Esta traducción se proporciona solo para su comodidad; la versión en inglés prevalece.

Cangxin AI — Anexo de Tratamiento de Datos

Versión 1.1 (Beta) · Fecha de entrada en vigor: 11 de noviembre de 2026

1. Partes y funciones

Este anexo forma parte de los Términos de Servicio entre Westwake Inc. («Plataforma») y cada empresa de almacén («Almacén») y cada empresa vendedora («Vendedor») que usan Cangxin AI.

Términos como «información personal», «responsable del tratamiento», «encargado del tratamiento», «proveedor de servicios» y «empresa» tienen el significado que les da la legislación de privacidad de EE. UU. aplicable (por ejemplo, la CCPA).

2. Instrucciones

• La Plataforma trata la información personal de los clientes solo para prestar Cangxin AI según se describe en los Términos y en el producto, siguiendo las instrucciones documentadas del Almacén y del Vendedor (incluida la configuración que eligen), o según lo exija la ley.
• La Plataforma no vende ni comparte la información personal de los clientes, no la usa para publicidad y no la combina con otros datos, salvo en la medida necesaria para prestar el servicio.
• El Almacén da instrucciones a la Plataforma en nombre de sus Vendedores y confirma que tiene con cada Vendedor un acuerdo que ofrece al menos la misma protección que este anexo (consulte la sección 11).

3. Confidencialidad y acceso

Solo tienen acceso las personas que lo necesitan para prestar o proteger el servicio, y están sujetas a confidencialidad. Los datos de cada cliente están separados de los datos de los demás clientes mediante reglas de acceso que se prueban automáticamente.

4. Seguridad

La Plataforma aplica las medidas del Anexo 2. Puede mejorarlas, pero no reducirá el nivel general de protección.

5. Subencargados del tratamiento

• El cliente autoriza a los subencargados del tratamiento que figuran en nuestra página de Subencargados del tratamiento.
• La Plataforma avisa con al menos 30 días de anticipación, por correo electrónico a los titulares de cuentas, antes de añadir un subencargado del tratamiento que reciba información personal de los clientes. El cliente puede oponerse por motivos razonables de protección de datos. Si no podemos resolver la objeción, el cliente puede cerrar su cuenta.
• La Plataforma tiene contratos con sus subencargados del tratamiento con condiciones de protección de datos que ofrecen al menos la misma protección que este anexo, y sigue siendo responsable de ellos.

6. Conservación y eliminación

• Los nombres, direcciones, números de teléfono y direcciones de correo electrónico de los destinatarios, los archivos de etiquetas y las filas de importación de los pedidos enviados se anonimizan como máximo 30 días después del envío. El país, el estado y los 3 primeros dígitos del código ZIP se conservan para estadísticas y registros de facturación. El Almacén puede acortar este plazo a entre 1 y 30 días; el software no permite un plazo más largo ni desactivar la eliminación.
• Las fotos de empaque se conservan como evidencia para reclamaciones, visibles solo para el Almacén, salvo que el Almacén elija que se eliminen junto con los datos del destinatario. Pueden mostrar una etiqueta de envío.
• Las copias de seguridad se conservan como máximo 30 días.
• Tras el cierre de una cuenta, la Plataforma elimina o anonimiza la información personal de los clientes en un plazo de 90 días, salvo que la ley exija conservarla. El cliente puede exportar sus datos antes del cierre.

7. Solicitudes de personas

La Plataforma ayuda al cliente a responder solicitudes de personas (acceso, eliminación, corrección) en un plazo de 30 días desde la solicitud del cliente, usando las funciones del software cuando sea posible. Si una persona se comunica directamente con la Plataforma sobre datos de un cliente, la Plataforma reenvía la solicitud al cliente y no la responde por sí misma, salvo que la ley lo exija.

8. Incidentes de seguridad

• La Plataforma notifica a los clientes afectados sin demora indebida después de tener conocimiento de un incidente de seguridad que afecte a su información personal, con un objetivo de 72 horas, y antes cuando la ley lo exija.
• Si hay información de Amazon involucrada, la Plataforma también notifica a Amazon dentro de las 24 horas siguientes a su detección, como exigen las reglas de protección de datos de Amazon.
• El aviso describe lo ocurrido, los datos y el número de registros afectados, las medidas adoptadas y una persona de contacto.

