Acuerdo de Tratamiento de Datos

Este acuerdo regula el tratamiento que Vecinos Vendemas Publicidad realiza por cuenta del negocio sobre los datos personales de los contactos de ese negocio. Complementa los términos de servicio y la política de privacidad, y forma parte de ellos.

Es obligatorio para los negocios que tratan datos de salud —clínicas dentales, estéticas, fisioterapia, veterinarias y similares— y aplicable a cualquier otro negocio que lo solicite.

1. Partes y objeto

• El Responsable: el negocio que contrata Vexiia y conecta su número de WhatsApp Business. Decide para qué y cómo se tratan los datos de sus pacientes o clientes.
• El Encargado: Vecinos Vendemas Publicidad, con domicilio legal en Vista de Momotombo B-25 L-8, Managua, Nicaragua, que trata esos datos únicamente siguiendo las instrucciones del Responsable.

2. Definiciones

• Datos personales: cualquier información sobre una persona física identificada o identificable.
• Interesado: la persona a la que se refieren los datos; aquí, el paciente o cliente del negocio.
• Tratamiento: cualquier operación sobre datos personales: recoger, guardar, consultar, usar, comunicar o suprimir.
• Subencargado: tercero que el Encargado contrata para tratar datos por cuenta del Responsable.
• Violación de seguridad: incidente que ocasione destrucción, pérdida, alteración o acceso no autorizado a datos personales.

3. Objeto, duración y naturaleza del tratamiento

Objeto. Prestar el servicio de Vexiia: atender por WhatsApp a los contactos del Responsable, agendar, reagendar y cancelar citas, enviar recordatorios y poner las conversaciones a disposición del personal del Responsable.

Duración. Mientras esté vigente la relación contractual, más el plazo de supresión previsto en la cláusula 13.

Naturaleza. Tratamiento automatizado con apoyo de un agente de inteligencia artificial, con intervención humana del personal del Responsable cuando este decida tomar la conversación.

Finalidad. Exclusivamente la gestión administrativa de citas y la comunicación con los contactos del Responsable. El agente no realiza diagnósticos ni ofrece consejo médico.

4. Datos e interesados afectados

Categorías de interesados: pacientes o clientes del Responsable que escriben a su número de WhatsApp.

Categorías de datos:

• Número de WhatsApp y nombre de perfil.
• Contenido de los mensajes, incluidos archivos adjuntos.
• Datos de citas: fecha, hora, servicio y profesional asignado.
• Estado de entrega de los mensajes.
• Contactos e historial de chats de hasta los últimos 6 meses, solo si el Responsable lo autoriza al conectar. No se incluyen los grupos.

Datos de salud. El Responsable puede, al conversar, recibir o generar información relativa a la salud de sus pacientes. Ambas partes reconocen que se trata de datos sensibles y aplican a ellos las medidas de la cláusula 8. El Encargado no usa esos datos para ninguna finalidad propia.

5. Obligaciones de Vexiia como encargado

1. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, que son este acuerdo, los términos de servicio y la configuración que el Responsable elija en el panel.
2. No usar los datos para fines propios, no cederlos a terceros y no venderlos.
3. No utilizar los datos para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
4. No usar los mensajes de los contactos para publicidad.
5. Garantizar que quienes tengan acceso a los datos estén sujetos a deber de confidencialidad, que se mantiene tras el fin de la relación.
6. Aplicar y mantener las medidas de seguridad de la cláusula 8.
7. Asistir al Responsable conforme a las cláusulas 9 y 10.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.
9. Advertir al Responsable si, a juicio del Encargado, una instrucción recibida infringe la normativa de protección de datos.

6. Obligaciones del negocio como responsable

1. Disponer de base legítima para tratar los datos de sus contactos y, cuando proceda, del consentimiento de estos.
2. Escribir únicamente a contactos que hayan dado su consentimiento o que hayan iniciado la conversación, conforme a las políticas de WhatsApp y de Meta.
3. Informar a sus pacientes o clientes de que la atención por WhatsApp se apoya en un agente automatizado y de quién trata sus datos.
4. Supervisar las conversaciones y responder de la información que se entrega a sus contactos.
5. Mantener actualizados los datos de las personas autorizadas a acceder al panel.
6. Comunicar al Encargado cualquier instrucción relevante por escrito.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados:

• Meta Platforms, Inc. — operador de la WhatsApp Business Platform.
• Hostinger International Ltd., empresa lituana — alojamiento del servidor y correo electrónico. El servidor de Vexiia está en Estados Unidos; Hostinger puede mantener, procesar o almacenar datos también en Lituania, Países Bajos, Reino Unido y Chipre.
• Groq, Inc. (Estados Unidos) — proveedor de los modelos de inteligencia artificial que generan las respuestas.

