Legal

Anexo de tratamiento de datos

Esta traducción se ofrece por comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés. Lee la versión en inglés

Última actualización: 21 de octubre de 2026

Este Anexo de tratamiento de datos (“DPA”) forma parte de las Condiciones de servicio entre CIPHRA SOFTWARE INC. (“Ciphra”, “nosotros”), que opera ReceptionWorks, y el negocio que utiliza ReceptionWorks (“usted”). Se aplica cuando tratamos datos personales en su nombre y al tratamiento le son aplicables el GDPR, el UK GDPR, la Ley Federal suiza de Protección de Datos u otra ley de protección de datos (“normativa de protección de datos”). Usted acepta este DPA al aceptar las Condiciones; no se requiere firma. Si este DPA y las Condiciones entran en conflicto en cuanto al tratamiento de datos personales, prevalece este DPA.

1. Definiciones

• Datos personales de clientes: datos personales que usted, su equipo o sus clientes envían a ReceptionWorks y que tratamos en su nombre, como conversaciones y registros de clientes.
• Subencargado del tratamiento: tercero que contratamos para tratar datos personales de clientes.
• Violación de la seguridad de los datos personales: violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita, o la comunicación o acceso no autorizados, a datos personales de clientes.
• Responsable del tratamiento, encargado del tratamiento, interesado y tratamiento tienen los significados que les atribuye la normativa de protección de datos.

2. Funciones e instrucciones

• Usted es el responsable del tratamiento de los datos personales de clientes, o un encargado del tratamiento que actúa para otro responsable. Nosotros somos su encargado del tratamiento.
• Tratamos los datos personales de clientes únicamente siguiendo sus instrucciones documentadas. Sus instrucciones son las Condiciones, este DPA, los ajustes que elija y las acciones que realice en ReceptionWorks, como configurar empleados de IA, conectar canales y eliminar datos, así como cualquier otra instrucción escrita que acordemos. Si la ley nos exige tratar los datos personales de clientes de otra forma, se lo comunicaremos antes, salvo que la ley lo prohíba.
• Le avisaremos si consideramos que una instrucción infringe la normativa de protección de datos.
• Usted es responsable de contar con una base jurídica para el tratamiento, de facilitar a sus clientes los avisos que exige la ley, incluido informarles de que hablan con una IA cuando sea obligatorio, y de la licitud de los datos que proporcione.

3. Detalles del tratamiento

• Objeto y duración: prestación de ReceptionWorks mientras lo utilice, y el plazo de eliminación indicado en la sección 9.
• Naturaleza y finalidad: alojamiento y almacenamiento de datos; recepción y entrega de mensajes en los canales que conecte; generación de respuestas, resúmenes y traducciones de IA; gestión de reservas, solicitudes y registros de clientes; notificación a su equipo; prestación de soporte; y protección del servicio.
• Interesados: sus clientes y otras personas que se pongan en contacto con usted a través de ReceptionWorks, los miembros de su equipo y las personas mencionadas en el contenido que añada.
• Categorías de datos personales: nombres; datos de contacto, como direcciones de correo electrónico, números de teléfono y nombres de usuario e identificadores de mensajería; contenido de los mensajes y archivos adjuntos; detalles de reservas y solicitudes; notas y resúmenes sobre clientes redactados por IA; datos técnicos, como identificadores de canal y horas de los mensajes; y cualquier otra información que usted o sus clientes decidan compartir.
• Categorías especiales: ReceptionWorks no está diseñado para recopilar categorías especiales de datos personales, como datos de salud. Usted decide si sus clientes pueden compartir esos datos con usted a través de ReceptionWorks y es responsable de contar con una base jurídica para ello.

4. Confidencialidad

Las personas que autorizamos a tratar datos personales de clientes están sujetas a obligaciones de confidencialidad y solo acceden a ellos en la medida necesaria para prestar el servicio.

5. Seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• cifrado de los datos en tránsito entre usuarios, canales, nuestros servicios y nuestros proveedores;
• cifrado de los tokens de acceso a canales almacenados;
• entornos de producción y desarrollo separados que no comparten bases de datos, almacenamiento ni credenciales;
• acceso a nuestras herramientas de administración solo a través de Cloudflare Access, para el personal que lo necesite;
• acceso a los datos de cada negocio limitado a los miembros de su equipo, según sus funciones;
• copias de seguridad periódicas de la base de datos en almacenamiento privado separado de los servidores de la base de datos, con puntos de control protegidos frente a modificación o eliminación mediante Object Lock.

Podemos actualizar estas medidas siempre que no se reduzca el nivel general de protección.

