Acuerdo de tratamiento de datos
1. Partes y ámbito
Este acuerdo forma parte del contrato de servicio entre la empresa que usa nuestros servicios (el cliente, responsable del tratamiento) y Repete, Lda., Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa, Portugal, NIPC y NIF-IVA PT518 751 570 (nosotros, encargado del tratamiento), para Agentic Commerce by BlueForestCore, Agentic Onboarding by BlueForestCore y los servicios que los acompañan. Recoge lo que exige el artículo 28 del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, RGPD). En materia de datos personales, prevalece sobre el contrato de servicio. Contacto: info@repete.pt.
2. Qué tratamos y para qué
- Objeto y finalidad: hacer funcionar el asistente de IA en la web y los canales del cliente, y los flujos de contactos, pedidos, reservas, presupuestos y soporte que lo acompañan, solo para prestar el servicio al cliente.
- Naturaleza: alojamiento, almacenamiento, respuestas de modelos de IA, envío de mensajes y preparación de informes para el cliente.
- Duración: la del contrato de servicio, más el plazo de supresión de la sección 9.
- Interesados: los clientes y visitantes de la web del cliente que usan el asistente, y el personal del cliente que usa el servicio.
- Datos: lo que las personas escriben en la conversación y las respuestas; los datos de contacto que decidan dar, como un nombre, un email o un teléfono; datos de pedidos, reservas y presupuestos; datos técnicos como la dirección IP. El servicio no necesita categorías especiales de datos, y el cliente no las pide a las personas.
3. Nuestras obligaciones
- Tratamos los datos solo siguiendo las instrucciones documentadas del cliente: el contrato de servicio, este acuerdo y la configuración del cliente. Si el Derecho de la UE o el Derecho portugués exigen otro tratamiento, informamos al cliente antes de iniciarlo, salvo que ese Derecho lo prohíba. Avisamos al cliente si creemos que una instrucción infringe la normativa de protección de datos.
- Todas las personas de Repete, Lda. con acceso a los datos están sujetas a confidencialidad.
- Aplicamos las medidas del artículo 32 del RGPD descritas en la sección 6.
- Ayudamos al cliente a responder a las personas que ejercen sus derechos, y en la seguridad, las notificaciones de violaciones, las evaluaciones de impacto y las consultas previas (artículos 32 a 36 del RGPD).
- Nunca usamos los datos para entrenar modelos de IA, nunca los vendemos y nunca los usamos para publicidad.
- El asistente siempre dice que es una IA (artículo 50 del Reglamento (UE) 2024/1689).
4. Subencargados
El cliente da una autorización general por escrito para estos subencargados, cada uno sujeto a condiciones de protección de datos que protegen los datos al menos en la misma medida que este acuerdo:
- Amazon Web Services: alojamiento, almacenamiento y los modelos de IA del asistente, en regiones de la UE.
- Google Workspace: el email, incluidos los informes, los avisos de nuevos contactos y otros emails que el servicio envía por cuenta del cliente, y los archivos de Google Sheets y Google Drive que el cliente comparte con nosotros.
- Google: búsqueda en la web (Google Custom Search, y Gemini con la Búsqueda de Google en el asistente de administración del cliente) y sugerencias de dirección al finalizar la compra (Google Places), y la conversión de la ubicación que la persona comparte en un nombre de lugar (Google Geocoding), solo cuando el cliente los usa.
- Twilio: mensajes de WhatsApp y SMS, solo cuando el cliente usa esos canales.
- Telegram: las alertas internas de nuestro equipo y el asistente de administración del cliente. Las alertas automáticas llevan datos enmascarados; una consulta de nuestro equipo, y ese asistente, pueden mostrar los datos completos.
Avisamos al cliente al menos 30 días antes de añadir o sustituir uno. El cliente puede oponerse por motivos razonables de protección de datos; si no podemos resolver la objeción, el cliente puede terminar el servicio afectado. Seguimos siendo plenamente responsables ante el cliente del trabajo de nuestros subencargados.
5. Transferencias fuera de la UE
El alojamiento, el almacenamiento y los modelos de IA del asistente están en la UE. Cuando un subencargado pueda tratar datos fuera de la UE (Google, Twilio, Telegram), la transferencia se basa en una decisión de adecuación, en las cláusulas contractuales tipo de la UE o en otra garantía del capítulo V del RGPD.
6. Seguridad
- Conexiones cifradas y cifrado de los datos almacenados.
- Alojamiento, almacenamiento y modelos de IA del asistente en regiones de la UE.
- Acceso solo para quien lo necesita, con cuentas propias.
- Registros de accesos y cambios, guardados solo el tiempo que exige la seguridad.
- Copias de seguridad que guardan los datos suprimidos hasta 35 días, y después los eliminan.
- Una revisión periódica de estas medidas.
7. Violaciones de datos personales
Avisamos al cliente sin dilación indebida, y en un plazo máximo de 48 horas, después de tener conocimiento de una violación que afecte a los datos del cliente, con lo que sabemos, sus efectos probables y lo que estamos haciendo.
8. Información y auditorías
Damos al cliente la información necesaria para demostrar que cumplimos este acuerdo. El cliente puede auditarnos, directamente o a través de un auditor independiente sujeto a confidencialidad, una vez al año y después de una violación, con 30 días de preaviso y a su cargo.
9. Fin del servicio
Cuando el servicio termina, suprimimos los datos personales del cliente en un plazo de 30 días, o se los devolvemos antes si lo pide antes del final, salvo que el Derecho de la UE o el Derecho portugués nos obliguen a conservarlos. Los datos suprimidos salen de las copias de seguridad en los 35 días siguientes.
10. Responsabilidad y ley aplicable
La responsabilidad sigue el contrato de servicio. Se aplica la ley portuguesa, y son competentes los tribunales de Lisboa.
Repete, Lda. · NIPC 518 751 570 · NIF-IVA PT518751570 · Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa · info@repete.pt · +351 93 110 8888 (WhatsApp) · BlueForestCore es una marca de Repete, Lda.