Acuerdo de tratamiento de datos

Este Acuerdo de tratamiento de datos («Acuerdo») regula el tratamiento de datos personales que el Operador de Betty realiza por cuenta del cliente. Forma parte de los Términos de servicio y se incorpora a ellos por referencia: resulta aplicable a todo cliente que trate datos personales en su espacio de trabajo, sin necesidad de firma separada. El cliente que necesite una copia firmada puede solicitarla a la dirección de privacidad que consta en la identificación del Operador, al inicio de este documento.

1. Partes y objeto

1.1. Son partes de este Acuerdo el cliente («el Responsable») y el Operador identificado al inicio de este documento («el Encargado»).

1.2. El objeto es el tratamiento de los datos personales contenidos en los registros que el Responsable y sus usuarios autorizados guardan en su espacio de trabajo del CRM de Betty («los Datos»).

1.3. Este Acuerdo se celebra para cumplir el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y las obligaciones equivalentes del encargado previstas en el UK GDPR, la CCPA de California en su redacción dada por la CPRA y las demás leyes estatales de privacidad de los Estados Unidos aplicables, la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México, la Ley 13.709 (LGPD) de Brasil, la Ley 25.326 de Argentina, la Ley 19.628 y la Ley 21.719 de Chile, y la Ley 29733 de Perú con su reglamento.

1.4. Prelación. En caso de contradicción entre este Acuerdo y los Términos de servicio respecto del tratamiento de datos personales, prevalece este Acuerdo. Las cláusulas contractuales tipo que resulten aplicables conforme a la cláusula 13 prevalecen sobre este Acuerdo en lo que regulen.

2. Papeles de las partes

2.1. Respecto de los Datos, el Responsable determina las finalidades y los medios del tratamiento, y el Encargado los trata únicamente por cuenta y siguiendo las instrucciones del Responsable.

2.2. El Responsable garantiza que cuenta con una base jurídica válida para el tratamiento, que ha informado a los interesados cuando corresponda y que sus instrucciones no infringen la normativa aplicable.

2.3. Respecto de los datos de las cuentas de usuario, los registros técnicos de la infraestructura y los datos del formulario de solicitud de acceso, el Encargado actúa como responsable por derecho propio, en los términos de la Política de privacidad. Esos datos quedan fuera del objeto de este Acuerdo.

2.4. En la terminología de la CCPA, el Encargado actúa como service provider del Responsable y, cuando la ley estatal aplicable use esa categoría, como processor.

3. Descripción del tratamiento

El objeto, la duración, la naturaleza, la finalidad, los tipos de datos y las categorías de interesados constan en el Anexo I. El Responsable puede ampliar o restringir esa descripción mediante instrucción escrita, dentro de las posibilidades funcionales del servicio.

4. Instrucciones del Responsable

4.1. El Encargado trata los Datos únicamente conforme a las instrucciones documentadas del Responsable. Constituyen instrucciones documentadas: este Acuerdo y los Términos de servicio; la configuración que el Responsable aplica en el servicio; las solicitudes de soporte que formula; la autorización OAuth que concede a un cliente de inteligencia artificial para acceder a su espacio de trabajo a través del conector MCP; y cualquier otra instrucción que remita a la dirección de privacidad.

4.2. El Encargado no trata los Datos para finalidades propias. En particular, no los usa para entrenar modelos de inteligencia artificial propios o de terceros, ni para publicidad, ni los vende, ni los cede a terceros para uso propio de estos, ni los combina con datos de otros responsables, ni los conserva más allá de lo previsto en la cláusula 14.

4.3. Si el Encargado considera que una instrucción infringe la normativa de protección de datos aplicable, informará al Responsable sin demora y podrá suspender su ejecución hasta que el Responsable la confirme, la modifique o la retire.

4.4. Si una norma de la Unión Europea o de un Estado miembro obliga al Encargado a un tratamiento que excede las instrucciones, lo comunicará al Responsable antes de llevarlo a cabo, salvo que esa norma lo prohíba por razones de interés público importante.

