Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Tratamiento de Datos (“DPA”) detalla las obligaciones de protección de datos de las partes que surgen del uso, por parte del cliente, de la plataforma de software como servicio que Neltacore, LLC ofrece bajo la marca “Deskwoot” (el “Contrato Principal”). Se aplica a todas las actividades en las que empleados del Encargado o terceros contratados por él entren en contacto con datos personales del Responsable. Este DPA cumple los requisitos del artículo 28 del RGPD.

§ 1 Objeto y duración

(1) El objeto del tratamiento resulta del Contrato Principal, al que aquí se hace referencia (suministro de la plataforma Deskwoot para la atención al cliente).

(2) La duración de este DPA corresponde a la vigencia del Contrato Principal. Cuando termina el Contrato Principal, este DPA termina automáticamente, salvo que se apliquen plazos legales obligatorios de conservación.

§ 2 Detalles del tratamiento

(1) Naturaleza y finalidad: tratamiento de datos personales para ofrecer funciones de atención al cliente, entre ellas una bandeja de entrada multicanal, la automatización de respuestas con ayuda de IA, una base de conocimientos, un widget de chat en vivo, informes y la integración con los sistemas de comercio electrónico del Responsable y con otro software empresarial que el Responsable conecte (como sistemas de reservas, de gestión de consultorios, CRM, de gestión de trabajos y de contabilidad, y sistemas telefónicos).

(2) Tipos de datos personales: datos maestros y de contacto (nombre, correo electrónico, teléfono), contenido de las comunicaciones (mensajes, tickets), datos de llamadas, cuando el Responsable conecta un sistema telefónico (número, horas, duración, agente, extensión y cola; mientras el Responsable lo active, también la transcripción, el resumen, el sentimiento, las grabaciones y los mensajes de buzón de voz, que también contienen las voces de su personal), datos de pedidos (cuando el Responsable usa la integración de comercio electrónico), datos de uso y de acceso (dirección IP, agente de usuario, marcas de tiempo) y otros datos que los interesados envíen de forma voluntaria; datos de citas, datos de CRM y de clientes potenciales, y datos de facturación (números de facturas y de cotizaciones, fechas, montos y estado de pago), en cada caso cuando el Responsable conecte dicho software; cuando el Responsable sea un consultorio de salud, el hecho de que una persona sea su paciente.

(3) Datos agregados de contexto para el bot: cuando el Responsable usa el bot de IA o la función AI Copilot, el Encargado muestra, dentro del prompt del sistema del modelo de IA, estadísticas comerciales agregadas del interesado asociado a la conversación, para que las respuestas del bot tengan en cuenta el contexto sin necesitar llamadas adicionales a herramientas. Los datos agregados que se muestran son: número de pedidos, fecha del pedido más reciente, valor total acumulado de los pedidos con su moneda y un indicador de actualidad que describe si la integración en la que se basan se sincroniza en tiempo real. Los datos personales detallados sobre pedidos concretos (dirección de envío, método de pago, artículos) solo se muestran después de que la conversación se haya verificado al Nivel 2 mediante el proceso del enlace mágico.

(4) Categorías de interesados: clientes finales del Responsable, empleados y agentes del Responsable (cuando usan la plataforma), visitantes de sitios web operados por el Responsable (cuando el widget de chat en vivo está integrado) y, cuando el Responsable conecta dicho software, sus pacientes, posibles compradores e inquilinos, y clientes, y las personas que llaman y las personas a las que se llama, cuando el Responsable conecta un sistema telefónico.

(5) Software conectado: por instrucción del Responsable, el Encargado intercambia datos personales con el software que el Responsable conecta en virtud de su propio contrato con el proveedor de ese software. Estos proveedores no son subencargados del Encargado y pueden tratar datos fuera de la UE/EEE (por ejemplo, en los EE. UU., Canadá, el Reino Unido o Australia).

§ 3 Medidas técnicas y organizativas

(1) El Encargado implementará y mantendrá durante toda la vigencia del Acuerdo las medidas técnicas y organizativas (MTO) descritas en el Anexo A para proteger los datos personales.

