Acuerdo de tratamiento de datos

Este acuerdo es parte de los términos de uso y regula cómo [missing: razón social] (número fiscal [missing: CUIT o número fiscal], con domicilio en [missing: domicilio legal]), que presta el servicio [missing: nombre del producto] («el encargado»), trata los datos personales por cuenta de la empresa cliente («el responsable»). Cumple el artículo 28 del Reglamento General de Protección de Datos de la Unión Europea («GDPR»), y se aplica también a los datos alcanzados por leyes parecidas de otros países (por ejemplo, el UK GDPR o la ley suiza).

1. Objeto, duración, naturaleza y finalidad

Objeto: los datos personales que el responsable trata con el servicio (anexo II).
Duración: mientras dure el contrato, y lo que haga falta después para borrarlos (punto 10).
Naturaleza: recibir, guardar, mostrar al equipo del responsable, generar respuestas automáticas, transcribir, enviar y borrar mensajes.
Finalidad: prestar el servicio: recibir y responder mensajes, con el asistente de inteligencia artificial y con personas del equipo del responsable.

2. Instrucciones del responsable

El encargado trata los datos sólo según las instrucciones documentadas del responsable, también en lo que hace a transferencias a otros países, salvo que una ley lo obligue a otra cosa (en ese caso se lo avisa, si la ley lo permite). La configuración que el responsable hace en el panel y estos términos son sus instrucciones. Si una instrucción le parece contraria a la ley, el encargado se lo avisa enseguida.

El encargado no usa los datos para fines propios, no los vende ni los usa para entrenar modelos de inteligencia artificial.

3. Confidencialidad

Las personas autorizadas a tratar los datos se comprometieron a guardar secreto o están obligadas por ley, y acceden sólo cuando hace falta.

Desde el panel, el personal del encargado no ve las conversaciones, la lista de contactos, las fotos ni las notas de voz del responsable, salvo que un administrador del responsable le dé «acceso de soporte de la plataforma». Ese acceso es sólo para mirar, dura el plazo que elige el responsable o hasta que lo saca, y cada entrada queda registrada con quién entró y qué miró. El responsable ve ese registro en el panel, y se guarda un año. El encargado puede sacar ese acceso, pero no dárselo.

Fuera del panel, el acceso a la base de datos, a los archivos y a los registros del sistema se usa sólo para que el servicio funcione o para resolver una falla.

4. Seguridad

El encargado aplica las medidas técnicas y organizativas del anexo III (GDPR, art. 32), y las mejora con el tiempo sin bajar su nivel.

5. Subencargados

El responsable da una autorización general para usar los subencargados de la lista de subencargados.
Antes de sumar o cambiar uno, el encargado avisa con al menos 30 días de anticipación. El responsable se puede oponer por motivos razonables de protección de datos; si no se llega a un acuerdo, puede dar de baja el servicio sin costo antes de que entre el cambio.
El encargado les impone a sus subencargados, por contrato, las mismas obligaciones de protección de datos de este acuerdo, y responde por ellos ante el responsable.

6. Transferencias internacionales

Los datos se alojan en Estados Unidos. Para los datos del Espacio Económico Europeo, estas transferencias se hacen con las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914, módulo 2, de responsable a encargado, y módulo 3 hacia los subencargados), que se incorporan a este acuerdo, o con el Marco de Privacidad de Datos UE–EE. UU. cuando el receptor esté certificado. Para el Reino Unido se usa el anexo del Reino Unido a esas cláusulas, y para Suiza, las adaptaciones de su autoridad.

7. Ayuda con los derechos de los titulares

El panel le permite al responsable borrar todos los datos de un contacto que lo pide y ver sus conversaciones para responder un pedido de acceso, y exportar todos sus datos en un archivo que se puede leer con cualquier programa (portabilidad).
Si un titular le escribe al encargado, el encargado le pasa el pedido al responsable sin demoras y no lo contesta por su cuenta, salvo que el responsable se lo pida.
El encargado ayuda al responsable, en lo que razonablemente pueda, a responder dentro del mes que fija el GDPR.
El responsable elige en el panel cuánto tiempo se guardan los mensajes (de 30 días a 2 años; 1 año si no elige) y las fotos y notas de voz. El encargado borra todas las noches lo que pasó ese plazo.

