Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos y Condiciones entre el cliente (la empresa que se suscribe a LetsBot, "tú") y BOT FOR DIGITAL SOLUTIONS LIMITED, sociedad registrada en Inglaterra y Gales con el número 15477940, con domicilio en 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Reino Unido ("LetsBot", "nosotros").

Al aceptar los Términos y Condiciones, también celebras este DPA, incluidas las cláusulas de transferencia incorporadas por referencia en los Anexos IV a VI. Se aplican automáticamente a todos los clientes desde la aceptación, antes de que se transfiera cualquier Dato Personal del Cliente, y no se requiere firma.

Copias firmadas y documentos a medida. Si lo solicitas en support@letsbot.net, te proporcionaremos una copia de este DPA firmada por nosotros, o un acuerdo o documento a medida que tu organización necesite, como un juego de cláusulas de transferencia cumplimentado.

Orden de prelación. En caso de conflicto, prevalecen las cláusulas de transferencia de los Anexos IV a VI, después este DPA y después los Términos y Condiciones.

Idioma. La versión en inglés de este DPA es la que prevalece; la versión en árabe se proporciona por conveniencia. Para las cláusulas estándar de la ANPD de Brasil, prevalece el texto oficial en portugués.

• Datos Personales del Cliente: datos personales que tratamos en tu nombre al prestar el servicio, incluidos los datos de tus contactos, mensajes, archivos multimedia y pedidos. El Anexo I contiene los detalles.
• Subencargado: cualquier tercero que contratemos para tratar Datos Personales del Cliente.
• Violación de Datos Personales: una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o su comunicación o acceso no autorizados.
• Leyes de Protección de Datos: las leyes aplicables al tratamiento, incluidos el RGPD de la UE, el RGPD del Reino Unido y la Data Protection Act 2018, la Ley de Protección de Datos Personales de Arabia Saudita y sus reglamentos, la LGPD de Brasil y la Ley n.º 151 de 2020 de Egipto y su Reglamento Ejecutivo.
• "Responsable", "encargado", "interesado" y "tratamiento" tienen el significado que les atribuyen las Leyes de Protección de Datos. "Encargado" incluye al "operador" en virtud de la LGPD.

1. Eres el responsable de los Datos Personales del Cliente (o un encargado que actúa en nombre de otro responsable), y nosotros somos el encargado.
2. Tratamos los Datos Personales del Cliente únicamente siguiendo tus instrucciones documentadas, incluso en lo relativo a las transferencias a otros países. Tus instrucciones son los Términos y Condiciones, este DPA, la configuración que elijas en el panel (como canales, integraciones, funciones de IA y plazos de conservación) y cualquier otra instrucción escrita que acordemos.
3. Si una ley nos obliga a tratar Datos Personales del Cliente de un modo distinto a tus instrucciones, te lo comunicaremos antes de hacerlo, salvo que dicha ley lo prohíba.
4. Te informaremos de inmediato si consideramos que una instrucción infringe las Leyes de Protección de Datos.
5. Eres responsable de recopilar los datos de forma lícita y de contar con una base jurídica para enviar mensajes a tus contactos, incluido cualquier consentimiento que exijan Meta o la ley.
6. No utilizamos los Datos Personales del Cliente para nuestros propios fines, no los vendemos y no los utilizamos para entrenar modelos de IA.

Solo pueden acceder a los Datos Personales del Cliente los empleados y contratistas que necesitan ese acceso para prestar, dar soporte o proteger el servicio, y todos ellos están obligados a mantener su confidencialidad.

Las personas con acceso a los Datos Personales del Cliente trabajan principalmente en Egipto, a través de nuestra filial Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), siguiendo nuestras instrucciones y en condiciones no menos protectoras que este DPA.

Aplicamos las medidas técnicas y organizativas del Anexo II, las revisamos periódicamente y no reduciremos el nivel general de protección durante tu suscripción.

