Anexo de tratamiento de datos (DPA)

1. Partes y aceptación

El Cliente acepta este DPA en la aplicación al crear una cuenta de negocio o de agencia. La aplicación guarda la versión aceptada, la fecha y la persona usuaria que la aceptó en nombre del Cliente. Quien acepta declara tener facultades para obligar al Cliente.

Cuando publiquemos una nueva versión mayor de este DPA (por ejemplo, de 1.x a 2.0), la aplicación pedirá que se acepte de nuevo antes de seguir usando las funciones que tratan datos por cuenta del Cliente. Las versiones menores (correcciones y aclaraciones que no reducen la protección) se publican en el registro de versiones sin nueva aceptación.

Datos de contacto de SalesMarketing para este DPA: {RAZON_SOCIAL}, {DIRECCION}, identificación fiscal {NIF_O_EIN}, correo {CORREO_LEGAL}.

2. Definiciones

• Datos del Cliente: los datos personales que el Cliente, sus usuarios o sus integraciones introducen en la plataforma o que la plataforma recoge por instrucción del Cliente, sobre personas que no son usuarias de SalesMarketing.
• Responsable: quien decide para qué y cómo se tratan los datos. Equivale a «controller», «business» (CCPA), «controlador» (LGPD) o «responsable» (normas latinoamericanas).
• Encargado: quien trata datos por cuenta del responsable. Equivale a «processor», «service provider» (CCPA), «operador» (LGPD) o «encargado» (normas latinoamericanas).
• Subencargado: un tercero al que SalesMarketing encarga parte del tratamiento de los Datos del Cliente.
• Brecha: una violación de la seguridad que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizados a Datos del Cliente.
• Normativa aplicable: las leyes de protección de datos que se apliquen al tratamiento, entre ellas las de Estados Unidos (federales y estatales), Brasil, México, Colombia, Argentina, Chile y los demás países de América Latina donde opere el Cliente.

3. Papeles de cada parte

• Para los Datos del Cliente, el Cliente es el responsable y SalesMarketing es encargado. El Cliente decide a quién contacta, qué importa, qué conecta y qué automatiza.
• Para los datos de nuestros propios usuarios (dueños de negocio, miembros de equipo y agencias: cuenta, acceso, cobro y uso del panel), SalesMarketing es responsable. Ese tratamiento lo rige la Política de privacidad, no este DPA.
• Agencias. Cuando una agencia gestiona negocios de sus clientes, la agencia actúa como responsable o como encargada de su propio cliente según su contrato con él, y SalesMarketing es encargado o subencargado de la agencia. La agencia se obliga a trasladar a su cliente obligaciones equivalentes a las de este DPA.
• Mercados. La plataforma se ofrece únicamente a empresas y profesionales establecidos en Estados Unidos y en América Latina, excepto Perú. No se ofrece a quienes estén establecidos en la Unión Europea, el Espacio Económico Europeo, el Reino Unido o Perú, ni se dirige a personas de esos territorios. Los anexos de la sección 15 existen solo para el caso de que, pese a ello, un Cliente trate datos de residentes de esas zonas.

4. Objeto, duración, naturaleza y finalidad

• Objeto: prestar el servicio descrito en los Términos: campañas y anuncios, creativos, publicación orgánica, CRM omnicanal, correo, WhatsApp, telefonía con agentes de voz, reuniones grabadas, SEO, radar de mercado, automatizaciones e informes.
• Duración: mientras el Cliente tenga cuenta, más los plazos de supresión de la sección 13.
• Naturaleza: alojamiento, organización, consulta, análisis, envío, grabación, transcripción, generación de contenido con inteligencia artificial y supresión.
• Finalidad: únicamente prestar el servicio al Cliente, mantenerlo seguro y cumplir la ley. SalesMarketing no usa los Datos del Cliente para fines propios, no los vende ni los comparte para publicidad conductual, y no los usa para entrenar modelos.

5. Instrucciones documentadas

SalesMarketing trata los Datos del Cliente solo según las instrucciones documentadas del Cliente. Son instrucciones: estos Términos y este DPA, la configuración de la cuenta, las conexiones, flujos, automatizaciones y agentes que el Cliente crea o activa, y las acciones que sus usuarios aprueban en la aplicación.

Los agentes de IA que actúan solos y los flujos automáticos funcionan porque el Cliente los creó o activó; esa activación es una instrucción del Cliente. Si SalesMarketing considera que una instrucción infringe la Normativa aplicable, lo informará al Cliente y podrá no ejecutarla. Si la ley obliga a SalesMarketing a tratar datos de otro modo, lo informará antes salvo que la ley lo prohíba.

