Contrato de encargado del tratamiento

Este contrato se celebra entre la empresa cliente (el «responsable») y Juntos (el «encargado»), y forma parte de los términos de uso. Se acepta al crear la cuenta y dura lo mismo que el servicio.

Su objeto es el tratamiento de los datos personales que el responsable carga o recibe en la plataforma sobre sus propios clientes, contactos y proveedores (nombres, teléfonos, correos, conversaciones, llamadas, citas, facturas y datos comerciales), con la única finalidad de prestarle el servicio contratado.

• El encargado trata los datos solo siguiendo las instrucciones del responsable, que son las que da al configurar y usar la plataforma y las que dé por escrito.
• No usa los datos para fines propios, no los vende ni los cede, y no los combina con los de otras empresas clientes.
• Si una instrucción le parece contraria a la ley, lo avisará al responsable antes de ejecutarla.
• Solo los comunicará a una autoridad cuando una norma o una orden judicial lo exija, e informará al responsable salvo que se lo prohíban.

• Tener una base legítima para tratar los datos que carga, e informar a sus clientes de que usa Juntos para atenderlos.
• Marketing solo con consentimiento previo (opt-in). No enviar mensajes de marketing por WhatsApp, correo, Telegram u otro canal a quien no lo haya aceptado expresamente, nombrando al negocio, como exige también la política de WhatsApp Business. Y respetar las bajas: quien responde BAJA o STOP queda fuera de las campañas.
• Categorías especiales. No cargar datos de salud, de menores de edad ni otros datos sensibles sin el consentimiento expreso de su titular (o de su representante legal) y sin una necesidad real para su negocio.
• Informar a las personas, antes de grabar una llamada o de atenderlas con un asistente de IA, de que así será; la plataforma ya lo anuncia en los canales que gestiona.
• Atender las solicitudes de acceso, rectificación, supresión y oposición de sus clientes.

Las personas del encargado que puedan acceder a los datos están obligadas a guardar secreto, también después de terminar su relación con Juntos. Solo acceden cuando es necesario para prestar el servicio, dar soporte a petición del responsable, garantizar la seguridad o cumplir la ley.

El encargado aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado en tránsito (HTTPS) y en reposo (disco cifrado y credenciales cifradas con AES-256-GCM).
• Separación por empresa impuesta por la base de datos, de modo que una empresa no puede ver los datos de otra.
• Control de acceso por roles y permisos, con los datos personales tapados para quien no tiene permiso de verlos.
• Registro de auditoría de las acciones sensibles y respaldos diarios cifrados.

El responsable autoriza al encargado a recurrir a los subencargados que figuran en la tabla de la política de privacidad, con el alcance y en los países que allí se indican. Algunos están fuera de Honduras, por lo que su uso implica una transferencia internacional de datos.

• El encargado les exige compromisos de confidencialidad y seguridad equivalentes a los de este contrato, y les comunica solo lo necesario.
• Avisará al responsable, por correo o dentro de la plataforma, antes de incorporar o sustituir un subencargado. Si el responsable se opone por un motivo razonable, podrá dejar de usar la función afectada o cancelar el servicio sin penalización.
• Los canales y proveedores que el propio responsable conecta con su cuenta (su página de Facebook, su bot de Telegram, su propia clave de un proveedor de IA) se rigen además por el contrato que él tiene con ese tercero.

Conectar un número por código QR (WhatsApp Web) es una integración no oficial de WhatsApp. El responsable que la elige sabe que WhatsApp puede limitar o bloquear ese número y asume ese riesgo. La sesión se guarda en el servidor del encargado para mantener la conexión, y el responsable puede cerrarla en cualquier momento.

La plataforma permite al responsable consultar, corregir, exportar y borrar los datos de sus clientes. Si una persona se dirige directamente al encargado, este trasladará la solicitud al responsable sin demora y sin responderla por su cuenta, salvo instrucción del responsable. El encargado ayudará en lo razonable cuando la herramienta no alcance.

Si el encargado conoce un incidente que afecte a datos del responsable, se lo notificará sin demora indebida, con lo que se sepa en ese momento: qué ocurrió, qué datos y cuántas personas pueden estar afectadas, qué se ha hecho para contenerlo y a quién dirigirse. Completará la información a medida que la tenga y colaborará para que el responsable pueda avisar a los afectados.

• Al terminar el servicio, el responsable puede exportar sus datos hasta 90 días después de la cancelación.
• Pasado ese plazo, el encargado borra los datos de los sistemas activos; las copias de seguridad se eliminan al completar su ciclo de rotación.
• Se exceptúan los documentos fiscales (facturas, notas y sus registros), que se conservan bloqueados durante los 5 años que exige el Código Tributario y se borran al vencer ese plazo.

El encargado pondrá a disposición del responsable la información razonablemente necesaria para demostrar que cumple este contrato. Si hace falta, el responsable podrá solicitar una revisión, con aviso previo razonable, a su costa, sin afectar a la seguridad ni a los datos de otras empresas clientes y con compromiso de confidencialidad.

Este contrato se rige por la legislación hondureña aplicable y por lo que establecen los términos de uso sobre tribunales. Para cualquier asunto sobre datos personales escríbenos a hola@juntoscrm.cloud.