Este Anexo de Procesamiento de Datos ("DPA") forma parte de, y se incorpora por referencia a, los Términos de Servicio entre Usted ("Cliente") y Lanzia LLC, y aplica cuando Lanzia LLC procesa Datos Personales en su nombre.

This Data Processing Addendum ("DPA") forms part of, and is incorporated by reference into, the Terms of Service between You ("Customer") and Lanzia LLC, and applies when Lanzia LLC processes Personal Data on Your behalf.

"Ley de Protección de Datos Aplicable" significa toda ley de privacidad aplicable al tratamiento, incluyendo según corresponda el GDPR (UE/RU), la CCPA/CPRA (California) y la LGPD (Brasil).

"Datos del Cliente" significa los Datos Personales que el Cliente importa, conecta o sube a los Servicios.

"Responsable" o "Controlador," "Encargado" o "Procesador," "Datos Personales," "Interesado" o "Titular," "Tratamiento" y "Subencargado" tienen el significado que les da la Ley de Protección de Datos Aplicable.

"Applicable Data Protection Law" means any privacy law applicable to the processing, including as relevant GDPR (EU/UK), CCPA/CPRA (California), and LGPD (Brazil).

"Customer Data" means the Personal Data the Customer imports, connects, or uploads to the Services.

"Controller," "Processor," "Personal Data," "Data Subject," "Processing," and "Subprocessor" have the meanings given by Applicable Data Protection Law.

Respecto de los Datos del Cliente, el Cliente es el Responsable (o un Encargado de un tercero) y Lanzia LLC es el Encargado. Lanzia LLC tratará los Datos del Cliente únicamente para prestar los Servicios y conforme a las instrucciones documentadas del Cliente (incluido este DPA y los Términos).

Respecto de los datos de cuenta del propio Cliente (facturación, datos de inicio de sesión), Lanzia LLC actúa como Responsable conforme a su Política de Privacidad.

With respect to Customer Data, the Customer is the Controller (or a third party's Processor) and Lanzia LLC is the Processor. Lanzia LLC will process Customer Data only to provide the Services and per the Customer's documented instructions (including this DPA and the Terms).

With respect to the Customer's own account data (billing, login), Lanzia LLC acts as Controller under its Privacy Policy.

El objeto, la naturaleza, la finalidad, la duración, las categorías de Interesados y los tipos de Datos Personales se describen en el Anexo A.

The subject matter, nature, purpose, duration, categories of Data Subjects, and types of Personal Data are described in Annex A.

El Cliente declara y garantiza que: (a) cuenta con todas las bases legales, consentimientos y avisos necesarios para que Lanzia LLC trate los Datos del Cliente; (b) sus instrucciones cumplen con la Ley de Protección de Datos Aplicable; y (c) no subirá categorías especiales de datos sensibles sin una base legal adecuada. El Cliente es responsable de la exactitud y legalidad de los Datos del Cliente.

The Customer represents and warrants that: (a) it has all legal bases, consents, and notices necessary for Lanzia LLC to process Customer Data; (b) its instructions comply with Applicable Data Protection Law; and (c) it will not upload special categories of sensitive data without an adequate legal basis. The Customer is responsible for the accuracy and lawfulness of Customer Data.

Lanzia LLC garantiza que el personal autorizado para tratar los Datos del Cliente está sujeto a obligaciones de confidencialidad.

Lanzia LLC ensures that personnel authorized to process Customer Data are bound by confidentiality obligations.

Lanzia LLC implementa medidas técnicas y organizativas razonables apropiadas al riesgo, descritas en el Anexo B.

Lanzia LLC implements reasonable technical and organizational measures appropriate to the risk, described in Annex B.

El Cliente otorga una autorización general para que Lanzia LLC contrate Subencargados para prestar los Servicios. La lista de Subencargados se establece en el Anexo C.

Lanzia LLC impondrá a cada Subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA y será responsable del cumplimiento de sus Subencargados. Lanzia LLC notificará los cambios de Subencargados y el Cliente podrá objetar por motivos razonables de protección de datos.

