Acuerdo de tratamiento de datos (DPA)

El presente acuerdo de tratamiento de datos (el «Acuerdo») se celebra entre:

• el Cliente, tal como se define en las Condiciones generales de venta y uso de ScanChat AI (las «Condiciones»), que actúa en calidad de responsable del tratamiento (el «Responsable del tratamiento»);
• WeBoost, empresa individual registrada con el número 321475519, editora del servicio ScanChat AI, que actúa en calidad de encargado del tratamiento (el «Encargado del tratamiento»).

El Acuerdo define las condiciones en las que el Encargado del tratamiento trata, por cuenta del Responsable del tratamiento, los datos personales de los visitantes del sitio web del Cliente recogidos por los chatbots (conversaciones y leads).

No se aplica a los datos relativos a la cuenta y a la facturación del Cliente, respecto de los cuales WeBoost actúa en calidad de responsable del tratamiento, en las condiciones descritas en la Política de privacidad.

El Acuerdo forma parte integrante de las Condiciones. Se acepta al crear la cuenta o al realizar el pedido, sin necesidad de firma. Puede facilitarse una versión firmada en PDF previa solicitud dirigida a info@scan-chat.ai.

En caso de contradicción entre el Acuerdo y las Condiciones en materia de protección de datos personales, prevalece el Acuerdo.

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye el Reglamento (UE) 2016/679 (el «RGPD»).

La «Normativa aplicable» designa el RGPD y cualquier otra legislación relativa a la protección de datos personales aplicable al tratamiento. Los demás términos que comienzan con mayúscula tienen el significado que se les atribuye en las Condiciones.

El objeto, la naturaleza y la finalidad del tratamiento, las categorías de datos y de interesados, así como la duración del tratamiento, se describen en el Anexo 1.

El tratamiento se efectúa durante todo el período de uso del Servicio y, después, hasta la supresión de los datos en las condiciones previstas en el artículo 14.

El Encargado del tratamiento trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento. Constituyen tales instrucciones: las Condiciones, el presente Acuerdo, la configuración efectuada por el Cliente en el Área de cliente (configuración de los chatbots, campos de leads, consentimiento, destinatarios de las alertas, integraciones) y cualquier instrucción escrita complementaria enviada a info@scan-chat.ai.

El Encargado del tratamiento informará inmediatamente al Responsable del tratamiento si, en su opinión, una instrucción infringe la Normativa aplicable.

Si el Encargado del tratamiento está obligado a realizar un tratamiento en virtud del derecho que le sea aplicable, informará de ello al Responsable del tratamiento antes del tratamiento, salvo que dicho derecho lo prohíba.

El Encargado del tratamiento no utiliza estos datos para sus propios fines, no los vende ni los utiliza para entrenar modelos de inteligencia artificial.

El Encargado del tratamiento garantiza que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad. El acceso a los datos se limita a las personas que lo necesitan para prestar, mantener y proteger el Servicio.

El Encargado del tratamiento aplica las medidas técnicas y organizativas apropiadas descritas en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD.

Estas medidas pueden evolucionar con los avances técnicos, siempre que no se reduzca el nivel de seguridad global.

El Responsable del tratamiento autoriza de forma general al Encargado del tratamiento a recurrir a los subencargados del tratamiento enumerados en el Anexo 3.

El Encargado del tratamiento informará al Responsable del tratamiento por correo electrónico con al menos 30 días de antelación a cualquier incorporación o sustitución de un subencargado del tratamiento. El Responsable del tratamiento puede oponerse durante dicho plazo por motivos razonables relacionados con la protección de datos. A falta de una solución satisfactoria, puede rescindir su suscripción, sin gastos ni penalización, antes de la entrada en vigor del cambio; en tal caso, el Encargado del tratamiento le reembolsa la parte del precio pagado por adelantado correspondiente al período no consumido.

El Encargado del tratamiento impone contractualmente a cada subencargado del tratamiento obligaciones de protección de datos sustancialmente equivalentes a las del presente Acuerdo, y sigue siendo responsable ante el Responsable del tratamiento del cumplimiento de sus obligaciones.

