Anexo de Tratamiento de Datos (Encargado)

Última actualización: 6 de agosto de 2026

Documento en revisión legal. Borrador redactado conforme a las figuras de responsable, encargado y subcontratación de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, pendiente de revisión por un abogado en México antes de considerarse definitivo — incluida la verificación de referencias frente a la reforma de 2025 a la LFPDPPP. Los campos [ ] deben completarse con los datos registrales de la sociedad y con los parámetros pendientes de definir.

1. Naturaleza de este anexo y partes

Este anexo forma parte de los Términos y Condiciones celebrados entre [Razón social] (“ShippingAI”, el “Encargado”), RFC [RFC], con domicilio en [domicilio fiscal completo], y el cliente titular de la cuenta (el “Cliente”). Rige el tratamiento de datos personales que ShippingAI realiza por cuenta del Cliente al prestar el servicio.

El Cliente puede ser:

Un importador que realiza su despacho directamente (Art. 40 de la Ley Aduanera), en cuyo caso el Cliente actúa como responsable de los datos personales contenidos en su expediente; o
Una agencia aduanal que prepara expedientes por cuenta de sus clientes importadores, en cuyo caso el Cliente actúa como responsable de los datos de los que sea responsable y, respecto de los datos de sus clientes importadores, como encargado del importador responsable. En este último supuesto, el Cliente declara contar con la autorización del responsable para subcontratar el tratamiento con ShippingAI, que actúa entonces como subencargado bajo las mismas condiciones de este anexo.

Respecto de los datos de las personas usuarias de la plataforma y los datos de contacto y facturación del propio Cliente, ShippingAI actúa como responsable; ese tratamiento se rige por el Aviso de Privacidad, no por este anexo.

2. Objeto, alcance y duración del tratamiento

Elemento	Descripción
Objeto	Preparación, cálculo, revisión, firma y transmisión de la Manifestación de Valor, y conservación del expediente de valor que la sustenta.
Operaciones de tratamiento	Recepción y almacenamiento cifrado de documentos; extracción de campos con registro de origen y confianza; cálculo determinista del valor en aduana; verificaciones cruzadas; generación del paquete de revisión y del manifiesto de evidencia; facilitación de la firma; transmisión a la autoridad por instrucción del Cliente; conservación y exportación del expediente.
Categorías de datos	Datos de identificación, fiscales (RFC, razón social, domicilio fiscal) y de contacto de personas físicas que aparezcan en los documentos del expediente: facturas, COVE, pedimentos, conocimientos de embarque, comprobantes de pago, contratos, encargos conferidos y documentos de gastos.
Titulares	Representantes legales y personal del importador, de sus proveedores y de los prestadores de servicios de la operación; personas físicas que actúen como importadores o proveedores.
Datos sensibles	El servicio no requiere datos personales sensibles y el Cliente se obliga a no cargarlos.
Duración	La vigencia de la relación contractual, más los plazos de conservación legal descritos en la sección 9.

3. Instrucciones del Cliente

ShippingAI tratará los datos personales únicamente conforme a las instrucciones del Cliente, que constan en: (i) los Términos y Condiciones y este anexo; (ii) el uso que el Cliente hace de las funciones de la plataforma — cargar un documento, ordenar una extracción, aprobar una operación, generar una liga de firma, instruir una transmisión —, cada una de las cuales queda registrada en la bitácora con fecha, hora y usuario; y (iii) las instrucciones adicionales que el Cliente comunique por escrito, cuando sean compatibles con el servicio.

En particular, la transmisión de una Manifestación de Valor a la Ventanilla Única de Comercio Exterior (VUCEM) se realiza únicamente por instrucción del Cliente emitida a través de la propia plataforma, previa revisión y aprobación humanas.

4. Obligaciones de ShippingAI como encargado

ShippingAI se obliga a:

Tratar conforme a instrucciones. Tratar los datos personales únicamente conforme a las instrucciones del Cliente descritas en la sección 3, y abstenerse de tratarlos para finalidades propias o distintas de la prestación del servicio. En particular, no utilizar los documentos del Cliente para entrenar modelos de inteligencia artificial sin un acuerdo específico y por escrito.
Confidencialidad. Guardar confidencialidad respecto de los datos tratados, obligación que subsiste aun después de terminada la relación, y asegurar que toda persona que trate datos bajo su autoridad esté sujeta a una obligación de confidencialidad equivalente.
Medidas de seguridad. Implementar y mantener las medidas de seguridad administrativas, técnicas y físicas que exige la LFPDPPP, descritas en la sección 6 y, con mayor detalle, en Seguridad y manejo de datos.
No transferir salvo instrucción. Abstenerse de transferir o comunicar los datos a terceros, salvo: (i) instrucción del Cliente — incluida la transmisión a VUCEM descrita en la sección 3; (ii) los subencargados autorizados conforme a la sección 5; o (iii) un requerimiento debidamente fundado y motivado de autoridad competente, en cuyo caso ShippingAI lo notificará al Cliente antes de atenderlo, salvo que la ley o el propio requerimiento lo prohíban.
Supresión o devolución al término. Al terminar la relación, devolver al Cliente el expediente completo y suprimir los datos, conforme al procedimiento y a las salvedades legales de la sección 9.
Notificación de vulneraciones. Notificar al Cliente las vulneraciones de seguridad que afecten datos tratados por su cuenta, conforme a la sección 7.
Asistencia al Cliente. Auxiliar al Cliente, en la medida en que la naturaleza del servicio lo permita, en la atención de solicitudes de derechos ARCO (sección 8) y de requerimientos de la autoridad, incluidas las herramientas de exportación del expediente y la bitácora de trazabilidad.
Demostración de cumplimiento. Poner a disposición del Cliente, previa solicitud escrita y bajo confidencialidad, la información razonablemente necesaria para demostrar el cumplimiento de este anexo. Las verificaciones adicionales que el Cliente requiera se acordarán por escrito en cuanto a alcance, fechas y costos.

