En corto: los datos de tus clientes y de tu personal son de tu negocio y tú decides qué se hace con ellos. Vellis sólo los guarda y procesa para darte el servicio, con las medidas de seguridad descritas abajo, y te los devuelve cuando termines.
1. Partes y aceptación
- El Responsable: el negocio titular de la cuenta de Vellis (clínica, hospital, estética, guardería, escuela o tienda), representado por quien acepta.
- El Encargado: Vellis, con domicilio en Sur 22, Col. Agrícola Oriental, Alcaldía Iztacalco, C.P. 08500, Ciudad de México y correo soporte@vellis.vet.
Este contrato forma parte de los Términos y condiciones y se acepta junto con ellos al crear la cuenta. Rige mientras el Responsable use Vellis y hasta que se cumpla lo previsto en la cláusula 11.
2. Objeto y datos tratados
El Encargado trata, por cuenta del Responsable, los datos personales que éste o su personal cargan en Vellis:
- Clientes (tutores): nombre, teléfono, correo, domicilio, datos fiscales si facturan, historial de citas, compras, pagos, saldos y mensajes.
- Mascotas vinculadas a sus tutores: expediente clínico, vacunas, fotos y notas.
- Personal del Responsable: nombre, contacto, puesto, horarios y, si se usa el módulo correspondiente, datos de nómina, asistencia (incluida foto y ubicación al registrar entrada, si se activa) y datos fiscales y de seguridad social.
El Responsable no debe cargar datos personales sensibles que no sean necesarios para su actividad. Si lo hace, le corresponde obtener el consentimiento expreso que la ley exige.
3. Obligaciones del Responsable
- Contar con un aviso de privacidad propio frente a sus clientes y su personal, y ponerlo a su disposición. Puede partir de nuestra plantilla, que debe adaptar.
- Tener una base legítima (consentimiento u otra que prevea la ley) para cada dato que carga y cada mensaje que envía.
- Atender las solicitudes de derechos ARCO de sus titulares.
- Configurar quién de su equipo accede a qué, y mantener a salvo sus credenciales.
4. Instrucciones y finalidades
El Encargado tratará los datos sólo conforme a las instrucciones del Responsable, que son las que resultan de:
- prestar las funciones de Vellis que el Responsable usa y configura (agenda, expediente, ventas, facturación, mensajería, recordatorios, finanzas, nómina, IA, entre otras);
- dar soporte cuando el Responsable lo pide y abre un acceso temporal;
- mantener la seguridad, los respaldos y la continuidad del servicio;
- cumplir un mandato de autoridad competente, del que avisará al Responsable salvo que la ley lo prohíba.
El Encargado no usará los datos para fines propios, no los venderá ni los comunicará a terceros fuera de lo previsto aquí. Si considera que una instrucción viola la ley, lo avisará al Responsable.
5. Confidencialidad
El Encargado guardará confidencialidad sobre los datos, aun después de terminar este contrato. Sólo accederán a ellos las personas de su equipo que lo necesiten para prestar el servicio, obligadas a la misma confidencialidad. El acceso de soporte a la cuenta del Responsable sólo existe si éste lo abre, es temporal y queda en su bitácora.
6. Medidas de seguridad
Las medidas vigentes, descritas con más detalle en Seguridad, son:
- Separación de datos por negocio, filtrada en el servidor en cada consulta, con una prueba automática que revisa el código en cada cambio.
- Permisos por puesto y por acción, aplicados en el servidor; posibilidad de limitar a un colaborador a su sucursal y a sus citas.
- Bitácora de cambios (quién, qué y cuándo).
- Sesiones en una cookie que las páginas no pueden leer, con caducidad de 7 días y cierre de todas las sesiones a petición.
- Contraseñas guardadas con bcrypt; credenciales del PAC cifradas con AES-256-GCM.
- Archivos guardados en la carpeta de cada negocio, accesibles sólo con sesión del negocio o enlace firmado.
- Conexión cifrada (HTTPS obligatorio) y conexión cifrada a la base de datos.
- Base de datos administrada (TiDB Cloud) con respaldos y cifrado en reposo provistos por ese proveedor.
7. Subencargados
El Responsable autoriza al Encargado a apoyarse en los siguientes subencargados, cada uno sólo para la función indicada. Los marcados «sólo si se activa» no reciben datos hasta que el Responsable enciende esa función.
