← Volver al portal

Política de Tratamiento de Datos

Versión 1.0 — vigente desde el 4 de septiembre de 2026

Plataforma Merissel — Marco operativo de protección de datos.

• Titular y operador de la plataforma: MSP Mobility Corporation
• Número de identificación fiscal (TIN / EIN): 80-0868186
• Domicilio social: 4396 N Spoonwood Ct, Concord, California 94521, Estados Unidos de América
• Teléfono: +1 (562) 317-8171
• Agente de atención con IA: +1 (628) 212-7346
• Correo legal y de privacidad: [email protected]
• Plataforma: Merissel — https://merissel.app/geo-merissel/
• Procesador de pagos: Stripe, Inc.

1. Objeto

La presente Política de Tratamiento de Datos establece los principios, procedimientos, medidas de seguridad y responsabilidades que MSP Mobility Corporation (TIN 80-0868186), titular de la marca Merissel y operadora de la Plataforma, observa en el tratamiento de datos personales e información de sus clientes.

Este documento desarrolla operativamente los compromisos asumidos en la Política de Privacidad y en los Términos y Condiciones del Servicio, y constituye el marco de referencia interno y contractual aplicable a empleados, colaboradores, contratistas y proveedores que intervengan en la operación de Merissel.

2. Ámbito de aplicación

• Todos los datos personales tratados a través de la Plataforma Merissel, con independencia del país de residencia del titular.
• Todos los sistemas, bases de datos, entornos de alojamiento, respaldos y canales de comunicación empleados en la prestación del servicio.
• Todo el personal propio y externo con acceso, aunque sea potencial, a datos personales de clientes.
• Todos los proveedores y encargados que traten datos por cuenta de MSP Mobility Corporation.

3. Roles y responsabilidades en el tratamiento

MSP Mobility Corporation actúa bajo un doble rol, según la naturaleza de los datos:

• Datos de registro, cuenta, facturación y soporte del cliente: MSP Mobility actúa como responsable del tratamiento; el cliente es el titular de los datos.
• Contenido del Cliente que incorpore datos personales de terceros (por ejemplo, en prompts o campos libres): MSP Mobility actúa como encargado del tratamiento; el cliente es el responsable del tratamiento.
• Registros técnicos y de seguridad de la Plataforma: MSP Mobility actúa como responsable del tratamiento; el cliente es el titular/usuario del sistema.

Cuando MSP Mobility Corporation actúe como encargado, tratará los datos únicamente conforme a las instrucciones documentadas del cliente, no los destinará a finalidad distinta de la prestación del servicio, garantizará la confidencialidad del personal autorizado y suprimirá o devolverá los datos al término de la relación contractual.

3.1. Responsable interno de privacidad

La Compañía designa un responsable interno de privacidad y protección de datos, cuyo canal de contacto es [email protected], encargado de: atender las solicitudes de los titulares, supervisar el cumplimiento de esta Política, coordinar la respuesta ante incidentes, mantener el registro de actividades de tratamiento y aprobar la incorporación de nuevos encargados.

4. Principios rectores

• Licitud y lealtad: todo tratamiento cuenta con base jurídica válida y se realiza de forma leal y transparente frente al titular.
• Finalidad determinada: los datos se recaban para fines explícitos y legítimos, y no se tratan posteriormente de manera incompatible con ellos.
• Minimización: sólo se recaban los datos estrictamente necesarios para prestar el servicio. No se solicitan categorías especiales de datos.
• Exactitud: se habilitan mecanismos para que el titular actualice o corrija su información.
• Limitación del plazo de conservación: los datos se conservan únicamente durante los plazos previstos en la sección 8.
• Integridad y confidencialidad: se aplican medidas técnicas y organizativas proporcionadas al riesgo.
• Responsabilidad proactiva: la Compañía documenta el cumplimiento y revisa periódicamente sus controles.
• Privacidad desde el diseño y por defecto: toda nueva funcionalidad se evalúa desde la perspectiva de privacidad antes de su liberación.

5. Categorías de datos y de titulares

• Propietario de la cuenta: nombre, correo, cargo, empresa, país, giro, idioma, contraseña cifrada — para el alta y administración de la Organización.
• Miembros invitados del equipo: nombre, correo, rol asignado — para el acceso colaborativo al espacio de trabajo.
• Contacto de facturación: datos fiscales, referencias de pago generadas por Stripe — para la gestión de la suscripción y comprobantes.
• Usuarios de soporte: correo, contenido de la consulta, historial del caso — para la atención y trazabilidad de incidencias.
• Terceros eventualmente referidos en el Contenido del Cliente: la información que el cliente decida introducir — para la ejecución del monitoreo solicitado.

Los datos de pago sensibles (número completo de tarjeta, fecha de vencimiento y CVC/CVV) no son tratados ni almacenados por MSP Mobility Corporation en ningún momento: son capturados y procesados directamente por Stripe, Inc.