(2) El Encargado revisa las medidas con regularidad y las adapta al estado actual de la técnica. Los cambios importantes se comunicarán al Responsable.

(3) Las medidas están diseñadas e implementadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 del RGPD).

§ 4 Rectificación, limitación y supresión de datos

(1) El Encargado solo rectificará o suprimirá datos personales, o limitará su tratamiento, por instrucción del Responsable. Esto se aplica en particular a las solicitudes de los interesados según los arts. 15-22 del RGPD.

(2) Si un interesado se dirige directamente al Encargado con una solicitud de este tipo, el Encargado la reenviará al Responsable sin dilación indebida.

(3) El Encargado ofrece en su plataforma funciones que permiten al Responsable atender por sí mismo las solicitudes de los interesados (por ejemplo, exportación de datos, eliminación de la cuenta).

§ 5 Obligaciones del Encargado

(1) El Encargado trata los datos personales exclusivamente dentro del marco de las instrucciones del Responsable y del Contrato Principal.

(2) El Encargado obliga a sus empleados autorizados a mantener la confidencialidad (art. 28(3)(b) del RGPD) o garantiza que estén sujetos a una obligación legal de confidencialidad adecuada.

(3) El Encargado designa, a petición, una persona de contacto para asuntos de protección de datos. Las consultas pueden enviarse a: hello@deskwoot.com.

(4) El Encargado ayuda al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, a cumplir las obligaciones de los arts. 32-36 del RGPD.

(5) El Encargado documenta el registro de las actividades de tratamiento según el art. 30(2) del RGPD y lo pone a disposición del Responsable o de la autoridad de control cuando lo soliciten.

§ 5a Protección de secretos profesionales

(1) Esta sección se aplica cuando el Responsable tiene la obligación legal de guardar los secretos de terceros, en particular como miembro de una profesión de la salud según el § 203(1) n.º 1 del Código Penal alemán (StGB) (por ejemplo, un médico, dentista, psicoterapeuta o fisioterapeuta). En ese caso, el Encargado participa en la actividad profesional del Responsable como “otra persona colaboradora” en el sentido del § 203(3), oración 2, del StGB.

(2) El Encargado se compromete a mantener en secreto todos los secretos de terceros que conozca durante su trabajo para el Responsable o con ocasión de este. Entre ellos están, en particular, el contenido de todos los mensajes y archivos, y el simple hecho de que una persona esté en contacto con el Responsable o sea paciente del Responsable. Esta obligación continúa después de que termine el Contrato Principal.

(3) El Encargado obtiene conocimiento de tales secretos, para sí y para las personas que trabajan para él, solo en la medida necesaria para los servicios del Contrato Principal, en particular para la operación, la seguridad, la solución de errores, el soporte y una configuración que el Responsable haya encargado.

(4) Se ha informado al Encargado de que, según el § 203(4), oración 1, del StGB, comete un delito si revela sin autorización uno de estos secretos y, según el § 203(4), oración 2, n.º 2, del StGB, si recurre a otra persona colaboradora sin asegurarse de que esa persona quedó obligada a guardar secreto.

(5) Antes de que empiecen a trabajar, el Encargado obliga a guardar secreto, en forma de texto, a todos los empleados y demás personas que colaboran en los servicios y que puedan llegar a conocer tales secretos, y les informa de las consecuencias penales de una infracción.

(6) El Responsable permite al Encargado recurrir a los subencargados indicados en el Anexo B como otras personas colaboradoras (§ 203(3), oración 2, segunda mitad de la oración, del StGB). El Encargado solo les transmite secretos en la medida necesaria para su servicio. Garantiza que cada subencargado esté obligado por contrato a mantener la confidencialidad de los datos del Responsable y que traslade esta obligación a sus empleados y a otros subencargados.

(7) Si una autoridad o un tribunal exige dichos datos, el Encargado informa al Responsable sin dilación indebida, cuando la ley lo permita, y solo revela lo que esté legalmente obligado a revelar.

