ANEXO DE TRATAMIENTO DE DATOS DE FINARENN
Data Processing Agreement — DPA
Versión: 2026-10-02
Última actualización: 2026-10-02
Vigencia: 2026-10-02
Este Anexo de Tratamiento de Datos, en adelante el “DPA”, forma parte de los Términos y Condiciones de Uso de FinArenn celebrados entre:
Proveedor / Encargado: Esther A. Ceniceros
Nombre comercial: FinArenn
Domicilio: Libramiento Norte Km. 9.6, C.P. 36821, Irapuato, Guanajuato, México.
RFC o identificación fiscal: CEOEA811126XXX
Correo de privacidad: soporte@finarenn.com
en adelante, “FinArenn”,
y la persona física o jurídica que utiliza FinArenn para administrar su actividad profesional, comercial o empresarial, en adelante, el “Usuario”.
Este DPA regula exclusivamente el tratamiento de datos personales que FinArenn realiza por cuenta del Usuario respecto de clientes, prospectos u otros terceros cuya información sea introducida por el Usuario en el Servicio.
1. Relación con los Términos y el Aviso de Privacidad
Este DPA se incorpora por referencia a los Términos y Condiciones de FinArenn y se acepta conjuntamente con ellos mediante el mecanismo de aceptación electrónica habilitado en el Servicio.
No requiere una aceptación independiente adicional, salvo que una norma imperativa aplicable exija algo distinto.
Este DPA debe distinguirse del Aviso o Política de Privacidad de FinArenn.
El Aviso de Privacidad regula principalmente los tratamientos en los que FinArenn actúa como responsable o controlador, por ejemplo respecto de los datos de cuenta, autenticación, pagos, soporte y relación contractual del propio Usuario.
Este DPA regula los tratamientos en los que FinArenn actúa por cuenta del Usuario respecto de datos personales de terceros.
2. Roles de las partes
Respecto de los datos personales de los clientes, prospectos u otros terceros introducidos por el Usuario:
El Usuario determina las finalidades para las cuales obtiene y utiliza dichos datos y, por tanto, actúa como responsable, controlador o figura equivalente, según la legislación aplicable.
FinArenn actúa como encargado, procesador u operador, cuando recibe, almacena, sincroniza, respalda o trata técnicamente dichos datos por cuenta del Usuario para prestar el Servicio.
La denominación contractual no altera la calificación jurídica que corresponda conforme a los hechos y a la legislación aplicable.
Si FinArenn llegara a determinar una finalidad propia e independiente respecto de dichos datos, ese tratamiento quedaría fuera del papel de encargado regulado por este DPA y requeriría la base jurídica, información y documentación que corresponda.
3. Datos que permanecen exclusivamente en el dispositivo
Cuando determinados datos permanecen exclusivamente en el dispositivo del Usuario y FinArenn no los recibe, almacena remotamente, consulta ni tiene capacidad técnica de acceso a ellos, dichas operaciones no constituyen tratamiento por FinArenn en calidad de encargado a efectos de este DPA.
Cuando las funciones de sincronización, respaldo u otra funcionalidad remota transfieren dichos datos a infraestructura utilizada por FinArenn, el tratamiento pasa a quedar comprendido dentro de este DPA.
La arquitectura técnica auditada de FinArenn confirma precisamente esta distinción entre información puramente local y datos que pueden sincronizarse o respaldarse remotamente.
4. Objeto del tratamiento
FinArenn podrá tratar los Datos Encargados únicamente para prestar las funciones contratadas por el Usuario.
Según las funcionalidades habilitadas, estas operaciones pueden comprender:
- recepción;
- registro;
- organización;
- almacenamiento;
- conservación;
- sincronización;
- respaldo;
- recuperación;
- actualización;
- transmisión técnica;
- generación o preparación de información para documentos solicitados por el Usuario;
- medidas de seguridad e integridad;
- supresión conforme a las instrucciones y condiciones aplicables.
FinArenn no obtiene propiedad sobre los Datos Encargados.
5. Duración
El tratamiento se realizará durante el tiempo en que la cuenta del Usuario permanezca activa y mientras sea necesario para prestar las funciones correspondientes.
Cuando la relación contractual termine o el Usuario solicite válidamente la eliminación de su cuenta, FinArenn procederá a la devolución, exportación cuando corresponda y/o supresión de los Datos Encargados de acuerdo con este DPA, la legislación aplicable y los mecanismos técnicos del Servicio.
Podrán existir periodos limitados de conservación únicamente cuando una obligación jurídica o una causa legítima permita o exija conservar determinada información.