| Proveedor | Para qué | Qué datos | Dónde | Cuándo |
|---|---|---|---|---|
| Vercel Inc. | Hospedaje de la aplicación, funciones del servidor y almacenamiento de archivos (fotos y documentos). | Todos los que pasan por la aplicación; archivos que sube el negocio. | Estados Unidos | Siempre |
| PingCAP (TiDB Cloud) | Base de datos administrada, respaldos y cifrado en reposo. | Todos los datos de la cuenta. | Estados Unidos (región de la nube contratada) | Siempre |
| Resend | Envío de correos (acceso, avisos y recordatorios). | Correo y nombre del destinatario y contenido del mensaje. | Estados Unidos | Siempre |
| Meta Platforms (WhatsApp Cloud API) | Mensajes de WhatsApp del negocio a sus clientes. | Teléfono, nombre y contenido de los mensajes. | Estados Unidos y otros países | Sólo si se activa |
| Twilio | SMS de respaldo y WhatsApp por Twilio. | Teléfono y contenido del mensaje. | Estados Unidos | Sólo si se activa |
| OpenAI | Funciones de inteligencia artificial: notas clínicas, dictado, lectura de comprobantes y agente de WhatsApp. | Sólo lo que necesita cada tarea (texto, audio o imagen). | Estados Unidos | Sólo si se activa |
| Inicio de sesión con Google, sincronización con Google Calendar y mapas (direcciones, zonas y rutas). | Correo y nombre de quien inicia sesión; citas sincronizadas; direcciones. | Estados Unidos y otros países | Sólo si se activa | |
| Clerk | Verificación del inicio de sesión con Google. | Correo y nombre de quien inicia sesión. | Estados Unidos | Sólo si se activa |
| Stripe | Cobro de la suscripción de Vellis y, si el negocio lo usa, cobros a sus clientes. | Nombre, correo, importe; los datos de tarjeta los recibe Stripe directamente. | Estados Unidos | Siempre |
| Mercado Pago | Cobro del plan y cobros del negocio a sus clientes. | Nombre, correo, importe y referencia del pago. | México y otros países | Sólo si se activa |
| PayPal | Cobro del plan de Vellis. | Nombre, correo, importe y referencia del pago. | Estados Unidos | Sólo si se activa |
| Openpay (BBVA) | Cobros del negocio a sus clientes con su propia cuenta de Openpay. | Nombre, correo, importe y referencia del cargo. | México | Sólo si se activa |
| Facturama (PAC) | Timbrado de CFDI ante el SAT. | Datos fiscales del emisor y del receptor y conceptos facturados. | México | Sólo si se activa |
| Belvo | Lectura de movimientos bancarios para la conciliación. | Movimientos de la cuenta bancaria que el negocio liga. | México y otros países | Sólo si se activa |
El Encargado exigirá a cada subencargado obligaciones de confidencialidad y seguridad equivalentes a las de este contrato. Mantendrá esta lista actualizada en esta página y avisará al Responsable, por correo o dentro de la plataforma, antes de incorporar un subencargado nuevo; el Responsable podrá oponerse por motivos razonables y, si no se llega a una solución, cancelar sin penalización.
8. Transferencias internacionales
Varios subencargados están fuera de México, principalmente en Estados Unidos. El Responsable autoriza esas remisiones, que se hacen sólo para prestar el servicio y bajo las condiciones contractuales de cada proveedor.
9. Derechos ARCO y solicitudes de los titulares
- Si un cliente o colaborador del Responsable escribe al Encargado para ejercer sus derechos, el Encargado no la resolverá por su cuenta: la turnará al Responsable sin demora.
- El Responsable puede consultar, corregir y desactivar los datos de sus titulares desde la plataforma, y descargar los reportes que ofrece cada módulo. Cuando algo no pueda hacerlo por sí mismo, el Encargado le ayudará a hacerlo dentro de los plazos legales.
10. Vulneraciones de seguridad
Si el Encargado detecta una vulneración que afecte los datos del Responsable, le avisará sin demora indebida (y en cuanto la confirme), con lo que se sepa de su naturaleza, los datos comprometidos, las medidas tomadas y las recomendaciones para los titulares, para que el Responsable pueda informar a los afectados como exige la ley. Ambos colaborarán para mitigarla.
11. Devolución y supresión al terminar
Al terminar la relación, el Encargado conservará los datos 30 días para que el Responsable pida su exportación completa (formatos abiertos y archivos), aun si la cuenta está bloqueada. Pasado ese plazo los suprimirá, incluidas las copias, salvo lo que una ley le obligue a conservar, que mantendrá bloqueado y sólo para ese fin. Los respaldos automáticos del proveedor de base de datos se eliminan conforme a su propio ciclo de retención.
12. Auditoría razonable
A solicitud por escrito y con aviso razonable, el Encargado entregará la información necesaria para demostrar que cumple este contrato (descripción de medidas, lista de subencargados, constancias disponibles de sus proveedores). Las revisiones adicionales se acordarán por escrito, sin afectar la seguridad ni la confidencialidad de otros clientes.
13. Responsabilidad, ley y jurisdicción
Cada parte responde por el incumplimiento de sus propias obligaciones. Se aplican la limitación de responsabilidad, la ley aplicable y la jurisdicción de la Ciudad de México previstas en los Términos y condiciones.
14. Contacto
Para cualquier asunto de este contrato: soporte@vellis.vet.