Anexo de Tratamiento de Datos (Encargado)

Última actualización: 24 de septiembre de 2026

Este anexo se redactó conforme a las figuras de responsable, encargado y subcontratación de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025.

1. Naturaleza de este anexo y partes

Este anexo forma parte de los Términos y Condiciones celebrados entre Hedgehock International LLC ("ShippingAI", el "Encargado"), con domicilio en SHAMS, Sharjah, Emiratos Árabes Unidos, y el cliente titular de la cuenta (el “Cliente”). Rige el tratamiento de datos personales que ShippingAI realiza por cuenta del Cliente al prestar el servicio.

El Cliente puede ser:

Un importador que realiza su despacho directamente (Art. 40 de la Ley Aduanera), en cuyo caso el Cliente actúa como responsable de los datos personales contenidos en su expediente; o
Una agencia aduanal que prepara expedientes por cuenta de sus clientes importadores, en cuyo caso el Cliente actúa como responsable de los datos de los que sea responsable y, respecto de los datos de sus clientes importadores, como encargado del importador responsable. En este último supuesto, el Cliente declara contar con la autorización del responsable para subcontratar el tratamiento con ShippingAI, que actúa entonces como subencargado bajo las mismas condiciones de este anexo.

Respecto de los datos de las personas usuarias de la plataforma y los datos de contacto y facturación del propio Cliente, ShippingAI actúa como responsable; ese tratamiento se rige por el Aviso de Privacidad, no por este anexo.

2. Objeto, alcance y duración del tratamiento

Elemento	Descripción
Objeto	Preparación, cálculo, revisión, firma y transmisión de la Manifestación de Valor, y conservación del expediente de valor que la sustenta.
Operaciones de tratamiento	Recepción y almacenamiento cifrado de documentos; extracción de campos con registro de origen y confianza; cálculo determinista del valor en aduana; verificaciones cruzadas; generación del paquete de revisión y del manifiesto de evidencia; facilitación de la firma; transmisión a la autoridad por instrucción del Cliente; conservación y exportación del expediente.
Categorías de datos	Datos de identificación, fiscales (RFC, razón social, domicilio fiscal) y de contacto de personas físicas que aparezcan en los documentos del expediente: facturas, COVE, pedimentos, conocimientos de embarque, comprobantes de pago, contratos, encargos conferidos y documentos de gastos.
Titulares	Representantes legales y personal del importador, de sus proveedores y de los prestadores de servicios de la operación; personas físicas que actúen como importadores o proveedores.
Datos sensibles	El servicio no requiere datos personales sensibles y el Cliente se obliga a no cargarlos.
Duración	La vigencia de la relación contractual, más los plazos de conservación legal descritos en la sección 9.

3. Instrucciones del Cliente

ShippingAI tratará los datos personales únicamente conforme a las instrucciones del Cliente, que constan en: (i) los Términos y Condiciones y este anexo; (ii) el uso que el Cliente hace de las funciones de la plataforma (cargar un documento, ordenar una extracción, aprobar una operación, generar una liga de firma, instruir una transmisión), cada una de las cuales queda registrada en la bitácora con fecha, hora y usuario; y (iii) las instrucciones adicionales que el Cliente comunique por escrito, cuando sean compatibles con el servicio.

En particular, la transmisión de una Manifestación de Valor a la Ventanilla Única de Comercio Exterior (VUCEM) se realiza únicamente por instrucción del Cliente emitida a través de la propia plataforma, previa revisión y aprobación humanas.

4. Obligaciones de ShippingAI como encargado

ShippingAI se obliga a:

Tratar conforme a instrucciones. Tratar los datos personales únicamente conforme a las instrucciones del Cliente descritas en la sección 3, y abstenerse de tratarlos para finalidades propias o distintas de la prestación del servicio. En particular, no utilizar los documentos del Cliente para entrenar modelos de inteligencia artificial sin un acuerdo específico y por escrito.
Confidencialidad. Guardar confidencialidad respecto de los datos tratados, obligación que subsiste aun después de terminada la relación, y asegurar que toda persona que trate datos bajo su autoridad esté sujeta a una obligación de confidencialidad equivalente.
Medidas de seguridad. Implementar y mantener las medidas de seguridad administrativas, técnicas y físicas que exige la LFPDPPP, descritas en la sección 6 y, con mayor detalle, en Seguridad y manejo de datos.
No transferir salvo instrucción. Abstenerse de transferir o comunicar los datos a terceros, salvo: (i) instrucción del Cliente, incluida la transmisión a VUCEM descrita en la sección 3; (ii) los subencargados autorizados conforme a la sección 5; o (iii) un requerimiento debidamente fundado y motivado de autoridad competente, en cuyo caso ShippingAI lo notificará al Cliente antes de atenderlo, salvo que la ley o el propio requerimiento lo prohíban.
Supresión o devolución al término. Al terminar la relación, devolver al Cliente el expediente completo y suprimir los datos, conforme al procedimiento y a las salvedades legales de la sección 9.
Notificación de vulneraciones. Notificar al Cliente las vulneraciones de seguridad que afecten datos tratados por su cuenta, conforme a la sección 7.
Asistencia al Cliente. Auxiliar al Cliente, en la medida en que la naturaleza del servicio lo permita, en la atención de solicitudes de derechos ARCO (sección 8) y de requerimientos de la autoridad, incluidas las herramientas de exportación del expediente y la bitácora de trazabilidad.
Demostración de cumplimiento. Poner a disposición del Cliente, previa solicitud escrita y bajo confidencialidad, la información razonablemente necesaria para demostrar el cumplimiento de este anexo. Las verificaciones adicionales que el Cliente requiera se acordarán por escrito en cuanto a alcance, fechas y costos.

5. Subencargados autorizados

El Cliente autoriza de manera general que ShippingAI se apoye en los siguientes subencargados, exclusivamente para las funciones indicadas:

Subencargado	Función	Ubicación	Condiciones
Fly.io, Inc.	Alojamiento de la plataforma y almacenamiento de la información	Estados Unidos	Los documentos se almacenan cifrados con llaves derivadas por cuenta; el proveedor de alojamiento no tiene acceso a las llaves de cifrado ni participa en el tratamiento más allá del alojamiento.
Anthropic, PBC	Extracción de campos de los documentos del expediente mediante modelos de inteligencia artificial	Estados Unidos	Bajo términos comerciales que prohíben utilizar los documentos para entrenar sus modelos; el proveedor no conserva los envíos para fines de entrenamiento.
Cloudflare, Inc.	Resolución de dominio, entrega del sitio y protección frente a tráfico malicioso	Estados Unidos	Procesa metadatos de conexión y el tráfico en tránsito. No almacena los documentos del expediente.
Backblaze, Inc. (B2)	Respaldo cifrado fuera de sitio y archivo sellado de cinco años	Estados Unidos	Recibe únicamente datos cifrados; no posee las llaves. El archivo sellado se escribe con bloqueo de objeto y no puede alterarse ni borrarse durante el periodo de conservación.
Resend, Inc.	Envío de correo transaccional: avisos de servicio y de seguridad	Estados Unidos	Procesa la dirección de correo y el contenido del aviso. No recibe documentos del expediente.
PostHog, Inc.	Medición de uso de las páginas públicas del sitio	Estados Unidos	Solo en las páginas públicas, nunca dentro de la aplicación ni en la ceremonia de firma. Sin cookies: la medición vive en la sesión del navegador y no persiste.

ShippingAI: (i) impondrá a cada subencargado, por contrato, obligaciones de protección de datos no menos exigentes que las de este anexo; (ii) responderá frente al Cliente por el cumplimiento de sus subencargados; y (iii) notificará al Cliente cualquier alta o sustitución de subencargados con al menos 30 días naturales de anticipación. Si el Cliente objeta de manera razonable y no se encuentra una alternativa, podrá terminar el servicio sin penalización, con la devolución del expediente descrita en la sección 9.

