Anexo de Privacidad de Datos

Fecha de vigencia: 16 de febrero de 2025

entre

Cliente de acuerdo con los GTC como Controlador (en adelante "El Controlador"),

Wave Connect Inc. , 3 Pl. Ville-Marie Suite 400, H3B 2E3, Montreal, Canadá como Procesador de Datos (en adelante "Procesador de Datos", Controlador y Procesador de Datos conjuntamente las "Partes")

Preámbulo

El Controlador ha encargado al Procesador de Datos en el GTC (en adelante "Acuerdo Principal") los servicios especificados en el mismo. Parte de la ejecución del contrato es el procesamiento de datos personales. En particular, el Art. 28 del RGPD impone requisitos específicos a dicho procesamiento por encargo. Para cumplir con estos requisitos, las Partes celebran el siguiente Acuerdo de Procesamiento de Datos (en adelante "Acuerdo"), cuyo cumplimiento no será remunerado por separado salvo acuerdo expreso.

1. Definiciones

(1) Conforme al Art. 4 (7) del RGPD, el Controlador es la entidad que sola o conjuntamente con otros controladores determina los propósitos y los medios del procesamiento de datos personales.

(2) Conforme al Art. 4 (8) del RGPD, un Procesador de Datos es una persona física o jurídica, autoridad, institución u otro ente que procesa datos personales en nombre del Controlador.

(3) Conforme al Art. 4 (1) del RGPD, "datos personales" significa cualquier información relacionada con una persona física identificada o identificable (en adelante "Interesado"); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular en referencia a un identificador como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física.

(4) Los datos personales que requieren especial protección son aquellos conforme al Art. 9 del RGPD que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, o afiliaciones sindicales de los interesados, los datos personales conforme al Art. 10 del RGPD sobre condenas penales y delitos o medidas de seguridad relacionadas, así como los datos genéticos conforme al Art. 4 (13) del RGPD, datos biométricos conforme al Art. 4 (14) del RGPD, datos de salud conforme al Art. 4 (15) del RGPD, y datos sobre la vida sexual o la orientación sexual de una persona física.

(5) Según el Artículo 4 (2) del RGPD, el procesamiento es cualquier operación o conjunto de operaciones que se realiza sobre datos personales, ya sea de forma automatizada o no, como recogida, registro, organización, archivo, almacenamiento, adaptación o alteración, recuperación, consulta, uso, divulgación por transmisión, difusión o de otro modo puesta a disposición, alineación o combinación, restricción, borrado o destrucción.

(6) Conforme al Artículo 4 (21) del RGPD, la autoridad de supervisión es un organismo estatal independiente establecido por un Estado miembro conforme al Artículo 51 del RGPD.

(7) "Leyes de Protección de Datos Europeas" significa todas las leyes y regulaciones de protección de datos aplicables al Espacio Económico Europeo y sus estados miembros ("EEE"), Suiza y el Reino Unido ("UK"), incluyendo (i) el Reglamento 2016/679 del Parlamento Europeo y del Consejo sobre la protección de las personas físicas en cuanto al tratamiento de datos personales y la libre circulación de dichos datos (Reglamento General de Protección de Datos) ("RGPD"); (ii) la Directiva 2002/58/CE relativa al tratamiento de datos personales y la protección de la intimidad en el sector de las comunicaciones electrónicas; (iii) implementaciones nacionales aplicables de (i) y (ii); (iv) el RGPD tal como forma parte de la legislación del Reino Unido en virtud de la sección 3 del Acta de Retiro de la Unión Europea (Retiro del Reino Unido) 2018 y la Ley de Protección de Datos del Reino Unido de 2018 (conjuntamente, "Leyes de Protección de Datos del Reino Unido"); y (v) la Ley Federal de Protección de Datos de Suiza del 19 de junio de 1992 y su Ordenanza ("LPDS").

2. Objeto del contrato

(1) El Procesador de Datos proporciona los servicios especificados en el Contrato Principal para el Controlador. Al hacerlo, el Procesador de Datos obtiene acceso a datos personales, que procesa para el Controlador exclusivamente en nombre y de acuerdo con las instrucciones del Controlador. El alcance y propósito del procesamiento de datos por parte del Procesador de Datos se establecen en el Contrato Principal y en cualquier descripción de servicio asociada. El Controlador será responsable de evaluar la admisibilidad del procesamiento de datos.

