Anexo I — Encargo de tratamiento de datos personales
Versión 2026-10-21.1 · Art. 28 del Reglamento (UE) 2016/679 (RGPD) y LOPDGDD. Se acepta junto con el Contrato de servicio marcando la casilla antes de pagar y forma parte de él.
1. Partes
- Responsable del tratamiento: el Cliente que contrata el servicio, identificado en el contrato y en su formulario de alta (el «Responsable»).
- Encargado del tratamiento: WAKANDA MARKETING SL, NIF B55286579, Calle Santiago Ramón y Cajal, nº 32, L4, 17190 Salt (Girona), info@sirioreplai.com (el «Encargado»).
2. Ámbito de aplicación
Este encargo se aplica al tratamiento de datos personales sujeto al RGPD o a la LOPDGDD. Si el Responsable está fuera del Espacio Económico Europeo y trata datos sujetos a otras leyes (por ejemplo, leyes estatales de Estados Unidos), el Encargado los tratará solo según sus instrucciones documentadas y con las mismas garantías técnicas y organizativas, como proveedor de servicios, sin venderlos ni usarlos para fines propios.
3. Objeto, naturaleza y finalidad
El Encargado trata datos personales por cuenta del Responsable únicamente para prestar el Servicio: recibir, almacenar y organizar las conversaciones de WhatsApp que las personas inician con el negocio del Responsable, generar con un asistente automático las respuestas, derivarlas a una persona del Responsable cuando proceda y capturar datos de contacto de personas interesadas (plan Profesional). No se usarán para ninguna otra finalidad propia del Encargado ni se cederán.
4. Datos y personas afectadas
| Personas | Clientes, potenciales clientes y otras personas que escriben al WhatsApp del Responsable. |
| Datos | Número de teléfono, nombre del perfil de WhatsApp, contenido de los mensajes y archivos adjuntos, notas de voz y su transcripción a texto, fecha y hora, y datos de contacto que la persona facilite para ser atendida. |
| Categorías especiales | No se prevé tratarlas. El asistente se configura para no pedirlas ni repetirlas, y se pide a las personas que no las envíen. Si el Responsable es una clínica u otro negocio donde pudieran llegar, lo comunicará por escrito para acordar medidas adicionales. |
5. Duración
La del Contrato. A su terminación se aplica la cláusula 11.
6. Obligaciones del Encargado
a) Tratar los datos solo según las instrucciones documentadas del Responsable (el Contrato y este anexo lo son; cualquier otra irá por escrito). Si considera que una instrucción infringe la normativa, se lo comunicará.
b) Garantizar que las personas autorizadas a tratar los datos se han comprometido a confidencialidad.
c) Aplicar las medidas de seguridad de la cláusula 8.
d) Respetar las condiciones de subencargo de la cláusula 7.
e) Asistir al Responsable en el ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad): si una persona se dirige al Encargado, se lo trasladará en un máximo de 3 días laborables y no responderá por sí mismo salvo instrucción. Asistirá en evaluaciones de impacto y consultas previas cuando proceda.
f) Notificar sin dilación indebida, y como máximo en 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a los datos del Responsable, con la información de que disponga (naturaleza, datos afectados, consecuencias probables, medidas), para que el Responsable pueda notificar a la autoridad de control en 72 horas.
g) Llevar un registro de las actividades de tratamiento efectuadas por cuenta del Responsable.
h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables (con preaviso de 15 días, en horario laboral, con confidencialidad y sin comprometer datos de otros clientes), preferentemente mediante cuestionario o documentación.
i) Mantener los datos de este Responsable aislados de los de otros clientes.