Además, nos comprometemos a:

• realizar copias de seguridad cifradas de las bases de datos de los espacios de trabajo: cada noche para los espacios de trabajo de pago, de prueba y gratuitos por cortesía, y en una rotación de 10 días para los demás espacios de trabajo, además de una copia de seguridad diaria de la base de datos central de cuentas. Las copias de seguridad se guardan en almacenamiento privado, separado del servidor de producción, en Google Cloud en los Estados Unidos (us-east1), durante 30 días y después se eliminan;
• conservar los archivos multimedia intercambiados en las conversaciones en un almacenamiento que no se puede explorar ni listar, y servirlos mediante enlaces largos y aleatorios difíciles de adivinar (excepto las fotos de perfil de los contactos). Cualquier persona que tenga el enlace exacto puede abrir el archivo. Estamos migrando los archivos multimedia a enlaces firmados de duración limitada;
• registrar cada entrada del equipo de soporte en un espacio de trabajo, y cada inicio de sesión, en el registro de seguridad de ese espacio de trabajo.

1. Autorización general. Nos autorizas a contratar a los subencargados indicados en nuestra página de subencargados (Anexo III).
2. Aviso previo. Avisaremos con al menos 30 días de antelación antes de añadir o sustituir un subencargado, por correo electrónico a todas las personas suscritas y actualizando la página. Para suscribirte, escribe a support@letsbot.net con el asunto "Subprocessor updates".
3. Oposición. Puedes oponerte por escrito durante el plazo de aviso por motivos razonables de protección de datos. Intentaremos resolver tu oposición, por ejemplo, no utilizando ese subencargado para tus datos. Si no podemos, puedes resolver la parte afectada del servicio y recibir el reembolso de las tarifas pagadas por adelantado correspondientes al periodo restante.
4. Sustitución de emergencia. Si debemos sustituir un subencargado de inmediato para proteger la seguridad o la continuidad del servicio, te lo comunicaremos lo antes posible, y conservas el mismo derecho de oposición.
5. Obligaciones equivalentes. Vinculamos a cada subencargado externo mediante un contrato escrito con obligaciones de protección de datos no menos protectoras que este DPA, y seguimos siendo responsables ante ti de su cumplimiento.
6. Las integraciones que eliges, como Meta (WhatsApp, Messenger, Instagram), las plataformas de comercio electrónico y los CRM, no son subencargados nuestros. Tú las conectas, y tratan los datos conforme a sus propias condiciones contigo.

1. Te notificaremos cualquier Violación de Datos Personales que afecte a Datos Personales del Cliente sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener conocimiento de ella. Este es nuestro estándar en todos los países.
2. Enviamos la notificación a la dirección de correo electrónico del titular de la cuenta y, cuando sea posible, en el panel. En la medida en que se disponga de la información, describe: la naturaleza y la causa de la violación; las categorías y el número aproximado de interesados y registros; las consecuencias probables; las medidas adoptadas o propuestas para contenerla; y nuestro punto de contacto.
3. Si no disponemos de toda la información de una vez, la facilitaremos por fases sin dilación indebida y te mantendremos informado periódicamente hasta que se cierre el incidente.
4. Te ayudaremos a cumplir tus propias obligaciones de notificar a las autoridades y a los interesados, incluidos los plazos de 72 horas en la UE, el Reino Unido y Arabia Saudita, y el plazo de tres días hábiles en Brasil.
5. Una notificación no constituye un reconocimiento de culpa ni de responsabilidad.

1. Si recibimos una solicitud de un interesado relativa a Datos Personales del Cliente, te la remitiremos dentro de las 48 horas y no la responderemos sin tu autorización, salvo para indicar que te la hemos trasladado.
2. El panel te permite exportar, corregir y eliminar contactos, conversaciones y mensajes. Cuando estas herramientas no sean suficientes, te prestaremos una ayuda razonable.
3. Nuestra ayuda tiene en cuenta tus plazos legales, incluidos los seis días hábiles en Egipto.

Te proporcionaremos la información que razonablemente necesites para realizar una evaluación de impacto relativa a la protección de datos, una evaluación del riesgo de las transferencias o una consulta previa con una autoridad. Cuando la ley te obligue a compartir con nosotros la evaluación de impacto pertinente, la recibiremos.