(2) Las Partes celebran el presente Acuerdo para especificar los derechos y obligaciones mutuos bajo las leyes de protección de datos. En caso de duda, las disposiciones de este Acuerdo prevalecerán sobre las disposiciones del Contrato Principal.

(3) Las disposiciones de este contrato se aplicarán a todas las actividades relacionadas con el Contrato Principal en las que el Procesador de Datos y sus empleados o personas autorizadas por el Procesador de Datos entren en contacto con datos personales originarios del Controlador o recopilados para el Controlador.

(4) La vigencia de este Acuerdo estará regida por la vigencia del Contrato Principal, salvo que las siguientes disposiciones generen obligaciones adicionales o derechos de rescisión.

3. Derecho de instrucciones

(1) El Procesador de Datos solo podrá recopilar, procesar o utilizar datos dentro del ámbito del Contrato Principal y de acuerdo con las instrucciones del Controlador. Si el Procesador de Datos está obligado a realizar un procesamiento adicional por la ley de la Unión Europea o de los Estados miembros a los que está sujeto, notificará al Controlador de estos requisitos legales antes del procesamiento.

(2) Las instrucciones del Controlador serán inicialmente determinadas por este Acuerdo. Posteriormente, podrán ser modificadas, complementadas o sustituidas por el Controlador por escrito o en forma de texto mediante instrucciones individuales (Instrucciones Individuales). El Controlador tendrá derecho a emitir tales instrucciones en cualquier momento. Esto incluye instrucciones con respecto a la corrección, eliminación y bloqueo de datos.

(3) Todas las instrucciones emitidas deberán ser documentadas por el Controlador. Las instrucciones que excedan el servicio acordado en el Contrato Principal serán tratadas como una solicitud de cambio en el servicio.

(4) Si el Procesador de Datos opina que una instrucción del Controlador viola las disposiciones de protección de datos, deberá notificarlo al Controlador sin demora indebida. El Procesador de Datos tendrá derecho a suspender la implementación de la instrucción relevante hasta que sea confirmada o modificada por el Controlador. El Procesador de Datos podrá negarse a ejecutar una instrucción obviamente ilegal.

4. Tipos de datos procesados, grupo de sujetos de datos, tercer país

(1) Dentro del ámbito de la implementación del Contrato Principal, el Procesador de Datos tendrá acceso a los datos personales especificados con más detalle en el Anexo 1.

(2) El grupo de sujetos de datos afectados por el procesamiento de datos se encuentra listado en el Anexo 1.

(3) Una transferencia de datos personales a un tercer país puede realizarse bajo las condiciones del Art. 44 y siguientes del RGPD. RGPD.

5. Medidas de protección del Procesador de Datos

(1) El Procesador de Datos está obligado a observar las disposiciones legales sobre protección de datos y a no divulgar información obtenida del dominio del Controlador a terceros o exponerla a su acceso. Los documentos y datos deben estar asegurados contra la divulgación a personas no autorizadas, teniendo en cuenta el estado de la técnica.

(2) El Procesador de Datos organizará la organización interna dentro de su campo de responsabilidad de manera que cumpla con los requisitos especiales de protección de datos. Habrá adoptado las medidas técnicas y organizativas especificadas en el Anexo 2 para proteger de manera adecuada los datos del Controlador conforme al Art. 32 del RGPD, que el Controlador reconoce como adecuadas. El Procesador de Datos se reserva el derecho de cambiar las medidas de seguridad adoptadas asegurando que el nivel de protección contratado no sea disminuido.

(3) Las personas empleadas en el procesamiento de datos por el Procesador de Datos tienen prohibido recopilar, procesar o utilizar datos personales sin autorización. El Procesador de Datos obligará a todas las personas encargadas por él con el procesamiento y ejecución de este contrato (en adelante "Empleados") en consecuencia (obligación de confidencialidad, Art. 28 (3) lit. b del RGPD) y garantizará el cumplimiento de esta obligación con el debido cuidado.

