Contrato de encargado del tratamiento
Responsable del tratamiento: el cliente que contrata InvokeAgent (en adelante, «el Cliente»).
Encargado del tratamiento: Jesús Lacera Cortiñas (SEO-Invoke), NIF 55847836H, Calle Carlos Vázquez 7, 13001 Ciudad Real (España), info@seo-invoke.com.
1. Objeto y duración
El Encargado trata datos personales por cuenta del Cliente solo para prestar el servicio InvokeAgent: responder a los visitantes de la web del Cliente, transcribir notas de voz y transmitir al Cliente las solicitudes de contacto y de cita. Este contrato dura lo mismo que la suscripción.
2. Datos e interesados
| Interesados | Visitantes de la web del Cliente que usan el asistente. |
|---|---|
| Datos | Mensajes del chat, notas de voz (solo durante la transcripción), nombre, email y teléfono cuando el visitante los facilita, fecha preferida para una cita y marca de tiempo del consentimiento. Con cada solicitud de contacto o cita se guardan además un resumen breve de la conversación generado con IA (sin datos de contacto ni de salud), una puntuación de la solicitud y el origen de la visita: parámetros de campaña (UTM), página de entrada y web de procedencia (solo dominio y ruta). Para las estadísticas del panel se guardan contadores diarios de actividad sin datos personales. |
| Operaciones | Recepción, generación de respuestas con IA, transcripción, resumen automático y puntuación de las solicitudes, registro del origen de la visita, conservación de solicitudes de contacto y envío al Cliente (panel, email, Telegram o webhook de su CRM). |
El servicio no está pensado para tratar categorías especiales de datos (por ejemplo, salud). El Cliente no configurará el asistente para pedirlas, y el asistente está instruido para no solicitarlas. El servicio en línea no se presta a centros, servicios ni profesionales sanitarios (apartado 2 de las Condiciones de servicio). Si un visitante comunica datos de salud por iniciativa propia, el Encargado los trata solo para transmitir su solicitud al Cliente, con los plazos del apartado 7.
3. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son estas condiciones y la configuración que haga en su panel.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Aplicar medidas de seguridad adecuadas (artículo 32 del RGPD): cifrado en tránsito (HTTPS), cifrado en reposo de las credenciales de integraciones, acceso a la base de datos restringido al servidor, aislamiento entre clientes con pruebas automáticas, acceso al panel solo con email verificado, borrado inmediato de los audios tras transcribirlos, copias de seguridad cifradas y probadas, control de accesos y registros de actividad.
- Ayudar al Cliente a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, evaluación de impacto y consulta previa, cuando proceda.
- Notificar al Cliente sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos.
- Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo de 30 días.
- Al terminar el servicio, suprimir los datos del Cliente en un plazo de 30 días desde la baja definitiva (el borrado es automático), salvo que el Cliente pida antes su exportación o la ley obligue a conservarlos.
4. Obligaciones del Cliente
- Disponer de una base jurídica para el tratamiento e informar a los visitantes de su web del uso del asistente en su política de privacidad.
- No introducir en la configuración del asistente datos personales innecesarios de terceros.
- Atender las solicitudes de ejercicio de derechos de los interesados, con la ayuda del Encargado.
5. Subencargados
El Cliente autoriza de forma general el uso de los siguientes subencargados. El Encargado avisará por email de cualquier cambio con 15 días de antelación; el Cliente puede oponerse cancelando la suscripción.
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase | Base de datos | Unión Europea (Irlanda) |
| Railway | Alojamiento del servidor | Estados Unidos |
| Cloudflare | Red de entrega y seguridad; verificación anti-bots (Turnstile) | Global |
| OpenAI | Generación de respuestas, resúmenes de solicitudes y transcripción de voz | Estados Unidos |
| Google (API de Gemini) | Proveedor de IA de reserva, solo si OpenAI no responde | Estados Unidos |
| TypeSafe | Clasificación de mensajes para respuestas rápidas | Estados Unidos |
| Resend | Envío de emails del servicio | Estados Unidos |
| Telegram | Avisos al Cliente, solo si los activa | Reino Unido / Emiratos Árabes Unidos |
| Cal.com | Reservas, solo si el Cliente conecta su agenda | Estados Unidos |
| Sentry (Functional Software) | Registro de errores técnicos del servicio | Unión Europea (Alemania) |
| Microlink | Lectura de las páginas públicas de la web del Cliente durante el alta; no recibe datos de visitantes | Según su DPA (RGPD) |
| GitHub (Microsoft) | Almacenamiento de las copias de seguridad semanales, cifradas antes de salir del servicio (GitHub no puede leerlas) | Estados Unidos |
6. Transferencias internacionales
Cuando un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU., en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea, según el proveedor.
7. Conservación
- Las notas de voz se borran en cuanto se transcriben.
- La conversación se guarda en el navegador del visitante mientras dura la sesión. El servidor conserva en memoria, sin escribirlos en disco ni en la base de datos, los últimos turnos de cada conversación durante un máximo de 2 horas para dar contexto a las respuestas.
- Los datos de contacto que el visitante deja en una solicitud se eliminan del flujo técnico en cuanto se entregan al Cliente (panel, email, Telegram o webhook).
- Las solicitudes de contacto y cita, con su resumen, puntuación y origen de la visita, se conservan mientras dure la suscripción o hasta que el Cliente las borre.
- OpenAI puede conservar registros técnicos de seguridad hasta 30 días según sus condiciones. Google, cuando actúa como proveedor de reserva, puede conservarlos durante un periodo limitado según las condiciones de pago de la API de Gemini, que no permiten usar los datos para entrenar sus modelos.
- Copias de seguridad: copia diaria del proveedor de base de datos (conservada 7 días) y copia semanal cifrada (conservada 90 días), con prueba automática de restauración. Los datos borrados desaparecen de las copias cuando estas caducan, como máximo a los 90 días. Solo se usan para recuperar el servicio ante un fallo.
8. Responsabilidad y ley aplicable
Se aplica el régimen de responsabilidad de las Condiciones de servicio, la ley española y los juzgados de Ciudad Real.