The Customer grants a general authorization for Lanzia LLC to engage Subprocessors to provide the Services. The Subprocessor list is set out in Annex C.

Lanzia LLC will impose on each Subprocessor data-protection obligations substantially equivalent to those in this DPA and remains responsible for its Subprocessors' compliance. Lanzia LLC will notify of Subprocessor changes, and the Customer may object on reasonable data-protection grounds.

Considerando la naturaleza del Tratamiento, Lanzia LLC asistirá razonablemente al Cliente, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de los Interesados que ejerzan sus derechos (acceso, rectificación, supresión, portabilidad, oposición). Si Lanzia LLC recibe directamente una solicitud, la remitirá al Cliente.

Taking into account the nature of the Processing, Lanzia LLC will reasonably assist the Customer, through appropriate technical and organizational measures, to respond to Data Subject requests exercising their rights (access, rectification, erasure, portability, objection). If Lanzia LLC receives a request directly, it will refer it to the Customer.

Lanzia LLC asistirá razonablemente al Cliente con sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto (DPIA), considerando la naturaleza del Tratamiento y la información disponible para Lanzia LLC.

Lanzia LLC will reasonably assist the Customer with its obligations regarding security, breach notification, and data-protection impact assessments (DPIAs), taking into account the nature of the Processing and the information available to Lanzia LLC.

Lanzia LLC notificará al Cliente sin demora indebida tras tener conocimiento de una violación de seguridad de Datos Personales que afecte los Datos del Cliente, proporcionando la información razonablemente disponible para que el Cliente cumpla sus obligaciones de notificación.

Lanzia LLC will notify the Customer without undue delay after becoming aware of a Personal Data breach affecting Customer Data, providing the information reasonably available to enable the Customer to meet its notification obligations.

En la medida en que el Tratamiento implique una transferencia de Datos Personales fuera de su jurisdicción de origen a un país sin una decisión de adecuación, las partes aplicarán un mecanismo de transferencia válido (por ejemplo, las Cláusulas Contractuales Tipo de la UE/RU), que se incorporan por referencia cuando sean aplicables.

To the extent the Processing involves a transfer of Personal Data outside its country of origin to a country without an adequacy decision, the parties will rely on a valid transfer mechanism (e.g., the EU/UK Standard Contractual Clauses), incorporated by reference where applicable.

Al finalizar los Servicios, Lanzia LLC, a elección del Cliente, devolverá o suprimirá los Datos del Cliente dentro de un plazo razonable, salvo que la ley exija su conservación. Aplica el periodo de gracia de eliminación de cuenta descrito en los Términos.

Upon termination of the Services, Lanzia LLC will, at the Customer's choice, return or delete Customer Data within a reasonable period, except where law requires retention. The account-deletion grace period described in the Terms applies.

Lanzia LLC pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA. Las auditorías se limitan a una (1) vez por año, con aviso razonable, durante horario laboral, sujetas a confidencialidad, y pueden satisfacerse mediante certificaciones o informes existentes.

Lanzia LLC will make available the information reasonably necessary to demonstrate compliance with this DPA. Audits are limited to once (1) per year, on reasonable notice, during business hours, subject to confidentiality, and may be satisfied by existing certifications or reports.

La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos (SECCIÓN 14).

Each party's liability under this DPA is subject to the limitations and exclusions of liability set out in the Terms (SECTION 14).

Este DPA permanece vigente mientras Lanzia LLC trate Datos del Cliente.

This DPA remains in effect while Lanzia LLC processes Customer Data.

Este DPA se rige por la misma ley que los Términos (Arizona, EE. UU.), salvo que la Ley de Protección de Datos Aplicable exija otra cosa.

This DPA is governed by the same law as the Terms (Arizona, USA), except where Applicable Data Protection Law requires otherwise.

En caso de conflicto entre este DPA y los Términos respecto del tratamiento de Datos Personales, prevalece este DPA.

In case of conflict between this DPA and the Terms regarding the processing of Personal Data, this DPA prevails.