(4) El Procesador de Datos ha nombrado a un responsable de protección de datos. El responsable de protección de datos del Procesador es Rickert Rechtsanwaltsgesellschaft m.b.H, Colmantstrasse 15, 53115 Bonn, Alemania. Email: info@rickert.law, teléfono: +49 (0)228 74 898 0

6. Obligaciones de información del Procesador de Datos

(1) En caso de interrupciones, sospechas de violaciones de protección de datos o incumplimientos de obligaciones contractuales del Procesador de Datos, sospechas de incidentes relacionados con la seguridad u otras irregularidades en el procesamiento de datos personales por parte del Procesador de Datos, por personas empleadas por él en el marco del contrato o por terceros, el Procesador de Datos deberá informar al Controlador sin demora indebida. Lo mismo se aplicará a las auditorías del Procesador de Datos por la autoridad de supervisión de protección de datos. La notificación de una violación de datos personales deberá contener al menos la siguiente información:

(a) una descripción de la naturaleza de la violación de datos personales, incluyendo, en la medida de lo posible, las categorías y el número de Interesados afectados, las categorías afectadas y el número de registros de datos personales afectados;

(b) una descripción de las medidas adoptadas o propuestas por el Procesador de Datos para abordar la violación y, donde corresponda, medidas para mitigar sus posibles efectos adversos;

(2) El Procesador de Datos tomará de inmediato las medidas necesarias para asegurar los datos y mitigar cualquier posible consecuencia adversa para los Interesados, informando al Controlador de esto y solicitando más instrucciones.

(3) Además, el Procesador de Datos estará obligado a proporcionar al Controlador información en cualquier momento en la medida en que los datos del Controlador se vean afectados por una violación conforme al párrafo 1.

(4) El Procesador de Datos informará al Controlador de cualquier cambio significativo en las medidas de seguridad de acuerdo con la Sección 5 (2).

7. Derechos de control del Controlador

(1) El Controlador puede asegurarse de las medidas técnicas y organizativas del Procesador de Datos antes del inicio del procesamiento de datos y posteriormente de forma regular anualmente. A tal efecto, el Controlador podrá, por ejemplo, obtener información del Procesador de Datos, obtener certificados existentes de expertos, certificaciones o auditorías internas o, tras una coordinación oportuna, inspeccionar personalmente las medidas técnicas y organizativas del Procesador de Datos durante el horario laboral normal o hacer que las inspeccione un tercero competente, siempre que el tercero no tenga una relación competitiva con el Procesador de Datos. El Controlador llevará a cabo controles solo en la medida necesaria y no interrumpirá desproporcionadamente las operaciones del Procesador de Datos en el proceso.

(2) El Procesador de Datos se compromete a proporcionar al Controlador, a solicitud verbal o escrita y dentro de un período de tiempo razonable, toda la información y pruebas requeridas para llevar a cabo un control de las medidas técnicas y organizativas del Procesador de Datos.

(3) El Controlador documentará los resultados de la inspección y notificará al Procesador de Datos de ello. En caso de errores o irregularidades que el Controlador descubra, en particular durante la inspección de los resultados, el Controlador informará al Procesador de Datos sin demora indebida. Si durante el control se encuentran hechos cuya futura evitación requiere cambios en el procedimiento solicitado, el Controlador notificará al Procesador de Datos sobre los cambios procedimentales necesarios sin demora.

8. Uso de proveedores de servicios

(1) Los servicios contractualmente acordados serán realizados con la participación de los proveedores de servicios nombrados en el Anexo 3 (en adelante "Subprocesadores"). El Controlador otorga al Procesador de Datos su autorización general en el sentido del Artículo 28 (2) s. 1 del RGPD para involucrar Subprocesadores adicionales en el ámbito de sus obligaciones contractuales o para reemplazar Subprocesadores ya contratados.

(2) El Procesador de Datos informará al Controlador antes de cualquier cambio previsto en relación con la participación o el reemplazo de un Subprocesador. El Controlador puede oponerse a la participación o el reemplazo previsto de un Subprocesador por una razón importante bajo ley de protección de datos.

(3) La objeción a la participación o el reemplazo previsto de un Subprocesador debe ser planteada dentro de 2 semanas de recibir la información sobre el cambio. Si no se plantea ninguna objeción, la participación o el reemplazo se considerará aprobado. Si hay una razón importante bajo la ley de protección de datos y una solución amistosa no es posible entre el Controlador y el Procesador, el Controlador tiene un derecho especial de rescisión al final del mes siguiente a la objeción.

