Acuerdo de encargo del tratamiento

1. Partes y aceptación

Este acuerdo regula el tratamiento de datos personales que EPA SMART SOLUTIONS SL (NIF B22993042, "setterapp", el encargado) realiza por cuenta de cada cliente que usa setterapp (el responsable), conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD). Forma parte de los Términos de Servicio y se acepta al aceptarlos. Si necesitas una copia firmada, escríbenos a info@setterapp.ai.

2. Objeto, naturaleza y duración

• Objeto: recibir, guardar, mostrar y responder (con agentes de IA o desde la bandeja de entrada) los mensajes y comentarios que llegan a las cuentas de Instagram, WhatsApp y TikTok que el cliente conecta, y generar métricas y análisis de esas conversaciones.
• Duración: mientras el cliente use el servicio, más el plazo de borrado de la sección 9.
• Interesados: los leads y clientes del responsable que le escriben, comentan o interactúan con sus cuentas, y los usuarios que el responsable invita a su equipo.
• Datos: nombre de usuario y perfil público, identificadores de la plataforma, número de teléfono (WhatsApp), mensajes, audios, imágenes, comentarios y la información que el interesado comparta en la conversación. El servicio no está pensado para categorías especiales de datos; si el responsable las trata (por ejemplo, datos de salud en una clínica), es responsable de contar con la base legal y de configurar sus agentes en consecuencia.

3. Instrucciones

setterapp trata los datos solo siguiendo las instrucciones documentadas del responsable, que son estos términos y la configuración que hace en la plataforma (agentes, automatizaciones, integraciones), salvo que la ley obligue a otra cosa; en ese caso se lo informará antes, si la ley lo permite. Si una instrucción le parece contraria a la normativa de protección de datos, se lo avisará.

4. Obligaciones del responsable

• Contar con una base legal para tratar los datos de sus leads e informarles del tratamiento, incluido el uso de setterapp como proveedor.
• Cumplir las obligaciones de transparencia sobre inteligencia artificial que le apliquen. En la Unión Europea, el artículo 50 del Reglamento de IA obliga a informar a las personas de que interactúan con una IA: el responsable debe activar en sus agentes la opción de presentarse como asistente de IA cuando su caso esté sujeto a esa norma u otra equivalente.
• Configurar sus agentes y automatizaciones de forma lícita y respetar las políticas de Meta, TikTok y WhatsApp.

5. Confidencialidad y seguridad

Las personas autorizadas a tratar los datos están sujetas a confidencialidad. setterapp aplica las medidas del artículo 32 del RGPD: cifrado en tránsito y en reposo, aislamiento de los datos por equipo, control de acceso con mínimo privilegio, registros de actividad, copias de seguridad y proveedores con certificaciones de seguridad (SOC 2, ISO 27001).

6. Subencargados

El responsable autoriza de forma general a setterapp a recurrir a los siguientes subencargados, a los que impone por contrato obligaciones de protección de datos equivalentes a las de este acuerdo:

• Supabase, Inc.: Base de datos, autenticación y funciones del servidor. Ubicación: Unión Europea (AWS, Irlanda). Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo.
• Vercel, Inc.: Alojamiento y entrega de la aplicación web. Ubicación: Estados Unidos y red global. Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo.
• OVH: Servidores propios (copia de lectura de la base de datos y entornos internos). Ubicación: Reino Unido. Garantía: Decisión de adecuación de la Comisión Europea.
• OpenRouter, Inc.: Enrutado de las peticiones a los modelos de IA, solo hacia proveedores sin retención de datos. Ubicación: Estados Unidos. Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo (módulo 2).
• Proveedores de inferencia a través de OpenRouter (DeepInfra, DigitalOcean, CoreWeave, Crusoe, Together AI, Baseten): Ejecución del modelo de IA que redacta las respuestas, sin guardar ni usar los datos para entrenar. Ubicación: Estados Unidos. Garantía: Cláusulas contractuales tipo a través de OpenRouter; política de retención cero.
• Fireworks AI, Inc.: Modelo de IA de respaldo cuando la vía principal no está disponible. Ubicación: Estados Unidos. Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo (módulo 2); retención cero.
• OpenAI Ireland Ltd.: Transcripción de los audios que envían los leads. Ubicación: Estados Unidos. Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo.
• TypeSafe AI, Inc.: Clasificación de mensajes (intención, calidad del lead). Ubicación: Estados Unidos. Garantía: [acuerdo con cláusulas contractuales tipo pendiente de firma].
• Resend: Envío de correos de la plataforma. Ubicación: Estados Unidos. Garantía: Acuerdo de tratamiento de datos con cláusulas contractuales tipo.

setterapp avisará de cualquier alta o sustitución de subencargados actualizando esta página y por correo a los clientes con al menos 10 días de antelación. El responsable puede oponerse por motivos razonables escribiendo a info@setterapp.ai; si no se encuentra una solución, puede dar de baja el servicio.

7. Transferencias internacionales

Cuando un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), en una decisión de adecuación o, cuando aplica, en el Marco de Privacidad de Datos UE-EE. UU. setterapp no usa proveedores de IA sin acuerdo de tratamiento de datos ni proveedores que guarden o usen los datos para entrenar modelos.

8. Asistencia al responsable y brechas

• setterapp ayuda al responsable a atender los derechos de los interesados (acceso, supresión, oposición, etc.) y le traslada cualquier petición que reciba directamente.
• También le ayuda, con la información de que dispone, en sus evaluaciones de impacto y consultas previas.
• Notifica al responsable cualquier violación de seguridad de los datos sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento, con la información disponible para que pueda cumplir sus obligaciones.

9. Fin del servicio

Cuando el responsable deja el servicio y lo pide, setterapp borra los datos tratados por su cuenta en un máximo de 30 días, o se los devuelve en un formato estructurado si así lo solicita antes del borrado. Solo se conserva lo que la ley obligue a guardar, bloqueado.

10. Auditoría

setterapp pone a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permite auditorías razonables, con preaviso de 30 días, a cargo del responsable y sin acceso a datos de otros clientes.

11. Ley aplicable

Este acuerdo se rige por el RGPD y la ley española. Para lo no previsto aquí, se aplican los Términos de Servicio.