Acuerdo de Encargo de Tratamiento de Datos Personales (DPA)

Entre HADA LAB S.A.C., con RUC N° 20601533104 y domicilio en Av. Nicolás de Piérola Nro. 424, Dpto. 201, Urb. Lima Cercado, Cercado de Lima, Lima, Perú, que opera la plataforma bajo el nombre comercial «Flizy» (en adelante, "Flizy", el "Encargado"), y el Cliente que suscribe los Términos y Condiciones de la plataforma Flizy (el "Responsable" o el "Cliente")

Última actualización: 13 de octubre de 2026

1. Objeto

El presente Acuerdo de Encargo de Tratamiento de Datos Personales (el "Acuerdo" o "DPA") regula el tratamiento de datos personales que Flizy realiza, por cuenta y bajo instrucciones del Cliente, con ocasión de la prestación de los servicios de la plataforma Flizy (comercio electrónico, tarjetas de regalo, reservas y Libro de Reclamaciones digital, entre otros), en calidad de encargado del tratamiento, conforme al artículo correspondiente de la Ley N° 29733, Ley de Protección de Datos Personales ("LPDP"), y su Reglamento, aprobado por Decreto Supremo N° 003-2013-JUS ("Reglamento").

Este Acuerdo forma parte integrante de los Términos y Condiciones de la plataforma Flizy suscritos por el Cliente y se incorpora por referencia a dicho contrato principal.

2. Definiciones

• "Responsable del tratamiento": el Cliente (tenant), que determina los fines y medios del tratamiento de los datos personales de sus propios clientes/consumidores finales ("Titulares").
• "Encargado del tratamiento": Flizy, que trata datos personales por cuenta del Cliente y únicamente conforme a sus instrucciones.
• "Datos personales": cualquier información sobre una persona natural identificada o identificable que el Cliente recoja a través de la plataforma Flizy respecto de sus propios Titulares (consumidores finales), incluyendo, sin limitarse a, los datos descritos en el Anexo I.
• "Subencargado": todo tercero al que Flizy recurra para el tratamiento de los datos personales objeto de este Acuerdo, conforme a la sección 6.
• "Brecha de seguridad": todo incidente de seguridad que afecte la confidencialidad, integridad o disponibilidad de los datos personales tratados bajo este Acuerdo.

3. Alcance del encargo

Flizy trata datos personales de los Titulares del Cliente exclusivamente para las siguientes finalidades, instruidas por el Cliente a través de la configuración y uso de la plataforma:

• Operación de la tienda en línea (procesamiento de pedidos, pagos, entregas).
• Administración de tarjetas de regalo y reservas.
• Operación del Libro de Reclamaciones digital, incluyendo el cumplimiento del plazo de conservación obligatorio de dos (2) años (D.S. N° 011-2011-PCM).
• Atención de solicitudes de derechos ARCO formuladas por los Titulares a través del mecanismo de autoservicio (DSAR) de la plataforma.
• Medición de campañas publicitarias y analítica web, cuando el Cliente haya habilitado dichas integraciones (Meta Pixel/CAPI, Google Analytics 4) y conforme a la configuración de consentimiento (banner de cookies) del Cliente.
• Cualquier otra finalidad expresamente instruida por el Cliente y aceptada por Flizy a través de la configuración disponible en la plataforma.

El tipo de datos personales y categorías de Titulares objeto de este encargo se detallan en el Anexo I (Detalle del tratamiento).

4. Instrucciones del Responsable

Flizy tratará los datos personales únicamente conforme a las instrucciones documentadas del Cliente, las cuales se entienden dadas, salvo pacto distinto, mediante: (i) la configuración de la plataforma realizada por el Cliente (p. ej. activación de integraciones, configuración del banner de consentimiento); (ii) los Términos y Condiciones y el presente Acuerdo; y (iii) instrucciones adicionales por escrito.

Si, a juicio de Flizy, una instrucción del Cliente infringe la LPDP, su Reglamento o cualquier otra norma de protección de datos aplicable, Flizy lo comunicará al Cliente sin dilación, pudiendo suspender la ejecución de dicha instrucción hasta su subsanación.