(4) Al involucrar Subprocesadores, el Procesador de Datos los obligará de acuerdo con las disposiciones de este Acuerdo.

(5) Una relación de Subprocesador en el sentido de estas disposiciones no existe si el Procesador de Datos encarga a terceros con servicios que se consideren servicios puramente auxiliares. Estos incluyen, por ejemplo, servicios postales, de transporte y envío, servicios de limpieza, servicios de telecomunicaciones sin ninguna referencia específica a los servicios proporcionados por el Procesador de Datos al Controlador y servicios de vigilancia. Los servicios de mantenimiento y prueba constituyen relaciones de Subprocesador que requieren consentimiento en la medida en que se proporcionen para sistemas informáticos que también se utilizan en relación con la prestación de servicios para el Controlador.

9. Solicitudes y derechos de los interesados

(1) El Procesador de Datos apoyará al Controlador con medidas técnicas y organizativas adecuadas para cumplir con las obligaciones del Controlador conforme a los Artículos 12-22 y 32 a 36 del RGPD.

(2) Si un Interesado hace valer derechos, como el derecho de acceso, corrección o eliminación con respecto a sus datos, directamente contra el Procesador de Datos, este último no reaccionará de manera independiente sino que remitirá al Interesado al Controlador y esperará las instrucciones del Controlador.

Como parte de nuestro compromiso con la privacidad de los datos y el cumplimiento, puede solicitar el acceso, la corrección o la eliminación de sus datos personales procesados bajo nuestro Acuerdo de Procesamiento de Datos (DPA). Por favor rellena el formulario para enviar tu solicitud.

10. Responsabilidad

(1) En la relación interna con el Procesador de Datos, el Controlador solo será responsable ante el Interesado por la compensación de daños sufridos por un Interesado debido a procesamiento de datos inadmisible o incorrecto bajo las leyes de protección de datos o uso dentro del ámbito del procesamiento encargado.

(2) El Procesador de Datos tendrá responsabilidad ilimitada por los daños en la medida en que la causa del daño se base en un incumplimiento intencionado o gravemente negligente del deber por parte del Procesador de Datos, su representante legal o agente vicariante.

(3) El Procesador de Datos solo será responsable de las acciones negligentes en caso de incumplimiento de una obligación, cuyo cumplimiento sea un requisito previo para la correcta ejecución del contrato y observancia de la cual el Controlador confía y puede confiar regularmente, pero limitado al daño promedio típico del contrato. En todos los demás aspectos, la responsabilidad del Procesador -incluidos sus agentes vicariales- estará excluida.

(4) La limitación de responsabilidad conforme al § 10.3 no se aplicará a las reclamaciones de daños derivados de lesiones a la vida, el cuerpo, la salud o la asunción de una garantía.

11. Terminación del Contrato Principal

(1) Después de la terminación del Contrato Principal, el Procesador de Datos devolverá al Controlador todos los documentos, datos y soportes de datos provistos o, a pedido del Controlador, a menos que exista una obligación de almacenar los datos personales bajo la ley de la Unión o de la República Federal de Alemania, los eliminará. Esto también se aplicará a cualquier copia de seguridad de datos en el Procesador de Datos. El Procesador de Datos proporcionará a petición prueba documentada de la eliminación adecuada de cualquier dato.

(2) El Controlador tendrá el derecho de controlar la devolución completa y contractual o la eliminación de los datos en el Procesador de Datos de manera adecuada.

(3) El Procesador de Datos estará obligado a mantener la confidencialidad de los datos de los que haya tenido conocimiento en relación con el Contrato Principal incluso más allá del final del Contrato Principal. El presente Acuerdo seguirá siendo válido más allá del final del Contrato Principal siempre que el Procesador de Datos tenga a su disposición datos personales que le hayan sido trasladados por parte del Controlador o que haya recopilado para el Controlador.

12. Disposiciones finales

(1) En la medida en que el Procesador de Datos no realice expresamente acciones de apoyo en virtud de este Acuerdo de forma gratuita, podrá cobrar al Controlador una tarifa razonable, a menos que las propias acciones u omisiones del Procesador de Datos hayan hecho directamente necesaria dicha acción.

(2) Las modificaciones y suplementos a este Acuerdo deben realizarse por escrito. Esto también se aplicará a cualquier renuncia a este requisito formal. La prioridad de los acuerdos contractuales individuales permanecerá sin cambios.

