Acuerdo de tratamiento de datos

Este acuerdo es parte de los términos de uso y regula cómo [missing: razón social] (CUIT [missing: CUIT o número fiscal], con domicilio en [missing: domicilio legal]), que presta el servicio [missing: nombre del producto] («el encargado»), trata los datos personales por cuenta de la empresa cliente («el responsable»). Se aplica el artículo 25 de la Ley 25.326 y su decreto reglamentario y, cuando correspondan, el artículo 28 del Reglamento General de Protección de Datos de la Unión Europea («GDPR») y las normas de otros países que alcancen a los datos.

1. Qué datos y de quién

El detalle está en el anexo III. En resumen:

Titulares: las personas que le escriben al responsable por WhatsApp o por el chat de su sitio, y las personas de su equipo que usan el panel.
Datos: número de WhatsApp y nombre de perfil, identificador del navegador y dirección IP (chat web), mensajes, fotos, notas de voz y sus transcripciones, estados de entrega, y nombre, mail y rol de los usuarios del panel.
Finalidad: prestar el servicio: recibir y responder mensajes, con el asistente de inteligencia artificial y con personas del equipo del responsable.
Duración: mientras dure el contrato, y lo que haga falta después para borrar los datos (punto 9).

2. Instrucciones del responsable

El encargado trata los datos sólo para prestar el servicio y según las instrucciones del responsable. La configuración que el responsable hace en el panel (qué números y chats conecta, qué sabe el asistente, quién atiende, qué se borra) son sus instrucciones. Si una instrucción le parece contraria a la ley, el encargado se lo avisa.

El encargado no usa los datos para fines propios, no los vende ni los usa para entrenar modelos de inteligencia artificial.

3. Confidencialidad

Las personas del encargado que pueden acceder a los datos lo hacen sólo cuando hace falta (por ejemplo, para resolver un problema que pidió el responsable) y están obligadas a guardar secreto, también después de terminada su relación con el encargado (Ley 25.326, art. 10).

Desde el panel, el personal del encargado no ve las conversaciones, la lista de contactos, las fotos ni las notas de voz del responsable, salvo que un administrador del responsable le dé «acceso de soporte de la plataforma». Ese acceso es sólo para mirar, dura el plazo que elige el responsable o hasta que lo saca, y cada entrada queda registrada con quién entró y qué miró. El responsable ve ese registro en el panel, y se guarda un año. El encargado puede sacar ese acceso, pero no dárselo.

Fuera del panel, el acceso a la base de datos, a los archivos y a los registros del sistema se usa sólo para que el servicio funcione o para resolver una falla.

4. Seguridad

El encargado aplica las medidas técnicas y organizativas del anexo II, y las mejora con el tiempo sin bajar su nivel.

5. Subencargados

El responsable autoriza al encargado a usar los subencargados del anexo I.
Antes de sumar o cambiar uno, el encargado avisa con al menos 30 días de anticipación. Si el responsable no está de acuerdo, puede dar de baja el servicio sin costo antes de que entre el cambio.
El encargado les exige a sus subencargados obligaciones de protección de datos equivalentes a las de este acuerdo y responde por ellos ante el responsable.

6. Transferencias internacionales

Los datos se alojan en Estados Unidos (anexo I). Para esas transferencias se usan las cláusulas contractuales modelo aprobadas por la Agencia de Acceso a la Información Pública (Disposición 60-E/2016) y, para datos alcanzados por el GDPR, las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE–EE. UU. de cada subencargado.

7. Ayuda con los derechos de los titulares

El panel le permite al responsable borrar todos los datos de un contacto que lo pide (transcripto, conversación, fotos, audios y estados de entrega), y ver sus conversaciones para responder un pedido de acceso.
Si un titular le escribe al encargado, el encargado le pasa el pedido al responsable sin demoras y no lo contesta por su cuenta, salvo que el responsable se lo pida.
El encargado ayuda al responsable a cumplir los plazos de la ley: 10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión (Ley 25.326, arts. 14 y 16).
El responsable elige en el panel cuánto tiempo se guardan los mensajes (de 30 días a 2 años; 1 año si no elige) y las fotos y notas de voz (hasta el plazo de los mensajes; 6 meses si no elige). El encargado borra todas las noches lo que pasó ese plazo, sin que haga falta pedirlo.

8. Incidentes de seguridad

Si el encargado detecta un incidente que afecte datos personales del responsable, se lo avisa sin demoras injustificadas y, en lo posible, dentro de las 48 horas, con lo que se sepa: qué pasó, qué datos y cuántos titulares, qué se hizo y qué se recomienda. Después lo mantiene al tanto. Así el responsable puede avisar a la autoridad y a los titulares cuando corresponda (en el GDPR, dentro de las 72 horas).