5. Confidencialidad del personal

5.1. El Encargado garantiza que las personas autorizadas a tratar los Datos están sujetas a un deber de confidencialidad de origen contractual o legal que subsiste tras el fin de su relación.

5.2. El acceso del personal del Encargado a los Datos se limita a quien lo necesita para prestar el servicio, se concede con el mínimo privilegio y se revoca al cesar la necesidad o la relación. Los accesos administrativos quedan registrados.

5.3. El personal recibe formación sobre protección de datos y seguridad de la información adecuada a sus funciones.

6. Seguridad del tratamiento

6.1. El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD.

6.2. El Encargado puede actualizar esas medidas siempre que no disminuya el nivel de seguridad. Si una actualización reduce de forma sustancial alguna medida, lo comunicará al Responsable con treinta (30) días naturales de antelación.

6.3. El Responsable es responsable de la configuración de seguridad que está bajo su control: los roles y permisos que asigna, la gestión de sus usuarios autorizados, la robustez de las credenciales y el alcance de las autorizaciones OAuth que concede.

7. Subencargados

7.1. Autorización general. El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados listados en el Anexo III y a incorporar nuevos subencargados conforme a esta cláusula.

7.2. Obligaciones impuestas. El Encargado celebra con cada subencargado un contrato escrito que le impone obligaciones de protección de datos equivalentes a las de este Acuerdo, en particular garantías suficientes de seguridad, y responde frente al Responsable del incumplimiento del subencargado como si fuera propio.

7.3. Aviso de cambios y objeción. El Encargado comunicará al Responsable la incorporación o la sustitución de un subencargado con una antelación mínima de treinta (30) días naturales por correo electrónico a la dirección de la cuenta. Durante ese plazo el Responsable puede oponerse por motivos razonables relacionados con la protección de datos. Si se opone, las partes buscarán de buena fe una solución alternativa; si no la hay en treinta (30) días naturales, el Responsable puede terminar el servicio sin coste y sin penalización, con derecho a exportar los Datos conforme a la cláusula 14.

7.4. Proveedores de inteligencia artificial del Responsable. OpenAI, Anthropic y cualquier otro proveedor de inteligencia artificial desde cuyo entorno el Responsable use Betty no son subencargados del Encargado. Son proveedores contratados por el propio Responsable, bajo sus propias condiciones. El Encargado no les envía Datos por iniciativa propia: los entrega al cliente de inteligencia artificial autorizado cuando el Responsable o un usuario autorizado formula una consulta a través de una conexión OAuth activa, lo que constituye una instrucción documentada conforme a la cláusula 4.1. El Responsable es responsable de la licitud de esa comunicación en su propio marco normativo, incluido, cuando proceda, el mecanismo de transferencia internacional en su relación con ese proveedor.

8. Asistencia en los derechos de los interesados

8.1. El servicio permite al Responsable acceder, rectificar, suprimir, restringir y exportar los Datos directamente, sin intervención del Encargado.

8.2. Cuando el Responsable no pueda atender una solicitud con esas funciones, el Encargado le prestará asistencia razonable, a petición escrita y sin coste adicional durante la vigencia del contrato.

8.3. Si un interesado dirige al Encargado una solicitud relativa a los Datos, el Encargado no la atenderá por sí mismo: informará al interesado de que debe dirigirse al Responsable y trasladará la solicitud al Responsable sin demora indebida, con los datos de contacto que el interesado haya facilitado.

9. Asistencia en evaluaciones de impacto

A petición escrita del Responsable, el Encargado le facilitará la información sobre el tratamiento, la infraestructura y las medidas de seguridad que esté en su poder y sea necesaria para que el Responsable realice una evaluación de impacto relativa a la protección de datos o una consulta previa a la autoridad de control, conforme a los artículos 35 y 36 del RGPD y a las figuras equivalentes de las demás normas aplicables, incluida la evaluación de impacto del reglamento peruano.

10. Violaciones de la seguridad de los datos

10.1. El Encargado notificará al Responsable toda violación de la seguridad que afecte a los Datos sin demora indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a tener constancia de ella. El plazo de cuarenta y ocho horas se adopta para que el Responsable pueda cumplir el plazo de setenta y dos horas del artículo 33 del RGPD y los plazos específicos de su país.