5. Subencargados autorizados

El Cliente autoriza de manera general que ShippingAI se apoye en los siguientes subencargados, exclusivamente para las funciones indicadas:

Subencargado	Función	Ubicación	Condiciones
Fly.io, Inc.	Alojamiento de la plataforma y almacenamiento de la información	Estados Unidos	Los documentos se almacenan cifrados con llaves derivadas por cuenta; el proveedor de alojamiento no tiene acceso a las llaves de cifrado ni participa en el tratamiento más allá del alojamiento.
Anthropic, PBC	Extracción de campos de los documentos del expediente mediante modelos de inteligencia artificial	Estados Unidos	Bajo términos comerciales que prohíben utilizar los documentos para entrenar sus modelos; el proveedor no conserva los envíos para fines de entrenamiento.

ShippingAI: (i) impondrá a cada subencargado, por contrato, obligaciones de protección de datos no menos exigentes que las de este anexo; (ii) responderá frente al Cliente por el cumplimiento de sus subencargados; y (iii) notificará al Cliente cualquier alta o sustitución de subencargados con al menos 30 días naturales de anticipación. Si el Cliente objeta de manera razonable y no se encuentra una alternativa, podrá terminar el servicio sin penalización, con la devolución del expediente descrita en la sección 9.

6. Medidas de seguridad

Sin perjuicio del detalle publicado en Seguridad y manejo de datos, ShippingAI mantiene, como mínimo:

Cifrado en tránsito (HTTPS/TLS) y en reposo, con llaves derivadas por cuenta: la llave de una cuenta no permite descifrar la información de otra.
Almacenamiento de escritura única direccionado por huella SHA-256, que hace detectable cualquier alteración de un documento.
Manifiesto de evidencia sellado criptográficamente, firmado por el importador.
Bitácora de solo agregado, con controles a nivel de base de datos que impiden modificar o borrar eventos.
Control de acceso por invitación y por roles, contraseñas almacenadas únicamente como derivación criptográfica y bloqueo temporal ante intentos fallidos.
Respaldos cifrados diarios con retención de 60 días.

7. Vulneraciones de seguridad

ShippingAI notificará al Cliente, a la dirección de correo registrada del administrador de la cuenta, cualquier vulneración de seguridad que afecte de forma significativa datos personales tratados por su cuenta, sin dilación indebida y a más tardar dentro de las 72 horas siguientes a haberla confirmado. La notificación incluirá, en la medida en que la información esté disponible: la naturaleza del incidente, las categorías de datos y de titulares afectados, las medidas adoptadas y las recomendadas, y un punto de contacto. ShippingAI documentará el incidente y las medidas correctivas en apoyo de las obligaciones de notificación que correspondan al responsable frente a los titulares.

8. Derechos ARCO de los titulares

Corresponde al responsable atender las solicitudes de acceso, rectificación, cancelación y oposición. Si un titular presenta una solicitud directamente ante ShippingAI respecto de datos contenidos en un expediente del Cliente, ShippingAI la canalizará al Cliente dentro de los 5 días hábiles siguientes y se lo comunicará al titular, sin atenderla por cuenta propia salvo instrucción del Cliente. Las herramientas de la plataforma — consulta del expediente, corrección de campos con rastro en bitácora y exportación — están disponibles para que el Cliente atienda estas solicitudes.

9. Conservación, devolución y supresión

Al terminar la relación contractual, ShippingAI entregará al Cliente una exportación completa de sus expedientes y, una vez confirmada la entrega, suprimirá los datos dentro de los 30 días naturales siguientes.

Salvedad legal. El expediente de valor debe conservarse durante el plazo de las facultades de comprobación de la autoridad — cinco años conforme al Art. 67 del CFF. La información sujeta a esa obligación no se suprime al término de la relación: se conserva bloqueada, cifrada y con las mismas medidas de seguridad, se trata únicamente para cumplir dicha obligación y ponerla a disposición del Cliente o de la autoridad competente, y se suprime de forma segura al concluir el plazo.

10. Obligaciones del Cliente

Garantizar que cuenta con la base de licitud, los avisos de privacidad y, en su caso, los consentimientos necesarios para que los datos contenidos en los documentos que carga puedan tratarse conforme a este anexo.
Cuando actúe como encargado de un importador responsable, contar con la autorización del responsable para subcontratar el tratamiento con ShippingAI.
Cargar únicamente documentos veraces, legítimos y pertinentes para el expediente, y abstenerse de cargar datos personales sensibles.
Emitir sus instrucciones a través de la plataforma o por escrito, y atender las solicitudes ARCO que le canalice ShippingAI.

11. Prelación y vigencia

Este anexo forma parte integrante de los Términos y Condiciones. En caso de conflicto en materia de protección de datos personales, prevalece este anexo. Sus obligaciones subsisten mientras ShippingAI conserve datos personales tratados por cuenta del Cliente, incluido el periodo de conservación legal de la sección 9.

12. Contacto

Para cualquier asunto relacionado con este anexo: privacidad@shippingai.mx.

Documentos relacionados: Aviso de Privacidad · Seguridad y manejo de datos · Términos y Condiciones.