Acuerdo de Encargado del Tratamiento (DPA)
Fecha de vigencia: 8 de julio de 2026
Este es el modelo de Acuerdo de Encargado del Tratamiento (Art. 28 RGPD) que BAIXOSAMA INVERSIONES, SL (Faladot) suscribe con cada empresa cliente. Los datos del Responsable y las firmas se cumplimentan al formalizarlo. Forma parte de los Términos de Servicio; en caso de conflicto en materia de protección de datos, prevalece este Acuerdo.
Partes
- EL ENCARGADO DEL TRATAMIENTO (en adelante, «el Encargado» o «la Plataforma»): BAIXOSAMA INVERSIONES, SL, con NIF/CIF B27854181 y domicilio en Rúa Condesa Casa Bárcenas, 11, 36204 Vigo, Pontevedra, España, prestadora del servicio Faladot.
- EL RESPONSABLE DEL TRATAMIENTO (en adelante, «el Responsable» o «el Cliente»): [razón social del Cliente], con NIF/CIF [CIF/NIF del Cliente] y domicilio en [domicilio del Cliente] — datos que se cumplimentan al firmar.
Ambas partes reconocen que, en el marco del servicio contratado, el Encargado trata datos personales por cuenta del Responsable, y suscriben el presente Acuerdo en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD).
1. Objeto
El Encargado tratará datos personales por cuenta del Responsable con la única finalidad de prestar el servicio de chatbot multi-canal (WhatsApp y widget web) Faladot, en los términos del contrato principal y siguiendo las instrucciones documentadas del Responsable.
2. Detalle del tratamiento (Art. 28.3 RGPD)
| Elemento | Descripción |
|---|---|
| Naturaleza y finalidad | Recepción, almacenamiento y procesamiento de conversaciones de chat para ofrecer atención automatizada asistida por IA (RAG), traspaso a agente humano y conservación del histórico de soporte, por cuenta del Responsable |
| Tipo de datos personales | Identificador de contacto (número de teléfono de WhatsApp o identificador de sesión web), contenido de los mensajes, metadatos de conversación (canal, estado, marcas de tiempo, idioma) y datos técnicos de enrutamiento |
| Categorías de interesados | Usuarios finales / clientes del Responsable que interactúan con el chatbot por WhatsApp o por el widget web |
| Categorías especiales (Art. 9) | No se solicitan ni se tratan de forma intencionada. El Responsable se compromete a no configurar el servicio para recabarlas y a advertir a sus usuarios de que no incluyan datos sensibles en el chat |
| Duración del tratamiento | Mientras esté vigente el contrato principal; los datos se conservan por defecto 24 meses (configurable por el Responsable) y se purgan automáticamente al vencer dicha ventana |
| Carácter del tratamiento | Por cuenta del Responsable, en la nube, multi-cliente con aislamiento lógico |
3. Instrucciones del Responsable
3.1. El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo que esté obligado por el Derecho de la UE o de un Estado miembro, en cuyo caso informará al Responsable antes del tratamiento (salvo prohibición legal).
3.2. Constituyen instrucciones documentadas: el contrato principal, este Acuerdo y la configuración que el Responsable realice a través del panel (base de conocimiento, plazo de conservación, plantillas, activación del traspaso a humano, operadores, etc.).
3.3. El Encargado informará al Responsable sin dilación si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos.
4. Obligaciones del Encargado (Art. 28.3 RGPD)
El Encargado se obliga a:
- a) Tratar los datos solo conforme a las instrucciones documentadas del Responsable.
- b) Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal de confidencialidad.
- c) Adoptar todas las medidas de seguridad exigidas por el Art. 32 RGPD (ver Anexo II).
- d) Respetar las condiciones para recurrir a otros encargados (cláusula 6).
- e) Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, para atender las solicitudes de ejercicio de derechos de los interesados (cláusula 7).
- f) Ayudar al Responsable a cumplir las obligaciones de los Arts. 32 a 36 RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
- g) A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación (cláusula 9), y suprimir las copias existentes, salvo obligación legal de conservación.
- h) Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 8).
5. Confidencialidad y personal
El Encargado garantiza que el acceso a los datos se limita al personal que lo necesite para prestar el servicio, sujeto a deber de confidencialidad, con control de acceso basado en roles (super-administrador / administrador de cliente / operador) y registro de auditoría de las acciones administrativas.
6. Subencargados (encargados ulteriores)
6.1. El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados enumerados en el Anexo I, necesarios para la prestación del servicio.
6.2. El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las establecidas en este Acuerdo (Art. 28.4 RGPD), en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas.
6.3. El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados con antelación razonable, dando al Responsable la oportunidad de oponerse. Si el Responsable se opone por motivos razonables, las partes colaborarán de buena fe; de no alcanzarse una solución, el Responsable podrá resolver la parte del servicio afectada.
6.4. El Encargado responde frente al Responsable del incumplimiento de las obligaciones de protección de datos por parte de los subencargados que contrate.