10.2. La notificación incluirá, con la información disponible en ese momento: la naturaleza de la violación; las categorías y el número aproximado de interesados y de registros afectados; las consecuencias probables; las medidas adoptadas o propuestas para resolverla y mitigar sus efectos; y un punto de contacto. Si no se dispone de toda la información, se facilitará de forma escalonada sin demora indebida.

10.3. El Encargado documentará las violaciones, cooperará con el Responsable en la investigación y en la comunicación a autoridades o interesados, y no notificará a terceros una violación que afecte a los Datos en nombre del Responsable sin su instrucción, salvo que una norma le obligue.

10.4. El Encargado no está obligado a notificar los intentos de ataque sin impacto que las medidas de seguridad hayan bloqueado.

11. Auditoría e información

11.1. El Encargado pondrá a disposición del Responsable, a petición escrita, la información necesaria para demostrar el cumplimiento de este Acuerdo: la descripción de las medidas del Anexo II, la lista actualizada de subencargados y, cuando existan, los informes de auditoría o certificaciones de los subencargados de infraestructura que estos publiquen.

11.2. Si esa información no es suficiente, el Responsable puede realizar una auditoría, por sí o mediante un auditor independiente que no sea competidor del Encargado y esté sujeto a deber de secreto, con un preaviso de treinta (30) días naturales, una vez por año natural, en horario laboral y sin interrumpir el servicio ni acceder a datos de otros clientes. Las auditorías adicionales proceden cuando lo exija una autoridad de control o tras una violación de seguridad que haya afectado a los Datos.

11.3. Cada parte asume sus propios costes de la auditoría. El Encargado puede repercutir el coste razonable del tiempo de su personal en las auditorías adicionales que no deriven de un incumplimiento propio.

12. Tratamiento conforme a las leyes de los Estados Unidos

12.1. Respecto de la información personal sujeta a la CCPA, el Encargado trata los Datos únicamente para los fines comerciales previstos en este Acuerdo y en los Términos de servicio.

12.2. El Encargado no vende los Datos ni los comparte para publicidad comportamental entre contextos; no los conserva, usa ni divulga para finalidades distintas de la prestación del servicio, incluida una finalidad comercial propia; no los combina con información personal recibida de otras fuentes, salvo cuando la propia CCPA lo permita para un service provider; y cumple el nivel de protección que la norma exige.

12.3. El Encargado comunicará al Responsable, sin demora indebida, si determina que no puede cumplir estas obligaciones, y el Responsable podrá adoptar medidas razonables para detener y remediar el uso no autorizado, incluida la terminación del servicio.

12.4. El Encargado impone estas mismas obligaciones a sus subencargados y presta al Responsable la asistencia razonable que necesite para atender las solicitudes de los consumidores y para realizar las evaluaciones de riesgo y las auditorías de ciberseguridad que le exija el reglamento de la CCPA.

13. Transferencias internacionales

13.1. Localización. Los Datos se tratan en la región Europa (Irlanda) de Amazon Web Services, eu-west-1. El Encargado no traslada los Datos fuera del Espacio Económico Europeo para prestar el servicio.

13.2. Espacio Económico Europeo y Reino Unido. Cuando un subencargado deba acceder a los Datos desde un tercer país, la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulos 2 o 3 según corresponda, y en el Addendum de transferencia internacional de datos emitido por la Information Commissioner’s Office al amparo del artículo 119A(1) de la Data Protection Act 2018 para las transferencias sujetas al UK GDPR. Si una decisión de adecuación cubre la transferencia, prevalece esa decisión. El Anexo III indica el mecanismo aplicable a cada subencargado.

13.3. Cuando resulten aplicables las cláusulas contractuales tipo de la Decisión (UE) 2021/914 entre el Responsable y el Encargado, se entienden incorporadas a este Acuerdo con los siguientes contenidos: el Anexo I de este Acuerdo completa el Anexo I de esas cláusulas; el Anexo II de este Acuerdo completa su Anexo II; el Anexo III de este Acuerdo completa su Anexo III; la autorización general de subencargados de la cláusula 7 corresponde a la opción 2 de su cláusula 9(a) con el plazo de aviso de treinta días; y la ley aplicable y el foro son los previstos en los Términos de servicio en la medida en que esas cláusulas lo permitan.