9. Datos de Amazon y de otros marketplaces

Para los datos de pedidos de Amazon (o de otro marketplace con reglas similares), la Plataforma, el Almacén y el Vendedor, cada uno:

• los usan solo para cumplir los pedidos, calcular los cargos y cumplir obligaciones fiscales y legales;
• recopilan y conservan solo los datos de destinatarios necesarios para ello, y los eliminan según exige la sección 6;
• nunca revelan los datos de un vendedor a otro vendedor;
• no envían sus datos de destinatarios a las funciones de IA. El asistente de IA nunca recibe los nombres, direcciones, ciudades, códigos ZIP, números de teléfono ni correos electrónicos de los destinatarios. La importación de pedidos asistida por IA envía como máximo los encabezados de columna y hasta 20 filas de muestra de una hoja de cálculo, con las columnas de destinatarios y los valores que parecen datos de destinatarios enmascarados (códigos ZIP recortados a 3 dígitos), y nunca envía texto de pedidos pegado ni fotos o PDF de pedidos;
• los protegen con las medidas del Anexo 2.

10. Información de seguridad

Previa solicitud razonable por escrito, como máximo una vez al año, la Plataforma responde un cuestionario de seguridad y proporciona resúmenes de sus políticas de seguridad escritas.

11. Entre el Almacén y el Vendedor

Respecto de la información personal del Vendedor, el Almacén y el Vendedor acuerdan que:

• el Vendedor es el responsable del tratamiento y el Almacén es el encargado del tratamiento;
• el Almacén la trata solo para prestar sus servicios de almacén al Vendedor, a través de Cangxin AI;
• las secciones 2 a 10 se aplican entre ellos, sustituyendo «Plataforma» por «Almacén»;
• el Vendedor autoriza a la Plataforma como subencargado del tratamiento del Almacén.

12. Orden de prelación

Si este anexo entra en conflicto con los Términos en materia de información personal, prevalece este anexo.

13. Idioma

Este anexo está redactado en inglés. Las traducciones son solo para su comodidad; si una traducción difiere, prevalece el texto en inglés.

Anexo 1 — Detalles del tratamiento

• Objeto y duración: servicios de Cangxin AI, durante la vigencia de la cuenta más los plazos de eliminación de la sección 6.
• Naturaleza y finalidad: almacenamiento, operaciones de almacén, cumplimiento de pedidos, compra de etiquetas mediante la propia cuenta del cliente con el transportista o servicio de envíos, rastreo de paquetes, cálculo de uso y de cargos, funciones asistidas por IA, soporte.
• Personas: el personal del cliente; el personal de los vendedores; los destinatarios de paquetes.
• Datos: nombres, datos de contacto empresariales, direcciones, números de teléfono, direcciones de correo electrónico, contenido de pedidos, números de rastreo y eventos de escaneo, archivos de etiquetas.
• Datos sensibles: no se prevé ninguno. Los clientes no deben subir documentos de identidad, números de identificación emitidos por el gobierno ni números de cuentas financieras cuando una función no los solicite.

Anexo 2 — Medidas de seguridad implementadas

• conexiones cifradas (HTTPS) para todo el tráfico;
• copias de seguridad cifradas con AES-256 en nuestro servidor antes de que una copia salga de él, conservadas como máximo 30 días;
• reglas de acceso que separan los datos de cada cliente, con pruebas automatizadas de aislamiento;
• cortafuegos que solo permite el acceso web y de administración; base de datos no accesible desde internet;
• claves de los proveedores almacenadas de forma que no se pueden volver a leer; secretos guardados fuera del código fuente;
• políticas de seguridad escritas (control de acceso, respuesta a incidentes, gestión de claves, conservación de datos, registro de eventos, gestión de vulnerabilidades, dispositivos, subencargados del tratamiento);
• anonimización automática de los datos de destinatarios una vez transcurrido el plazo de conservación (sección 6).