anexo 1 recoge más detalles.

3. Obligaciones de Dedupely

Con respecto a los Datos Personales del Cliente, Dedupely:

• tratará los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, que incluyen la configuración que el Cliente establece en su cuenta y los términos del presente DPA y de las Condiciones. El Cliente instruye a Dedupely para tratar los Datos Personales del Cliente con el fin de prestar, mantener, dar soporte y mejorar el Servicio. Si Dedupely está obligada a tratar los Datos Personales del Cliente para otro fin en virtud de la legislación aplicable, informará al Cliente antes de hacerlo, salvo que dicha legislación lo prohíba por razones importantes de interés público;
• notificará al Cliente sin dilación indebida si, en opinión de Dedupely, una instrucción infringe la Legislación de Protección de Datos;
• implantará y mantendrá las medidas técnicas y organizativas establecidas en el Anexo 2, diseñadas para proteger los Datos Personales del Cliente contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción, daño, robo, alteración o divulgación accidentales, apropiadas al riesgo y a la naturaleza de los datos protegidos;
• podrá contratar subencargados para prestar servicios limitados en su nombre, con sujeción a esta cláusula. Los subencargados solo podrán tratar los Datos Personales del Cliente para prestar los servicios que Dedupely les haya encomendado y tienen prohibido utilizarlos para cualquier otro fin. Dedupely sigue siendo responsable del cumplimiento del presente DPA por parte de sus subencargados y suscribe con ellos acuerdos escritos en términos no menos protectores que los aquí establecidos. En dedupe.ly/legal/sub-processors se mantiene una lista actualizada. Dedupely notificará al Cliente, a las direcciones de correo electrónico de los administradores de la cuenta, con al menos treinta (30) días de antelación a que un nuevo subencargado quede autorizado a tratar Datos Personales del Cliente en producción. El Cliente podrá oponerse dentro de ese plazo por motivos razonables y documentados relativos al incumplimiento de la Legislación de Protección de Datos por parte de dicho subencargado. Si Dedupely no puede resolver una objeción legítima, el Cliente podrá resolver las Condiciones mediante notificación por escrito;
• garantizará que todo el personal autorizado a acceder a los Datos Personales del Cliente reciba acceso según el principio de necesidad de conocer, sea informado de su carácter confidencial y esté sujeto a obligaciones de confidencialidad;
• asistirá al Cliente, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados que ejerzan sus derechos. Cuando una persona contacte directamente con Dedupely en relación con Datos Personales del Cliente, Dedupely no responderá sobre el fondo — más allá de acusar recibo, solicitar información para identificar a la persona o remitirla al Cliente como responsable del tratamiento — y trasladará la solicitud al Cliente sin dilación indebida;
• adoptará medidas razonables para asistir al Cliente en el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del GDPR, incluida la asistencia con las evaluaciones de impacto en la protección de datos y las obligaciones de consulta previa cuando sea razonablemente necesario, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga Dedupely. Cuando el Cliente solicite una asistencia que exceda las obligaciones de Dedupely conforme a la Legislación de Protección de Datos o al presente DPA, Dedupely podrá cobrar una tarifa razonable;
• informará al Cliente de cualquier solicitud recibida de una autoridad gubernamental o cuerpo policial que exija la divulgación de Datos Personales del Cliente, salvo que la legislación aplicable se lo prohíba. Cuando sea posible, Dedupely indicará a la autoridad solicitante que pida los datos directamente al Cliente, y hará esfuerzos comercialmente razonables para impugnar cualquier solicitud ilícita o excesivamente amplia antes de la divulgación, cuando esté legalmente permitido;