6. Obligaciones del Cliente

• Tener una base legal válida para cada tratamiento y cada contacto, y haber dado a las personas los avisos de privacidad que exige su ley.
• Obtener y conservar los consentimientos que exija cada canal y cada zona (llamadas con voz artificial, WhatsApp, correo comercial, grabación, voz e imagen de personas), y no introducir datos que no tenga derecho a tratar.
• Respetar las bajas, oposiciones y listas de exclusión, y atender las solicitudes de las personas en los plazos de su ley.
• No usar la plataforma para decisiones con efectos jurídicos o significativos sobre las personas (crédito, empleo, vivienda, seguros, salud o educación) ni para dirigirse a menores.

7. Categorías de interesados y de datos

Datos sensibles. La voz clonada y el avatar o gemelo digital pueden ser datos biométricos. Solo se crean con el consentimiento de la persona titular, se conservan hasta que se revoca o tras 3 años sin uso, y se purgan también en el proveedor. El Cliente no debe introducir otros datos sensibles (salud, origen, religión, orientación, datos de menores) salvo que su ley lo permita y tenga la base exigida.

8. Confidencialidad del personal

Solo acceden a los Datos del Cliente las personas de SalesMarketing que lo necesitan para prestar el servicio, obligadas a confidencialidad. El soporte solo puede entrar en una cuenta con el permiso previo de un administrador del Cliente, en modo de solo lectura por defecto, durante un máximo de 2 horas; cada petición queda registrada y la pantalla muestra una franja de aviso mientras dura.

9. Medidas de seguridad

SalesMarketing aplica estas medidas técnicas y organizativas, que forman el Anexo II a efectos de la sección 15:

• Aislamiento por cuenta: cada petición autenticada se limita a la cuenta de la credencial, y la base de datos aplica además una segunda barrera de seguridad por fila (RLS) en modo de aplicación, de forma que una cuenta no puede leer filas de otra aunque falle la primera barrera. Lo que está fuera del alcance de una cuenta responde como inexistente.
• Cifrado de secretos: los tokens de las integraciones, las claves propias de proveedores y los secretos de dos pasos se guardan cifrados con cifrado simétrico autenticado (Fernet); nunca se escriben en registros.
• Contraseñas: se guardan con hash bcrypt; nunca en claro.
• Dos pasos: verificación TOTP con códigos de recuperación guardados con hash, y política por cuenta (nadie, administradores o todos).
• Roles: propietario, administrador, editor, lector y cliente de agencia, con permisos distintos; solo el propietario puede borrar la cuenta.
• Límites de intentos en inicio de sesión, alta y recuperación de contraseña.
• Transporte: HTTPS con HSTS, y cabeceras de seguridad (no rastreo de tipos, prohibición de incrustar la aplicación en marcos y política de seguridad de contenido).
• Registros: eventos de inicio de sesión con IP y navegador, purgados a los 90 días; registro de actividad de los cambios, visible para propietario y administradores.
• Errores: la herramienta de errores se configura sin datos personales por defecto y con un filtro que elimina datos sensibles antes de enviar.
• Grabaciones: el audio se guarda en un almacén privado separado, solo se escucha a través del servidor con sesión válida (la pantalla nunca recibe la dirección ni la clave del almacén) y la copia del proveedor de telefonía se borra tras guardarla.
• Retención: audio de llamadas y reuniones 12 meses; transcripciones y conversaciones mientras viva la ficha del contacto (borrada la ficha, se vacían a los 30 días); biometría hasta que se revoque o tras 3 años sin uso; eventos de inicio de sesión 90 días; datos de prospección 30 o 90 días según su estado. La cuenta puede acortar estos plazos, nunca alargarlos.
• Copias de seguridad: las gestiona el proveedor de infraestructura según su servicio. SalesMarketing no declara certificaciones de seguridad propias.

SalesMarketing puede actualizar estas medidas siempre que no reduzca el nivel de protección.

10. Subencargados

• El Cliente da una autorización general para que SalesMarketing use los subencargados de la lista de subencargados.
• SalesMarketing avisará de cualquier subencargado nuevo o sustituido con al menos 30 días de antelación, en esa página y por correo a quien se haya suscrito escribiendo a {CORREO_LEGAL}.
• El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no se encuentra una solución, el Cliente puede dar de baja la función afectada o terminar el contrato sin penalización por la parte no usada.
• Cada subencargado queda obligado por contrato a deberes de protección equivalentes a los de este DPA. SalesMarketing responde ante el Cliente de lo que hagan sus subencargados.
• Las integraciones que conecta el propio Cliente (plataformas de anuncios, tiendas, CRMs externos, correo y calendario del Cliente, entre otras) no son subencargados nuestros: son proveedores del Cliente bajo su propio contrato, y SalesMarketing envía o lee datos en ellas por instrucción del Cliente.

