Acuerdo de Encargo de Tratamiento

El presente Acuerdo de Encargo de Tratamiento (el «DPA») forma parte integrante de los Términos y condiciones de Chatio y regula el tratamiento de datos personales que Eivor Systems, S.L. (el «Encargado») realiza por cuenta del Cliente (el «Responsable») conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

Al contratar el Servicio y aceptar los Términos, el Responsable acepta también este DPA. Si para el Responsable es necesario formalizar un DPA firmado, puede solicitarlo en soporte@eivor.es.

1. Partes

• Responsable: el Cliente que contrata el Servicio y, a los efectos del RGPD, determina los fines y medios del tratamiento respecto de los datos personales de sus Visitantes.
• Encargado: Eivor Systems, S.L., NIF B-76.281.666, con domicilio en C/ Antonio María Manrique, 6, Oficina 1-E, 35011 Las Palmas de Gran Canaria, España.

2. Objeto y naturaleza del tratamiento

El Encargado tratará datos personales por cuenta del Responsable exclusivamente para prestar el Servicio contratado y conforme a las instrucciones documentadas del Responsable (los propios Términos, la configuración del dashboard y las indicaciones que el Responsable introduzca en la plataforma).

Duración

Este DPA tendrá vigencia mientras exista una suscripción activa del Responsable al Servicio. Sus efectos se extenderán más allá de la terminación en cuanto a las obligaciones de confidencialidad y las medidas de devolución/supresión previstas en la cláusula 11.

Categorías de interesados

• Visitantes del sitio web o canales integrados del Responsable que interactúan con el chatbot.
• Usuarios finales registrados en los sistemas del Responsable a los que éste decida aplicar el Servicio.
• Otros terceros cuyos datos el Responsable decida introducir en la base de conocimiento o en las configuraciones del Servicio.

Categorías de datos personales

• Identificadores técnicos: identificador de sesión, dirección IP, agente de usuario, idioma.
• Contenido de las conversaciones entre el Visitante y el chatbot.
• Datos de contacto proporcionados voluntariamente por el Visitante (nombre, teléfono, email) para solicitar citas, dejar un lead u otras finalidades configuradas por el Responsable.
• Datos de cita o reserva cuando el Responsable active el módulo correspondiente (fecha, hora, servicio, notas).

El Responsable no introducirá categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales (art. 10 RGPD), salvo que notifique previamente al Encargado y cumpla con los requisitos legales adicionales aplicables.

3. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, salvo cuando una obligación legal exija otra cosa, en cuyo caso lo comunicará al Responsable antes del tratamiento (si no está prohibido).
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Adoptar las medidas técnicas y organizativas apropiadas conforme al artículo 32 RGPD (véase cláusula 6).
4. Asistir al Responsable para que éste pueda responder a las solicitudes de ejercicio de derechos de los interesados (art. 28.3.e RGPD).
5. Asistir al Responsable para garantizar el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto).
6. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permitir auditorías conforme a la cláusula 9.
7. A elección del Responsable, devolver o suprimir los datos personales al finalizar la prestación del Servicio conforme a la cláusula 11.

4. Obligaciones del Responsable

El Responsable garantiza que:

• Dispone de base jurídica válida (art. 6 RGPD) para cada tratamiento que encomienda al Encargado.
• Ha informado a los interesados del tratamiento conforme a los arts. 13 y 14 RGPD, incluyendo la utilización de Chatio como Encargado.
• No introducirá datos ilícitos, infringirá derechos de terceros ni usará el Servicio para fines contrarios a la ley.
• Configurará adecuadamente los parámetros del Servicio (módulos, retención, visibilidad del chatbot) para cumplir sus obligaciones legales.

5. Subencargados

El Responsable autoriza genéricamente al Encargado a contratar a los subencargados que aparecen en la lista siguiente, necesarios para prestar el Servicio. Todos están sujetos a contratos con obligaciones equivalentes a las de este DPA conforme al art. 28.4 RGPD.

El Encargado informará al Responsable, con una antelación razonable (generalmente 30 días), de cualquier incorporación o sustitución de subencargados mediante aviso en el dashboard o por email. El Responsable dispondrá de ese plazo para formular objeciones fundadas; de no hacerlo, se entenderá aceptado el cambio. En caso de oposición justificada, las partes buscarán una solución de buena fe; si no se alcanza acuerdo, el Responsable podrá resolver el Servicio sin penalización.