Anexo I — Lista de subencargados
| Subencargado | Finalidad | Datos a los que accede | Ubicación / Región | DPA / Condiciones |
|---|---|---|---|---|
| Google LLC / Google Ireland Ltd. (Gemini API / Vertex AI) | Inferencia del modelo de lenguaje y embeddings para RAG | Contenido de los mensajes y de la base de conocimiento del Responsable | EE. UU. / UE (según configuración del producto) | Google Cloud DPA |
| Meta Platforms, Inc. / Meta Platforms Ireland Ltd. (WhatsApp Business / Cloud API) | Transporte y entrega de mensajes por WhatsApp | Números de teléfono y contenido de los mensajes | EE. UU. / UE | WhatsApp Business DPT |
| OVHcloud (OVH SAS) | Alojamiento de la aplicación, la base de datos (PostgreSQL) y la cola de trabajos | Todos los datos del servicio en reposo | Francia (EEE) | OVHcloud — Protección de datos |
| Dinahosting S.L. (Object Storage) | Almacenamiento de los documentos de la base de conocimiento cargados por el Responsable | Documentos de la base de conocimiento del Responsable | España (EEE) | Dinahosting — Legal |
| Servidor de correo propio del Encargado (mail.noraitec.email) | Envío de correos de invitación a operadores | Correos del personal del Responsable (no datos de usuarios finales) | UE (infraestructura propia) | No aplica (infraestructura propia) |
Cualquier alta, baja o sustitución de subencargado se notificará al Responsable conforme a la cláusula 6.3.
7. Asistencia en el ejercicio de derechos de los interesados
7.1. Cuando un interesado se dirija al Encargado para ejercer sus derechos, el Encargado no responderá directamente (salvo instrucción del Responsable) y trasladará la solicitud al Responsable sin dilación indebida.
7.2. El Encargado asistirá al Responsable, mediante las funcionalidades del servicio, en particular:
- Acceso/portabilidad: exportación del histórico de conversaciones de un contacto.
- Supresión: eliminación de todos los datos asociados a un contacto (un número de teléfono o un identificador de sesión) a petición del Responsable.
- Rectificación/limitación: según las capacidades del servicio.
7.3. La purga automática al vencer la ventana de conservación (por defecto 24 meses, configurable) opera además como medida de minimización.
8. Auditoría
8.1. El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento del Art. 28 RGPD.
8.2. El Responsable podrá realizar auditorías, por sí o mediante un auditor independiente sujeto a confidencialidad, con preaviso razonable, en horario laboral y sin afectar indebidamente a la operativa ni a la seguridad de otros clientes. Las partes podrán acordar que la verificación se base en certificaciones o informes de terceros (p. ej., SOC 2 / ISO 27001) cuando estén disponibles.
9. Devolución o supresión al finalizar
9.1. A la finalización de la prestación, y a elección del Responsable, el Encargado devolverá los datos personales en un formato estructurado de uso común, o los suprimirá, junto con las copias existentes, salvo que el Derecho de la UE o de un Estado miembro exija su conservación.
9.2. Salvo instrucción en contrario, transcurridos 30 días desde la finalización, el Encargado procederá a la supresión segura de los datos.
10. Violaciones de seguridad de los datos (brechas)
10.1. El Encargado notificará al Responsable sin dilación indebida y, en la medida de lo posible, dentro de las 48 horas desde que tenga conocimiento de una violación de seguridad que afecte a datos tratados por cuenta del Responsable.
10.2. La notificación incluirá, en la medida en que se disponga de ella: la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas.
10.3. Corresponde al Responsable valorar y, en su caso, notificar la violación a la autoridad de control (Art. 33) y a los interesados (Art. 34). El Encargado prestará la asistencia razonable necesaria.
11. Transferencias internacionales
11.1. Determinados subencargados (en particular Google y Meta) pueden tratar datos fuera del EEE. El Encargado garantizará que dichas transferencias se amparan en un mecanismo válido conforme al Capítulo V del RGPD (decisión de adecuación, EU–US Data Privacy Framework o Cláusulas Contractuales Tipo (SCCs), con medidas suplementarias cuando proceda).
12. Responsabilidad
La responsabilidad de las partes se regirá por lo establecido en el contrato principal y por el Art. 82 RGPD. Cada parte responde del daño causado por el tratamiento que infrinja el RGPD en la medida de su participación.
13. Duración y legislación aplicable
13.1. Este Acuerdo permanecerá vigente mientras el Encargado trate datos por cuenta del Responsable.
13.2. Se rige por la legislación de España y, en lo no previsto, por el RGPD y la LOPDGDD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Vigo, salvo norma imperativa en contrario.
Anexo II — Medidas técnicas y organizativas de seguridad (Art. 32 RGPD)
- Aislamiento entre clientes (multi-tenant) mediante Row-Level Security de PostgreSQL.
- Cifrado en reposo de los tokens de acceso a WhatsApp (AES-256-GCM) y cifrado en tránsito (TLS).
- Ocultación (redacción) de secretos y datos personales en los registros (logs).
- Cookies de sesión cifradas y mecanismo de revocación de sesión en vivo.
- Control de acceso basado en roles (super-administrador / administrador de cliente / operador) y principio de mínimo privilegio.
- Limitación de tasa (rate limiting) y protección frente a abusos.
- Registro de auditoría de las acciones administrativas.
- Gestión de errores y trabajos fallidos (cola con dead-letter) y registro de errores con ocultación de datos personales.
- Procedimientos de copia de seguridad y recuperación.
Firmas
El Acuerdo se firma por el Encargado (BAIXOSAMA INVERSIONES, SL) y por el Responsable (la empresa cliente) al formalizar la contratación, haciendo constar nombre, cargo y fecha de cada firmante.