Acuerdo de encargo del tratamiento (DPA)

Este Acuerdo de encargo del tratamiento (el «Acuerdo») forma parte de las Condiciones del servicio y regula el tratamiento de datos personales que WANDA LABS S.L. («Nod» o el «Encargado») realiza por cuenta del Cliente (el «Responsable») al prestar la Plataforma, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). El Cliente lo acepta al aceptar las Condiciones del servicio.

1. Objeto

El Encargado trata los datos personales incluidos en los Datos del Cliente únicamente para prestar al Responsable los servicios de la Plataforma descritos en las Condiciones del servicio y en https://thenodai.com/features, siguiendo las instrucciones documentadas del Responsable.

2. Duración

Este Acuerdo estará vigente mientras el Encargado trate datos personales por cuenta del Responsable, y como mínimo durante la vigencia de las Condiciones del servicio.

3. Naturaleza y finalidad del tratamiento

Recogida, registro, organización, estructuración, conservación, consulta, utilización, comunicación por transmisión, cotejo, limitación, supresión y destrucción de datos, a través de la Plataforma, con la finalidad de permitir al Responsable gestionar su captación, ventas, cobros, formación, atención y operación, y conectar los servicios de terceros que el Responsable decida.

4. Tipos de datos personales

Según el uso que el Responsable haga de la Plataforma:

• Datos identificativos y de contacto: nombre, correo electrónico, teléfono, imagen.
• Datos comerciales: origen, etiquetas, notas, etapas, respuestas a formularios y su puntuación.
• Datos económicos y de transacciones: ventas, planes de pago, suscripciones y recibos, sin datos completos de tarjetas.
• Datos de formación y actividad: matrículas, progreso, tickets y adjuntos.
• Datos de llamadas: fechas, invitados, enlaces, resúmenes y tareas.
• Datos de aceptación de contratos: nombre, número de documento de identidad y fecha, y el documento aceptado.
• Datos de comunicaciones: correos enviados y bajas.
• Datos importados de servicios de terceros conectados por el Responsable.
• Parámetros de origen de campaña: utm_source, utm_medium, utm_campaign y utm_content; identificadores de clic fbclid y fbc cuando existan; asociación al contacto y primer origen conservado.
• Eventos de conversión de formulario, reserva, compra, suscripción y alta de cliente; identificadores personales con hash SHA-256 y, en compras, importe y moneda.
• Texto de mensajes de Instagram autorizados, instrucciones del negocio, clasificaciones, etiquetas automáticas, decisiones del filtro de spam y resúmenes de conversaciones.
• Texto a locutar, voz configurada y audio generado; grabación y modelo de voz cuando se utilice clonación autorizada.
• Cualquier otro dato que el Responsable introduzca en campos personalizados, notas o ficheros.

El Responsable no debe introducir en la Plataforma categorías especiales de datos del artículo 9 del RGPD, como datos de salud, ni datos relativos a condenas penales, salvo que sea estrictamente necesario, cuente con base jurídica suficiente y haya valorado su adecuación.

5. Categorías de interesados

Leads, clientes, alumnos y contactos del Responsable; miembros de su equipo; y personas que interactúan con sus landings, formularios, portal o proceso de bienvenida.

6. Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, incluidas las que resultan de la configuración y el uso que el Responsable hace de la Plataforma, salvo que esté obligado a otro tratamiento por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará al Responsable antes de tratarlos, salvo que la ley lo prohíba.
• Informar al Responsable si considera que una instrucción infringe la normativa de protección de datos.
• No utilizar los datos para fines propios, no venderlos, no usarlos para publicidad propia ni para entrenar modelos de inteligencia artificial. La transmisión por cuenta del Responsable mediante Conversions API se limita a sus instrucciones y a las condiciones de la sección 7 bis.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Aplicar las medidas técnicas y organizativas del Anexo II.
• Respetar las condiciones de la sección 7 para recurrir a subencargados.
• Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para responder a las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige directamente al Encargado, este trasladará la solicitud al Responsable sin dilación y no la responderá por su cuenta, salvo instrucción del Responsable.
• Ayudar al Responsable a garantizar el cumplimiento de las obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
• Notificar al Responsable, sin dilación indebida y en cualquier caso en un plazo máximo de 48 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos personales que le afecten, con la información disponible sobre su naturaleza, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir y contribuir a las auditorías, incluidas las inspecciones, que realice el Responsable o un auditor autorizado por él, con un preaviso razonable de al menos 30 días, en horario laborable, sin afectar a la seguridad ni a los datos de otros clientes, y asumiendo el Responsable sus costes.
• Al terminar la prestación, y a elección del Responsable, devolverle los datos personales y suprimir las copias existentes, conforme a la sección 9, salvo que la ley exija conservarlos.
• Llevar, cuando proceda, el registro de actividades de tratamiento realizadas por cuenta del Responsable.