La conservación legal propia de FinArenn no autoriza a conservar indiscriminadamente los datos comerciales o los datos de los clientes del Usuario.
6. Categorías de titulares
Los Datos Encargados pueden corresponder, principalmente, a:
- clientes del Usuario;
- prospectos;
- personas de contacto de clientes;
- otras personas cuyos datos sean registrados legítimamente por el Usuario en relación con su actividad comercial o profesional.
El Usuario no deberá utilizar FinArenn para construir bases de datos de personas sin relación legítima con su actividad o para finalidades ilícitas.
7. Categorías de datos
Dependiendo de la información que introduzca el Usuario, FinArenn puede procesar datos tales como:
- nombre;
- teléfono;
- número de WhatsApp;
- correo electrónico;
- domicilio;
- RFC u otro identificador fiscal introducido por el Usuario;
- nombre comercial o razón social;
- notas;
- identificadores internos;
- fechas de creación y actualización;
- información contenida en cotizaciones;
- información contenida en notas de servicio;
- datos comerciales o transaccionales relacionados con la relación entre el Usuario y su cliente.
8. Datos sensibles y categorías especiales
FinArenn no está diseñado para almacenar información sensible que no sea necesaria para las funciones ordinarias del Servicio.
El Usuario se compromete a no introducir deliberadamente datos sensibles, categorías especiales de datos, información médica, biométrica, relativa a menores u otra información especialmente protegida, salvo que:
- sea estrictamente necesaria para una finalidad legítima relacionada con su actividad;
- cuente con una base jurídica válida;
- cumpla los requisitos adicionales establecidos por la legislación aplicable; y
- el uso de FinArenn para ese tratamiento sea compatible con las funciones y medidas de seguridad disponibles.
FinArenn podrá establecer restricciones adicionales respecto de determinadas categorías de datos cuando sea necesario por motivos jurídicos o de seguridad.
9. Instrucciones documentadas del Usuario
FinArenn tratará los Datos Encargados únicamente conforme a instrucciones documentadas del Usuario.
Constituyen instrucciones documentadas:
- estos Términos;
- este DPA;
- las configuraciones seleccionadas en FinArenn;
- las acciones que el Usuario ejecuta voluntariamente dentro de la aplicación para almacenar, sincronizar, respaldar, editar, exportar o eliminar información;
- instrucciones adicionales legítimas acordadas por escrito entre las partes.
Si FinArenn considera que una instrucción podría infringir una obligación legal aplicable, podrá suspender su ejecución e informar al Usuario cuando legalmente pueda hacerlo.
10. Obligaciones del Usuario como responsable
El Usuario declara que los Datos Encargados que introduzca en FinArenn han sido obtenidos y son tratados lícitamente.
Corresponde al Usuario:
- determinar las finalidades del tratamiento de sus clientes;
- contar con el consentimiento u otra base jurídica cuando sea necesario;
- proporcionar los avisos o información que le correspondan;
- mantener la información razonablemente actualizada;
- atender los derechos de sus clientes como responsable;
- respetar los principios de proporcionalidad y minimización;
- no introducir datos que legalmente no esté autorizado a tratar;
- no utilizar FinArenn para actividades ilícitas.
FinArenn no asume por este DPA las obligaciones que legalmente corresponden al Usuario por las decisiones que éste adopte sobre las finalidades de tratamiento de sus propios clientes.
11. Obligaciones de FinArenn como encargado
FinArenn se compromete a:
tratar los Datos Encargados únicamente para prestar el Servicio y conforme a instrucciones documentadas;
no apropiarse de los Datos Encargados;
no venderlos;
no utilizarlos para marketing propio dirigido a los clientes del Usuario;
no utilizarlos para entrenar modelos de inteligencia artificial propios o de terceros;
no elaborar perfiles comerciales propios de los clientes del Usuario a partir de información identificable;
limitar el acceso a dichos datos a las personas, sistemas y proveedores que razonablemente lo requieran para prestar o proteger el Servicio;
exigir deberes apropiados de confidencialidad;
aplicar medidas técnicas y organizativas razonables de seguridad;
ayudar razonablemente al Usuario a atender solicitudes de derechos;
informar al Usuario cuando confirme un incidente que pueda afectar materialmente los Datos Encargados;
eliminar o devolver los datos al terminar la relación cuando corresponda.
La prohibición de utilizar los datos de clientes para finalidades propias es coherente con la matriz jurídica elaborada para FinArenn: un uso propio convertiría a FinArenn en responsable para esa finalidad.
