Encargo de tratamiento de datos

Objeto y duración

Tratamos los datos personales que el cliente guarda o recibe en la plataforma solo para prestar el servicio y mientras dure. Al terminar se aplica el apartado «Fin del encargo».

Tipos de datos e interesados

Interesados: leads, contactos, clientes y alumnos del cliente; personas que le escriben por WhatsApp, Instagram, correo o chat web o rellenan sus formularios y páginas; el equipo del cliente que usa la cuenta.

Datos: identificativos y de contacto (nombre, teléfono, email, usuario de Instagram); mensajes, notas de voz, archivos y conversaciones; datos comerciales (etapa, llamadas, ventas, pagos registrados, notas del equipo); consentimientos; datos técnicos de uso (accesos, IP, dispositivo). El cliente no debe guardar categorías especiales de datos (de salud, por ejemplo) si no tiene base legal y no las necesita.

Instrucciones del cliente

Tratamos los datos solo según las instrucciones documentadas del cliente: estas condiciones y la configuración de su cuenta (flujos, campañas, asistentes de IA, integraciones). Si una instrucción nos parece contraria al RGPD, se lo diremos.

Confidencialidad

Las personas de nuestro equipo con acceso están obligadas a guardar confidencialidad. Solo entran en una cuenta para dar soporte y cuando el cliente lo pide; cada acceso de soporte queda registrado en la cuenta.

Medidas de seguridad

Aislamiento por empresa: cada cuenta tiene su propio esquema en la base de datos y ninguna consulta cruza datos entre empresas.

Claves y secretos de las integraciones cifrados con AES-256-GCM; contraseñas protegidas con bcrypt.

Verificación en dos pasos (2FA), que la empresa puede exigir; límites de intentos en los accesos y en los formularios públicos; aviso de acceso desde dispositivos nuevos.

Registro de auditoría de quién hace qué y cuándo.

Copias de seguridad diarias cifradas con AES-256-GCM.

Datos alojados en la Unión Europea (Irlanda); conexiones cifradas (HTTPS); base de datos cerrada a la API pública del proveedor.

Subencargados

El cliente autoriza de forma general el uso de los subencargados de la lista (https://hageo.app/legal/subencargados), a los que imponemos las mismas obligaciones de protección de datos. Avisamos de cualquier cambio en la lista con 30 días de antelación; el cliente puede oponerse con motivos y, si no hay acuerdo, darse de baja.

Supabase Inc.: Base de datos de cada cuenta (Unión Europea (Irlanda)).

Netlify Inc.: Alojamiento de la aplicación, tareas programadas, archivos y copias de seguridad cifradas (Unión Europea (Irlanda); la red de entrega sirve las páginas desde el punto más cercano a quien las visita).

Resend Inc.: Envío de correos de la cuenta (accesos, avisos y correos a contactos) (Unión Europea (Irlanda)).

Anthropic PBC: Inteligencia artificial: asistentes, setter IA, sugerencias y resúmenes (Estados Unidos), solo si la función se usa.

ElevenLabs Inc.: Voz: clonación de voz y notas de voz generadas (Estados Unidos), solo si la función se usa.

Deepgram Inc.: Transcripción de notas de voz (Estados Unidos), solo si la función se usa.

Meta Platforms Ireland Ltd.: WhatsApp Business (API oficial) e Instagram: enviar y recibir mensajes (Unión Europea y Estados Unidos), solo si la función se usa.

Google LLC: Calendario y correo de Google, cuando el cliente los conecta (Unión Europea y Estados Unidos), solo si la función se usa.

Las herramientas que el cliente conecta con su propia cuenta (por ejemplo Stripe, Hotmart, Calendly o su propio correo) son proveedores del cliente, no subencargados nuestros.

Transferencias internacionales

Los datos se alojan en la Unión Europea. Hageo es una empresa de Estados Unidos: el acceso desde allí para soporte y mantenimiento, y el tratamiento por los proveedores que pueden tratar datos fuera de la UE (Anthropic PBC, ElevenLabs Inc., Deepgram Inc., Meta Platforms Ireland Ltd., Google LLC), se hacen con las garantías del capítulo V del RGPD: la decisión de adecuación UE-EE. UU. cuando el proveedor está adherido, o las cláusulas contractuales tipo de la Comisión Europea.

Asistencia con los derechos

Ayudamos al cliente a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad): la plataforma permite buscar, exportar, corregir y borrar los datos de un contacto. Si un interesado nos escribe a nosotros, pasamos la petición al cliente sin responderla. También colaboramos en las evaluaciones de impacto cuando hagan falta.

Violaciones de seguridad

Si sufrimos una violación de seguridad que afecte a los datos del cliente, se la comunicamos sin dilación indebida, con la información disponible para que pueda avisar a la autoridad en 72 horas cuando corresponda, y tomamos medidas para limitar sus efectos.

Auditorías

Ponemos a disposición del cliente la información necesaria para demostrar que cumplimos este encargo y permitimos auditorías razonables, con aviso previo y sin acceso a datos de otros clientes.

Fin del encargo

Al terminar el servicio, el cliente puede pedir la exportación completa durante 30 días. Después borramos los datos en un máximo de 30 días más; las copias de seguridad se borran solas al cumplir su plazo. Solo conservamos lo que la ley nos obligue a conservar.