(3) Si las disposiciones individuales de este Acuerdo son o se vuelven total o parcialmente inválidas o inaplicables, esto no afectará la validez de las disposiciones restantes.

(4) Este acuerdo está sujeto a la legislación alemana.

Anexo 1 - Descripción de los datos/categorías de datos y grupos de sujetos de datos afectados

Tipo de cliente	Categorías de sujetos de datos	Categorías de datos
Cuentas de la empresa	Empleados	Nombre, información de contacto, cargo, departamento, foto, datos de la empresa, enlaces a redes sociales
Cuentas de la empresa & usuarios individuales	Partes interesadas	datos de contacto, nombre, empresa

Anexo 2 - Medidas técnicas y organizativas del Procesador de Datos

1. Introducción

Este documento resume las medidas técnicas y organizativas tomadas por el Procesador dentro del significado del Art. 32 párr. 1 RGPD. Estas son medidas tomadas por el Procesador para proteger datos personales. El propósito del documento es apoyar al Controlador en cumplir sus obligaciones de responsabilidad bajo el Art. 5 párr. 2 RGPD.

2. Confidencialidad (Art. 32 párr. 1 lit. b GDPR)

2.1 Control de entrada

Las siguientes medidas implementadas previenen el acceso no autorizado a los sistemas de procesamiento de datos:

Trabajo desde casa: personas no autorizadas no tienen acceso a los hogares de los empleados
Trabajo en la oficina en casa: instrucción a los empleados para trabajar en una oficina separada de sus salas de estar si es posible

2.2 Control de admisión

Las siguientes medidas implementadas previenen el acceso no autorizado a los sistemas de procesamiento de datos:

Autenticación con usuario y contraseña
Uso de cortafuegos
Uso de gestión de dispositivos móviles
Encriptación de soportes de datos
Bloqueo automático de escritorio
Gestión de autorizaciones de usuario
Creación de perfiles de usuario
Reglas de contraseña centralizadas
Uso de autenticación de 2 factores
Política de la empresa para contraseñas seguras
Instrucción general de bloquear manualmente el escritorio al dejar la estación de trabajo

2.3 Control de acceso

Las siguientes medidas implementadas aseguran que las personas no autorizadas no tengan acceso a los datos personales:

Registro de acceso a aplicaciones (en particular al ingresar, cambiar y eliminar datos)
El número de administradores se mantiene lo más pequeño posible
Gestión de los derechos de usuario por los administradores del sistema
Instrucción a los empleados de que los datos solo se eliminarán tras consulta

2.4 Control de separación

Las siguientes medidas aseguran que los datos personales recopilados para diferentes propósitos se procesan por separado:

Almacenamiento físicamente separado en sistemas o soportes de datos separados
Separación de sistema de producción y prueba
Separación lógica de clientes (en el lado del software)
Definición de derechos de bases de datos
Instrucción interna para anonimizar/pseudonimizar datos personales en caso de divulgación o tras la expiración del período de eliminación legal, si es posible.

3. Integridad (Art. 32 párr. 1 lit. b GDPR)

3.1 Control de transferencia

Se asegura que los datos personales no puedan leerse, copiarse, cambiarse o eliminarse sin autorización durante la transmisión o almacenamiento en soportes de datos y que sea posible verificar qué personas u organismos han recibido datos personales. Se han implementado las siguientes medidas para asegurarlo:

Registro de accesos y recuperaciones
Provisión de datos a través de conexiones encriptadas como SFTP o HTTPS
Prohibición de subir datos de la empresa a servidores externos

3.2 Control de entrada

Las siguientes medidas aseguran que sea posible verificar quién ha procesado datos personales en los sistemas de procesamiento de datos y en qué momento:

Registro de entrada, modificación y eliminación de datos
Control manual o automático de los registros
Rastreabilidad de la entrada, modificación y eliminación de datos a través de nombres de usuario individuales (no grupos de usuarios)
Claridad en las responsabilidades para eliminaciones

4. Disponibilidad y resiliencia (Art. 32 párr. 1 lit. b GDPR)

Los servicios operan en Google Cloud Platform (“GCP”) y están protegidos por los controles de seguridad y ambientales de Google. Wave Connect realiza respaldos regulares de los datos del cliente, los cuales están alojados en centros de datos de GCP. Los respaldos se replican globalmente para resiliencia contra desastres regionales y son testeados periódicamente por el equipo de ingeniería de Wave Connect.