12. Confidencialidad
FinArenn adoptará medidas razonables para que las personas que puedan tener acceso legítimo a los Datos Encargados estén sujetas a obligaciones de confidencialidad apropiadas.
El acceso administrativo potencial derivado de permisos de infraestructura no significa que el personal de FinArenn deba acceder ordinariamente al contenido de los usuarios.
El principio aplicable será otorgar acceso sólo cuando exista una necesidad operativa, de seguridad, soporte o cumplimiento legítima.
13. Seguridad
FinArenn mantendrá medidas técnicas y organizativas razonables considerando la naturaleza del Servicio, el tipo de información tratada y los riesgos previsibles.
Estas medidas pueden comprender, según corresponda:
- autenticación de usuarios;
- reglas de autorización;
- separación lógica por identificador de usuario;
- controles de acceso;
- comunicaciones protegidas por los mecanismos provistos por la infraestructura utilizada;
- medidas de integridad;
- respaldos;
- validaciones server-side para operaciones sensibles;
- mecanismos de eliminación y bloqueo;
- mantenimiento y actualización de componentes.
FinArenn no declarará como medida existente una característica que técnicamente no haya sido implementada o verificada.
Los mecanismos de respaldo pueden utilizar compresión y controles de integridad mediante SHA-256. Estos controles de integridad no equivalen a cifrado de extremo a extremo.
Por ello, este DPA no promete cifrado de extremo a extremo.
Las medidas de seguridad y cifrado administradas por los proveedores de infraestructura se rigen por la configuración de los servicios utilizados y por su documentación contractual aplicable.
14. Subencargados
El Usuario autoriza a FinArenn a utilizar proveedores tecnológicos razonablemente necesarios para prestar el Servicio, siempre que FinArenn adopte las medidas contractuales correspondientes cuando dichos proveedores actúen como subencargados respecto de Datos Encargados.
FinArenn utiliza Google/Firebase para funciones que pueden comprender autenticación, Cloud Firestore, Cloud Functions, Hosting y otras operaciones técnicas. Datos comerciales y respaldos pueden llegar a esa infraestructura.
Antes de la publicación definitiva de este DPA deberá completarse la lista de subencargados con:
Proveedor: Google / Firebase
Entidad contractual: Google Cloud México, S. de R.L. de C.V. (para servicios sujetos a la entidad contractual de Google Cloud aplicable a cuentas con dirección de facturación en México)
Servicios relevantes: Firebase Authentication, Cloud Firestore, Cloud Functions y Firebase Hosting, según las funciones utilizadas
Finalidad: autenticación, almacenamiento, sincronización, respaldo e infraestructura
Ubicación o región relevante: Cloud Firestore multirregión nam5 (Estados Unidos, centro); otros servicios pueden utilizar la infraestructura y regiones configuradas por Google/Firebase
Información contractual/privacidad: documentación contractual y de privacidad de Google Cloud/Firebase
Mercado Pago no se considera subencargado de los Datos Encargados de clientes del Usuario bajo este DPA, porque su integración se utiliza para procesar pagos de FinArenn y no para administrar la cartera de clientes del Usuario.
Del mismo modo, WhatsApp utilizado voluntariamente por el Usuario para contactar a sus clientes no se considerará automáticamente subencargado de FinArenn bajo este DPA: cuando el Usuario decide abrir y enviar esa comunicación, actúa directamente frente al servicio externo correspondiente.
15. Cambios de subencargados
FinArenn podrá modificar su lista de subencargados cuando incorpore, sustituya o deje de utilizar un proveedor.
Cuando un cambio pueda tener un impacto material sobre el tratamiento de Datos Encargados, FinArenn proporcionará información razonable sobre el cambio conforme a la legislación aplicable.
Cuando una jurisdicción exija una autorización específica para el subencargo, se aplicará el anexo local correspondiente.
16. Transferencias internacionales
Algunos proveedores de infraestructura pueden tratar información en países distintos de aquel en el que se encuentra el Usuario o sus clientes.
FinArenn procurará utilizar los mecanismos jurídicos exigidos para las transferencias o transmisiones internacionales que resulten aplicables.
Esto podrá incluir cláusulas contractuales, mecanismos de adecuación, contratos de transmisión u otros instrumentos previstos por la legislación correspondiente.
Los detalles concretos sobre regiones, países de tratamiento y mecanismos aplicables deberán indicarse en la lista actualizada de subencargados y, cuando sea necesario, en los anexos locales.