6. Ciclo de vida del dato

6.1. Recolección

Los datos se obtienen directamente del titular al registrarse, contratar un plan, invitar miembros, configurar marcas o solicitar soporte, y de forma automática mediante los registros técnicos de la Plataforma. Todo formulario de captación enlaza a la Política de Privacidad vigente.

6.2. Almacenamiento

La información reside en infraestructura de nube ubicada en los Estados Unidos de América, con acceso restringido, segmentación lógica por organización y respaldos periódicos. Las contraseñas se almacenan mediante hashing irreversible con sal criptográfica.

6.3. Uso

El acceso del personal a datos de clientes se rige por el principio de privilegio mínimo y se limita a lo indispensable para la operación, el soporte o el mantenimiento. Todo acceso administrativo queda registrado.

6.4. Transferencia

Los datos sólo se transfieren a los encargados enumerados en la sección 7, bajo contrato que imponga obligaciones de confidencialidad y seguridad equivalentes a las de esta Política. No se realizan cesiones con fines publicitarios ni venta de datos.

6.5. Supresión

Cumplidos los plazos de conservación, la información se elimina de los sistemas productivos y de los respaldos conforme al ciclo de rotación de éstos, o se anonimiza de forma irreversible cuando deba conservarse con fines estadísticos.

7. Encargados y subencargados del tratamiento

• Stripe, Inc. (Estados Unidos): procesamiento de pagos y suscripciones — acceso a datos de facturación e instrumento de pago.
• Proveedor de infraestructura en la nube (Estados Unidos): alojamiento de la aplicación y la base de datos — acceso a todos los datos de la Plataforma en reposo.
• Proveedor de correo transaccional (Estados Unidos): envío de correos operativos y de seguridad — acceso a correo electrónico y nombre.
• Motores de inteligencia artificial (según el proveedor): generación de las respuestas monitoreadas — acceso a los prompts y términos configurados por el cliente.
• Asesores contables, fiscales y legales (Estados Unidos): cumplimiento normativo y auditoría — acceso a datos de facturación, cuando resulte necesario.

Antes de incorporar un nuevo encargado, la Compañía evalúa sus garantías de seguridad y suscribe el acuerdo de tratamiento correspondiente. Los cambios relevantes en la lista de encargados se comunican a los clientes con antelación razonable, quedando a salvo su derecho a cancelar la suscripción si se opone motivadamente.

Se reitera que no se remiten a los motores de inteligencia artificial contraseñas, datos financieros, datos fiscales ni categorías especiales de datos personales.

8. Plazos de conservación

• Datos de cuenta y perfil: vigencia de la cuenta + 30 días — necesidad para la prestación del servicio.
• Configuración de marcas, prompts y competidores: vigencia de la cuenta — ejecución del contrato.
• Resultados históricos de monitoreo: vigencia + 90 días — ventana de exportación a favor del cliente.
• Facturación y comprobantes: 7 años — obligación contable y fiscal en EE. UU.
• Registros técnicos y de seguridad: 12 meses — seguridad, auditoría y prevención del fraude.
• Tickets y comunicaciones de soporte: 24 meses — trazabilidad y calidad del servicio.
• Respaldos cifrados: hasta 90 días — continuidad operativa y recuperación ante desastres.

9. Medidas de seguridad

9.1. Medidas técnicas

• Cifrado en tránsito de todas las comunicaciones mediante HTTPS/TLS.
• Almacenamiento de contraseñas mediante algoritmos de hashing robusto con sal; nunca en texto plano ni con cifrado reversible.
• Aislamiento lógico multiinquilino: cada consulta a la base de datos está acotada al identificador de la organización solicitante.
• Control de acceso basado en roles (Propietario, Miembro) y privilegio mínimo para el personal técnico.
• Protección de formularios públicos frente a automatismos y limitación de intentos de autenticación.
• Registro de eventos de seguridad: accesos, cambios de contraseña, invitaciones y operaciones administrativas.
• Respaldos periódicos con verificación de restaurabilidad.
• Aplicación oportuna de parches de seguridad sobre la aplicación y sus dependencias.

9.2. Medidas organizativas

• Cláusulas de confidencialidad para todo el personal y los colaboradores externos.
• Acuerdos de tratamiento de datos con cada encargado antes de habilitar accesos.
• Capacitación periódica en protección de datos y seguridad de la información.
• Revocación inmediata de accesos ante la desvinculación de personal.
• Revisión anual de esta Política y de la matriz de riesgos asociada.

9.3. Medidas físicas

La infraestructura se aloja en centros de datos de proveedores que mantienen controles físicos de acceso, videovigilancia, redundancia eléctrica y de red, y certificaciones de seguridad reconocidas en la industria.

