Contrato de Encargo del Tratamiento de Datos

1. Partes y objeto

Este contrato regula el tratamiento de datos personales que AizuaLabs (en adelante, el Encargado) realiza por cuenta del Cliente (en adelante, el Responsable) como consecuencia de la prestación del servicio de agente conversacional con inteligencia artificial contratado.

El Responsable determina las finalidades y los medios del tratamiento. El Encargado trata los datos únicamente para prestar el servicio, conforme a las instrucciones documentadas del Responsable, que son las contenidas en este contrato y en la configuración que el Responsable establece en el portal.

2. Objeto, duración, naturaleza y finalidad del tratamiento

Naturaleza y finalidad: recepción y respuesta automatizada de consultas de los usuarios finales del Responsable, registro de la conversación para su consulta y seguimiento, y comunicación al Responsable de los contactos y solicitudes recibidas.

Duración: mientras esté vigente la prestación del servicio. Al terminar se aplica la cláusula 8.

3. Tipo de datos y categorías de interesados

Categorías de interesados: usuarios finales que interactúan con el agente en los canales habilitados por el Responsable (web, WhatsApp, teléfono).

Tipos de datos: contenido de los mensajes; datos de contacto que el interesado facilite voluntariamente (nombre, email, teléfono); e identificadores técnicos de la sesión.

El agente está configurado para NO solicitar datos de las categorías especiales del art. 9 RGPD, ni contraseñas, ni datos bancarios o de tarjeta. El Responsable se compromete a no instruirlo para recabarlos, ni mediante la base de conocimiento ni por ningún otro medio.

4. Obligaciones del Encargado (art. 28.3)

a) Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, e informarle si considera que una instrucción infringe la normativa de protección de datos.

b) Garantizar que las personas autorizadas para tratar los datos se comprometen a respetar la confidencialidad, y limitar el acceso a quienes lo necesiten para prestar el servicio.

c) Aplicar las medidas técnicas y organizativas del art. 32: cifrado en tránsito (TLS), control de acceso por credenciales y por políticas a nivel de fila en la base de datos, y separación estricta de los datos de cada cliente.

d) No subcontratar sin autorización. El Responsable autoriza expresamente los subencargados de la cláusula 5, y el Encargado le informará de cualquier cambio con antelación suficiente para que pueda oponerse.

e) Asistir al Responsable en la respuesta a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), poniendo a su disposición las conversaciones a través del portal y atendiendo sus peticiones sin dilación indebida.

f) Asistir al Responsable en el cumplimiento de los arts. 32 a 36, y comunicarle sin dilación indebida, y en todo caso en un plazo máximo de 48 horas, cualquier violación de seguridad de la que tenga conocimiento y que afecte a los datos tratados por su cuenta.

g) Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 8.

h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías o inspecciones que razonablemente solicite, con preaviso y sin comprometer la seguridad de los datos de otros clientes.

5. Subencargados autorizados

El Responsable autoriza a los siguientes subencargados, con los que el Encargado mantiene los compromisos exigidos por el art. 28.4:

· Supabase — alojamiento de la base de datos y almacenamiento.

· Vercel — alojamiento y ejecución de la aplicación.

· Proveedores de modelos de lenguaje — generación de las respuestas del agente. El contenido de la conversación se les transmite para producir la respuesta.

· Twilio y 360dialog — cuando el Responsable active los canales de WhatsApp o telefonía.

· Resend — cuando el servicio implique el envío de correo en nombre del Responsable.

Algunos de estos subencargados están ubicados fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las garantías del Capítulo V del RGPD, mediante cláusulas contractuales tipo o decisión de adecuación cuando resulte aplicable.

6. Plazo de conservación

Las conversaciones se conservan durante 12 meses desde el último mensaje y se suprimen después de forma automática. Si de una conversación se deriva una relación contractual entre el Responsable y el interesado, la conservación de esos datos corresponde al Responsable en sus propios sistemas y con sus propios plazos.

7. Decisiones automatizadas

El agente informa y deriva a una persona. No adopta decisiones automatizadas que produzcan efectos jurídicos sobre los interesados ni les afecten significativamente de modo similar (art. 22 RGPD). El Responsable se compromete a no configurarlo para ello.

8. Devolución y supresión al finalizar

Al terminar la prestación, el Responsable puede solicitar la exportación de las conversaciones en un plazo de 30 días. Transcurrido ese plazo sin solicitud, o una vez atendida, el Encargado suprimirá los datos, salvo los que deba conservar por obligación legal, que quedarán bloqueados.

9. Obligaciones del Responsable

El Responsable garantiza que informa a sus usuarios finales del tratamiento realizado a través del chat en su propia política de privacidad, que dispone de base jurídica para dicho tratamiento, y que la base de conocimiento que carga en el agente no incluye datos personales de terceros que no esté legitimado para tratar.

10. Responsabilidad y ley aplicable

Cada parte responde de los incumplimientos que le sean imputables. Este contrato se rige por el RGPD y por la Ley Orgánica 3/2018 (LOPDGDD), y se somete a los juzgados y tribunales españoles.