1. Durante tu suscripción puedes, en cualquier momento, exportar tus datos, eliminar cualquier conversación individual (lo que borra sus mensajes y archivos multimedia) o eliminar todo tu espacio de trabajo desde el panel. Indicar un motivo es opcional.
2. Cuando finaliza el servicio, tus datos siguen disponibles para exportar durante 30 días. Cuando se elimina un espacio de trabajo, eliminamos los Datos Personales del Cliente de nuestros sistemas activos en un plazo de 30 días, incluidos los archivos multimedia, la copia archivada, los archivos y las respuestas almacenadas en nuestro proveedor de IA, y los mensajes almacenados por nuestro servicio de conexión por código QR. Las copias en las copias de seguridad caducan en un plazo adicional de 30 días.
3. Conservamos únicamente lo que la ley nos obliga a conservar, y lo seguimos protegiendo conforme a este DPA hasta su eliminación.
4. Si lo solicitas, confirmaremos la eliminación por escrito.

1. Pondremos a tu disposición la información necesaria para demostrar nuestro cumplimiento de este DPA y responderemos a cuestionarios de seguridad razonables.
2. Si esa información no es suficiente, tú o un auditor independiente sujeto a confidencialidad podrán auditarnos una vez cada 12 meses, con 30 días de antelación, en horario laboral y sin poner en riesgo los datos de otros clientes. Este límite no se aplica tras una Violación de Datos Personales ni cuando una autoridad exija la auditoría.
3. Cada parte asume sus propios costos, salvo que la auditoría revele un incumplimiento material por nuestra parte.
4. Cooperaremos con las autoridades de control competentes, incluida la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), cuando lo soliciten.

1. Dónde se tratan los datos. Los Datos Personales del Cliente se alojan en Google Cloud en los Estados Unidos (región us-east1), nuestro personal accede a ellos de forma remota, principalmente desde Egipto a través de nuestra filial, y los tratan subencargados en las ubicaciones indicadas en su página. Todos nuestros servidores y copias de seguridad están en los Estados Unidos; no ofrecemos alojamiento en ninguna otra región.
2. Mecanismos de transferencia. Las cláusulas del Anexo IV (UE y Reino Unido), el Anexo V (Brasil) y el Anexo VI (Arabia Saudita) forman parte de este DPA para todos los clientes y rigen cada transferencia a la que se aplique la ley correspondiente.
3. Leyes extranjeras a las que estamos sujetos. Somos una empresa del Reino Unido sujeta a la legislación del Reino Unido. Los datos se alojan con un proveedor estadounidense, y las autoridades de los Estados Unidos pueden exigir a los proveedores estadounidenses que divulguen datos en virtud de la legislación estadounidense, incluidas la CLOUD Act y la Sección 702 de la Foreign Intelligence Surveillance Act. Nuestra filial en Egipto está sujeta a la legislación egipcia. No tenemos conocimiento de que ninguna de estas leyes nos impida cumplir este DPA, y te informaremos con prontitud si eso cambia.
4. Solicitudes de autoridades públicas. Si recibimos una solicitud vinculante de una autoridad pública para divulgar Datos Personales del Cliente, te lo comunicaremos salvo que la ley lo prohíba, pediremos a la autoridad que se dirija a ti, impugnaremos las solicitudes ilícitas o excesivas y divulgaremos únicamente el mínimo exigido.