§ 6 Subencargados

(1) El Responsable da su consentimiento a la contratación de los subencargados indicados en el Anexo B.

(2) El Encargado informará al Responsable con antelación de cualquier incorporación o sustitución prevista de otros encargados, y le dará la oportunidad de oponerse a dichos cambios.

(3) Para los subencargados ubicados en terceros países (fuera del EEE), el Encargado garantiza un nivel adecuado de protección de datos, en particular mediante la celebración de las Cláusulas Contractuales Tipo de la UE (SCC).

(4) El Encargado selecciona cuidadosamente a sus subencargados y revisa con regularidad su nivel de protección de datos.

(5) El Encargado impone por contrato a cada subencargado las mismas obligaciones de protección de datos que este DPA establece para el servicio correspondiente (art. 28(4) del RGPD). Si un subencargado no cumple sus obligaciones de protección de datos, el Encargado sigue siendo responsable ante el Responsable del cumplimiento de esas obligaciones.

§ 7 Derechos de auditoría

(1) El Responsable se cerciora, antes del tratamiento de datos y durante el mismo, de las medidas técnicas y organizativas del Encargado. Para ello puede, por ejemplo, obtener información, revisar las certificaciones existentes (por ejemplo, ISO 27001, SOC 2) o autoauditorías.

(2) El Encargado garantiza que el Responsable pueda verificar el cumplimiento de sus obligaciones. A petición, el Responsable recibe toda la información necesaria para ello.

§ 8 Notificación de violaciones

(1) El Encargado notifica al Responsable sin dilación indebida, y en todo caso dentro de las 72 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales en el sentido del art. 33 del RGPD.

(2) La notificación incluye como mínimo: la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas.

§ 9 Facultad de dar instrucciones

(1) El Responsable confirma sin dilación indebida, por escrito o por correo electrónico, sus instrucciones verbales.

(2) El Encargado debe informar al Responsable sin dilación indebida si considera que una instrucción infringe la legislación aplicable en materia de protección de datos.

(3) El Encargado tiene derecho a suspender la ejecución de la instrucción correspondiente hasta que el Responsable competente la confirme o la modifique.

§ 10 Supresión y devolución de datos personales

(1) Cuando termina el Contrato Principal, el Encargado devolverá o eliminará, a elección del Responsable, todos los datos personales que hayan llegado a su poder, de una forma conforme con la protección de datos.

(2) Las obligaciones legales de conservación no se ven afectadas.

(3) La plataforma ofrece al Responsable funciones de autoservicio para la exportación de datos y la eliminación de la cuenta. Previa solicitud escrita por separado, el Encargado realizará la eliminación de forma manual.

§ 11 Disposiciones finales

(1) Se aplica la ley del país en el que está establecido el Responsable, siempre que se trate de derecho imperativo de la UE. En los demás casos se aplican las leyes del Estado de Wyoming (EE. UU.), junto con el RGPD para el tratamiento de datos personales de interesados de la UE/EEE.

(2) Si alguna disposición de este DPA es o llega a ser inválida, la validez del resto del DPA no se verá afectada. Las partes sustituirán la disposición inválida por una disposición válida que se acerque lo más posible a la finalidad económica de la disposición inválida.

(3) Las modificaciones y adiciones a este DPA requieren la forma escrita; la aceptación electrónica a través de la plataforma del Encargado es suficiente conforme al art. 28(9) del RGPD.

(4) En caso de contradicción entre este DPA y el Contrato Principal, prevalecen las disposiciones de este DPA.

Anexo A: Medidas técnicas y organizativas (MTO) según el art. 32 del RGPD

El Encargado ha implementado las medidas técnicas y organizativas que se describen a continuación para proteger los datos personales.

Anexo B: Lista de subencargados aprobados

El Responsable da su consentimiento a la contratación de los subencargados que se indican a continuación. El Encargado informará al Responsable con antelación sobre los cambios (véase el § 6(2)).