Contrato de encargado de tratamiento
Este contrato regula cómo Nuvelo.IA (Romeo Klaga, NIF 45934124L, Rubí, Barcelona; romeoklaga0@gmail.com; el encargado) trata datos personales por cuenta del negocio que crea su agente de WhatsApp (el responsable), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD). Forma parte de los términos del servicio.
1. Objeto y duración
Nuvelo.IA trata datos personales solo para prestar el servicio de agente de WhatsApp al responsable. El contrato dura mientras el responsable use el servicio y, después, hasta que los datos se devuelvan o se borren según la cláusula 9.
2. Qué datos, de quién y para qué
| Interesados | Las personas que escriben al WhatsApp del negocio. |
|---|---|
| Datos | Número y nombre de WhatsApp, contenido de los mensajes, los datos que el responsable configure que el agente recoja (por ejemplo nombre, servicio o fecha) y las citas reservadas. |
| Finalidad | Responder a esas personas en nombre del negocio, recoger los datos configurados, transcribir a texto las notas de voz que envían (en el propio servidor del servicio; el audio se borra en cuanto se transcribe y solo se guarda el texto), reservar citas en los huecos que fija el responsable, añadirlas al calendario que el responsable indique (como invitación a su correo o en su propio Google Calendar) y avisar al responsable cuando hace falta una persona. |
| Operaciones | Recepción, conservación, consulta, generación de respuestas, exportación y supresión. |
| Conservación | El plazo que elija el responsable en el panel (de 30 días a 1 año sin actividad). Pasado ese plazo, los datos se borran solos. |
3. Datos que el agente no debe pedir
El responsable no configurará el agente para pedir categorías especiales de datos (salud, ideología, religión, origen étnico, vida sexual, datos biométricos o genéticos), datos de menores, números de documentos de identidad, datos bancarios o de tarjetas ni contraseñas, salvo acuerdo previo por escrito con las medidas adicionales que correspondan. Si una persona los envía por iniciativa propia, el agente no los pide ni los usa más allá de atender su consulta, y se borran con el resto de la conversación según el plazo de conservación.
4. Instrucciones del responsable
Nuvelo.IA trata los datos solo siguiendo las instrucciones documentadas del responsable: este contrato, los términos del servicio y la configuración del agente en el panel. Si una instrucción le parece contraria al RGPD o a otra norma de protección de datos, lo comunicará al responsable de inmediato. Las instrucciones que queden fuera del servicio se acordarán por escrito.
5. Confidencialidad y seguridad
Las personas autorizadas para acceder a los datos están obligadas a guardar confidencialidad. Nuvelo.IA aplica las medidas técnicas y organizativas del anexo, teniendo en cuenta el estado de la técnica, el coste, la naturaleza del tratamiento y los riesgos para las personas. Puede actualizarlas siempre que no reduzcan el nivel de protección.
El responsable es responsable de custodiar sus credenciales de acceso al panel y a su cuenta de YCloud, y la clave de API que conecta su WhatsApp al servicio.
6. Violaciones de seguridad
Nuvelo.IA avisará al responsable sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, de cualquier violación de la seguridad que afecte a sus datos. El aviso incluirá, en la medida en que se conozca: qué ha pasado, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables, las medidas tomadas o propuestas y un contacto. Así el responsable puede avisar a la Agencia Española de Protección de Datos en el plazo de 72 horas cuando corresponda. Avisar no supone reconocer culpa ni responsabilidad.
7. Derechos de las personas
El panel permite al responsable atender los derechos de las personas: exportar los datos de un contacto (acceso y portabilidad), borrarlo (supresión) y fijar el plazo de conservación. Además, si una persona escribe al agente que borre sus datos (en castellano o en catalán), el agente los borra al momento y lo confirma. Para ayudar al responsable a informar (artículo 13 del RGPD), el agente avisa en su primer mensaje de quién usa los datos y, si la persona escribe «privacidad», le envía un texto fijo con el responsable, la finalidad, el plazo de conservación, los proveedores y sus derechos, con los datos que el responsable configure en «Datos y privacidad». El responsable sigue siendo quien debe informar y mantener esos datos al día. Si una persona se dirige a Nuvelo.IA directamente, Nuvelo.IA trasladará la petición al responsable sin demora y le indicará que la responda el responsable.
8. Subencargados
El responsable autoriza de forma general a Nuvelo.IA a usar los subencargados de la lista vigente. Antes de incorporar uno nuevo, Nuvelo.IA lo avisará con al menos 15 días de antelación. Si el responsable se opone por motivos razonables de protección de datos, las partes buscarán una solución de buena fe; si no la hay, el responsable podrá dejar el servicio sin penalización. Nuvelo.IA firmará con cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responderá de su cumplimiento.