8. Ayuda con las demás obligaciones del responsable

El encargado ayuda al responsable, con la información que tenga, con la seguridad del tratamiento, los avisos de incidentes, las evaluaciones de impacto y las consultas previas a la autoridad (GDPR, arts. 32 a 36).

9. Incidentes de seguridad

Si el encargado detecta un incidente que afecte datos personales del responsable, se lo avisa sin demoras injustificadas y, en lo posible, dentro de las 48 horas, con lo que se sepa: qué pasó, qué datos y cuántos titulares, las consecuencias probables, qué se hizo y qué se recomienda, y un contacto. Así el responsable puede avisar a la autoridad dentro de las 72 horas y a los titulares cuando corresponda. Después lo mantiene al tanto.

10. Al terminar el contrato

El responsable puede exportar todos sus datos desde el panel antes de irse.
Dentro de los 30 días de terminado, el encargado borra los datos del responsable: conversaciones, documentos, fotos, audios, usuarios del panel y configuración, salvo lo que una ley le exija guardar (por ejemplo, los registros de pagos).
Lo borrado sigue unos días en las copias de seguridad (hasta 35 días) y en los registros del sistema (30 días), que no se editan y se vencen solos. Mientras tanto, siguen protegidos por este acuerdo.

11. Información y auditorías

El encargado le da al responsable la información necesaria para demostrar que cumple este acuerdo y el artículo 28 del GDPR. Si el responsable necesita una auditoría o una inspección, se acuerda con anticipación cuándo y cómo, sin afectar la seguridad ni los datos de otros clientes, y a su costo.

12. Obligaciones del responsable

El responsable:

tiene una base legal para tratar los datos de sus contactos y, cuando hace falta, su consentimiento (por ejemplo, para escribirles primero por WhatsApp);
les informa cómo trata sus datos y que puede responder un asistente con inteligencia artificial. Puede usar su propia política o el aviso para quienes chatean;
no le pide al encargado nada contrario a la ley, ni usa el servicio para pedir categorías especiales de datos que no hagan falta.

13. Ley aplicable

Este acuerdo se rige por la misma ley y jurisdicción que los términos de uso, salvo las cláusulas contractuales tipo, que se rigen por lo que ellas digan. Si algo de este acuerdo choca con los términos, en lo que hace a datos personales manda este acuerdo; y si choca con las cláusulas tipo, mandan las cláusulas tipo.

Anexo I: partes

Responsable: la empresa cliente, con los datos que cargó en «Plan y pago», representada por quien aceptó este acuerdo en el panel.
Encargado: [missing: razón social], [missing: domicilio legal]. Contacto: [missing: mail de contacto para privacidad].

Anexo II: descripción del tratamiento

Titulares: clientes y posibles clientes del responsable que le escriben por WhatsApp o por su chat web; personas del equipo del responsable que usan el panel.
Categorías de datos: identificación y contacto (número de WhatsApp, nombre de perfil, mail y nombre de los usuarios del panel); contenido de las conversaciones (texto, fotos, notas de voz y transcripciones); datos técnicos (identificador del navegador, dirección IP, estados de entrega, registros de actividad).
Categorías especiales: no se buscan. Si un titular las manda, se tratan sólo para responder y se borran con la conversación.
Frecuencia: continua, mientras dure el contrato.
Subencargados: los de la lista de subencargados.

Anexo III: medidas de seguridad

Todo el tráfico va cifrado (HTTPS/TLS). La base, los archivos y las copias están cifrados en reposo.
Cada empresa sólo accede a lo suyo: la empresa sale siempre de la sesión de quien entra, nunca de lo que manda el navegador, y hay pruebas automáticas que lo verifican en cada ruta.
Dentro de cada empresa, cada persona tiene un rol (administrador, agente o sólo lectura) que limita lo que ve y lo que puede hacer.
Las credenciales de WhatsApp de cada empresa se guardan cifradas.
Cada parte del sistema usa su propia cuenta de servicio con los permisos mínimos, y los secretos están en un gestor de secretos.
Las fotos y audios que se reciben se revisan por dentro antes de guardarlos; el chat web y el asistente tienen topes contra abusos.
Copia diaria de la base, guardada 35 días, con pruebas de restauración.
Borrado automático, todas las noches, de lo que pasó el plazo que eligió el responsable.
Alertas por mail ante caídas, errores y mensajes que no se pueden procesar.
Registro de las acciones de los usuarios del panel.