El Encargado impone a cada subencargado obligaciones de protección equivalentes a las de este acuerdo y responde de su actuación como si fuera propia.

Si el Encargado quiere añadir o sustituir un subencargado, lo comunicará al Responsable con al menos 30 días de antelación. Si el Responsable se opone por motivos razonables de protección de datos, podrá resolver el contrato sin penalización antes de que el cambio entre en vigor.

8. Medidas de seguridad

• Cifrado de las comunicaciones en tránsito mediante HTTPS y TLS.
• Cifrado en reposo de los tokens de acceso y de los datos sensibles.
• Control de acceso por roles, con el principio de mínimo privilegio.
• Registros de acceso a los sistemas.
• Respaldos periódicos, con un ciclo de sobrescritura máximo de 30 días.
• Separación lógica de los datos de cada Responsable.
• Revisión y actualización periódica de estas medidas.

Las medidas podrán actualizarse para mantener o mejorar el nivel de seguridad, nunca para reducirlo.

9. Atención de los derechos de los interesados

Los interesados ejercen sus derechos de acceso, rectificación, cancelación y oposición ante el Responsable, conforme a la Ley No. 787 de Nicaragua.

Si un interesado se dirige directamente al Encargado, este no atenderá la solicitud por su cuenta: la trasladará al Responsable sin dilación indebida y le asistirá con los medios técnicos necesarios para resolverla, incluida la localización y supresión de los datos.

El procedimiento y los plazos están descritos en eliminación de datos.

10. Violaciones de seguridad

Si el Encargado detecta una violación de seguridad que afecte a datos tratados por cuenta del Responsable, se lo notificará sin dilación indebida y, como máximo, dentro de las 72 horas siguientes a tener conocimiento de ella.

La notificación incluirá, con la información disponible en ese momento:

• Naturaleza de la violación y momento en que ocurrió.
• Categorías y número aproximado de interesados y de registros afectados.
• Consecuencias probables.
• Medidas adoptadas o propuestas para resolverla y mitigar sus efectos.
• Punto de contacto para obtener más información.

Corresponde al Responsable decidir si notifica la violación a la autoridad competente o a los interesados. El Encargado le prestará la asistencia razonable que necesite.

11. Transferencias internacionales

Los subencargados de la cláusula 7 están establecidos fuera de Nicaragua, por lo que los datos se tratan en otros países. El servidor donde corre Vexiia está en Estados Unidos y los modelos de inteligencia artificial también se ejecutan en Estados Unidos. Además, Hostinger puede mantener, procesar o almacenar datos en Lituania, Países Bajos, Reino Unido y Chipre. El Encargado selecciona proveedores que aplican medidas de seguridad adecuadas y formaliza con ellos las garantías contractuales exigibles.

12. Auditoría

El Responsable puede solicitar, una vez al año y con un preaviso razonable de al menos 30 días, información documentada que acredite el cumplimiento de este acuerdo. Si la información aportada no fuera suficiente, las partes acordarán una auditoría, cuyo alcance y coste se pactarán previamente y que no podrá comprometer la confidencialidad de los datos de otros clientes del Encargado.

13. Devolución y supresión al terminar

Al terminar la relación contractual, y a elección del Responsable, el Encargado devolverá o suprimirá los datos tratados por su cuenta.

• La supresión se completa en un máximo de 30 días desde la finalización o desde la solicitud, respaldos incluidos.
• Si el Responsable no indica preferencia en los 30 días siguientes a la finalización, el Encargado procederá a la supresión.
• Se exceptúan los datos que deban conservarse por obligación legal, en particular los de facturación, durante cuatro (4) años conforme a la legislación tributaria de Nicaragua. Esos datos quedan bloqueados: se conservan pero no se tratan para ninguna otra finalidad.

14. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que este acuerdo le atribuye. El Encargado responde de la actuación de sus subencargados.

El Responsable responde de la licitud de los datos que aporta y de las instrucciones que imparte, así como de haber informado debidamente a sus interesados.

15. Ley aplicable y jurisdicción

Este acuerdo se rige por la Ley No. 787, Ley de Protección de Datos Personales, y demás legislación aplicable de la República de Nicaragua. Las partes se someten a los tribunales competentes de la ciudad de Managua.

16. Aceptación

Este acuerdo se entiende aceptado por el Responsable al contratar el servicio y conectar su número, junto con los términos de servicio.

Si tu negocio necesita una copia firmada de este acuerdo, o una versión adaptada a sus exigencias, escríbenos a privacidad@vexiia.com y te la preparamos.