Los servicios que el Cliente elige y conecta por sí mismo no son subencargados del tratamiento del Encargado del tratamiento: en particular, el proveedor de inteligencia artificial cuya propia clave utiliza el Cliente (por ejemplo, OpenAI, Google o Anthropic), así como Zapier, Make, un CRM, un webhook o WordPress. Estos servicios actúan en virtud de los contratos celebrados directamente por el Cliente, que es responsable de ellos.

El Encargado del tratamiento está establecido en Israel, país que cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2011/61/UE, mantenida tras su revisión del 15 de enero de 2024).

Cuando se transfieran datos personales a un subencargado del tratamiento situado fuera del Espacio Económico Europeo, dicha transferencia se basa en una decisión de adecuación, en la certificación del destinatario conforme al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) o en las cláusulas contractuales tipo adoptadas por la Comisión Europea. El mecanismo aplicable a cada subencargado del tratamiento se indica en el Anexo 3.

El Encargado del tratamiento asiste al Responsable del tratamiento, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición).

El Área de cliente permite, en particular, al Cliente consultar las conversaciones y los leads, suprimirlos y exportar los leads en formato CSV. Para cualquier solicitud que no pueda tramitar por sí mismo, el Cliente puede escribir a info@scan-chat.ai.

Si el Encargado del tratamiento recibe directamente una solicitud de un interesado, la transmitirá al Responsable del tratamiento lo antes posible y no la responderá sin su instrucción.

El Encargado del tratamiento notificará al Responsable del tratamiento cualquier violación de la seguridad de los datos personales lo antes posible y, a más tardar, 48 horas después de haber tenido conocimiento de ella.

La notificación contiene, en la medida en que esté disponible, la información siguiente: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o previstas para ponerle remedio. La información que no esté disponible de inmediato se comunicará posteriormente, de forma gradual.

Corresponde al Responsable del tratamiento notificar, en su caso, a la autoridad de control y a los interesados. El Encargado del tratamiento le asiste a tal efecto.

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Encargado del tratamiento presta al Responsable del tratamiento la asistencia razonable necesaria para la realización de una evaluación de impacto relativa a la protección de datos y, en su caso, para la consulta previa a la autoridad de control.

El Responsable del tratamiento se compromete a:

• disponer de una base jurídica para los tratamientos encomendados al Encargado del tratamiento;
• informar a los visitantes de su sitio web del tratamiento de sus datos, en particular en su política de privacidad;
• recabar su consentimiento cuando la Normativa aplicable lo exija; la opción de obtención del consentimiento ofrecida por el Servicio, activada por defecto y descrita en el artículo 15 de las Condiciones, depende de su elección y de su configuración;
• no configurar los chatbots para recoger categorías especiales de datos, datos relativos a infracciones o datos relativos a menores, salvo que disponga de su propia base jurídica y de garantías adecuadas, dado que el Servicio no está diseñado ni certificado para el alojamiento de datos de salud;
• dar instrucciones conformes con la Normativa aplicable.

Durante toda la vigencia de la suscripción, el Cliente puede exportar sus leads en formato CSV desde el Área de cliente. Previa solicitud dirigida a info@scan-chat.ai durante la suscripción o durante el plazo de 90 días siguiente a su finalización, el Encargado del tratamiento le facilita además una copia de sus conversaciones en un formato estructurado y de uso común (CSV o JSON).

Al finalizar la suscripción, los datos se conservan durante 90 días, para permitir al Cliente volver a suscribirse o exportar sus leads. Un correo electrónico le avisa 7 días antes de la supresión. Al término de dicho plazo, los datos se suprimen de forma definitiva y automática. Las copias de seguridad se sobrescriben en un plazo de 14 días.

El Cliente puede suprimir en cualquier momento sus chatbots, conversaciones y leads desde el Área de cliente, o solicitar una supresión anticipada de sus datos en info@scan-chat.ai.

Estas disposiciones se aplican sin perjuicio de las obligaciones de conservación impuestas por la ley al Encargado del tratamiento.

