Datos de tus clientes
Acuerdo de encargo de tratamiento
- Los datos de las personas que escriben a tu negocio son tuyos: tú eres el responsable.
- Paini Bot es tu encargado: los usa solo para darte el servicio y siguiendo tus instrucciones (lo que configuras en el panel).
- Los protegemos, te ayudamos a responder los pedidos de tus clientes, te avisamos rápido si pasa algo y los borramos al terminar.
Este acuerdo cumple lo que piden el artículo 28 del Reglamento General de Protección de Datos de la Unión Europea (RGPD) y las normas sobre encargados de tratamiento de los países donde opera Paini Bot. Entre ellas: en Perú, la Ley 29733 y su Reglamento; en Colombia, el contrato de transmisión del Decreto 1377 de 2013; en Brasil, la figura del operador de la LGPD; en Chile, el encargado de la Ley 21.719; y en México, el encargado de la LFPDPPP.
1. Partes
- Responsable: el negocio que contrata Paini Bot (“el Negocio”).
- Encargado: [Tu nombre completo o razón social], titular de Paini Bot (“Paini”).
2. Qué tratamos, para qué y por cuánto tiempo
| Objeto | Prestar el servicio Paini Bot: atención automática por WhatsApp y correo, reservas, avisos, recepción de comprobantes, inventario y panel de gestión. |
|---|---|
| Personas afectadas | Clientes, posibles clientes y contactos del Negocio que le escriben o que el Negocio registra; el personal del Negocio que usa el panel. |
| Tipos de datos | Nombre, número de WhatsApp, correo, mensajes y fotos enviadas (por ejemplo, comprobantes), reservas, pedidos, pagos informados, notas y preferencias. No incluye categorías especiales de datos salvo que el Negocio las cargue bajo su responsabilidad. |
| Operaciones | Recibir, registrar, organizar, guardar, consultar, usar para responder y enviar avisos, comunicar a los subencargados autorizados, conservar y borrar. |
| Duración | Mientras el servicio esté activo, más el plazo de devolución y borrado de la cláusula 9. |
3. Instrucciones del Negocio
Paini trata los datos solo siguiendo las instrucciones documentadas del Negocio: estos términos y lo que el Negocio configura en el panel (respuestas, automatizaciones activas, horarios, textos y avisos). Paini no usa los datos para fines propios, no los vende y no los usa para entrenar modelos de IA. Si Paini cree que una instrucción infringe la ley, avisará al Negocio y podrá no ejecutarla.
4. Confidencialidad
Solo acceden a los datos las personas que lo necesitan para prestar el servicio o dar soporte, y lo hacen bajo obligación de confidencialidad. Los accesos al panel de un negocio para dar soporte quedan registrados.
5. Medidas de seguridad
- Separación lógica de los datos de cada negocio, verificada con pruebas automáticas.
- Control de acceso con usuario y contraseña (guardada con hash scrypt) y roles diferenciados: dueño, equipo y administración.
- Cifrado de los tokens de acceso a WhatsApp, verificación de firma de los avisos de Meta y protección contra solicitudes falsas.
- Conexión cifrada (HTTPS) en el entorno de producción.
- Copias de seguridad diarias, con rotación de 14 días.
- Registro de las acciones sensibles (cambios de ajustes, pagos aceptados, accesos de soporte).
- Exclusión automática de quienes escriben BAJA en todos los envíos automáticos.
6. Subencargados
El Negocio autoriza de forma general a Paini a usar estos subencargados:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Meta Platforms (WhatsApp Business Platform) | Transporte de mensajes de WhatsApp. Meta trata además ciertos datos como responsable según sus propias condiciones. | EE. UU. / Irlanda |
| [Proveedor de servidores] | Alojamiento y copias de seguridad | Según el proveedor |
| Anthropic, PBC | Generación de respuestas con IA (solo si el plan usa IA) | EE. UU. |
Paini avisará al Negocio, con al menos 15 días de anticipación, antes de agregar o cambiar un subencargado. El Negocio podrá oponerse por motivos razonables y, si no hay solución, cancelar sin penalidad. Paini impone a cada subencargado obligaciones de protección equivalentes y responde por ellos ante el Negocio.
7. Transferencias internacionales
Cuando los datos salen del país del Negocio, Paini aplica las garantías que exige la ley aplicable: cláusulas contractuales tipo de la Comisión Europea, el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido, o los mecanismos de cada país latinoamericano (por ejemplo, el nivel adecuado de protección o las cláusulas contractuales que reconocen Perú, Colombia, Uruguay o Brasil).
8. Ayuda al Negocio
- Derechos de las personas: el panel permite consultar, corregir, exportar y desactivar contactos. Si una persona pide directamente a Paini ejercer sus derechos, Paini la derivará al Negocio sin demora.
- Incidentes de seguridad: Paini avisará al Negocio sin dilación indebida y, a más tardar, dentro de las 24 horas siguientes a confirmar un incidente que afecte sus datos. El aviso indicará qué pasó, qué datos y cuántas personas pueden estar afectadas, y qué medidas se tomaron, para que el Negocio cumpla sus plazos de notificación (por ejemplo, 48 horas en Perú, 72 horas en la Unión Europea o 3 días hábiles en Brasil).
- Evaluaciones de impacto y consultas a la autoridad: Paini dará la información razonable que tenga sobre el servicio.
9. Al terminar el servicio
Durante los 30 días siguientes, el Negocio puede pedir una copia de sus datos en formato de uso común (CSV). Pasado ese plazo, Paini los borrará o anonimizará en un máximo de 30 días, y las copias de seguridad desaparecerán con la rotación de 14 días. Solo conservará lo que una ley le obligue a guardar, con acceso restringido.
10. Información y auditorías
Paini pondrá a disposición del Negocio la información necesaria para demostrar que cumple este acuerdo. Las auditorías se coordinarán con 30 días de aviso, una vez al año salvo que haya un incidente, sin afectar la seguridad de otros clientes y a costo de quien las pida.
11. Obligaciones del Negocio
- Tener una base legal para tratar los datos de sus clientes e informarles (puede usar el aviso automático de
/privacidad/su-negocio). - Obtener el consentimiento para enviar publicidad y no cargar datos sensibles innecesarios.
- Mantener seguras sus contraseñas y quitar el acceso a quien deje de trabajar con él.
- Cumplir las inscripciones o registros que exija su país (por ejemplo, el Registro Nacional de Protección de Datos Personales en Perú o el Registro Nacional de Bases de Datos en Colombia, cuando corresponda).