10. Atención de solicitudes de los titulares

El procedimiento de atención de derechos (acceso, rectificación, cancelación, oposición, supresión, portabilidad, limitación y revocación del consentimiento) es el siguiente:

1. Recepción de la solicitud en [email protected], con acuse de recibo dentro de los cinco (5) días hábiles siguientes.
2. Verificación razonable de la identidad del solicitante o de la representación acreditada.
3. Análisis de procedencia y localización de la información en los sistemas.
4. Ejecución de la acción solicitada o respuesta motivada de improcedencia, con indicación de los recursos disponibles.
5. Respuesta al titular dentro de los plazos legales: cuarenta y cinco (45) días naturales para residentes de California, prorrogables por otros cuarenta y cinco (45); treinta (30) días naturales para las demás jurisdicciones.
6. Registro documental de la solicitud, su trámite y su resolución, conservado con fines de acreditación del cumplimiento.

Cuando la solicitud recaiga sobre datos que la Compañía trata como encargado por cuenta de un cliente, se trasladará al cliente responsable sin demora indebida y se prestará la asistencia razonable para su atención.

11. Gestión de incidentes y brechas de seguridad

1. Detección y registro del incidente, con asignación de un responsable de coordinación.
2. Contención inmediata y aislamiento de los sistemas comprometidos.
3. Evaluación del alcance: categorías y volumen de datos afectados, titulares implicados y riesgo asociado.
4. Erradicación de la causa raíz y restauración segura del servicio.
5. Notificación a los clientes afectados sin demora indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a la determinación de que se ha producido una brecha con riesgo para sus datos.
6. Notificación a las autoridades competentes cuando la normativa aplicable lo exija, dentro de los plazos legales.
7. Informe posterior con las medidas correctivas adoptadas y las acciones preventivas incorporadas.

La notificación a los afectados incluirá, como mínimo: naturaleza del incidente, categorías de datos comprometidos, consecuencias probables, medidas adoptadas y recomendaciones al titular, así como el canal de contacto para ampliar información.

12. Transferencias internacionales

La operación de Merissel implica el tratamiento de datos en los Estados Unidos de América. Para los titulares residentes en el Espacio Económico Europeo, el Reino Unido o Suiza, las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, complementadas con cifrado en tránsito, control de acceso restringido y compromiso de notificación en caso de requerimiento de autoridad extranjera, en la medida en que la ley lo permita.

Para titulares residentes en México y demás países de Latinoamérica, la transferencia se sustenta en la ejecución del contrato solicitado por el propio titular y, cuando la legislación local lo requiera, en su consentimiento expreso, informado en la Política de Privacidad.

13. Registro de actividades de tratamiento

MSP Mobility Corporation mantiene un registro interno actualizado que documenta, para cada actividad de tratamiento: la finalidad, la base jurídica, las categorías de datos y de titulares, los destinatarios, las transferencias internacionales, los plazos de supresión y una descripción general de las medidas de seguridad aplicadas. Este registro se pone a disposición de las autoridades competentes cuando así lo requieran.

14. Evaluación, auditoría y mejora continua

• Revisión anual de esta Política y actualización ante cambios normativos, tecnológicos u organizativos relevantes.
• Evaluación de impacto en privacidad previa a la incorporación de funcionalidades que supongan un tratamiento de mayor riesgo.
• Verificación periódica de los controles de acceso y de la vigencia de los permisos concedidos.
• Revisión de los acuerdos con encargados y de su nivel de cumplimiento.
• Registro de las incidencias detectadas y seguimiento de las acciones correctivas.

15. Obligaciones del cliente

• Garantizar que cuenta con base legal suficiente para incorporar a la Plataforma datos personales de terceros.
• Abstenerse de introducir en prompts, nombres de marca o campos libres datos sensibles, credenciales o información confidencial de terceros.
• Administrar correctamente los accesos de sus miembros y revocarlos cuando dejen de ser necesarios.
• Informar a la Compañía, sin demora, de cualquier uso no autorizado de su cuenta o sospecha de compromiso de credenciales.
• Atender, en su condición de responsable, las solicitudes de los titulares cuyos datos haya incorporado a la Plataforma.

16. Incumplimiento

El incumplimiento de esta Política por parte del personal o de los colaboradores de MSP Mobility Corporation dará lugar a las medidas disciplinarias o contractuales que correspondan, sin perjuicio de las responsabilidades civiles, administrativas o penales aplicables. El incumplimiento por parte de un cliente podrá motivar la suspensión o cancelación del servicio conforme a los Términos y Condiciones.

17. Vigencia, versiones y contacto

Esta Política entra en vigor en la fecha indicada en la portada y permanece vigente hasta su sustitución por una versión posterior. Las modificaciones sustanciales se comunicarán a los clientes por correo electrónico o mediante aviso destacado en la Plataforma con al menos quince (15) días naturales de antelación.

• Responsable interno de privacidad y protección de datos: [email protected]
• Solicitudes de titulares y notificación de incidentes: [email protected]
• Atención telefónica: +1 (562) 317-8171
• Agente de atención asistido por IA: +1 (628) 212-7346
• Domicilio de la Compañía: MSP Mobility Corporation — 4396 N Spoonwood Ct, Concord, California 94521, EE. UU.

Documento emitido por MSP Mobility Corporation, titular de la marca Merissel.