El Encargado del tratamiento pone a disposición del Responsable del tratamiento la información necesaria para demostrar el cumplimiento de sus obligaciones, en particular el presente Acuerdo, la descripción de las medidas de seguridad, la lista de subencargados del tratamiento y las respuestas a cuestionarios razonables. El Responsable del tratamiento se basará prioritariamente en esta documentación.

Si dicha documentación no basta para demostrar el cumplimiento del Acuerdo, o si una autoridad de control lo exige, el Responsable del tratamiento puede realizar una auditoría, incluso in situ, por sí mismo o a través de un auditor independiente sujeto a secreto y que no sea competidor del Encargado del tratamiento, en las condiciones siguientes:

• preaviso por escrito de al menos 30 días;
• como máximo una vez por período de 12 meses, salvo violación de datos o solicitud de una autoridad de control;
• durante el horario laboral, sin perturbar el funcionamiento del Servicio ni comprometer la seguridad o la confidencialidad de los datos de los demás clientes;
• a cargo del Responsable del tratamiento.

La responsabilidad de cada parte en virtud del presente Acuerdo está sujeta a las exclusiones y limitaciones de responsabilidad previstas en las Condiciones, en la medida permitida por la Normativa aplicable.

El Acuerdo se aplica mientras el Encargado del tratamiento trate datos personales por cuenta del Responsable del tratamiento.

El Acuerdo está redactado en francés; en caso de discrepancia con una traducción, prevalece la versión francesa.

No obstante lo dispuesto en el artículo 29 de las Condiciones, el Acuerdo se rige por el derecho del Estado miembro de la Unión Europea en el que esté establecido el Responsable del tratamiento o, a falta de establecimiento en la Unión Europea, por el derecho francés. Se aplican las estipulaciones de las Condiciones relativas a la jurisdicción competente, sin perjuicio de los derechos de los interesados y de las facultades de las autoridades de control.

• Objeto: prestación del servicio ScanChat AI, que permite al Cliente responder automáticamente a los visitantes de su sitio web mediante chatbots y recabar leads.
• Naturaleza de las operaciones: recogida a través del widget instalado en el sitio web del Cliente, registro, conservación, estructuración, consulta, transmisión a modelos de inteligencia artificial para generar las respuestas, extracción de la información de los leads, generación de un resumen de la conversación asociada a cada lead y calificación automática de dicho lead (caliente, templado o frío), generación de análisis de las preguntas de los visitantes, visualización de mensajes proactivos según la página consultada, envío al Cliente de alertas por correo electrónico, recordatorios de seguimiento y un informe mensual de actividad, transmisión a las herramientas conectadas por el Cliente, exportación y supresión.
• Finalidades: responder a las preguntas de los visitantes por cuenta del Cliente; recabar los leads y transmitirlos al Cliente; permitir al Cliente consultar las conversaciones y estadísticas y mejorar las respuestas.
• Interesados: visitantes del sitio web del Cliente que interactúan con un chatbot, clientes potenciales cuyos datos de contacto se recaban, así como, en su caso, las personas mencionadas por los visitantes en sus mensajes.
• Datos de las conversaciones: contenido de los mensajes de los visitantes y de las respuestas del chatbot, identificador de sesión aleatorio generado en el navegador del visitante, fechas y horas de las interacciones, eventual valoración de la conversación (voto positivo o negativo).
• Datos de los leads: información correspondiente a los campos configurados por el Cliente (por ejemplo, nombre, dirección de correo electrónico, teléfono, empresa, necesidad), estado del consentimiento y fecha de este, en su caso, así como el estado y las notas añadidos por el Cliente, y el resumen de la conversación y la calificación del lead generados automáticamente. Esta calificación es una herramienta de ayuda destinada al Cliente: no produce ningún efecto jurídico respecto del visitante y no constituye una decisión basada únicamente en el tratamiento automatizado en el sentido del artículo 22 del RGPD.
• Dirección IP: no se registra con las conversaciones ni con los leads; se trata de manera transitoria para la limitación del número de solicitudes y la seguridad, y puede figurar en los registros técnicos del servidor, que se conservan durante 30 días como máximo.
• Categorías especiales de datos: no se prevé ninguna; el Cliente se compromete a no configurar su recogida (artículo 13).
• Duración: durante toda la vigencia de la suscripción, sin perjuicio de las supresiones efectuadas por el Cliente, y después 90 días tras la finalización de la suscripción; copias de seguridad sobrescritas en un plazo de 14 días.
• Ubicación: véase el Anexo 3.

