Contrato de encargo del tratamiento

Responsable del tratamiento: el negocio titular de la cuenta de Iris (en adelante, «el Responsable» o «tu negocio»).

Encargado del tratamiento: Francisco Javier Benítez Romero, con domicilio en Avenida Duque de Abrantes, Nº 29, Bajo A, 11407 Jerez de la Frontera (España), que presta el servicio Iris (en adelante, «Iris» o «el Encargado»). Contacto: nuestro email de contacto.

Iris trata los datos únicamente para prestar el servicio contratado: atender por WhatsApp a los clientes del Responsable con un asistente de IA, responder dudas, registrar pedidos, reservar, cambiar y recordar citas, derivar conversaciones al equipo del Responsable y mostrarlo todo en el panel. Las operaciones son: recogida, registro, conservación, consulta, uso para generar respuestas, comunicación a los subencargados indicados y supresión.

Interesados: clientes y posibles clientes del Responsable que le escriben por WhatsApp, y las personas de su equipo que usan el panel.

Tipos de datos: nombre y número de teléfono de WhatsApp; contenido de las conversaciones; citas (fecha, servicio) y pedidos (productos, importes y, si hay envío, dirección); etiquetas y notas que añada el Responsable.

Categorías especiales: Iris no está pensado para recoger datos de salud u otras categorías especiales. Si por la actividad del Responsable (por ejemplo, una clínica) las conversaciones o las citas pudieran revelarlos, el Responsable debe contar con la base jurídica adecuada, configurar el asistente para no pedirlos y avisar a Iris; Iris los tratará con las mismas medidas de seguridad.

Este contrato dura lo mismo que la cuenta del Responsable en Iris. Al terminar, se aplica lo previsto en el apartado 11.

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y la configuración que haga en el panel. Si una instrucción le pareciera contraria al RGPD, Iris avisará al Responsable.
• No usar los datos para fines propios ni comunicarlos a terceros salvo a los subencargados del apartado 7 o por obligación legal.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
• Aplicar las medidas de seguridad del apartado 6.
• Ayudar al Responsable a atender los derechos de los interesados (apartado 8) y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto, teniendo en cuenta la información de que disponga.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato (apartado 10).
• Llevar el registro de actividades de tratamiento que corresponde al encargado (artículo 30.2 RGPD).

• Conexiones cifradas (HTTPS/TLS) entre los navegadores, Iris y los subencargados.
• Separación de los datos de cada negocio: cada consulta se limita a los datos del negocio que la hace.
• Contraseñas guardadas con un algoritmo de derivación seguro (scrypt), nunca en claro; sesiones firmadas.
• Servidores con cortafuegos, acceso de administración restringido y servicios internos no expuestos a Internet.
• Verificación de la firma de los avisos que envían Meta y Stripe.
• Copias de seguridad diarias cifradas, guardadas en un almacenamiento propio en España y conservadas un máximo de 3 meses.
• Registros técnicos para detectar y analizar incidencias.

El Responsable autoriza de forma general a Iris a recurrir a los siguientes subencargados, con los que Iris tiene firmados contratos que imponen obligaciones de protección de datos equivalentes a las de este contrato:

• OVHcloud

  Alojamiento de los servidores y de la base de datos de Iris.

  Dónde: Unión Europea

• Meta Platforms Ireland Ltd. (WhatsApp)

  Envío y recepción de los mensajes de WhatsApp a través de la WhatsApp Business Platform.

  Dónde: Unión Europea; puede transferir datos a EE. UU. (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo)

• Anthropic, PBC

  Generación de las respuestas del asistente con IA a partir de la conversación y de la configuración del negocio. No usa estos datos para entrenar sus modelos.

  Dónde: EE. UU. (cláusulas contractuales tipo de la Comisión Europea)

Si Iris quiere añadir o sustituir un subencargado, lo avisará con al menos 15 días de antelación por email o en el panel. Si el Responsable se opone por motivos razonables de protección de datos y no se encuentra una alternativa, podrá dar de baja su cuenta sin penalización.

Si un interesado ejerce ante Iris sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos del Responsable, Iris se lo trasladará al Responsable en un plazo máximo de 5 días hábiles. Desde el panel el Responsable puede consultar los contactos y sus conversaciones, corregir el nombre de un contacto y borrarlo junto con sus conversaciones; para exportar los datos de un interesado, puede pedírselo a Iris, que lo hará en un plazo máximo de 5 días hábiles.

Iris notificará al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento, con la información disponible sobre su naturaleza, los datos e interesados afectados, las consecuencias probables y las medidas tomadas o propuestas. Corresponde al Responsable, en su caso, notificarla a la autoridad de control y a los interesados.

A petición del Responsable, Iris facilitará la información que razonablemente necesite para comprobar el cumplimiento de este contrato. Las auditorías o inspecciones se acordarán con al menos 30 días de antelación, como máximo una vez al año salvo que haya una brecha de seguridad, serán a cargo del Responsable y respetarán la confidencialidad de los datos de otros clientes de Iris.

Cuando el Responsable dé de baja su cuenta, durante los 30 días siguientes podrá pedir una copia de sus datos en un formato de uso común. Pasado ese plazo, Iris suprimirá los datos de sus sistemas; las copias de seguridad se borran solas al caducar, como máximo a los 3 meses. Iris solo conservará, bloqueados, los datos que una ley le obligue a guardar.

• Tener una base jurídica válida para tratar los datos de sus clientes y para hacerlo por WhatsApp con un asistente de IA.
• Informar a sus clientes de este tratamiento (por ejemplo, en su política de privacidad o en el primer mensaje).
• Configurar Iris de forma acorde con el RGPD y con las políticas de WhatsApp, y supervisar el tratamiento.

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. Si Iris tratara los datos para fines propios o incumpliendo estas instrucciones, será considerada responsable de ese tratamiento. Este contrato se rige por la legislación española.