La ubicación del tratamiento puede variar según el servicio utilizado. Cloud Firestore se encuentra configurado en la multirregión nam5 de Estados Unidos (Central). Otros servicios de Google/Firebase pueden operar en regiones o infraestructura adicionales conforme a su configuración y condiciones aplicables.
17. Derechos de los titulares
El Usuario, como responsable, es el principal punto de contacto para sus propios clientes respecto del ejercicio de derechos de acceso, rectificación, corrección, cancelación, supresión, oposición, portabilidad, revocación u otros equivalentes reconocidos por la legislación aplicable.
Si FinArenn recibe directamente una solicitud identificable relacionada exclusivamente con Datos Encargados:
- podrá remitir al titular al Usuario;
- podrá informar al Usuario de la solicitud cuando corresponda;
- prestará asistencia razonable para localizar, exportar, rectificar o eliminar la información cuando técnicamente sea necesario.
FinArenn no responderá en nombre del Usuario cuestiones que impliquen decidir la legitimidad o finalidad original del tratamiento salvo que exista una obligación legal directa.
18. Incidentes de seguridad
Si FinArenn confirma un incidente de seguridad que comprometa Datos Encargados de forma que pueda generar obligaciones de notificación para el Usuario, FinArenn le comunicará el incidente sin dilación indebida, proporcionando la información disponible que razonablemente necesite para evaluar el hecho y cumplir sus propias obligaciones.
Cuando esté disponible, dicha información podrá incluir:
- naturaleza del incidente;
- categorías de datos afectadas;
- categorías o número aproximado de titulares;
- medidas adoptadas o propuestas;
- consecuencias previsibles;
- información adicional razonablemente útil.
FinArenn podrá proporcionar información de forma progresiva si no dispone de todos los elementos al realizar la primera comunicación.
Debido a que los plazos de notificación de incidentes varían entre jurisdicciones, FinArenn comunicará los incidentes aplicables sin dilación indebida y de conformidad con la legislación que corresponda.
19. Copias de seguridad y recuperación
Cuando las funciones correspondientes estén habilitadas, determinados Datos Encargados pueden formar parte de los mecanismos remotos de sincronización o respaldo.
Los respaldos se utilizarán únicamente para finalidades relacionadas con operación, integridad, recuperación y continuidad del Servicio.
El mecanismo de respaldo no otorga a FinArenn derecho a reutilizar el contenido para finalidades comerciales propias.
La arquitectura técnica auditada indica que los clientes y otros datos comerciales pueden incluirse tanto en Sync V1 como en Backup V2 cuando los flujos correspondientes están habilitados.
20. Devolución, exportación y supresión
Antes de solicitar la eliminación permanente de su cuenta, el Usuario podrá utilizar las herramientas de exportación que FinArenn ponga a su disposición.
La exportación local disponible en FinArenn refleja los datos disponibles en el dispositivo correspondiente y no debe interpretarse como certificación de que contiene absolutamente toda copia externa o histórica existente.
Cuando la eliminación de la cuenta sea aceptada de forma irreversible, FinArenn procederá a purgar los Datos Encargados de los sistemas operativos y respaldos bajo su control conforme al proceso técnico implementado.
Cuando una copia o registro deba permanecer temporalmente por una obligación legal aplicable, se mantendrá separado del uso operativo ordinario y será eliminado una vez termine la causa de conservación.
Los archivos previamente descargados por el Usuario, documentos enviados por éste a terceros y datos almacenados directamente por servicios externos quedan fuera de la capacidad técnica de eliminación de FinArenn.
21. Datos contenidos en documentos históricos
Las cotizaciones y notas de servicio pueden conservar copias o “snapshots” de determinados datos de contacto que existían al momento en que el documento fue creado.
Modificar o desactivar posteriormente una ficha de cliente no necesariamente modifica automáticamente los documentos históricos que ya fueron creados.
El Usuario es responsable de determinar qué documentos necesita conservar en su actividad y por cuánto tiempo antes de solicitar la eliminación total de su cuenta.
22. Auditorías y evidencia de cumplimiento
Cuando una legislación aplicable otorgue al Usuario derechos de comprobación respecto de FinArenn como encargado, FinArenn podrá satisfacer razonablemente dichos requerimientos mediante:
- documentación;
- cuestionarios;
- información sobre arquitectura y seguridad;
- certificaciones o informes de proveedores cuando estén disponibles;
- otra evidencia proporcionada de forma proporcional al riesgo.
Una inspección directa de infraestructura o sistemas sólo procederá cuando sea jurídicamente necesaria y no pueda satisfacerse razonablemente mediante medios menos intrusivos, respetando la seguridad y confidencialidad de otros usuarios.