13.4. América Latina. Las partes se atienen a los mecanismos descritos en la sección 12.5 de la Política de privacidad. En particular, este Acuerdo cumple la función del contrato de transmisión del artículo 25 del Decreto 1377 de 2013 de Colombia y documenta la remisión de datos a un encargado prevista en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México. Para Brasil resulta aplicable la decisión de adecuación de la Resolución CD/ANPD n.º 32, de 26 de enero de 2026; si dejara de estar vigente, las partes incorporarán las cláusulas estándar del Anexo de la Resolución CD/ANPD n.º 19/2024. Para Argentina resulta aplicable el reconocimiento de legislación adecuada del artículo 3 de la Disposición 60-E/2016, en la redacción de la Resolución AAIP 34/2019; en su defecto, las partes suscribirán el modelo de cláusulas para la prestación de servicios de tratamiento de esa Disposición. Para Perú, el Responsable registra el flujo transfronterizo ante la autoridad conforme al artículo 21 del reglamento aprobado por Decreto Supremo 016-2024-JUS.

14. Devolución y supresión de los Datos

14.1. Durante la vigencia del contrato, el Responsable puede exportar los Datos en un formato estructurado y de uso común, por sí mismo y en cualquier momento.

14.2. Terminado el contrato, el Responsable conserva esa posibilidad durante treinta (30) días naturales. Si el acceso estuviera suspendido, el Encargado habilitará la exportación a petición del Responsable dentro de ese plazo.

14.3. Transcurrido ese plazo, el Encargado suprime los Datos de los sistemas activos. Las copias de seguridad que los contengan se sobrescriben en el ciclo normal de retención, que no excede de noventa (90) días naturales desde la terminación.

14.4. El Encargado puede conservar los Datos, o parte de ellos, cuando una norma de la Unión Europea o de un Estado miembro lo exija. En ese caso la conservación se limita a esa finalidad y a ese plazo, con las medidas de seguridad del Anexo II y sin ningún otro tratamiento.

14.5. A petición escrita del Responsable recibida dentro de los treinta días siguientes a la terminación, el Encargado certificará por escrito la supresión.

15. Responsabilidad

15.1. La responsabilidad de las partes derivada de este Acuerdo se rige por la cláusula 16 de los Términos de servicio, con la salvedad de la cláusula 16.3 de esos Términos: los límites no se aplican a la responsabilidad por daños derivada del incumplimiento del RGPD o de la normativa de protección de datos equivalente, ni a lo que las cláusulas contractuales tipo aplicables establezcan sobre la responsabilidad frente a los interesados.

15.2. Cada parte responde frente a los interesados y frente a las autoridades en la medida en que le corresponda conforme al artículo 82 del RGPD y a las normas equivalentes.

16. Vigencia

Este Acuerdo entra en vigor en la fecha indicada al inicio de este documento o, si es posterior, en la fecha en que el Responsable empiece a usar el servicio, y permanece en vigor mientras el Encargado trate Datos por cuenta del Responsable. Las cláusulas 5, 10, 14 y 15 subsisten tras su terminación en lo que resulte aplicable. El Encargado puede modificar este Acuerdo conforme a la cláusula 19 de los Términos de servicio; si una modificación reduce las garantías del Responsable, este podrá terminar el servicio sin coste antes de que surta efecto.

Anexo I. Descripción del tratamiento

A. Partes

Exportador / Responsable del tratamiento: el cliente que usa el CRM de Betty, identificado por el titular y la dirección de correo de su cuenta y por su espacio de trabajo. Papel: responsable del tratamiento.

Importador / Encargado del tratamiento: el Operador identificado al inicio de este documento. Papel: encargado del tratamiento. Datos de contacto para asuntos de protección de datos: la dirección de privacidad que consta en esa identificación.