• eliminará las cuentas del Cliente, junto con todos los Datos Personales del Cliente, incluidos los datos de CRM y CSV y el historial de fusiones asociado, a más tardar veinticuatro (24) meses después de que la cuenta deje de tener una suscripción o prueba activa. Dedupely enviará un aviso a la dirección de correo electrónico de la cuenta con al menos catorce (14) días de antelación a dicha eliminación. En cualquier caso, a elección del Cliente, Dedupely eliminará o devolverá dichos datos en un plazo de treinta (30) días desde la solicitud por escrito del Cliente. Los Datos Personales del Cliente se devolverán en un formato electrónico comercialmente razonable y de uso común. Los datos eliminados de los sistemas de producción se eliminan de las copias de seguridad en un plazo de siete (7) días. Dedupely podrá conservar una copia únicamente en la medida en que lo exija la legislación aplicable;
• proporcionará al Cliente, previa solicitud, sus certificados ISO 27001, ISO 27017 e ISO 27018, un resumen de su prueba de penetración más reciente y respuestas por escrito a cuestionarios de seguridad razonables, con el fin de demostrar el cumplimiento del presente DPA. Cuando esto resulte insuficiente, Dedupely permitirá al Cliente o a un organismo de inspección independiente sujeto a confidencialidad realizar una auditoría como máximo una vez al año, consistente en información escrita proporcionada por Dedupely y entrevistas con el personal informático de Dedupely. Todos los informes, la documentación y las respuestas a cuestionarios proporcionados son información confidencial de Dedupely. Las auditorías se satisfarán normalmente mediante la documentación descrita anteriormente. Cuando la legislación aplicable exija una inspección in situ, el Cliente dará un preaviso por escrito de al menos sesenta (60) días, la inspección se limitará a las instalaciones de tratamiento controladas directamente por Dedupely, y las partes acordarán de antemano un alcance, un calendario y unas condiciones de confidencialidad razonables. Dedupely podrá cobrar una tarifa razonable por el tiempo dedicado a auditorías e inspecciones;
• al tener conocimiento de cualquier destrucción, pérdida, alteración o divulgación de Datos Personales del Cliente, o acceso a ellos, de forma accidental, no autorizada o ilícita (un "Incidente"), lo notificará al Cliente sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas cuando el Incidente afecte a datos personales sujetos al GDPR o al GDPR del Reino Unido. Un Incidente no incluye los intentos fallidos ni las actividades que no comprometan la seguridad de los Datos Personales del Cliente, incluidos los intentos de inicio de sesión fallidos, pings, escaneos de puertos y ataques de denegación de servicio u otros ataques de red contra cortafuegos o sistemas en red. A estos efectos, Dedupely tiene conocimiento de un Incidente cuando este se confirma como tal conforme al proceso de respuesta a incidentes de Dedupely. La notificación describirá la naturaleza del Incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables y las medidas adoptadas o propuestas. Dedupely proporcionará actualizaciones periódicas y tomará medidas para investigar el Incidente y mitigar sus efectos;
• no transferirá Datos Personales del Cliente a un destinatario fuera del país de tratamiento, salvo cuando el destinatario esté sujeto a garantías adecuadas conforme a la Legislación de Protección de Datos;
• no enviará Datos Personales del Cliente a servicios de inteligencia artificial, ni los utilizará para entrenar o desarrollar modelos de inteligencia artificial o de aprendizaje automático.