1. Cuando activas las respuestas con IA, los agentes de IA, la transcripción de notas de voz o las herramientas de IA, enviamos los datos que necesita la función a uno de nuestros proveedores de servicios de IA, que son subencargados en los Estados Unidos: mensajes, historial de conversaciones, notas de voz, archivos de conocimiento y catálogo de productos, así como el nombre y el número del contacto cuando la función los utiliza.
2. Nuestros proveedores de servicios de IA son OpenAI, el proveedor predeterminado, que siempre se encarga de la transcripción de notas de voz y del almacenamiento y la búsqueda de archivos de conocimiento; y Anthropic (Claude) y Google (Gemini API), a los que podemos dirigir tareas de IA en lugar de OpenAI o como respaldo, o enviar una muestra limitada de solicitudes para comparar la calidad de las respuestas. Las respuestas de comparación nunca se envían a tus clientes. La lista y los mecanismos de transferencia figuran en nuestra página de subencargados.
3. Según sus condiciones comerciales, ninguno de estos proveedores utiliza los datos enviados a través de su API para entrenar sus modelos (consulta las condiciones comerciales de OpenAI, los Commercial Terms de Anthropic y los Gemini API Additional Terms), y no hemos aceptado ningún uso para entrenamiento. Cada proveedor conserva una copia temporal para la supervisión de abusos conforme a sus condiciones, y OpenAI conserva las respuestas que genera conforme a su política de datos de la API.
4. No utilizamos los Datos Personales del Cliente para entrenar ningún modelo. Lo que aprende la función "aprender del historial" se queda dentro de tu espacio de trabajo.
5. Estas funciones son opcionales y puedes desactivarlas en cualquier momento. Cuando eliminas tu espacio de trabajo, eliminamos los archivos almacenados para él en OpenAI.
6. Eres responsable de informar a tus clientes de que las respuestas pueden ser generadas por IA cuando la ley lo exija.

1. Nuestro personal de soporte entra en tu espacio de trabajo únicamente para prestar soporte.
2. Cada entrada queda registrada en el registro de seguridad de tu espacio de trabajo, que puedes revisar.
3. Si activas la autenticación de dos factores en tu espacio de trabajo, nuestro personal solo podrá entrar con tu aprobación expresa.

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de los Términos y Condiciones, salvo la responsabilidad que no pueda limitarse por ley, y sin perjuicio de los derechos de los interesados conforme a las cláusulas de transferencia de los Anexos IV a VI, que nada de lo dispuesto en este DPA ni en los Términos y Condiciones limita.

1. Este DPA se aplica mientras tratemos Datos Personales del Cliente.
2. Podemos actualizar este DPA para adaptarlo a la ley o al servicio. Avisaremos con 30 días de antelación de cualquier cambio material, y ningún cambio reducirá el nivel de protección durante el periodo de tu suscripción de pago.
3. Este DPA se rige por las leyes de Inglaterra y Gales, cuyos tribunales tienen jurisdicción, salvo que cada conjunto de cláusulas de transferencia de los Anexos IV a VI se rige por la ley y los tribunales que en él se especifican.

A efectos de la Ley de Protección de Datos Personales y su Reglamento de Aplicación (Artículo 17):

• La finalidad, las categorías de datos y la duración del tratamiento figuran en el Anexo I.
• Te notificamos una violación sin dilación indebida y dentro de las 24 horas (sección 7).
• Las leyes extranjeras a las que estamos sujetos, y su impacto, se describen en la sección 12.
• Si la ley saudí nos exige realizar una divulgación, te lo notificaremos.
• Los subencargados y demás destinatarios se identifican en el Anexo III, y te notificamos antes de cualquier cambio, con derecho de oposición (sección 6).
• Remitimos las solicitudes de los interesados dentro de las 48 horas (sección 8) y aceptamos evaluaciones y auditorías (sección 11).
• Cláusulas de transferencia: Anexo VI.

A efectos de la LGPD, actuamos como "operador":

• Tratamos los datos siguiendo tus instrucciones (Artículo 39) y llevamos un registro de las operaciones de tratamiento (Artículo 37).
• Aplicamos las medidas de seguridad del Anexo II, y nuestro deber de seguridad continúa después de que finalice el tratamiento (Artículos 46 y 47).
• Te notificamos una violación dentro de las 24 horas para que puedas notificarla a la ANPD y a los interesados en un plazo de tres días hábiles (Artículo 48).
• Eliminamos los datos cuando finaliza el tratamiento, conforme a la sección 10 (Artículo 16).
• Nada de lo dispuesto en este DPA limita nuestra responsabilidad frente a los interesados cuando la LGPD la impone.
• Cláusulas de transferencia: Anexo V. Si lo solicitas, te proporcionamos un resumen en portugués de la transferencia internacional que puede publicar para tus clientes.