7. Subencargados

• El Responsable otorga una autorización general para que el Encargado recurra a los subencargados que figuran en https://thenodai.com/subprocessors.
• El Encargado informará al Responsable, con al menos 15 días de antelación, de cualquier incorporación o sustitución de subencargados, por correo electrónico o actualizando esa página con aviso. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si no se alcanza una solución, el Responsable podrá terminar el contrato, con reembolso de la parte proporcional no disfrutada.
• El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos de este Acuerdo, y seguirá siendo responsable ante el Responsable del cumplimiento del subencargado.
• Los servicios de terceros que el Responsable conecta por decisión propia a través de las Integraciones (por ejemplo, Google, Meta, Calendly, Cal.com, Fathom, Commas, Stripe o Resend de la cuenta del Responsable, o Slack) no son subencargados del Encargado: el Responsable mantiene con ellos su propia relación contractual y el Encargado se limita a transmitir o recibir datos siguiendo sus instrucciones.

7 bis. Destinatario de la conexión opcional Conversions API

Meta Platforms Ireland Ltd. recibe los datos enviados mediante Conversions API solo si el Cliente activa la conexión. Nod realiza el envío como encargado siguiendo esa instrucción. Meta actúa como responsable conforme a sus Condiciones de las herramientas empresariales, incluida la corresponsabilidad con el Cliente para las operaciones a las que se aplique su Anexo para responsables y como responsable independiente para su tratamiento posterior. Su inclusión en la página de proveedores identifica un destinatario de esta integración, no un subencargado autorizado por la sección 7.

El Cliente garantiza que dispone de una base jurídica válida y que ha informado a sus contactos, en su propia política de privacidad, del envío de datos a Meta mediante Conversions API antes de activar la conexión. Obtendrá y conservará los consentimientos cuando sean exigibles y respetará su retirada y los derechos de los interesados. Activar la conexión constituye una instrucción a Nod para transmitir los datos descritos en el apartado 8 de la Política de privacidad; el Cliente puede desactivarla desde Meta Ads.

8. Transferencias internacionales

El Encargado no transferirá datos personales fuera del Espacio Económico Europeo salvo que exista una decisión de adecuación, cláusulas contractuales tipo aprobadas por la Comisión Europea u otra garantía adecuada del capítulo V del RGPD, junto con medidas complementarias cuando proceda. La información sobre ubicación y garantías de cada subencargado figura en https://thenodai.com/subprocessors.

9. Devolución y supresión de los datos

• Durante la vigencia del contrato y hasta 30 días después de su terminación, el Responsable puede solicitar una copia de sus datos en un formato estructurado de uso común.
• Transcurrido el periodo de conservación del Espacio congelado indicado en las Condiciones del servicio, o antes si el Responsable lo solicita por escrito, el Encargado suprimirá los datos personales en un plazo máximo de 30 días, incluidas las copias, salvo las que deba conservar por obligación legal, que mantendrá bloqueadas. Las copias de seguridad se sobrescriben en un plazo máximo de 30 días adicionales.
• A solicitud del Responsable, el Encargado certificará por escrito la supresión.

10. Obligaciones del Responsable

El Responsable se obliga a:

• Garantizar que dispone de una base jurídica válida para el tratamiento de los datos que introduce o importa.
• Cumplir el deber de información a los interesados, en particular a sus leads, alumnos y clientes.
• Obtener los consentimientos necesarios, incluidos los exigidos por la LSSI-CE para enviar comunicaciones comerciales electrónicas.
• Configurar la Plataforma, sus Usuarios, permisos e Integraciones de forma adecuada a sus obligaciones.
• Realizar, cuando proceda, la evaluación de impacto y consultar a la autoridad de control.
• Supervisar el tratamiento y el cumplimiento del RGPD por parte del Encargado.

11. Responsabilidad

Cada parte responderá de los daños derivados del incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. En lo no previsto, se aplican las limitaciones de responsabilidad de las Condiciones del servicio, salvo que la ley disponga otra cosa.