7. Subencargados
7.1. El Responsable da autorización general para recurrir a los subencargados de las categorías siguientes, necesarios para prestar el Servicio:
| Categoría | Función | País / garantías |
|---|---|---|
| Alojamiento e infraestructura de servidores | Alojar los sistemas del Servicio y sus bases de datos | Dentro del EEE o con garantías equivalentes; el país concreto se indica en la lista de subencargados que se entrega a petición. |
| Proveedor de inteligencia artificial (modelo de lenguaje) | Procesar el contenido de los mensajes para generar la respuesta | Estados Unidos. Transferencia con las garantías del Capítulo V del RGPD (cláusulas contractuales tipo y/o marco de privacidad aplicable). |
| Proveedor de gestión de conversaciones (bandeja de atención) | Organizar la atención y el traspaso a personas | Alojado en los servidores del Encargado. |
| Servicio de transcripción de notas de voz | Convertir en texto las notas de voz que lleguen al WhatsApp del Responsable | UE o Estados Unidos, con las garantías del Capítulo V del RGPD cuando proceda. |
| Proveedor de correo electrónico | Notificaciones e informes al Responsable | Se indica en la lista de subencargados que se entrega a petición. |
| Copias de seguridad cifradas | Conservar copias cifradas de las bases de datos | Se indica en la lista de subencargados que se entrega a petición. |
7.2. El canal WhatsApp lo opera Meta Platforms Ireland Limited, con quien el Responsable mantiene su propia relación al aceptar las condiciones de WhatsApp Business; no es subencargado del Encargado.
7.3. El Encargado informará al Responsable por correo de cualquier alta o sustitución de subencargado con 15 días de antelación; el Responsable podrá oponerse por motivos fundados en ese plazo. Si no se resuelve, cualquiera podrá resolver el Contrato sin penalización.
7.4. El Encargado impondrá a cada subencargado obligaciones equivalentes a las de este anexo y responderá ante el Responsable de su cumplimiento. A petición del Responsable, y bajo confidencialidad, facilitará la lista actualizada con nombres.
8. Medidas de seguridad
El Encargado aplica, como mínimo:
- Control de acceso: acceso nominal y con contraseñas robustas; mínimo privilegio; acceso a servidores solo por clave; revocación inmediata de accesos.
- Cifrado: comunicaciones por HTTPS; secretos y tokens de acceso (incluidos los de la cuenta de WhatsApp del Responsable) guardados fuera del código y cifrados; copias de seguridad cifradas.
- Aislamiento: cuenta y bandeja separadas por cliente; el asistente solo accede al historial de la conversación en curso.
- Resiliencia: copia diaria de las bases de datos y adjuntos, con conservación de 30 días, y una copia adicional fuera del servidor.
- Disponibilidad y vigilancia: monitorización continua del servicio y alertas; cortafuegos con solo los puertos necesarios; limitación de peticiones.
- Minimización: al asistente no se le piden datos sensibles; los registros técnicos se conservan un plazo breve.
- Personas: confidencialidad contractual del personal con acceso; el acceso a conversaciones se limita a lo necesario para soporte o incidencias.
- Revisión: evaluación periódica de estas medidas.
9. Transferencias internacionales
Solo las de la cláusula 7 (proveedor de inteligencia artificial y, en su caso, transcripción), con garantías del Capítulo V del RGPD. No habrá otras sin autorización del Responsable.
10. Obligaciones del Responsable
a) Haber informado a las personas conforme a los arts. 13-14 RGPD (el Encargado le facilita un texto) y contar con base legal para el tratamiento.
b) Facilitar instrucciones claras y no enviar categorías especiales sin acuerdo previo.
c) Atender los derechos de las personas y las notificaciones a la autoridad de control que le correspondan.
d) Atender las conversaciones derivadas a una persona.
11. Fin del encargo: devolución y supresión
- Al terminar el Contrato (o antes, si el Responsable lo pide), el Encargado entrega al Responsable una exportación de sus conversaciones en formato legible (CSV/JSON), en un máximo de 15 días desde la solicitud.
- Pasados 30 días desde la terminación, o desde la entrega de la exportación si es posterior, el Encargado suprime los datos de sus sistemas, salvo que una norma exija conservarlos (bloqueo durante los plazos de prescripción de posibles responsabilidades), e informa por escrito.
- Las copias de seguridad que aún contengan datos se sobrescriben en su rotación natural de 30 días adicionales como máximo; hasta entonces no se restauran para otro fin.
- Los registros técnicos del servidor se conservan el plazo breve indicado en la política de privacidad.
- Durante el Contrato, el Responsable decide el plazo de conservación de las conversaciones; si no indica otro, se conservan mientras dure el Contrato.
- Los datos de contacto, facturación y prueba de aceptación del propio Responsable los trata el Encargado como responsable, según su política de privacidad (facturas: plazo mercantil y fiscal).
12. Responsabilidad
Cada parte responde por los incumplimientos de sus obligaciones conforme al art. 82 RGPD y a los límites del Contrato en lo que sea legalmente admisible.
13. Ley aplicable
Ley española; fuero del Contrato.