A efectos de la Ley n.º 151 de 2020 y su Reglamento Ejecutivo:

• Nuestra filial en Egipto es Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), registro mercantil n.º 223572 (oficina de registro de Inversión de El Cairo), Torre 22, piso 3, Masaken Sidi Abdel Rahim, Seger, Tanta 1, Gharbia, Egipto.
• Obtenemos cualquier licencia o permiso que la ley exija para nuestro tratamiento y nuestras transferencias transfronterizas antes de ampararnos en ellos, y designamos un delegado de protección de datos registrado ante el Centro de Protección de Datos Personales.
• Además de notificarte en un plazo de 24 horas, notificamos una violación de seguridad al Centro de Protección de Datos Personales en un plazo de 72 horas cuando la ley nos lo exige como encargado del tratamiento, en coordinación contigo.
• Trabajamos contigo para responder a las solicitudes de los titulares de los datos en un plazo de seis días hábiles.
• Eres responsable de obtener el consentimiento de los titulares de los datos cuando la ley lo exija, incluido el consentimiento para transferencias fuera de Egipto.

Este DPA contiene los términos exigidos por el artículo 28(3) del RGPD de la UE y el RGPD del Reino Unido: instrucciones (sección 3), confidencialidad (sección 4), seguridad (sección 5 y Anexo II), subencargados (sección 6), asistencia con las solicitudes de los titulares de los datos (sección 8) y con la seguridad, las violaciones de seguridad y las evaluaciones (secciones 5, 7 y 9), supresión y devolución (sección 10), e información y auditorías (sección 11).

El Reino Unido, donde estamos establecidos, está cubierto por una decisión de adecuación de la Comisión Europea. No obstante, el Anexo IV (las Cláusulas Contractuales Tipo de la UE y el Addendum del Reino Unido) se incorpora para todos los clientes y rige cualquier transferencia de Datos Personales del Cliente que el RGPD de la UE o el RGPD del Reino Unido no permitan de otro modo, incluidas nuestras transferencias ulteriores a los Estados Unidos.

Estas medidas están vigentes hoy:

• Cifrado en tránsito: TLS 1.3 en el borde de Cloudflare con HSTS, y certificados TLS en el servidor de origen.
• Cifrado en reposo: cifrado predeterminado de Google Cloud con claves gestionadas por Google para discos y buckets de almacenamiento, además de cifrado a nivel de aplicación de los tokens de acceso a los canales, los secretos de integraciones y webhooks, los secretos de doble factor, las respuestas a encuestas y los registros de consentimiento.
• Contraseñas y tokens: contraseñas cifradas con hash bcrypt; tokens de API almacenados como hashes.
• Aislamiento: una base de datos independiente para cada espacio de trabajo.
• Red: las bases de datos y cachés no son accesibles desde internet; protección DDoS y firewall de aplicaciones web de Cloudflare; protección contra bots Turnstile en los formularios públicos.
• Refuerzo de servidores: aislamiento de cuentas con CageFS, firewall y análisis de malware de Imunify360, y parches de seguridad del kernel en caliente (KernelCare).
• Control de acceso: roles y permisos por usuario, un control de inicio de sesión independiente para las herramientas internas de administración, autenticación de dos factores disponible para todos los espacios de trabajo y restricciones de IP para iniciar sesión.
• Registros: un registro de seguridad para cada espacio de trabajo que cubre los inicios de sesión y los intentos fallidos, los cambios de doble factor y de roles, el acceso de soporte y la rotación de claves de API.
• Integraciones: verificación de firma de los datos entrantes de Meta, Salla y Zid, y un secreto de firma independiente para cada nuevo webhook saliente.
• Almacenamiento privado: los documentos, los adjuntos de correo electrónico, las grabaciones de llamadas, las copias de seguridad y los espacios de trabajo archivados se guardan en buckets de almacenamiento privados con el acceso público bloqueado.
• Multimedia de las conversaciones: se guarda en un almacenamiento que no se puede explorar ni listar, y se sirve mediante enlaces largos y aleatorios difíciles de adivinar (excepto las fotos de perfil de los contactos); la migración a enlaces firmados de duración limitada está en curso.
• Copias de seguridad: copias nocturnas de las bases de datos de los espacios de trabajo de pago, en prueba y de cortesía, una rotación de 10 días para los demás espacios de trabajo y una copia diaria de la base de datos central de cuentas; se conservan durante 30 días en almacenamiento privado en los Estados Unidos (us-east1).
• Supresión: todo cliente puede eliminar el espacio de trabajo completo desde el panel, incluidos su multimedia, su copia archivada y los archivos de IA en OpenAI; al eliminar una conversación se borran sus mensajes y su multimedia.
• Minimización de datos: las cargas útiles entrantes de las plataformas se eliminan a los 14 días, los registros del servidor a los 14 días y las grabaciones de llamadas a los 90 días de forma predeterminada.
• Monitoreo: monitoreo externo de disponibilidad y monitoreo interno de memoria, bases de datos, sesiones y colas con alertas en tiempo real, en las que los números de teléfono y las direcciones de correo electrónico están enmascarados.