9. Al terminar el contrato

Dentro de los 30 días de terminado, el encargado borra los datos del responsable: conversaciones, documentos, fotos, audios, usuarios del panel y configuración. Antes, el responsable puede bajar una copia de todos sus datos desde el panel («Datos y privacidad» → «Exportar los datos»), en un archivo que se puede leer con cualquier programa.
Lo borrado sigue unos días en las copias de seguridad (hasta 35 días) y en los registros del sistema (30 días), que no se editan y se vencen solos. Mientras tanto, siguen protegidos por este acuerdo.
Sólo se guarda lo que exija la ley, por ejemplo los datos de facturación.

10. Información y auditorías

El encargado le da al responsable la información razonable para demostrar que cumple este acuerdo. Si el responsable necesita una auditoría, se acuerda con anticipación cuándo y cómo, sin afectar la seguridad ni los datos de otros clientes, y a su costo.

11. Obligaciones del responsable

El responsable:

tiene una base legal para tratar los datos de sus contactos y, cuando hace falta, su consentimiento (por ejemplo, para escribirles primero por WhatsApp);
les informa cómo trata sus datos y que puede responder un asistente con inteligencia artificial. El chat web ya lo avisa; en WhatsApp y en el resto de sus canales, lo tiene que avisar él. Puede usar su propia política o el aviso para quienes chatean;
no le pide al encargado nada contrario a la ley, ni usa el servicio para pedir datos sensibles que no hagan falta;
cumple sus propias obligaciones como responsable, por ejemplo la inscripción de sus bases de datos cuando corresponda.

12. Ley aplicable

Este acuerdo se rige por la misma ley y jurisdicción que los términos de uso. Si algo de este acuerdo choca con los términos, en lo que hace a datos personales manda este acuerdo.

Anexo I: subencargados

Google Cloud (Google LLC, Estados Unidos, región us-central1): servidores (Cloud Run), almacenamiento de fotos, audios y documentos (Cloud Storage), colas de mensajes (Pub/Sub), registros del sistema (Cloud Logging) e inicio de sesión del panel (Identity Platform).
MongoDB Atlas (MongoDB, Inc., Estados Unidos, alojado en Google Cloud us-central1): la base de datos y sus copias de seguridad.
Google Gemini API (Google LLC, Estados Unidos): generar las respuestas del asistente, describir las fotos, transcribir las notas de voz e indexar y buscar en los documentos que carga el responsable (File Search). Recibe el mensaje, las fotos o el audio, parte de la conversación anterior y esos documentos. Se usa en su modalidad paga, en la que Google no usa los datos para entrenar sus modelos.
Meta Platforms, Inc. (WhatsApp Business Cloud API, Estados Unidos): recibir y enviar los mensajes de WhatsApp.
Mercado Libre S.R.L. (Mercado Pago, Argentina): el cobro del plan. Sólo recibe los datos de quien paga, no los de los contactos.

Anexo II: medidas de seguridad

Todo el tráfico va cifrado (HTTPS/TLS). La base, los archivos y las copias están cifrados en reposo.
Cada empresa sólo accede a lo suyo: la empresa sale siempre de la sesión de quien entra, nunca de lo que manda el navegador, y hay pruebas automáticas que lo verifican en cada ruta.
Dentro de cada empresa, cada persona tiene un rol (administrador, agente o sólo lectura) que limita lo que ve y lo que puede hacer.
Las credenciales de WhatsApp de cada empresa se guardan cifradas.
Cada parte del sistema usa su propia cuenta de servicio con los permisos mínimos, y los secretos están en un gestor de secretos.
Las fotos y audios que se reciben se revisan por dentro antes de guardarlos; el chat web y el asistente tienen topes contra abusos.
Copia diaria de la base, guardada 35 días, con pruebas de restauración.
Borrado automático, todas las noches, de los mensajes, fotos y audios que pasaron el plazo que eligió el responsable.
Alertas por mail ante caídas, errores y mensajes que no se pueden procesar.
Registro de las acciones de los usuarios del panel (quién respondió, quién borró, quién cambió la configuración).

Anexo III: descripción del tratamiento

Titulares: clientes y posibles clientes del responsable que le escriben por WhatsApp o por su chat web; personas del equipo del responsable que usan el panel.
Categorías de datos: identificación y contacto (número de WhatsApp, nombre de perfil, mail y nombre de los usuarios del panel); contenido de las conversaciones (texto, fotos, notas de voz y transcripciones); datos técnicos (identificador del navegador, dirección IP, estados de entrega, registros de actividad).
Datos sensibles: no se buscan. Si un titular los manda, se tratan sólo para responder y se borran con la conversación.
Operaciones: recibir, guardar, mostrar al equipo del responsable, generar respuestas automáticas, transcribir, enviar y borrar.
Frecuencia: continua, mientras dure el contrato.