B. Descripción del tratamiento

C. Autoridad de control competente

Cuando el Responsable esté establecido en el Espacio Económico Europeo, la autoridad competente respecto de las cláusulas contractuales tipo es la del Estado miembro de su establecimiento. Cuando no lo esté pero esté sujeto al RGPD conforme a su artículo 3.2, la del Estado miembro en que esté situado su representante o, en su defecto, la del Estado miembro en que se encuentren los interesados. Para las transferencias sujetas al UK GDPR, la Information Commissioner’s Office.

Anexo II. Medidas técnicas y organizativas

Las medidas de este Anexo son obligaciones que el Encargado asume y mantiene durante la vigencia de este Acuerdo, en el sentido del artículo 32 del RGPD. El Encargado las actualiza conforme a la cláusula 6.2.

1. Cifrado

Cifrado en tránsito mediante TLS en todas las conexiones externas, con redirección forzosa a HTTPS. Cifrado en reposo de la base de datos PostgreSQL y del almacenamiento de archivos con las claves gestionadas del proveedor de infraestructura. Las contraseñas se almacenan con una función de resumen criptográfico resistente a ataques de fuerza bruta; no se guardan en claro ni son recuperables.

2. Control de acceso

Autenticación individual para cada usuario. Permisos por rol dentro de cada espacio de trabajo, definidos por el Responsable. Aislamiento lógico de los datos por espacio de trabajo, de modo que una consulta solo alcanza al espacio de trabajo al que pertenece la sesión. El acceso del personal del Encargado a la infraestructura se concede por necesidad y con el mínimo privilegio, con credenciales individuales y segundo factor, y se revisa al menos una vez al año y al cesar la necesidad o la relación.

3. Conector MCP

El acceso desde un cliente de inteligencia artificial requiere una autorización OAuth concedida por el Responsable, con alcance explícito y revocable en cualquier momento desde la cuenta. Sin esa autorización no existe canal de acceso.

4. Seudonimización y minimización

El Encargado no necesita los Datos para fines propios y no los extrae de la infraestructura. Los registros técnicos no reproducen el contenido de los registros del CRM. Los mensajes de error y las trazas del servicio se construyen de modo que no incorporen datos personales del Responsable.

5. Seguridad de la red y de los sistemas

Despliegue en contenedores gestionados, con grupos de seguridad que limitan el tráfico a los puertos y orígenes necesarios. La base de datos y la caché no son accesibles desde la red pública. Actualización de dependencias y aplicación de parches de seguridad conforme a su criticidad.

6. Registro y supervisión

Registro centralizado de la actividad de la aplicación y de la infraestructura, con los contenidos y los plazos de la sección 7 de la Política de privacidad. Registro de los accesos administrativos. Supervisión de la disponibilidad y de los errores del servicio. La telemetría, la analítica de producto y el envío de informes de error a terceros están desactivados.

7. Continuidad y recuperación

Copias de seguridad automáticas de la base de datos, cifradas y retenidas conforme al ciclo de la cláusula 14.3, con pruebas periódicas de restauración. Toda la infraestructura permanece en la región de Irlanda. El Responsable puede además exportar sus Datos en cualquier momento conforme a la cláusula 14.1.

8. Gestión de incidentes

Procedimiento de detección, calificación, contención, erradicación y recuperación de incidentes de seguridad, con registro de los hechos y de las decisiones y con los plazos de notificación de la cláusula 10.

9. Organización

Deber de confidencialidad del personal con subsistencia tras el fin de la relación. Formación en protección de datos y seguridad adecuada a las funciones. Evaluación de los subencargados antes de su incorporación y contrato escrito con obligaciones equivalentes a las de este Acuerdo.

10. Supresión segura

Supresión de los Datos de los sistemas activos y sobrescritura de las copias de seguridad en los plazos de la cláusula 14. Los soportes físicos son gestionados y destruidos por el proveedor de infraestructura conforme a sus propios controles certificados.

Anexo III. Subencargados

Lista vigente en la fecha de entrada en vigor de este Acuerdo. Las incorporaciones y sustituciones se comunican conforme a la cláusula 7.3.

No son subencargados del Encargado los proveedores de inteligencia artificial del Responsable, como OpenAI y Anthropic, conforme a la cláusula 7.4.