4. Obligaciones del Cliente

El Cliente deberá:

• dar únicamente instrucciones lícitas a Dedupely;
• cumplir sus obligaciones conforme a la Legislación de Protección de Datos, incluidas las relativas a los derechos de los interesados, la seguridad de los datos y la confidencialidad, y garantizar que dispone de una base jurídica apropiada para el tratamiento descrito en el presente DPA;
• proporcionar todos los avisos necesarios a los interesados y obtener de ellos todos los derechos, permisos y consentimientos necesarios para que Dedupely pueda tratar lícitamente los Datos Personales del Cliente que sincroniza con el Servicio. El Cliente es el único responsable del contenido de los avisos que proporciona; y
• ser el único responsable de la exactitud, la calidad y la legalidad de los Datos Personales del Cliente y de los medios por los que se obtuvieron.

5. CCPA

En la medida en que la CCPA sea aplicable, Dedupely actúa como proveedor de servicios. Dedupely no: (a) venderá ni compartirá Datos Personales del Cliente según se definen dichos términos en la CCPA; (b) conservará, utilizará ni divulgará Datos Personales del Cliente fuera de su relación comercial directa con el Cliente, salvo para prestar el Servicio y según sea necesario para cumplir la legislación aplicable; ni (c) combinará Datos Personales del Cliente con información personal recibida de otra parte o en su nombre, o recopilada de las propias interacciones de Dedupely con una persona. Dedupely certifica que entiende estas restricciones y las cumplirá, e informará al Cliente si determina que ya no puede cumplir sus obligaciones conforme a la CCPA.

6. Transferencias internacionales

Dedupely trata datos personales en Estados Unidos. Cuando el Cliente transfiera a Dedupely datos personales sujetos al GDPR, al GDPR del Reino Unido o a la legislación suiza de protección de datos, se aplican las SCC (Módulo Dos), que quedan incorporadas al presente DPA por referencia, con:

• la no aplicación de la Cláusula 7 (cláusula de adhesión);
• la aplicación de la Cláusula 9, Opción 2 (autorización general por escrito), con el plazo de preaviso establecido en la cláusula 3(4) anterior;
• la no aplicación de la Cláusula 11, la disposición opcional de resolución independiente de controversias;
• Cláusula 17, Opción 1, rigiendo la legislación de Irlanda;
• Cláusula 18(b), los tribunales de Irlanda;
• Anexos I.A y I.B cumplimentados según lo establecido en el Anexo 1 de este DPA;
• Anexo II cumplimentado según lo establecido en el Anexo 2 de este DPA.

Cuando los datos personales estén sujetos al GDPR del Reino Unido, el Adendo del Reino Unido se aplica a las SCC cumplimentadas como se indica arriba. Cuando los datos personales estén sujetos a la legislación suiza, las referencias al GDPR se entienden como referencias a la Ley Federal Suiza de Protección de Datos, y la autoridad competente es el Comisionado Federal Suizo de Protección de Datos e Información.

Al aceptar los Términos, se considera que el Cliente y Dedupely han firmado las SCC y el Adendo del Reino Unido.

7. Responsabilidad

Dedupely no será responsable de ninguna reclamación presentada por un interesado derivada de o relacionada con el tratamiento de Datos Personales del Cliente por parte de Dedupely, en la medida en que Dedupely haya actuado conforme a las instrucciones del Cliente.

8. Conflicto

Cuando Dedupely y el Cliente hayan celebrado un acuerdo de tratamiento de datos negociado por separado, dicho acuerdo prevalece en caso de conflicto con este DPA. Las Cláusulas Contractuales Tipo incorporadas en la sección 6 siguen aplicándose salvo que el acuerdo negociado establezca su propio mecanismo de transferencia. En lo demás, en caso de conflicto entre este DPA y los Términos respecto al tratamiento de datos personales, prevalece este DPA. En caso de conflicto entre este DPA y las Cláusulas Contractuales Tipo, prevalecen las Cláusulas Contractuales Tipo.

9. Cambios en este DPA

Podemos actualizar este DPA periódicamente. Los cambios entran en vigor cuando publicamos aquí el DPA revisado, o cuando lo notificamos según exija la ley, lo que ocurra más tarde. Si realizamos cambios sustanciales, se lo notificaremos por correo electrónico o mediante un aviso en nuestro sitio web.

Anexo 1 — Detalles del tratamiento

Partes. Exportador de datos: el Cliente, en calidad de responsable del tratamiento. Importador de datos: Dedupely Software, Inc., 11871 Horseshoe Way #1103, Richmond, BC V7A 5H5, Canadá, en calidad de encargado del tratamiento. Contacto: compliance@dedupe.ly.

Categorías de interesados. Los prospectos, clientes, usuarios finales y demás personas cuyos datos figuran en los registros que el Cliente decide sincronizar con el Servicio.

Categorías de datos personales. El Cliente determina el alcance al seleccionar qué objetos sincronizar. Esto puede incluir contactos, empresas, negocios, tickets y objetos personalizados. Dedupely trata el registro completo de cada objeto seleccionado, incluidos campos nativos y personalizados, identificadores de registro y metadatos. En la práctica, esto suele incluir nombres, direcciones de correo electrónico, números de teléfono, direcciones postales, URL de perfiles sociales, ciudad, región y país, y marcas de tiempo de creación y modificación.

