Acuerdo de encargo del tratamiento

1. Partes y funciones

El cliente que utiliza Bugalou es el responsable del tratamiento. GNL-Commerce, que opera bajo el nombre Bugalou, es el encargado del tratamiento. El encargado del tratamiento trata datos personales únicamente por cuenta del cliente y de conformidad con este Acuerdo.

Cuando Bugalou trata datos personales para sus propios fines, como los datos de la cuenta del cliente, la facturación y la seguridad de la plataforma, Bugalou es a su vez responsable del tratamiento. Ese tratamiento se describe en la política de privacidad, no en este Acuerdo.

2. Objeto, naturaleza y finalidad

Bugalou ofrece una plataforma para la comunicación con clientes. En ese marco, el encargado del tratamiento trata datos personales con las siguientes finalidades:

• recibir, almacenar, mostrar y enviar mensajes a través de los canales que el cliente conecta (como WhatsApp, Instagram, Messenger, correo electrónico, chat web, SMS y telefonía)
• gestionar contactos, conversaciones, tickets, notas y archivos adjuntos
• ejecutar automatizaciones, funciones de IA e integraciones que el cliente activa
• proporcionar informes y estadísticas al cliente

3. Categorías de interesados y de datos personales

Interesados: los propios clientes y contactos del cliente, los visitantes del sitio web del cliente que utilizan el chat y los usuarios (empleados) del cliente.

• datos de contacto, como nombre, número de teléfono, dirección de correo electrónico y nombres de perfil en redes sociales
• el contenido de mensajes, correos electrónicos, llamadas y archivos adjuntos, y sus metadatos (hora, canal, estado)
• datos de pedidos y de clientes que el cliente obtiene mediante integraciones, por ejemplo de sistemas de tienda online o ERP
• datos técnicos de los visitantes del sitio web que utilizan el chat, como la dirección IP e información del navegador
• cualquier otro dato personal que el cliente o sus contactos compartan a través de la plataforma

El cliente no utiliza la plataforma para categorías especiales de datos personales (artículo 9 del RGPD), salvo que sea necesario y lícito, y sigue siendo responsable de ello.

4. Duración

Este Acuerdo se aplica mientras el encargado del tratamiento trate datos personales para el cliente, es decir, mientras el cliente tenga una cuenta de Bugalou. Cuando finaliza una suscripción de pago, la cuenta pasa al plan gratuito y sigue activa. La cláusula 11 regula la supresión.

5. Instrucciones

El encargado del tratamiento trata los datos personales únicamente siguiendo instrucciones documentadas del cliente. Las condiciones del servicio, este Acuerdo y los ajustes que el cliente elige en la plataforma constituyen conjuntamente esas instrucciones.

El encargado del tratamiento informa al cliente si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos. El encargado del tratamiento solo puede tratar datos personales sin instrucción cuando el Derecho de la Unión o el Derecho neerlandés lo exijan, y en ese caso informa previamente al cliente, salvo que ese Derecho lo prohíba.

6. Confidencialidad

Toda persona que trabaje para el encargado del tratamiento y tenga acceso a datos personales está sujeta a un deber de confidencialidad. El equipo de soporte de Bugalou solo accede a la cuenta de un cliente con el permiso del cliente, o cuando sea necesario por motivos de seguridad o para cumplir la ley.

7. Seguridad

El encargado del tratamiento adopta medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 del RGPD. Las medidas actuales figuran en el anexo. El encargado del tratamiento puede modificar estas medidas siempre que el nivel de protección no disminuya.

8. Subencargados

El cliente otorga una autorización general para contratar subencargados. La lista actual, con la finalidad y la ubicación de cada subencargado, figura en la página de subencargados. El encargado del tratamiento impone a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo y sigue siendo responsable de su cumplimiento.

El encargado del tratamiento informa al cliente de un nuevo subencargado previsto, o de uno que sustituya a otro, con al menos 14 días de antelación, por correo electrónico o en la plataforma. El cliente puede oponerse por motivos razonables dentro de ese plazo. Si las partes no logran resolver la objeción, el cliente puede cancelar la suscripción con efecto a partir del cambio.

9. Transferencias fuera del EEE

Algunos subencargados tratan datos personales fuera del Espacio Económico Europeo, por ejemplo en los Estados Unidos. El encargado del tratamiento garantiza que dicha transferencia cumpla el capítulo V del RGPD, por ejemplo mediante el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) o las cláusulas contractuales tipo de la Comisión Europea.

10. Asistencia al cliente

• Solicitudes de los interesados: en la plataforma, el cliente puede consultar, exportar, rectificar y suprimir datos personales. Si un interesado se dirige directamente al encargado del tratamiento, este remite la solicitud al cliente sin dilación indebida.
• Violaciones de la seguridad de los datos personales: el encargado del tratamiento informa al cliente sin dilación indebida, y cuando sea posible en un plazo de 48 horas, tras tener conocimiento de una violación que afecte a datos personales del cliente, con la información que el cliente necesita para cumplir sus obligaciones conforme a los artículos 33 y 34 del RGPD.
• El encargado del tratamiento asiste al cliente, cuando sea razonable, en una evaluación de impacto relativa a la protección de datos y en la consulta previa a la autoridad de control.

11. Devolución y supresión

El cliente puede en cualquier momento exportar sus datos, eliminar conversaciones y establecer plazos de conservación por sí mismo. Cuando el cliente solicita cerrar su cuenta, el encargado del tratamiento suprime los datos personales del cliente en un plazo de 30 días, salvo que el Derecho de la Unión o el Derecho neerlandés exijan su conservación. Las copias en las copias de seguridad del proveedor de la base de datos desaparecen cuando esas copias de seguridad caducan.

12. Información y auditorías

El encargado del tratamiento facilita al cliente, previa solicitud, la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Si esa información no es suficiente, el cliente puede encargar una auditoría a un experto independiente sujeto a confidencialidad, como máximo una vez al año, con un preaviso de al menos 30 días, en horario laboral y a cargo del cliente. Bugalou no cuenta con certificaciones externas ni informes de auditoría.

13. Responsabilidad y vigencia

Las disposiciones sobre responsabilidad de las condiciones del servicio se aplican a este Acuerdo. Si este Acuerdo y las condiciones del servicio entran en conflicto en cuanto al tratamiento de datos personales, prevalece este Acuerdo. Este Acuerdo se rige por el Derecho neerlandés, y las controversias se someten al tribunal indicado en las condiciones del servicio.