DPA - Contrato de Encargado de Tratamiento

CONTRATO DE ENCARGADO DEL TRATAMIENTO (DPA)

El presente Contrato de Encargado del Tratamiento (en adelante, el "DPA") forma parte integrante de los Términos y Condiciones de Servicio de NeoStaff y se celebra en estricto cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), entre:

MENDOZA PARADA RONNY, empresario individual (autónomo), actuando bajo la marca comercial NeoStaff (en adelante, el "Encargado").
El Cliente que contrata los servicios SaaS mediante la aceptación de los presentes términos (en adelante, el "Responsable" o "Cliente").

Este DPA regula taxativamente el tratamiento de datos personales que NeoStaff realiza por cuenta y orden del Cliente.

1. Objeto del Tratamiento

NeoStaff tratará datos personales por cuenta del Cliente con la única y exclusiva finalidad de prestar los servicios SaaS contratados, lo cual incluye:

Automatización de comunicaciones y atención al cliente.
Procesamiento de lenguaje natural mediante Inteligencia Artificial.
Integración técnica con servicios y APIs de terceros (ej. mensajería corporativa, calendarios, CRM).

2. Naturaleza y Categorías de Datos

NeoStaff procesará los datos de forma automatizada, sin realizar monitorización proactiva de su contenido.

Datos tratados: Números de teléfono, identificadores de usuario (ID), metadatos de conexión y el contenido íntegro de las conversaciones (texto, audio o archivos) introducidos en el chat.
Categorías de interesados: Usuarios finales, clientes, empleados o contactos comerciales del Cliente.

3. Obligaciones del Cliente (Responsable del Tratamiento)

El Cliente ostenta la condición de Responsable y asume la carga legal frente a sus usuarios finales. El Cliente declara, garantiza y se compromete a:

Base Legal y Consentimiento: Disponer de una base legal válida (ej. consentimiento expreso tipo opt-in) para procesar los datos de sus usuarios y contactarlos a través de canales automatizados (como WhatsApp).
Transparencia IA: Informar a sus usuarios finales, de forma clara, visible y previa, que están interactuando con un sistema de Inteligencia Artificial automatizado y no con un agente humano.
Uso Lícito: No utilizar la plataforma de NeoStaff para el tratamiento de categorías especiales de datos (salud, ideología, datos biométricos) sin implementar las garantías adicionales requeridas por el RGPD, ni para actividades ilícitas o envío de spam.

4. Obligaciones de NeoStaff (Encargado del Tratamiento)

NeoStaff se compromete de manera vinculante a:

Tratamiento por Instrucciones: Tratar los datos personales única y exclusivamente conforme a las instrucciones documentadas del Cliente, las cuales se materializan mediante el uso y la configuración que el Cliente realice en el panel de control de la plataforma SaaS.
Deber de Secreto: Garantizar que todo el personal autorizado para el tratamiento de datos esté sujeto a estrictas obligaciones contractuales de confidencialidad.
Prohibición de Uso Propio: No destinar los datos de los usuarios finales a finalidades propias, campañas de marketing de NeoStaff, ni cederlos a terceros no autorizados.
Política "Zero-Training" (IA): NeoStaff NO utilizará los datos personales, prompts ni el historial de conversaciones del Cliente para entrenar, reentrenar o afinar modelos fundacionales de Inteligencia Artificial de carácter público o de terceros.
Medidas de Seguridad: Aplicar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad proporcional al riesgo.
Asistencia Operativa: Asistir al Cliente, mediante la provisión de herramientas técnicas razonables, para que este pueda responder a las solicitudes de ejercicio de derechos ARCO+ (acceso, rectificación, supresión, etc.) de sus usuarios finales.

5. Subencargados del Tratamiento

Dada la naturaleza de la infraestructura SaaS, el Cliente autoriza expresamente de forma general la contratación de los siguientes subencargados necesarios para la prestación del servicio:

Meta Platforms, Inc. / Meta Platforms Ireland Limited: Provisión de conectividad técnica mediante WhatsApp Business Cloud API.
Google LLC / Google Ireland Limited: Modelos de inteligencia artificial (Gemini API), sincronización de agendas (Google Calendar API) y servicios de Google Workspace.
OpenAI, LLC / Anthropic PBC: Procesamiento de lenguaje natural mediante API empresarial, sujeto a acuerdos estrictos de no entrenamiento con datos de clientes (Zero-Training).
Supabase, Inc.: Base de datos relacional PostgreSQL gestionada en la nube, autenticación cifrada y almacenamiento seguro con políticas de aislamiento de datos (RLS).
Vercel Inc. / Hostinger International Ltd.: Infraestructura de despliegue frontend, alojamiento web seguro y ejecución de funciones en el borde (Edge/Serverless).

NeoStaff publicará cualquier cambio en la lista de subencargados y garantizará que todos ellos suscriban contratos con obligaciones de protección de datos equivalentes a las de este DPA.

6. Transferencias Internacionales

En los supuestos donde los subencargados procesen datos fuera del Espacio Económico Europeo (EEE), NeoStaff garantizará la legalidad de dichas transferencias apoyándose en:

Decisiones de Adecuación de la Comisión Europea (ej. Adhesión del subencargado al Data Privacy Framework UE-EE.UU.).
La formalización de Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, junto con la aplicación de medidas técnicas complementarias (como el cifrado en tránsito).

7. Seguridad y Notificación de Brechas

NeoStaff aplicará protocolos de seguridad de la industria, incluyendo cifrado de datos en tránsito (TLS/SSL) y control de accesos basado en roles.

En el supuesto de que NeoStaff sufra una violación de la seguridad de los datos que afecte a la información del Cliente, lo notificará a este sin dilación indebida y, en cualquier caso, en un plazo máximo de 48 horas tras tener constancia confirmada del incidente, facilitando la información necesaria para que el Cliente pueda cumplir con sus obligaciones ante la AEPD.

8. Responsabilidad e Indemnidad (Cláusula de Protección)

Cada parte responderá íntegramente de las sanciones o daños derivados del incumplimiento de sus respectivas obligaciones conforme al RGPD.

Exención: NeoStaff no asumirá responsabilidad alguna por el tratamiento ilícito realizado por el Cliente, la falta de obtención de consentimientos, o las infracciones de las políticas comerciales de Meta (WhatsApp).
Indemnidad: El Cliente se compromete a mantener indemne a NeoStaff y asumir el coste de cualquier sanción administrativa, reclamación de terceros o costes legales que NeoStaff sufra como consecuencia directa del uso negligente o ilícito de la plataforma y de los datos por parte del Cliente.

9. Finalización y Retención de Datos

Al término de la prestación del servicio SaaS (por cancelación, cierre de cuenta o impago), NeoStaff procederá a la eliminación segura o anonimización irreversible de todos los datos personales y conversaciones del Cliente en un plazo máximo de 30 días, salvo que una obligación legal (ej. requerimientos fiscales o judiciales) exija su conservación bloqueada.

Nota: Las copias de seguridad (backups) del sistema podrán retener fragmentos cifrados de estos datos hasta que el ciclo de sobrescritura automática los elimine definitivamente, manteniéndose fuera del alcance operativo.

10. Prevalencia

En caso de conflicto, contradicción o discrepancia entre el presente DPA y los Términos y Condiciones Generales o cualquier otro acuerdo comercial entre las partes, prevalecerá en todo momento lo dispuesto en este DPA en todo lo relativo a la protección de datos personales.

Anexo: DPA