Bajo el RGPD Artículo 28, cualquier empresa que utilice un encargado del tratamiento (como Zenovay) para manejar datos personales de la UE debe tener un Data Processing Agreement (DPA) en vigor con ese encargado. Publicamos un DPA estándar pre-ejecutado por Zenovay — no necesita negociar ni perseguir una firma.
Dónde está el DPA
El DPA actual está publicado en zenovay.com/legal/dpa en los seis idiomas (en, de, fr, es, pt-BR, ja). Puede leerlo en su totalidad sin iniciar sesión.
Cómo se vuelve vinculante
No necesita hacer clic en un botón "aceptar" separado ni enviar nada. El DPA publicado se convierte automáticamente en parte vinculante de su contrato cuando entra en el acuerdo Zenovay — es decir, cuando acepta nuestros Términos de Servicio en el registro. A partir de ese momento, el DPA rige el procesamiento de sus datos personales por Zenovay.
Si su equipo legal necesita una copia contra-firmada (una firma manuscrita o digital en el documento) o un apéndice personalizado, envíe un correo electrónico a [email protected] con el nombre legal de su organización y los datos de contacto del signatario, y lo arreglaremos. No hay cargo.
Qué cubre
El DPA cubre:
- Materia y duración del tratamiento.
- Naturaleza, finalidad y tipos de datos personales tratados.
- Obligaciones de Zenovay como encargado (seguridad, confidencialidad, notificación de brechas).
- Lista de subencargados y su derecho a oponerse.
- Mecanismos de transferencias internacionales (Cláusulas Contractuales Tipo + EU-US Data Privacy Framework).
- Derechos de auditoría, eliminación / devolución de datos al terminar.
- Condiciones de responsabilidad e indemnización.
Lista de subencargados
El DPA enumera cada subencargado que utiliza Zenovay. La lista actual también está en la página pública /legal/subprocessors e incluye:
- Cloudflare (hosting, edge compute, almacenamiento de objetos R2)
- Supabase (base de datos Postgres, auth)
- Stripe (procesamiento de pagos)
- Resend (email transaccional)
- Mapbox (geolocalización, globo 3D)
- OpenAI (AI insights, vía Cloudflare AI Gateway)
La página /legal/subprocessors es la lista autorizada y actualizada. Le notificamos al menos 30 días antes de añadir un nuevo subencargado. Si se opone, puede terminar el contrato según el DPA.
Residencia de datos en UE
Desde 2026-04-24, la base de datos primaria está en Frankfurt (eu-central-1). El DPA refleja esto en la cláusula de transferencias internacionales — para subencargados con sede en EE. UU., nos basamos en Cláusulas Contractuales Tipo respaldadas por las certificaciones del EU-US Data Privacy Framework.
Ver residencia de datos para el mapa completo de residencia.
Actualizaciones del DPA
Los cambios materiales al DPA se versionan. Le notificamos por email al menos 30 días antes de que una nueva versión sea vinculante. Puede oponerse a los cambios — las opciones legales siguen el derecho contractual estándar.
Aplicabilidad por plan
El DPA estándar está disponible en todos los planes, incluido Free. Para organizaciones que necesiten anexos DPA personalizados (cláusulas sectoriales, equivalente BAA para salud, etc.), los clientes Enterprise pueden negociar términos adicionales con su equipo de cuenta.