• Cifrado de las comunicaciones: HTTPS/TLS en todas las comunicaciones.
• Seguridad de red: el área de cliente y la API están protegidas por el proxy de Cloudflare.
• Aislamiento de los datos: seguridad a nivel de fila (Row Level Security) activada en las tablas de la base de datos; escrituras directas desde el navegador bloqueadas, de modo que todas las modificaciones pasan por el servidor de aplicaciones.
• Claves de API de los clientes: las claves de inteligencia artificial proporcionadas por los clientes se cifran en reposo (Fernet).
• Contraseñas: gestionadas por el servicio de autenticación de Supabase y almacenadas en forma de hash; el Encargado del tratamiento nunca las conoce en claro.
• Consola de administración: autenticación de dos factores obligatoria y registro de auditoría de las acciones.
• Limitación del número de solicitudes, en particular en la autenticación y en los chatbots.
• Protección frente a solicitudes dirigidas a direcciones internas (SSRF) para los webhooks.
• Servidor: cortafuegos (ufw) y protección frente a intentos de intrusión repetidos (fail2ban).
• Copias de seguridad: copias de seguridad diarias conservadas durante 14 días, almacenadas separadamente del proveedor de base de datos, con alerta en caso de fallo y prueba de restauración automática cada mes.
• Minimización: ninguna dirección IP registrada con las conversaciones y los leads; ningún dato de tarjeta bancaria recibido ni conservado.
• Conservación: supresión automática de los datos 90 días después de la finalización de la suscripción.
• Acceso: acceso a los sistemas de producción limitado al titular de la empresa.

• Hostinger: alojamiento del servidor de aplicaciones (VPS), incluido el índice de conocimientos de los chatbots y las copias de seguridad. Ubicación: Francia (UE).
• Supabase (Supabase Inc.): base de datos y autenticación. Ubicación de los datos: Francia (región de París, UE). Garantía: alojamiento en la Unión Europea; los eventuales accesos desde terceros países para soporte y mantenimiento están cubiertos por cláusulas contractuales tipo.
• Cloudflare: seguridad de red y proxy (DNS, TLS) para el área de cliente y la API. Ubicación: red mundial. Garantía: Data Privacy Framework y cláusulas contractuales tipo.
• Google (API Gemini): generación de las respuestas y cálculo de las representaciones vectoriales (embeddings) para las ofertas «IA incluida», así como el cálculo de los embeddings cuando el proveedor de IA elegido por el Cliente no los ofrece; para todos los Clientes, incluidos los que utilizan su propia clave: detección del idioma de los visitantes, análisis de las preguntas de los visitantes (página Estadísticas) y resúmenes y calificación (caliente, templado o frío) de los leads. Google se utiliza en el marco de las condiciones de los servicios de pago de la API Gemini, según las cuales los datos transmitidos no se utilizan para entrenar sus modelos. Ubicación: Estados Unidos e infraestructura mundial. Garantía: Data Privacy Framework y cláusulas contractuales tipo.
• Brevo: envío de los correos electrónicos transaccionales, incluidas las alertas de nuevos leads. Ubicación: Francia (UE).
• Firecrawl: lectura de las páginas públicas del sitio web del Cliente para constituir los conocimientos de los chatbots. Ubicación: Estados Unidos. Garantía: cláusulas contractuales tipo.
• Cloudinary: almacenamiento de los logotipos e imágenes de los chatbots (únicamente imágenes). Ubicación: Estados Unidos. Garantía: Data Privacy Framework y cláusulas contractuales tipo.

Cuando el Cliente utiliza su propia clave de IA (OpenAI, Google o Anthropic), el proveedor correspondiente es elegido y contratado por el Cliente y actúa en virtud del contrato celebrado directamente con él. Las herramientas que el Cliente conecta (Zapier, Make, CRM, webhooks) son sus propios encargados del tratamiento o destinatarios.