Naturaleza y finalidad del tratamiento. Identificación de registros duplicados, presentación de coincidencias para su revisión por el Cliente, aplicación de las fusiones que el Cliente aprueba o configura, y prestación, mantenimiento, soporte y mejora del Servicio.

Fuentes. Los Datos Personales del Cliente se reciben de los registros del CRM del Cliente, mediante integraciones con el CRM y mediante archivos CSV subidos por el Cliente.

Frecuencia de la transferencia. Continua, mientras dure el uso del Servicio por parte del Cliente.

Ubicación del tratamiento. Estados Unidos — Amazon Web Services (región de Virginia del Norte) y Google Cloud.

Duración. Mientras la cuenta del Cliente esté activa y, posteriormente, según lo establecido en la cláusula 3(9).

Subencargados. Según la lista publicada en dedupe.ly/legal/sub-processors.

Autoridad de control competente. Determinada por el lugar de establecimiento del Cliente o, si el Cliente no está establecido en el EEE, por su representante conforme al artículo 27.

Anexo 2 — Medidas técnicas y organizativas

Certificación. Dedupely mantiene la certificación ISO/IEC 27001:2022, ISO/IEC 27017 (seguridad en la nube) e ISO/IEC 27018 (protección de datos personales en la nube). Los certificados están disponibles bajo petición.

Cifrado. Los Datos Personales del Cliente se cifran en tránsito y en reposo.

Control de acceso. El acceso a los Datos Personales del Cliente se limita al personal autorizado que lo necesita para operar el Servicio y dar soporte al Cliente. El acceso se concede por roles y requiere autenticación. Las contraseñas se almacenan cifradas y con hash.

Autenticación. El Servicio admite autenticación de dos factores, expiración de sesiones, inicio de sesión federado y listas de IP permitidas. El Cliente controla los roles y permisos de usuario dentro de su propia cuenta.

Separación por cliente. Los Datos Personales del Cliente están segregados lógicamente, de modo que los registros de cada cliente solo son accesibles dentro de su propia cuenta. Los servicios internos operan bajo el principio de mínimo privilegio, y producción está separada de los entornos de desarrollo y pruebas.

Seguridad de las integraciones. Las conexiones al CRM del Cliente usan OAuth cuando está disponible. Los tokens de OAuth se rotan de forma continua y los permisos se limitan a los necesarios para prestar el Servicio. Cuando el CRM no usa OAuth, el Cliente se conecta con sus claves API privadas y es responsable de su rotación.

Registro de actividad. Dedupely mantiene registros de actividad que documentan las fusiones y las acciones de los usuarios.

Copias de seguridad. Un subencargado mantiene copias de seguridad cifradas de la infraestructura, que se conservan durante siete (7) días.

Continuidad de negocio. Dedupely mantiene procedimientos documentados de continuidad de negocio y recuperación ante desastres, prueba periódicamente sus capacidades de recuperación y mantiene procesos de copia de seguridad adecuados a los riesgos existentes.

Seguridad física. La infraestructura de producción está alojada en Amazon Web Services y Google Cloud, que son responsables de los controles de acceso físico en sus centros de datos.

Pruebas de seguridad. Se realizan pruebas de penetración independientes y análisis de seguridad en un entorno de staging que replica producción. Los proveedores de pruebas no tienen acceso a Datos Personales del Cliente en producción.

Respuesta a incidentes. Dedupely mantiene un plan documentado de respuesta a incidentes alineado con sus certificaciones ISO, que cubre detección y clasificación de gravedad, contención, investigación y análisis de causa raíz, notificación, remediación, revisión posterior al incidente y registro con fines de auditoría.

Personal. El personal con acceso a los Datos Personales del Cliente está sujeto a obligaciones de confidencialidad y recibe formación periódica en protección de datos y seguridad.