Última actualización: 29 de abril de 2026
Versión: 1.0
Este Acuerdo regula el tratamiento de datos personales que el Cliente (Responsable del Tratamiento) encarga a RespondeYA (Encargado del Tratamiento) en el marco del Servicio contratado.
Es de obligatorio cumplimiento según el Art. 28 RGPD para servicios B2B donde el proveedor procesa datos personales en nombre del cliente.
Este documento se considera automáticamente aceptado al contratar el Servicio y es parte indivisible de los Términos y Condiciones.
La persona física o jurídica que ha contratado el Servicio RespondeYA, identificada con los datos facilitados durante la contratación.
El Cliente encarga a RespondeYA el tratamiento de datos personales necesarios para la prestación del Servicio, conforme a los términos del contrato principal y este DPA.
| Aspecto | Descripción |
|---|---|
| **Naturaleza** | Tratamiento automatizado de datos personales mediante plataforma SaaS de chat IA |
| **Finalidad** | Prestación del Servicio contratado: procesar conversaciones, capturar leads, almacenarlos |
| **Duración** | Mientras dure la relación contractual + plazos legales aplicables |
Los datos personales tratados se refieren a las siguientes categorías de personas:
Los datos tratados pueden incluir:
| Categoría | Ejemplos |
|---|---|
| Identificativos básicos | Nombre, apellidos (si el Visitante los facilita) |
| Contacto | Email, teléfono (si el Visitante los facilita) |
| Conversación | Texto de los mensajes intercambiados, idioma, sesión |
| Técnicos | Dirección IP, tipo de navegador, fecha/hora |
| Comerciales | Productos/servicios consultados, intención de compra |
⚠️ NO se tratarán datos especiales (Art. 9 RGPD: salud, ideología, religión, origen racial, orientación sexual, datos biométricos) salvo autorización expresa por escrito del Responsable, quien deberá garantizar que dispone de base legal adecuada (Art. 9.2 RGPD).
⚠️ NO se tratarán datos de menores de 14 años. El Cliente garantiza que su Servicio no se dirige a menores y, si detecta que un menor ha interactuado, procederá a su eliminación inmediata.
RespondeYA se compromete a:
Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable y conforme al contrato principal y este DPA. Cualquier instrucción adicional debe constar por escrito.
Si recibe una instrucción que considere infringe el RGPD, lo notificará inmediatamente al Responsable.
Garantizar que las personas autorizadas para tratar los datos:
Aplicar las medidas técnicas y organizativas apropiadas previstas en el Art. 32 RGPD, incluyendo:
El Cliente autoriza expresamente al Encargado a subcontratar el tratamiento con los siguientes subencargados:
| Subencargado | Servicio | Localización | Garantías |
|---|---|---|---|
| **OpenAI Ireland Ltd.** | Modelos de IA generativa | UE + EEUU | DPA + CCT UE |
| **Stripe Payments Europe Ltd.** | Procesamiento pagos | UE + EEUU | DPA + CCT UE |
| **Supabase Inc.** | Base de datos PostgreSQL | EEUU (servidores en eu-west-1) | DPA + CCT UE |
| **Resend** | Envío de emails transaccionales | EEUU | DPA + CCT UE |
| **Render Inc.** | Hosting backend | EEUU (servidores en Frankfurt) | DPA + CCT UE |
| **Vercel Inc.** | Hosting frontend portal | EEUU + CDN global | DPA + CCT UE |
| **Cloudflare Inc.** | CDN y WAF | EEUU + UE | DPA + CCT UE |
| **Make.com (Celonis SE)** | Automatizaciones internas | República Checa (UE) | DPA UE |
| **Base44** | Apps administrativas internas | EEUU | DPA + CCT UE |
| **Nominalia (Dada SpA)** | Email empresarial | Italia (UE) | DPA UE |
Si RespondeYA prevé añadir un nuevo subencargado, lo notificará al Cliente con 15 días de antelación por email. Durante ese plazo, el Cliente puede oponerse motivadamente. Si lo hace, RespondeYA buscará alternativa o, en su defecto, ambas partes podrán resolver el contrato.
RespondeYA asistirá al Cliente, en la medida de lo posible, mediante medidas técnicas y organizativas apropiadas:
RespondeYA comunicará al Cliente cualquier brecha de seguridad de la que tenga conocimiento sin dilación indebida y, en cualquier caso, antes de las 72 horas, incluyendo:
Tras la finalización del contrato:
El Cliente puede solicitar certificado de destrucción mediante email a privacidad@respondeya.es.
RespondeYA pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del Art. 28 RGPD, incluyendo:
El Cliente, como Responsable del Tratamiento, declara y se compromete a:
Disponer de base legal válida para el tratamiento de datos de los Visitantes (consentimiento explícito, interés legítimo demostrable, ejecución contractual, etc.).
Cumplir con las obligaciones de información del Art. 13 RGPD frente a sus Visitantes:
Atender en plazo los derechos de los Visitantes (acceso, rectificación, supresión, etc.) conforme al RGPD. RespondeYA proporcionará herramientas técnicas para facilitar esta atención.
NO cargar en el Agente ni recoger mediante él datos especiales (Art. 9 RGPD) salvo autorización expresa de este Encargado y disponiendo de base legal específica.
Configurar adecuadamente el Agente para que NO recoja datos personales innecesarios y respete el principio de minimización de datos.
Indemnizar a RespondeYA frente a sanciones, reclamaciones o pérdidas derivadas del incumplimiento por el Cliente de sus obligaciones como Responsable.
Algunas transferencias se realizan a EEUU. Las garantías son:
El Cliente acepta estas transferencias como necesarias para la prestación del Servicio.
Conforme al contrato principal, la responsabilidad de RespondeYA está limitada en los términos previstos en los Términos y Condiciones (cantidad facturada en los 12 meses anteriores).
Si una autoridad de control (AEPD, APDCAT, etc.) impone sanción a alguna parte:
Este DPA está vigente mientras dure el contrato principal y permanece aplicable a los datos que se conserven tras la finalización (durante los plazos legales de retención).
RespondeYA puede modificar este DPA para:
Las modificaciones sustanciales se notificarán por email con 30 días de antelación.
Este DPA se rige por:
Conforme a los Términos y Condiciones del contrato principal: Juzgados y Tribunales de Vilafranca del Penedès (Barcelona) o, subsidiariamente, los de Barcelona capital.
| Solicitud | Plazo de respuesta | |
|---|---|---|
| Ejercicio de derechos del Visitante | privacidad@respondeya.es | 30 días naturales |
| Notificación de brecha | privacidad@respondeya.es | 72 horas |
| Solicitud de información sobre subencargados | privacidad@respondeya.es | 15 días hábiles |
| Solicitud de auditoría | privacidad@respondeya.es | A convenir |
| Modificación contractual | legal@respondeya.es | 15 días hábiles |
Documento generado el 29 de abril de 2026 — versión 1.0