6. Subencargados del tratamiento

• Usted nos concede una autorización general para contratar subencargados del tratamiento. La lista vigente figura en nuestra página de Subencargados del tratamiento.
• Exigimos a cada subencargado del tratamiento que proteja los datos personales de clientes al menos tanto como exige este DPA para el servicio que presta, y seguimos siendo responsables ante usted de su trabajo.
• Enviamos un correo electrónico al propietario de su negocio al menos 30 días antes de que un nuevo subencargado del tratamiento empiece a tratar datos personales de clientes. Puede oponerse por motivos razonables de protección de datos dentro de ese plazo, escribiéndonos. Analizaremos sus preocupaciones de buena fe. Si no podemos resolverlas, puede dejar de utilizar el servicio afectado, y le reembolsaremos las tarifas prepagadas correspondientes al periodo posterior a su baja.
• Si debemos sustituir urgentemente a un subencargado del tratamiento para mantener el servicio seguro o en funcionamiento, se lo comunicaremos lo antes posible tras el cambio, y podrá oponerse de la misma forma.

7. Ayuda con las solicitudes y el cumplimiento

• ReceptionWorks le permite ver, corregir y eliminar los datos de un cliente en el registro de ese cliente. Si necesita más ayuda para responder a una solicitud de un interesado, le asistiremos teniendo en cuenta la naturaleza del tratamiento.
• Si un interesado nos contacta directamente sobre datos personales de clientes, trasladaremos la solicitud a usted o le pediremos que se ponga en contacto con usted, y no la responderemos nosotros salvo que usted nos lo pida o la ley lo exija.
• Le facilitaremos información y ayuda razonables para las evaluaciones de impacto relativas a la protección de datos y las consultas con autoridades de control que afecten al servicio.

8. Violaciones de la seguridad de los datos personales

Le notificaremos sin demora indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales de clientes. Describiremos su naturaleza, sus consecuencias probables y las medidas adoptadas o propuestas, en la medida en que esta información esté disponible, y le mantendremos informado a medida que tengamos más datos. Adoptaremos medidas razonables para contener la violación y limitar sus consecuencias.

9. Eliminación y devolución

• Cuando un negocio se elimina de una cuenta, sus datos personales de clientes se conservan durante 90 días para que podamos restaurarlos a petición del propietario, y después se eliminan de forma permanente.
• Cuando se cierre su cuenta, eliminaremos los datos personales de clientes en un plazo de 30 días, salvo los datos que la ley nos obligue a conservar. Antes de cerrar la cuenta, puede pedirnos en contact@ciphra.ca una copia de los datos personales de clientes en un formato de uso común.
• Los datos eliminados pueden permanecer en las copias de seguridad hasta que caduquen según su calendario de rotación. Mantenemos las copias protegidas y solo las utilizamos para restaurar el servicio.

10. Auditorías

Pondremos a su disposición la información razonablemente necesaria para demostrar que cumplimos nuestras obligaciones en virtud de este DPA, como las respuestas a cuestionarios de seguridad. Si esta información no es suficiente, o si una autoridad de control lo exige, usted o un auditor independiente sujeto a confidencialidad podrán auditar nuestro cumplimiento con un preaviso de al menos 30 días, a su cargo, durante el horario laboral y no más de una vez al año, salvo que una violación de la seguridad de los datos personales o una autoridad de control haga necesaria otra auditoría.

11. Transferencias internacionales

• Tenemos sede en Canadá y nuestra base de datos está alojada en Canadá. La Comisión Europea, el Reino Unido y Suiza reconocen que Canadá ofrece una protección adecuada a las organizaciones sujetas a su ley federal de privacidad del sector privado, como es nuestro caso, por lo que las transferencias de datos personales de clientes de usted a nosotros no requieren garantías adicionales.
• Cuando un subencargado del tratamiento trate datos personales de clientes en un país sin dicho reconocimiento, nos basamos en un mecanismo de transferencia permitido por la normativa de protección de datos, como la certificación del subencargado en el EU–U.S. Data Privacy Framework y sus extensiones británica y suiza, o las cláusulas contractuales tipo adoptadas por la Comisión Europea con los añadidos del Reino Unido y Suiza.
• Si deja de aplicarse el reconocimiento de Canadá, las cláusulas contractuales tipo (módulo dos, de responsable a encargado) se aplicarán entre usted, como exportador de datos, y nosotros, como importador de datos, completadas con la información de este DPA, junto con los añadidos del Reino Unido y Suiza para las transferencias desde esos países.

12. Leyes estatales de privacidad de Estados Unidos

Cuando sean aplicables las leyes estatales de privacidad de Estados Unidos, como la California Consumer Privacy Act, actuamos como su proveedor de servicios o encargado del tratamiento. No vendemos ni compartimos datos personales de clientes, y no los conservamos, utilizamos ni comunicamos para ninguna finalidad distinta de prestarle ReceptionWorks, ni fuera de nuestra relación comercial directa con usted, salvo en los casos que permitan dichas leyes.

13. Duración y responsabilidad

Este DPA se aplica mientras tratemos datos personales de clientes en su nombre. La responsabilidad de cada parte en virtud del mismo está sujeta a la limitación de responsabilidad de las Condiciones, en la medida que lo permita la normativa de protección de datos.

14. Modificaciones de este DPA

Podemos actualizar este DPA de la misma forma que las Condiciones. No reduciremos la protección que ofrece a los datos personales de clientes salvo que la ley lo exija.

Contacto

CIPHRA SOFTWARE INC., Columbia Británica, Canadá. Correo electrónico: contact@ciphra.ca.