Objeto: prestación de los Servicios de Lanzia (incluyendo Intelligence).

Duración: mientras esté vigente la cuenta más el periodo de retención.

Naturaleza y finalidad: almacenamiento, organización, análisis y enriquecimiento de contactos para marketing e inteligencia comercial.

Categorías de Interesados: los contactos, clientes potenciales y clientes del Cliente.

Tipos de Datos: nombre, correo electrónico, teléfono, datos de interacción/transacción y campos similares de CRM.

Subject matter: provision of the Lanzia Services (including Intelligence).

Duration: for the life of the account plus the retention period.

Nature and purpose: storage, organization, analysis, and enrichment of contacts for marketing and business intelligence.

Categories of Data Subjects: the Customer's contacts, leads, and customers.

Types of Data: name, email, phone, interaction/transaction data, and similar CRM fields.

Cifrado en tránsito (HTTPS) y en reposo; aislamiento multi-inquilino mediante seguridad a nivel de fila (RLS); credenciales y tokens cifrados; acceso por rol y mínimo privilegio; registro de auditoría; copias de seguridad; y revisión periódica.

Encryption in transit (HTTPS) and at rest; multi-tenant isolation via row-level security (RLS); encrypted credentials and tokens; role-based, least-privilege access; audit logging; backups; and periodic review.

Los siguientes Subencargados pueden procesar Datos del Cliente para prestar los Servicios:

• Supabase — infraestructura y almacenamiento
• Vercel — alojamiento de la aplicación
• KIE.ai (y, a través de este, Google Veo, Kling, Seedance y OmniHuman) — generación de video y sincronización labial
• ElevenLabs — síntesis y clonación de voz
• Creatomate — composición y renderizado de video
• Resend — correo transaccional
• Anthropic y OpenAI — modelos de inteligencia artificial
• Stripe — procesamiento de pagos
• HighLevel — CRM y páginas de venta

Lanzia LLC no utiliza su imagen ni su voz para entrenar modelos propios, no las comparte con otros usuarios y no las emplea con fines publicitarios sin su autorización expresa.

The following Subprocessors may process Customer Data to deliver the Services:

• Supabase — infrastructure and storage
• Vercel — application hosting
• KIE.ai (and, through it, Google Veo, Kling, Seedance and OmniHuman) — video generation and lip-sync
• ElevenLabs — voice synthesis and cloning
• Creatomate — video composition and rendering
• Resend — transactional email
• Anthropic and OpenAI — AI models
• Stripe — payment processing
• HighLevel — CRM and sales pages

Lanzia LLC does not use Your image or voice to train its own models, does not share them with other users, and does not use them for advertising without Your express authorization.

Este Anexo desarrolla las obligaciones específicas del Encargado y sus Subencargados respecto del tratamiento de Datos Biométricos derivados de la función ClonIA, y complementa el resto de este Anexo de Procesamiento de Datos. En caso de discrepancia con otras secciones para material biométrico, prevalece este Anexo D.

D.1 Definición

A los efectos de este Anexo, "Datos Biométricos" incluye: la fotografía del rostro del interesado, las imágenes derivadas de la misma, las grabaciones de voz y los modelos de voz derivados generados mediante la función ClonIA de la Plataforma.

D.2 Categorías de Interesados

Usuarios finales de la Plataforma que activen ClonIA, y personas cuya imagen o voz haya sido cargada por el usuario con permiso escrito conforme a la Sección 4 de los Términos y Condiciones.

D.3 Finalidades Autorizadas

Los Datos Biométricos serán tratados única y exclusivamente para: (i) generar el contenido de video y audio que el Cliente solicite en su cuenta; y (ii) la prestación técnica del servicio ClonIA. El Encargado y sus Subencargados NO utilizarán los Datos Biométricos para:

• Identificación biométrica del interesado con fines de verificación de identidad o vigilancia
• Publicidad, marketing o segmentación de audiencias
• Entrenamiento de modelos de inteligencia artificial propios o de terceros
• Elaboración de perfiles, decisiones automatizadas o puntuación
• Venta, licencia, cesión o cualquier transferencia con ánimo de lucro

