Contrato de encargo de datos personales

1. Objeto

SignForce tratará los datos personales de los clientes, prospectos y contactos del Negocio únicamente para prestarle el servicio de mindLab: contestar sus mensajes con su asistente, agendar citas, enviar recordatorios, registrar pagos, avisar al equipo y mostrarle sus conversaciones.

2. Titulares y datos

• Titulares: las personas que escriben al Negocio por sus canales conectados y los contactos que el Negocio importe.
• Datos: nombre de perfil, número de teléfono o identificador de la plataforma, mensajes de texto y de voz y su transcripción, imágenes, documentos y ubicaciones que la persona comparta, citas, pagos y comprobantes, notas, etiquetas y resúmenes del equipo o del asistente.
• Datos sensibles: el asistente no los pide. Puede recibirlos solo si la persona decide compartirlos por su cuenta; se tratan como dice la cláusula 9.

3. Instrucciones del Negocio

La configuración que el Negocio hace en mindLab (canales conectados, funciones activas, información que le enseña al asistente, horarios, plazo de conservación y avisos) constituye sus instrucciones documentadas. SignForce tratará los datos solo conforme a ellas, a este contrato y a la ley. Si una instrucción le parece contraria a la ley, se lo dirá al Negocio antes de ejecutarla.

4. Obligaciones de SignForce

Conforme al artículo 50 del Reglamento, SignForce se obliga a:

• Tratar los datos únicamente conforme a las instrucciones del Negocio.
• No usarlos para finalidades distintas: ni publicidad, ni venta, ni entrenamiento de modelos de inteligencia artificial, ni mezclarlos con los de otros negocios.
• Mantener las medidas de seguridad de la cláusula 7.
• Guardar confidencialidad y exigirla a su personal y proveedores, aun después de terminado el contrato.
• Suprimir los datos al terminar el servicio o cuando el Negocio lo indique, salvo que una ley exija conservarlos.
• No transferirlos, salvo que el Negocio lo indique, que derive de una subcontratación autorizada en la cláusula 5 o que lo exija una autoridad competente. En este último caso se lo informará al Negocio, salvo que la ley lo prohíba.

5. Subcontratación

Con este contrato, el Negocio autoriza a SignForce a apoyarse en los siguientes proveedores, que tratan los datos en nombre y por cuenta del Negocio, con obligaciones equivalentes a las de este contrato (artículos 54 y 55 del Reglamento):

• Hostinger International Ltd.: servidores, respaldos cifrados y correo electrónico. Estados Unidos.
• Anthropic, PBC: modelo de inteligencia artificial que genera las respuestas. Estados Unidos.
• OpenAI: transcripción de notas de voz, solo si el Negocio activa esa función. Estados Unidos.
• Servicios de notificaciones de los navegadores (Google, Apple, Mozilla o Microsoft): entregan al equipo del Negocio los avisos que active.

Meta (WhatsApp, Instagram, Messenger) y Telegram no son subencargados de SignForce: son plataformas que el Negocio contrata y conecta directamente. SignForce avisará al Negocio dentro de la plataforma con al menos 15 días naturales de anticipación antes de agregar o cambiar un proveedor; si el Negocio no está de acuerdo, puede cancelar sin penalización.

6. Remisiones internacionales

Los datos se guardan y procesan en Estados Unidos. Las remisiones entre el Negocio, SignForce y los proveedores de la cláusula 5 no requieren el consentimiento de los titulares (artículo 53 del Reglamento), pero el Negocio debe mencionarlas en su aviso de privacidad; el aviso que mindLab le prepara ya lo hace.

7. Medidas de seguridad

• Asistente, contenedor y base de datos propios para cada negocio, sin acceso entre negocios.
• Conexiones cifradas; llaves de los canales cifradas con AES-256; respaldos cifrados.
• Acceso a los servidores restringido al personal autorizado de SignForce, con bitácoras y alertas.
• Acceso del equipo del Negocio por roles (dueño, administrador, agente) que el propio Negocio administra.
• Revisión de estas medidas cuando cambie el tratamiento o el riesgo, y al menos una vez al año para los datos sensibles.

8. Ayuda con los derechos de los titulares

Desde su panel, el Negocio puede consultar, corregir, exportar y eliminar los datos de cada contacto y marcarlo como «no enviar mensajes automáticos». Los titulares también pueden escribir BAJA en el chat. Si un titular le escribe a SignForce para ejercer sus derechos, SignForce le pasará la solicitud al Negocio en un máximo de 5 días hábiles y no la contestará en su nombre, salvo que el Negocio se lo pida.

9. Datos de salud

Para no tratar datos sensibles sin el consentimiento expreso y por escrito que exige el artículo 8 de la Ley, en los giros de salud el asistente no pregunta síntomas, motivos de consulta, medicamentos ni antecedentes: solo agenda. Si un paciente comparte por su cuenta información de salud, el asistente no la copia a notas ni resúmenes y le sugiere tratarla en la consulta. El asistente no da diagnósticos ni recomendaciones médicas. mindLab no es un expediente clínico: le corresponde al Negocio cumplir las normas de su profesión, incluido el secreto profesional y las normas sobre el expediente clínico. Si el Negocio necesita recabar datos de salud antes de la consulta, debe hacerlo por un medio propio que obtenga ese consentimiento.

10. Vulneraciones de seguridad

Si SignForce confirma una vulneración que afecte los datos del Negocio, se lo avisará sin dilación y a más tardar en 72 horas, con la naturaleza del incidente, los datos comprometidos, las acciones correctivas que tomó y lo que recomienda hacer, y lo ayudará a informar a los titulares afectados (artículo 19 de la Ley y artículos 63 a 66 del Reglamento).

11. Conservación y supresión

De fábrica, la plataforma borra las conversaciones, archivos y notas de los contactos que no han escrito en 24 meses (salvo los comprobantes de pagos de menos de 5 años, que se quedan con su pago), y los registros de citas y pagos con más de 5 años, contados desde la fecha de la cita o desde que se registró el pago. El Negocio puede cambiar ese plazo en Ajustes. Al terminar el servicio, SignForce borra todos los datos del Negocio en un máximo de 30 días naturales, después de darle la oportunidad de pedir una copia; los respaldos cifrados se reemplazan solos en los 7 días siguientes.

12. Obligaciones del Negocio

• Poner su aviso de privacidad a disposición de sus clientes antes de que le escriban, por ejemplo con el enlace en la descripción de su perfil de WhatsApp Business, de su página de Facebook y de su cuenta de Instagram. Si no tiene uno propio, puede usar el que mindLab le prepara (en Ajustes → Negocio → Privacidad), revisando que su nombre y domicilio estén completos en Asistente → Ubicación.
• Obtener los consentimientos que exija la Ley y tener una base legal para los contactos e historiales que importe.
• Atender en tiempo las solicitudes de sus clientes y no dar instrucciones contrarias a la ley.

13. Información y responsabilidad

SignForce le dará al Negocio, cuando lo pida, la información razonable para demostrar el cumplimiento de este contrato, en un máximo de 15 días hábiles. Si SignForce usara los datos para una finalidad distinta o los transfiriera contra las instrucciones del Negocio, asumiría las obligaciones de un responsable (artículo 53 del Reglamento). Este contrato dura mientras SignForce conserve datos del Negocio.