6. Medidas de seguridad

Sin perjuicio del detalle publicado en Seguridad y manejo de datos, ShippingAI mantiene, como mínimo:

Cifrado en tránsito (HTTPS/TLS) y en reposo, con llaves derivadas por cuenta: la llave de una cuenta no permite descifrar la información de otra.
Almacenamiento de escritura única direccionado por huella SHA-256, que hace detectable cualquier alteración de un documento.
Manifiesto de evidencia sellado criptográficamente, firmado por el importador.
Bitácora de solo agregado, con controles a nivel de base de datos que impiden modificar o borrar eventos.
Control de acceso por roles, con confirmación del correo al crear cada cuenta, contraseñas almacenadas únicamente como derivación criptográfica y bloqueo temporal ante intentos fallidos.
Respaldo diario cifrado fuera de sitio, con retención de 30 días, para recuperación del servicio.
Archivo sellado de cinco años, en almacén separado y con bloqueo de objeto que impide su alteración o eliminación durante el periodo de conservación.

7. Vulneraciones de seguridad

ShippingAI notificará al Cliente, a la dirección de correo registrada del administrador de la cuenta, cualquier vulneración de seguridad que afecte de forma significativa datos personales tratados por su cuenta, sin dilación indebida y a más tardar dentro de las 72 horas siguientes a haberla confirmado. La notificación incluirá, en la medida en que la información esté disponible: la naturaleza del incidente, las categorías de datos y de titulares afectados, las medidas adoptadas y las recomendadas, y un punto de contacto. ShippingAI documentará el incidente y las medidas correctivas en apoyo de las obligaciones de notificación que correspondan al responsable frente a los titulares.

8. Derechos ARCO de los titulares

Corresponde al responsable atender las solicitudes de acceso, rectificación, cancelación y oposición. Si un titular presenta una solicitud directamente ante ShippingAI respecto de datos contenidos en un expediente del Cliente, ShippingAI la canalizará al Cliente dentro de los 5 días hábiles siguientes y se lo comunicará al titular, sin atenderla por cuenta propia salvo instrucción del Cliente. Las herramientas de la plataforma (consulta del expediente, corrección de campos con rastro en bitácora y exportación) están disponibles para que el Cliente atienda estas solicitudes.

9. Conservación, devolución y supresión

Al terminar la relación contractual, ShippingAI entregará al Cliente una exportación completa de sus expedientes y, una vez confirmada la entrega, suprimirá los datos dentro de los 30 días naturales siguientes.

Excepción: expedientes sellados. Cada Manifestación de Valor aceptada por VUCEM se resguarda en un expediente sellado bajo bloqueo de objeto en modo de cumplimiento por cinco años contados desde su presentación. Durante ese periodo el expediente no puede eliminarse ni modificarse: ni por el Cliente, ni por ShippingAI con sus credenciales de administración, ni por el proveedor de almacenamiento a petición nuestra. No es una política interna que podamos flexibilizar, sino una restricción técnica deliberada.

El fundamento es el artículo 67 del Código Fiscal de la Federación, que faculta a la autoridad para revisar estas operaciones durante cinco años, en relación con el artículo 26, fracción II de la LFPDPPP, que exceptúa del derecho de cancelación los datos cuya conservación deriva de una obligación legal. La obligación de conservar corresponde al importador; el papel de ShippingAI es no impedirle cumplirla. Vencido el plazo, el bloqueo se levanta y los expedientes se suprimen.

10. Obligaciones del Cliente

Garantizar que cuenta con la base de licitud, los avisos de privacidad y, en su caso, los consentimientos necesarios para que los datos contenidos en los documentos que carga puedan tratarse conforme a este anexo.
Cuando actúe como encargado de un importador responsable, contar con la autorización del responsable para subcontratar el tratamiento con ShippingAI.
Cargar únicamente documentos veraces, legítimos y pertinentes para el expediente, y abstenerse de cargar datos personales sensibles.
Emitir sus instrucciones a través de la plataforma o por escrito, y atender las solicitudes ARCO que le canalice ShippingAI.

11. Prelación y vigencia

Este anexo forma parte integrante de los Términos y Condiciones. En caso de conflicto en materia de protección de datos personales, prevalece este anexo. Sus obligaciones subsisten mientras ShippingAI conserve datos personales tratados por cuenta del Cliente, incluido el periodo de conservación legal de la sección 9.

12. Contacto

Para cualquier asunto relacionado con este anexo: [email protected].

Documentos relacionados: Aviso de Privacidad · Seguridad y manejo de datos · Términos y Condiciones.