D.4 Subencargados Autorizados para Datos Biométricos

Los siguientes Subencargados, listados en el Anexo C, están específicamente autorizados a tratar Datos Biométricos por cuenta del Encargado:

• KIE.ai (y, a través de este, Google Veo, Kling, Seedance y OmniHuman) — generación de video y sincronización labial
• ElevenLabs — clonación y síntesis de voz
• Creatomate — composición y renderizado de video
• Supabase — almacenamiento intermedio cifrado

Cualquier cambio en esta lista se notificará al Cliente con al menos treinta (30) días de antelación, permitiéndole objetar por causa justificada.

D.5 Base Legal del Tratamiento

Consentimiento expreso, informado, específico y verificable del interesado, recabado mediante aviso biométrico específico presentado antes de la primera captura, que identifica: (i) la finalidad, (ii) los tipos de Datos Biométricos recabados, (iii) el plazo de conservación, (iv) los Subencargados listados en D.4, y (v) el derecho a retirar el consentimiento en cualquier momento.

D.6 Plazo de Conservación y Destrucción Garantizada

El Encargado y sus Subencargados destruirán todos los Datos Biométricos —incluyendo el material original, las imágenes y modelos derivados, y las copias alojadas en cualquier Subencargado, incluyendo la voz clonada alojada en ElevenLabs— dentro de los treinta (30) días siguientes a la ocurrencia de cualquiera de los siguientes eventos:

• Eliminación del avatar o modelo de voz por el interesado desde la Plataforma
• Retiro del consentimiento biométrico
• Cierre de la cuenta del Cliente
• Terminación de este Anexo o de los Términos y Condiciones

Esta obligación se extiende contractualmente a todos los Subencargados listados en D.4 mediante los acuerdos de subprocesamiento correspondientes. La única excepción es una obligación legal de conservación prolongada, en cuyo caso el Encargado documentará la base legal específica y notificará al Cliente.

D.7 Prohibición Absoluta de Comercialización

D.8 Salvaguardas Técnicas Adicionales

Además de las Medidas de Seguridad del Anexo B, los Datos Biométricos estarán sujetos a:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256 o equivalente)
• Segregación lógica del resto de Datos del Cliente cuando sea técnicamente posible
• Registros de acceso conservados por un (1) año mínimo
• Acceso restringido bajo principio de mínimo privilegio

D.9 Notificación de Violación de Seguridad Biométrica

Cualquier violación de seguridad que afecte Datos Biométricos será notificada al Cliente sin demora indebida y a más tardar dentro de las setenta y dos (72) horas desde que el Encargado tenga conocimiento, con la información requerida en la Sección 10, y adicionalmente identificará expresamente el número aproximado de interesados afectados y los tipos de Datos Biométricos comprometidos.

D.10 Cumplimiento de Leyes Biométricas

Sin renunciar a la ley aplicable pactada en la Sección 16, el Encargado hará esfuerzos comercialmente razonables para tratar Datos Biométricos conforme a las siguientes leyes de aplicación extraterritorial cuando resulten relevantes:

• Illinois Biometric Information Privacy Act — 740 ILCS 14/ (BIPA)
• Texas Capture or Use of Biometric Identifier Act — Tex. Bus. & Com. Code § 503.001
• Washington My Health My Data Act — RCW 19.373 (en cuanto trate datos biométricos como categoría sensible)
• Reglamento General de Protección de Datos (UE) 2016/679, artículo 9 (datos biométricos como categoría especial)
• Lei Geral de Proteção de Dados (Brasil) — Lei 13.709/2018, artículo 11 (dados biométricos como sensíveis)

El Cliente reconoce que Lanzia LLC no actúa como abogado, y que el cumplimiento final ante autoridades y tribunales dependerá del uso concreto que el Cliente haga de la Plataforma.

This Annex develops the specific obligations of the Processor and its Subprocessors regarding the processing of Biometric Data derived from the ClonIA feature, and supplements the rest of this Data Processing Addendum. In the event of a discrepancy with other sections concerning biometric material, this Annex D prevails.