La lista actual de subencargados, con los datos que tratan, su ubicación y las garantías de transferencia, se publica en nuestra página de subencargados y forma parte de este DPA.

Las Cláusulas Contractuales Tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión se incorporan por referencia:

• Módulo Dos (de responsable a encargado) cuando tú eres responsable del tratamiento, y Módulo Tres (de encargado a encargado) cuando actúas como encargado del tratamiento para un tercero.
• Cláusula 7 (cláusula de incorporación): incluida.
• Cláusula 9(a): Opción 2 (autorización general por escrito), con un preaviso de 30 días.
• Cláusula 11(a): no se aplica la redacción opcional.
• Cláusula 13: la autoridad de control competente se determina conforme a la Cláusula 13(a) según tu situación.
• Cláusula 17: Opción 1, regida por la ley de Irlanda. Cláusula 18: los tribunales de Irlanda.
• Anexo I.A: las partes de la sección 1 (tú como exportador de datos, nosotros como importador de datos). Anexo I.B: el Anexo I de este DPA. Anexo I.C: según se determine conforme a la Cláusula 13. Anexo II: el Anexo II de este DPA. Anexo III: el Anexo III de este DPA.

Para las transferencias regidas por la legislación del Reino Unido, se incorpora por referencia el Addendum de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la UE de la ICO: Tabla 1, las partes indicadas arriba; Tabla 2, las cláusulas seleccionadas arriba; Tabla 3, los Anexos I a III; Tabla 4, cualquiera de las partes puede poner fin al Addendum según lo previsto en su Sección 19.

Para las transferencias internacionales de datos regidas por la LGPD, al aceptar los Términos y Condiciones las partes adoptan las cláusulas contractuales estándar del Anexo II de la Resolución CD/ANPD n.º 19/2024 en su totalidad y sin ninguna modificación. Prevalece el texto oficial en portugués.

• Sección I: tú eres el exportador (controlador) y nosotros somos el importador (operador); la transferencia se describe en el Anexo I.
• Sección III (medidas de seguridad): Anexo II.
• Sección IV: sin cláusulas adicionales.

Ningún otro término de este DPA ni de los Términos y Condiciones puede excluir, modificar ni contradecir estas cláusulas.

Para las transferencias de datos personales fuera del Reino, al aceptar los Términos y Condiciones las partes adoptan las Cláusulas Contractuales Estándar para la Transferencia de Datos Personales emitidas por la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), Modelo 2 (de responsable a encargado), sin modificaciones.

• Partes: tú eres el exportador y nosotros somos el importador.
• Apéndices 1 a 3 del modelo: la sección 1, el Anexo I y el Anexo II de este DPA.
• Estas cláusulas se rigen por las leyes del Reino de Arabia Saudita y sus tribunales tienen jurisdicción, según disponen las cláusulas.
• Te notificamos una violación de seguridad en un plazo de 24 horas, te remitimos las solicitudes de los titulares de los datos en un plazo de 48 horas y cooperamos con la SDAIA en cualquier auditoría.
• Te informamos qué subencargados fuera del Reino se han adherido a estas cláusulas y cuáles no, antes de recurrir a ellos para tus datos.