Acuerdo de Tratamiento de Datos (DPA)
Data Processing Addendum que regula la relación de Encargado y Responsable de Tratamiento entre tu negocio y la Plataforma.
Finalidad de este anexo: Este Acuerdo de Procesamiento de Datos (DPA) complementa los Términos del Servicio y formaliza los compromisos contractuales de Turnichat como Encargado del Tratamiento respecto a los datos personales de tus clientes finales que se procesan al gestionar sus citas a través de la API oficial de WhatsApp Business.
1. Partes y Objeto del Acuerdo
El presente Acuerdo se celebra entre el Negocio suscriptor (en adelante, el «Responsable del Tratamiento» o «el Cliente») y los operadores de Turnichat (en adelante, el «Encargado del Tratamiento»).
El objeto del presente DPA es regular las condiciones con arreglo a las cuales el Encargado tratará por cuenta del Responsable los datos personales de los clientes y usuarios que interactúen a través del número oficial de WhatsApp del Negocio para agendar, consultar, modificar o cancelar citas y turnos de atención.
2. Ámbito, Naturaleza y Tipología de los Datos Tratados
- Naturaleza del Tratamiento: Recepción de mensajes vía webhook de Meta, consulta de disponibilidad en la base de datos del Negocio, registro de turnos y emisión de confirmaciones o recordatorios por WhatsApp.
- Categorías de Interesados: Clientes finales, pacientes o usuarios del Negocio.
- Categorías de Datos Personales: Número telefónico (identificador de WhatsApp), nombre público del perfil, fecha, hora y servicio de la cita solicitada, profesional asignado y comentarios o notas adicionales de la reserva.
- Datos Especiales o Sensibles: Salvo acuerdo expreso y adición de medidas de cifrado específicas, el Responsable se compromete a no solicitar ni almacenar datos sensibles (salud, biométricos, origen étnico u opiniones políticas) mediante las notas abiertas del sistema.
3. Obligaciones del Encargado (Turnichat)
El Encargado se obliga expresamente a:
- Instrucciones Documentadas: Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, las cuales quedan reflejadas en la parametrización de horarios, servicios y reglas de negocio establecidas en el panel.
- Deber de Confidencialidad: Garantizar que todo el personal autorizado para acceder a los sistemas se encuentre sujeto a compromisos contractuales estrictos de confidencialidad y secreto profesional.
- Aislamiento Multi-Tenant: Aplicar medidas técnicas de segregación lógica estricta para garantizar que los datos del Responsable nunca se mezclen ni sean accesibles por otros negocios suscriptores de la plataforma.
- Asistencia al Responsable: Asistir al Responsable, en la medida de lo técnicamente posible, para dar respuesta a solicitudes de ejercicio de derechos ARCO / RGPD formuladas por los titulares de los datos.
- Supresión y Devolución: A la terminación de la suscripción, suprimir o devolver al Responsable todos los datos personales tratados por su cuenta, salvo obligación legal de conservación o bloqueo durante los plazos de prescripción.
4. Medidas Técnicas y Organizativas de Seguridad (TOMs)
Turnichat mantiene y audita permanentemente medidas de seguridad orientadas a garantizar un nivel de seguridad adecuado al riesgo:
- Cifrado en Tránsito: Toda la comunicación externa e interna se encripta mediante TLS 1.3 con certificados SSL.
- Autenticación Criptográfica: Firma HMAC-SHA256 para verificar la autenticidad de cada mensaje de Meta.
- Control de Acceso Basado en Roles (RBAC): Acceso granular dentro del panel (Superadmin, Admin, Empleado).
- Protección de Base de Datos: Bases de datos PostgreSQL alojadas en infraestructura con aislamiento de cómputo y cifrado en reposo AES-256.
- Copias de Seguridad: Respaldo diario automatizado y pruebas periódicas de recuperación de desastres.
5. Subencargados del Tratamiento (Subprocesadores)
El Responsable autoriza de manera general al Encargado a recurrir a los siguientes subencargados necesarios para la prestación del servicio SaaS:
| Subencargado | Servicio Prestado | Ubicación de Cómputo | Mecanismo de Salvaguarda |
|---|---|---|---|
| Meta Platforms, Inc. / Meta Ireland | WhatsApp Business Cloud API (entrega y recepción de mensajes) | EE. UU. / Unión Europea | Cláusulas Contractuales Tipo (SCC) / Meta DPA |
| Vercel Inc. | Alojamiento de servidores web y funciones Serverless | EE. UU. / Global Edge | DPA con Cláusulas Contractuales Tipo (SCC) |
| Neon Inc. | Infraestructura de base de datos PostgreSQL gestionada | EE. UU. / Regiones de alta seguridad | SOC 2 Type II / Cifrado en reposo AES-256 |
El Encargado notificará al Responsable cualquier incorporación o sustitución prevista de subencargados mediante aviso en el panel o por correo electrónico, concediendo un plazo no inferior a diez (10) días naturales para formular objeciones fundadas en materia de protección de datos.
6. Notificación de Incidentes de Seguridad
En caso de que el Encargado tenga conocimiento fehaciente de una violación de seguridad que afecte a los datos personales tratados por cuenta del Responsable (incidente de seguridad o filtración), notificará al Responsable sin dilación indebida y a más tardar dentro de las 48 horas siguientes a su confirmación.
La notificación contendrá como mínimo la descripción del incidente, las categorías de datos afectadas, las medidas inmediatas adoptadas para mitigar el impacto y el contacto del delegado o responsable de seguridad.
7. Auditoría y Verificación
El Encargado pondrá a disposición del Responsable la información técnica y certificaciones necesarias para demostrar el cumplimiento de las obligaciones establecidas en este Acuerdo, colaborando en auditorías documentales razonables acordadas por ambas partes con antelación suficiente.
8. Vigencia y Prevalencia
El presente DPA entrará en vigor en la fecha de alta del Negocio en la plataforma y mantendrá su vigencia durante todo el tiempo que el Encargado conserve o trate datos personales por cuenta del Responsable. En caso de contradicción entre las cláusulas de este Acuerdo y los Términos del Servicio, prevalecerán las disposiciones de este DPA en todo lo relativo al tratamiento de datos personales.