23. Solicitudes de autoridades
Si FinArenn recibe una solicitud legalmente válida de una autoridad respecto de Datos Encargados, podrá cumplirla en la medida exigida por la ley.
Cuando esté permitido, FinArenn procurará informar al Usuario antes de entregar la información.
La actuación obligatoria frente a una autoridad no convierte por sí misma a FinArenn en responsable de las finalidades comerciales originales del Usuario.
24. Prohibición de uso propio
FinArenn no utilizará Datos Encargados identificables para:
- vender bases de clientes;
- construir bases comerciales propias;
- publicidad propia dirigida a los clientes del Usuario;
- entrenamiento de modelos;
- benchmarking identificable entre usuarios;
- enriquecimiento de perfiles de terceros;
- finalidades incompatibles con la prestación contratada.
FinArenn podrá utilizar información verdaderamente anonimizada y agregada para estadísticas generales, seguridad o mejora del Servicio cuando ya no permita identificar razonablemente a una persona ni reconstruir el contenido comercial de un Usuario.
La mera seudonimización no se considerará anonimización.
25. Responsabilidad
Cada parte será responsable del cumplimiento de las obligaciones que legalmente le correspondan según su papel efectivo en el tratamiento.
El Usuario no trasladará a FinArenn responsabilidad por decisiones propias respecto de la obtención, finalidad o legitimidad de los datos de sus clientes.
FinArenn tampoco podrá excluir contractualmente la responsabilidad que la legislación aplicable le atribuya por sus propias actuaciones como encargado.
Ninguna cláusula de este DPA debe interpretarse como una renuncia a derechos u obligaciones que no puedan limitarse válidamente.
26. Cambios al DPA
FinArenn podrá actualizar este DPA para reflejar:
- cambios legales;
- nuevos subencargados;
- cambios materiales de arquitectura;
- nuevas funciones;
- requisitos regulatorios;
- medidas de seguridad.
Cada versión deberá tener una fecha e identificador propios.
Cuando una modificación cambie materialmente las obligaciones contractuales del Usuario o la forma en que FinArenn trata Datos Encargados, se aplicará el mecanismo de notificación y, cuando corresponda, nueva aceptación previsto en los Términos.
27. Legislación y anexos locales
Este DPA constituye una base regional.
Cuando la legislación imperativa de un país establezca requisitos adicionales para el tratamiento por encargados, dichos requisitos se incorporarán mediante un Anexo Local o se considerarán integrados en la medida en que sean obligatorios.
En caso de contradicción:
- prevalecerá la norma imperativa aplicable;
- después, el Anexo Local correspondiente;
- después, este DPA;
- después, los Términos generales, únicamente en materias relativas al tratamiento regulado aquí.
28. Contacto sobre protección de datos
Las consultas relacionadas con este DPA podrán enviarse a:
Correo de privacidad: soporte@finarenn.com
Responsable de contacto: Esther A. Ceniceros
Domicilio: Libramiento Norte Km. 9.6, C.P. 36821, Irapuato, Guanajuato, México.
ANEXO A — Descripción del tratamiento
Objeto: prestación técnica de FinArenn.
Duración: mientras el Usuario mantenga su cuenta y durante los periodos de supresión, bloqueo o conservación justificada que correspondan.
Naturaleza de las operaciones: almacenamiento, sincronización, respaldo, recuperación, organización, consulta técnica cuando sea necesaria, transmisión instruida por el Usuario y eliminación.
Finalidades: permitir al Usuario administrar clientes, documentos y actividad comercial mediante las funciones de FinArenn; proteger la integridad y disponibilidad del Servicio; recuperar información cuando proceda.
Titulares: clientes, prospectos y personas de contacto relacionadas con el Usuario.
Categorías de datos: identificación, contacto, domicilio, información fiscal introducida por el Usuario, información comercial y transaccional, notas y contenido de documentos.
Datos sensibles previstos: ninguno como función ordinaria.
ANEXO B — Subencargados
| Proveedor | Función | Datos que pueden tratar | Ubicación / región | Estado |
|---|---|---|---|---|
| Google / Firebase | Firestore, autenticación, Functions, Hosting e infraestructura técnica aplicable | Datos de clientes sincronizados o respaldados e información comercial relacionada | Firestore: multirregión nam5 (Estados Unidos, centro) | Activo |
Mercado Pago no figura en esta tabla como subencargado de los datos de clientes del Usuario, ya que su función corresponde al procesamiento de pagos de FinArenn.