9. Fin del servicio: devolución y borrado
Si el responsable elimina el agente desde el panel, la configuración, las conversaciones, los contactos, las citas y la conexión con WhatsApp se borran en ese momento. Si el servicio termina por otro motivo, el responsable tendrá 30 días para exportar sus datos desde el panel; pasado ese plazo, se borran. Solo se conservará lo que exija la ley, bloqueado y durante el plazo legal.
10. Inteligencia artificial
- Nuvelo.IA no usa los datos del responsable ni de sus clientes para entrenar, ajustar o mejorar modelos de inteligencia artificial, propios ni de terceros, salvo autorización expresa y por escrito del responsable.
- Solo usa proveedores de modelos de IA cuyas condiciones excluyen el uso de los datos enviados por su API para entrenar sus modelos.
- El agente no toma decisiones automatizadas con efectos jurídicos o igual de importantes para las personas (artículo 22 del RGPD): responde consultas, recoge los datos configurados y reserva citas en los huecos que fija el responsable. Cuando no puede resolver algo, avisa a una persona del negocio.
- En su primer mensaje a cada persona, el agente dice que es una inteligencia artificial (artículo 50 del Reglamento (UE) 2024/1689 de IA).
11. Información y auditorías
Nuvelo.IA pondrá a disposición del responsable la información necesaria para demostrar que cumple este contrato. El responsable podrá hacer una auditoría al año, con aviso previo de 30 días y a su cargo, además de las que exija una autoridad de control. También ayudará al responsable, con la información de la que disponga, en las evaluaciones de impacto y consultas previas que le correspondan (artículos 35 y 36 del RGPD).
12. Transferencias internacionales
Algunos subencargados están fuera del Espacio Económico Europeo. Las transferencias se hacen solo con las garantías del capítulo V del RGPD. En el caso de Anthropic (EE. UU.), su contrato de tratamiento, incluido en sus condiciones comerciales, incorpora las cláusulas contractuales tipo de la Comisión Europea (módulos 2 y 3). El servidor del servicio está en Madrid (UE). Ver la lista de subencargados.
Si el responsable usa la conexión oficial de WhatsApp a través de YCloud, YCloud es un proveedor contratado directamente por el responsable, no un subencargado de Nuvelo.IA, y sus garantías dependen de las condiciones que el responsable acepte con YCloud.
13. Obligaciones del responsable
- Informar a las personas del tratamiento (artículos 13 y 14 del RGPD) y tener una base jurídica válida.
- No pedir al agente datos innecesarios ni los de la cláusula 3.
- Usar un número de WhatsApp del negocio, no uno personal.
14. Responsabilidad, prevalencia y ley aplicable
La responsabilidad de cada parte se rige por los límites de los términos del servicio, sin perjuicio de los derechos de las personas afectadas. En materia de protección de datos, si este contrato contradice los términos, prevalece este contrato. Se rige por la legislación española y el RGPD. [Pendiente: fijar los juzgados competentes con el abogado.]
Anexo. Medidas de seguridad
- Acceso al panel solo con cuenta propia; las contraseñas se guardan cifradas con un algoritmo de derivación de claves (scrypt) y la sesión va en una cookie protegida (solo por https, inaccesible desde el navegador).
- Las claves de terceros que da el responsable (por ejemplo, la de YCloud) se guardan cifradas con AES-256-GCM.
- Los datos de cada negocio están separados y cada petición comprueba que el agente pertenece a la cuenta que lo pide.
- Borrado automático según el plazo de conservación elegido, y borrado completo al eliminar el agente.
- Límites de uso para frenar abusos y peticiones solo desde el propio servicio.
- Los avisos a herramientas externas van firmados y solo a direcciones seguras (https) de internet, y los avisos que recibe el servicio (pagos de Stripe y mensajes de YCloud) se aceptan solo con la firma comprobada.
- Los avisos internos al equipo de Nuvelo.IA no incluyen datos de las personas que escriben al negocio y enmascaran los correos de los clientes.
- Conexión cifrada (HTTPS) en el servidor de producción. [Pendiente: el servicio aún no está publicado.]
- Copias de seguridad diarias del servidor, que se guardan 14 días, y registro de las acciones de administración y soporte.
- Procedimiento interno para detectar, registrar y comunicar fugas de datos en los plazos de la cláusula 6.
Algunas cláusulas se basan en la plantilla de Data Processing Addendum publicada por General Legal, PC con licencia CC0 1.0, adaptada al RGPD y al derecho español.