6. Medidas de seguridad

El Encargado aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo en la base de datos y almacenamiento.
• Control de accesos basado en roles a nivel de aplicación y de base de datos (RLS de Postgres con aislamiento por organización).
• Autenticación con hashing fuerte de contraseñas, protección contra fuerza bruta y soporte de inicio de sesión federado.
• Registro de eventos de seguridad, accesos administrativos y operaciones sensibles.
• Copias de seguridad automáticas diarias con retención configurada y pruebas periódicas de restauración.
• Gestión de vulnerabilidades: actualización regular de dependencias, revisión de código y aislamiento de entornos.
• Segregación por organización: los datos de cada Cliente se mantienen lógicamente separados mediante identificador de organización (org_id) y políticas RLS.

7. Notificación de brechas de seguridad

Ante una brecha de seguridad que afecte a datos personales tratados por cuenta del Responsable, el Encargado la notificará sin dilación indebida, y en todo caso dentro de las 72 horas desde que tenga conocimiento, proporcionando al menos:

• Descripción de la naturaleza de la brecha.
• Categorías y número aproximado de interesados y registros afectados.
• Medidas adoptadas o propuestas para abordar la brecha y mitigar efectos.
• Nombre y datos de contacto de la persona responsable del seguimiento.

Corresponde al Responsable, en su caso, notificar la brecha a la autoridad de control competente y a los interesados conforme a los arts. 33 y 34 RGPD.

8. Asistencia al Responsable

El Encargado asistirá al Responsable, considerando la naturaleza del tratamiento y la información disponible, a:

• Responder a solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, oposición, portabilidad).
• Cumplir obligaciones de seguridad, notificación de brechas y, si procede, evaluaciones de impacto (arts. 32-36 RGPD).

Si un interesado dirige una solicitud directamente al Encargado, éste la trasladará al Responsable sin dar respuesta salvo instrucción en contrario.

9. Auditoría

El Encargado pondrá a disposición del Responsable la información razonable necesaria para demostrar el cumplimiento de sus obligaciones. El Responsable podrá, con preaviso razonable (mínimo 30 días), solicitar una auditoría una vez por año, limitada a los sistemas e información relevantes para el tratamiento, respetando la confidencialidad y la continuidad del Servicio. Los costes de la auditoría corren por cuenta del Responsable, salvo que la auditoría revele un incumplimiento material del Encargado.

10. Transferencias internacionales

Algunos subencargados se ubican fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Tales transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión 2021/914 y, en su caso, en medidas complementarias. El Responsable puede solicitar copia de dichas cláusulas en soporte@eivor.es.

11. Devolución o supresión de datos

Al finalizar la prestación del Servicio, el Encargado, a elección del Responsable:

• Permitirá la exportación de los datos personales a través de las funciones de descarga disponibles en el dashboard, durante los 30 días posteriores a la terminación; o
• Suprimirá los datos personales y las copias existentes, salvo obligación legal de conservación. La supresión se completará en un plazo máximo de 90 días tras la terminación, incluyendo las copias de seguridad en ciclo de rotación.

El Encargado certificará por escrito la supresión a solicitud del Responsable.

12. Confidencialidad

El Encargado y su personal guardarán secreto profesional respecto de los datos personales tratados por cuenta del Responsable, incluso después de finalizar la relación.

13. Responsabilidad

La responsabilidad derivada de este DPA queda sujeta a los límites previstos en la cláusula «Limitación de responsabilidad» de los Términos, salvo en lo relativo a los supuestos de responsabilidad directa frente a los interesados previstos en el art. 82 RGPD.

14. Orden de prelación

En caso de contradicción entre este DPA y los Términos en materia de protección de datos, prevalecerá este DPA.

15. Ley aplicable y jurisdicción

Este DPA se rige por la legislación española. Para la resolución de cualquier controversia, las partes se someten a los Juzgados y Tribunales del domicilio del Encargado, salvo fuero imperativo distinto.

Contacto

Para cualquier cuestión relativa a este DPA, contacta con soporte@eivor.es.