D.1 Definition

For the purposes of this Annex, "Biometric Data" includes: the photograph of the data subject's face, images derived from it, voice recordings, and derived voice models generated through the Platform's ClonIA feature.

D.2 Categories of Data Subjects

End users of the Platform who activate ClonIA, and individuals whose image or voice has been uploaded by the user with written permission pursuant to Section 4 of the Terms and Conditions.

D.3 Authorized Purposes

Biometric Data shall be processed solely and exclusively for: (i) generating the video and audio content the Customer requests in their account; and (ii) the technical provision of the ClonIA service. The Processor and its Subprocessors SHALL NOT use Biometric Data for:

• Biometric identification of the data subject for identity verification or surveillance
• Advertising, marketing, or audience targeting
• Training of own or third-party artificial intelligence models
• Profiling, automated decision-making, or scoring
• Sale, license, assignment, or any transfer for profit

D.4 Subprocessors Authorized for Biometric Data

The following Subprocessors, listed in Annex C, are specifically authorized to process Biometric Data on behalf of the Processor:

• KIE.ai (and, through it, Google Veo, Kling, Seedance and OmniHuman) — video generation and lip-sync
• ElevenLabs — voice cloning and synthesis
• Creatomate — video composition and rendering
• Supabase — encrypted intermediate storage

Any change to this list will be notified to the Customer at least thirty (30) days in advance, allowing objection for justified cause.

D.5 Legal Basis for Processing

Express, informed, specific and verifiable consent from the data subject, collected through a specific biometric notice presented before the first capture, which identifies: (i) the purpose, (ii) the types of Biometric Data collected, (iii) the retention period, (iv) the Subprocessors listed in D.4, and (v) the right to withdraw consent at any time.

D.6 Retention Period and Guaranteed Destruction

The Processor and its Subprocessors shall destroy all Biometric Data —including original material, derived images and models, and any copies hosted with any Subprocessor, including cloned voice hosted at ElevenLabs— within thirty (30) days following the occurrence of any of the following events:

• Deletion of the avatar or voice model by the data subject from the Platform
• Withdrawal of biometric consent
• Closure of the Customer's account
• Termination of this Annex or of the Terms and Conditions

This obligation is contractually extended to all Subprocessors listed in D.4 through the corresponding subprocessing agreements. The only exception is a legal obligation of extended retention, in which case the Processor shall document the specific legal basis and notify the Customer.

D.7 Absolute Prohibition on Commercialization

D.8 Additional Technical Safeguards

In addition to the Security Measures of Annex B, Biometric Data shall be subject to:

• Encryption in transit (TLS 1.2 or higher) and at rest (AES-256 or equivalent)
• Logical segregation from other Customer Data when technically possible
• Access logs retained for a minimum of one (1) year
• Restricted access under the principle of least privilege

D.9 Biometric Security Breach Notification

Any security breach affecting Biometric Data shall be notified to the Customer without undue delay and no later than seventy-two (72) hours from the Processor's knowledge, with the information required in Section 10, and shall additionally expressly identify the approximate number of data subjects affected and the types of Biometric Data compromised.

D.10 Compliance with Biometric Laws

Without waiving the applicable law agreed in Section 16, the Processor shall make commercially reasonable efforts to process Biometric Data in accordance with the following laws of extraterritorial application when relevant:

• Illinois Biometric Information Privacy Act — 740 ILCS 14/ (BIPA)
• Texas Capture or Use of Biometric Identifier Act — Tex. Bus. & Com. Code § 503.001
• Washington My Health My Data Act — RCW 19.373 (insofar as it treats biometric data as a sensitive category)
• General Data Protection Regulation (EU) 2016/679, Article 9 (biometric data as a special category)
• Lei Geral de Proteção de Dados (Brazil) — Law 13.709/2018, Article 11 (biometric data as sensitive)

The Customer acknowledges that Lanzia LLC does not act as legal counsel, and that final compliance before authorities and courts will depend on the specific use the Customer makes of the Platform.