12. Prelación

En caso de contradicción en materia de protección de datos entre este Acuerdo y las Condiciones del servicio, prevalecerá este Acuerdo.

Anexo I — Detalle del tratamiento

Anexo II — Medidas técnicas y organizativas de seguridad

• Aislamiento de datos: separación lógica del Espacio de cada Cliente; filtrado por Cliente en todas las consultas y políticas de seguridad a nivel de fila en la base de datos.
• Cifrado en tránsito: HTTPS/TLS en todas las comunicaciones.
• Cifrado de secretos: credenciales de integraciones y claves de terceros cifradas con AES-256-GCM, nunca mostradas de nuevo.
• Autenticación: proveedor de autenticación especializado; contraseñas nunca almacenadas en claro; enlaces de acceso de un solo uso para establecer contraseña.
• Control de acceso: roles y permisos por área dentro de cada Espacio; comprobación de permisos en cada pantalla y acción; retirada inmediata del acceso; protección que impide a un usuario elevar su propio rol.
• Ficheros: almacenamiento privado para documentos sensibles, servidos solo mediante enlaces firmados temporales.
• Integridad de notificaciones externas: verificación de firma de los avisos recibidos de servicios de pago y grabación.
• Mínimo privilegio: solicitud de los permisos estrictamente necesarios a servicios de terceros; consulta de campañas de Meta Ads de solo lectura y envío de eventos mediante Conversions API solo si el Responsable lo activa.
• Registro y supervisión: registro de los trabajos automáticos y de sus errores.
• Continuidad: copias de seguridad gestionadas por el proveedor de base de datos; respaldo del código fuente en un repositorio espejo.
• Proveedores: selección de proveedores con garantías de seguridad y contratos de encargo.
• Personal: acceso a datos limitado a quien lo necesita para prestar o mantener el servicio, bajo deber de confidencialidad.
• Gestión de incidentes: procedimiento de respuesta y notificación de brechas conforme a los artículos 33 y 34 del RGPD.
• Revisión: revisión periódica de las medidas en función del riesgo y de la evolución de la Plataforma.

Anexo III — Subencargados

Consulta la lista de subencargados.

Métricas sociales, imágenes y sincronización CRM

El encargo comprende la obtención, organización, almacenamiento, consulta y supresión de publicaciones, portadas, textos, métricas de cuentas profesionales y datos agregados de audiencia, así como la generación de respuestas del asistente sobre resúmenes de estadísticas solicitados por usuarios autorizados y la sincronización CRM configurada por el Responsable.

Los interesados incluyen los usuarios del negocio, sus contactos y las personas identificables en publicaciones, imágenes y conversaciones. Las imágenes de Instagram se utilizan exclusivamente para visualizar el contenido asociado a las métricas y no se envían a IA. La sincronización opcional con GoHighLevel incluye los datos y límites descritos en la Política de privacidad; la configuración de los sentidos de sincronización constituye una instrucción del Responsable.

El Responsable debe disponer de base jurídica e informar a los interesados. Los proveedores, ubicaciones y medidas se recogen en la lista de subencargados y en la Política de privacidad. Los datos permanecen separados por negocio y las imágenes privadas se sirven mediante enlaces firmados de una hora. Se mantienen las obligaciones de confidencialidad, asistencia en derechos y transferencias internacionales de este acuerdo.

Los plazos distinguen los datos importados, las imágenes, los historiales, las consultas a proveedores de IA y las copias de seguridad conforme a la Política de privacidad y las instrucciones de eliminación. Las obligaciones legales y las restricciones de cada plataforma de origen siguen siendo aplicables; este acuerdo no las amplía ni las sustituye. Las solicitudes de supresión deben contemplar también los datos reproducidos en historiales y transmitidos a destinatarios.

Alcance del tratamiento conversacional

El negocio determina la configuración y las acciones que autoriza. El setter utiliza el historial autorizado, la información del contacto, los conocimientos pertinentes del negocio y el contexto de agenda para responder, cualificar leads, gestionar objeciones y ejecutar seguimientos y acciones de agendamiento autorizados. El negocio determina las finalidades e instrucciones del tratamiento de sus contactos; Nod actúa como encargado. La gestión propia de cuentas y facturación de Nod mantiene su tratamiento separado como responsable.

Se mantienen las obligaciones existentes de confidencialidad, asistencia en derechos, transferencias, supresión y preaviso de subencargados.