5. Obligaciones del Encargado (Flizy)

Flizy se obliga a:

a. Tratar los datos personales únicamente para las finalidades descritas en este Acuerdo y conforme a las instrucciones del Cliente. b. Garantizar que el personal autorizado a acceder a los datos personales esté sujeto a deberes de confidencialidad. c. Implementar medidas de seguridad técnicas y organizativas adecuadas, incluyendo, sin limitarse a: cifrado de datos de identidad en reposo mediante AES-256-GCM a nivel de campo para información utilizada en procesos de acceso/exportación de datos (DSAR); registro de auditoría append-only de los accesos a datos personales; segmentación lógica de los datos entre distintos Clientes (tenants) de la plataforma; y controles de acceso basados en roles. d. Asistir al Cliente, dentro de lo razonable y mediante las funcionalidades de autoservicio disponibles en la plataforma, en la atención de solicitudes de ejercicio de derechos ARCO formuladas por los Titulares. e. Notificar al Cliente sin dilación indebida, y en todo caso dentro de setenta y dos (72) horas desde que tenga conocimiento, cualquier brecha de seguridad que afecte los datos personales objeto de este Acuerdo, proporcionando la información razonablemente disponible para que el Cliente pueda cumplir sus propias obligaciones de notificación frente a los Titulares y/o la ANPD. f. No transferir los datos personales a terceros salvo lo previsto en la sección 6 (Subencargados) o por instrucción expresa del Cliente. g. Poner a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Acuerdo. h. A la terminación de la prestación de servicios, proceder conforme a la sección 8 (Devolución y supresión de datos).

6. Subencargados

El Cliente autoriza, con carácter general, a Flizy a recurrir a los siguientes Subencargados para el tratamiento de los datos personales objeto de este Acuerdo:

Flizy informará al Cliente con una antelación razonable de cualquier cambio en la lista de Subencargados, otorgándole la posibilidad de oponerse por motivos razonables relacionados con la protección de datos. Flizy garantizará contractualmente que cada Subencargado asume obligaciones de protección de datos equivalentes a las establecidas en este Acuerdo.

7. Transferencia internacional de datos

En la medida en que el tratamiento descrito en este Acuerdo implique la transferencia de datos personales fuera del territorio peruano (incluyendo, sin limitarse a, los Subencargados listados en la sección 6), Flizy adoptará las salvaguardas exigidas por la LPDP y su Reglamento para el flujo transfronterizo de datos personales, e informará al Cliente de los mecanismos de garantía adoptados respecto de cada Subencargado, a efectos de que el Cliente pueda, a su vez, cumplir su deber de información frente a los Titulares.

8. Devolución y supresión de datos al finalizar el servicio

A la terminación de la relación contractual entre el Cliente y Flizy, por cualquier causa, Flizy, a elección del Cliente:

a. Pondrá a disposición del Cliente, en un formato estructurado y de uso común, la totalidad de los datos personales tratados por cuenta del Cliente, dentro de un plazo de [PLAZO, p. ej. 30 días]; y/o b. Eliminará de forma segura e irreversible los datos personales tratados por cuenta del Cliente, dentro de un plazo de [PLAZO, p. ej. 90 días] contado desde la terminación, salvo que exista una obligación legal que exija su conservación por un plazo mayor (p. ej. los registros del Libro de Reclamaciones con menos de dos años de antigüedad conforme al D.S. N° 011-2011-PCM, los cuales se conservarán hasta el vencimiento de dicho plazo legal y se eliminarán o devolverán posteriormente).

9. Asistencia en materia de brechas de seguridad y derechos ARCO

Flizy prestará al Cliente la colaboración razonable para que este último pueda: (i) responder a solicitudes de ejercicio de derechos ARCO formuladas por los Titulares, incluyendo a través del mecanismo de autoservicio DSAR integrado en la plataforma; y (ii) cumplir con sus obligaciones de notificación de brechas de seguridad frente a los Titulares y/o la ANPD, en los plazos y bajo los términos previstos en la LPDP y su Reglamento.

10. Auditoría

El Cliente podrá solicitar a Flizy, con una periodicidad razonable y mediante notificación previa, información o documentación razonable que acredite el cumplimiento de las obligaciones de seguridad y protección de datos establecidas en este Acuerdo. [EVALUAR si se desea incluir un derecho de auditoría presencial/técnica más amplio, y bajo qué condiciones de confidencialidad y costo].

11. Responsabilidad

Cada parte será responsable de los daños y perjuicios que cause al Titular o a la otra parte como consecuencia del incumplimiento de las obligaciones que le correspondan conforme a la LPDP, su Reglamento y este Acuerdo. [EVALUAR límites de responsabilidad y su relación con los límites generales de responsabilidad pactados en los Términos y Condiciones de la plataforma Flizy (documento 06)].

12. Vigencia

Este Acuerdo entrará en vigor en la fecha de aceptación de los Términos y Condiciones de la plataforma Flizy por parte del Cliente, y se mantendrá vigente durante toda la relación contractual, incluyendo el período posterior a su terminación necesario para el cumplimiento de la sección 8.

Anexo I — Detalle del tratamiento