Los empleados completan un entrenamiento obligatorio anual, que cubre privacidad y protección de datos, confidencialidad, ingeniería social, políticas de contraseña e información de seguridad.

5. Procedimientos para revisión, evaluación y valoración regulares (Art. 32 párr. 1 lit. d GDPR; Art. 25 párr. 1 GDPR)

5.1 Gestión de protección de datos

Las siguientes medidas están destinadas a asegurar que la organización cumpla con los requisitos básicos de la ley de protección de datos:

Nombramiento del oficial de protección de datos Rickert Rechtsanwaltsgesellschaft
Obligación de los empleados a mantener el secreto de los datos
Entrenamiento regular de protección de datos para empleados
Mantener una visión general de las actividades de procesamiento (Art. 30 GDPR)

5.2 Gestión de respuesta a incidentes

Las siguientes medidas están destinadas a asegurar que se inicien los procesos de reporte en caso de violaciones a la protección de datos:

Proceso de reporte para violaciones de protección de datos conforme al Art. 4 No. 12 GDPR a las autoridades de supervisión (Art. 33 GDPR)
Proceso de notificación para violaciones de datos conforme al Art. 4 No. 12 GDPR a los interesados (Art. 34 GDPR)
Involucrar al oficial de protección de datos en incidentes de seguridad y violaciones de datos
Uso de cortafuegos

5.3 Configuraciones predeterminadas amigables con la protección de datos (Art. 25 párr. 2 GDPR)

Las siguientes medidas están destinadas a asegurar que se inicien los procesos de reporte en caso de violaciones a la protección de datos:

Proceso de reporte para violaciones de protección de datos conforme al Art. 4 No. 12 GDPR a las autoridades de supervisión (Art. 33 GDPR)
Proceso de notificación para violaciones de datos conforme al Art. 4 No. 12 GDPR a los interesados (Art. 34 GDPR)

5.4 Control de orden

Las siguientes medidas aseguran que los datos personales solo puedan ser procesados conforme a las instrucciones:

Instrucciones escritas al contratista o instrucciones en texto (ej. a través de un acuerdo de procesamiento de datos)
Asegurar la destrucción de datos tras la finalización del pedido, ej. solicitando confirmaciones correspondientes
Confirmación de los contratistas de que comprometen a sus propios empleados a la confidencialidad de los datos (típicamente en el acuerdo de procesamiento de datos)
Selección cuidadosa de contratistas (especialmente con respecto a la seguridad de datos)
Revisión continua de contratistas y sus actividades
Asegurar la destrucción de datos tras la finalización del pedido, ej. solicitando confirmaciones correspondientes

Anexo 3 – Sub-procesadores actuales

Nombre	Función	Ubicación	Política de privacidad de terceros
Google LLC	Analítica, Proveedor de servicios en la nube	Estados Unidos	https://google.com/policies/privacy/partners/. Puede optar por no usar Google Analytics visitando: https://tools.google.com/dlpage/gaoptout.
Microsoft	Proveedor de servicios en la nube	Estados Unidos	https://privacy.microsoft.com/en-us/privacystatement/
Stripe	Procesamiento de pagos	Estados Unidos	https://stripe.com/en-ca/privacy
Twilio Sengrid	Entrega de SMS y correo electrónico	Estados Unidos	https://www.twilio.com/en-us/legal/privacy
PlanetScale	Alojamiento de bases de datos	Estados Unidos	https://planetscale.com/legal/privacy
Vercel	Servicio de alojamiento	Estados Unidos	https://vercel.com/legal/privacy-policy
Intercom	Servicio al cliente y comunicación	Estados Unidos	https://www.intercom.com/legal/privacy
MaxMind	Servicio de IP	Estados Unidos	https://www.maxmind.com/en/privacy-policy
Shopify	Plataforma de comercio electrónico	Canadá	https://www.shopify.com/ca/legal/privacy
Hubspot	Servicio al cliente y comunicación	Estados Unidos	https://legal.hubspot.com/privacy-policy
PostHog, Inc.	Análisis de producto	Estados Unidos	https://posthog.com/privacy