11. Derechos de los interesados, evaluaciones y consultas

• La plataforma incluye una herramienta de derechos en el CRM para anotar solicitudes, exportar lo que hay de una persona y anonimizarla sin tocar importes ni facturas. Calcula los plazos legales de Brasil (15 días), Colombia (10 días hábiles para consultas y 15 para reclamos) y México (20 días más 15 para hacerlo efectivo); para otras zonas el Cliente aplica el plazo de su ley.
• La supresión borra también el audio y los adjuntos del almacén y pide a las plataformas de anuncios que retiren a la persona de las audiencias; lo que una plataforma no permite borrar queda anotado.
• Si una persona se dirige a SalesMarketing por datos que tratamos por cuenta de un Cliente, se la remitirá al Cliente o se le trasladará la solicitud sin responderla por nuestra cuenta, salvo que la ley lo exija.
• SalesMarketing ayudará de forma razonable al Cliente con evaluaciones de impacto y consultas a autoridades relacionadas con el servicio, con la información que tenga disponible.

12. Brechas de seguridad

SalesMarketing avisará al Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener constancia de una brecha que afecte a sus datos. El aviso incluirá, en la medida en que se conozca: qué ocurrió y cuándo, qué categorías y número aproximado de personas y registros afecta, consecuencias probables, medidas tomadas o propuestas y un contacto. Lo que no se sepa al principio se enviará por fases.

El aviso de SalesMarketing no supone reconocer culpa. Como responsable, el Cliente decide si notifica a autoridades y personas. Como orientación, sin que sustituya la lectura de la ley vigente:

13. Supresión o devolución al terminar

• Antes de terminar, el Cliente puede exportar sus datos desde la aplicación; la baja de un negocio de agencia genera además un archivo de exportación que se guarda 30 días.
• Al cerrar la cuenta, los Datos del Cliente se borran de la plataforma. Lo que vive en terceros (voces, muestras, asistentes de voz, números de teléfono) se purga con reintentos automáticos, y cada borrado se da por hecho solo cuando el tercero lo confirma.
• SalesMarketing puede conservar lo que la ley le obligue a conservar (por ejemplo, facturas) y lo que permanezca en copias de seguridad hasta que estas se renueven, siempre protegido y sin usarlo.

14. Auditorías

SalesMarketing pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA y responderá a un cuestionario de seguridad razonable una vez al año. Si eso no basta, o si lo pide una autoridad, el Cliente puede hacer una auditoría, a su cargo, con un preaviso de al menos 30 días, en horario laboral, una vez al año como máximo, con un auditor obligado a confidencialidad y sin acceso a datos de otros clientes.

15. Transferencias internacionales y anexos por zona

Los Datos del Cliente se alojan y tratan en Estados Unidos y pueden tratarlos los subencargados en los países indicados en la lista. El Cliente lo autoriza. Los anexos siguientes se aplican solo cuando la ley de la zona correspondiente rige el tratamiento.

Anexo UE/EEE: cláusulas contractuales tipo

SalesMarketing no se dirige a la UE/EEE. Solo por si un Cliente trata datos de residentes de la UE/EEE y la transferencia a SalesMarketing queda sujeta al RGPD, las partes incorporan por referencia las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, con estas elecciones:

• Módulo 2 (responsable a encargado) cuando el Cliente es responsable, y Módulo 3 (encargado a encargado) cuando el Cliente es encargado de un tercero, como una agencia.
• Cláusula 7 (cláusula de incorporación): se incluye.
• Cláusula 9: opción 2, autorización general, con un preaviso de 30 días según la sección 10.
• Cláusula 11: sin la opción de un órgano independiente de resolución.
• Cláusula 13: la autoridad de control del Estado miembro donde esté establecido el exportador o, si no lo está, la de su representante.
• Cláusulas 17 y 18: ley de Irlanda y tribunales de Irlanda.
• Anexo I: el Cliente es exportador y SalesMarketing importador (sección 1); la descripción del tratamiento está en las secciones 4, 5 y 7, y la duración en las secciones 4 y 13.
• Anexo II: las medidas de la sección 9.
• Anexo III: la lista de subencargados.

Si las cláusulas tipo y este DPA se contradicen, prevalecen las cláusulas tipo. Como el servicio no se ofrece en el Reino Unido, no se incorpora el addendum británico.

Anexo Brasil: cláusulas estándar de la ANPD

Para las transferencias internacionales de datos desde Brasil sujetas a la LGPD, las partes incorporan por referencia las cláusulas contractuales estándar del Anexo II de la Resolución CD/ANPD nº 19/2024, sin modificar su texto. El Cliente es exportador y controlador; SalesMarketing es importador y operador. La información que las cláusulas piden completar (partes, finalidad, categorías de datos y de titulares, duración, medidas y subencargados) es la de las secciones 1, 4, 7, 9 y 10 y la lista de subencargados. A efectos de la cláusula de transparencia, SalesMarketing pondrá estas cláusulas a disposición de los titulares que lo soliciten a través del Cliente. En lo que regulen, las cláusulas de la ANPD prevalecen sobre este DPA.

Anexo Estados Unidos

• Para la CCPA/CPRA (Cal. Civ. Code §1798.140(ag) y 11 CCR §7051), SalesMarketing actúa como service provider y se obliga a: no vender ni compartir los Datos del Cliente; no retenerlos, usarlos ni comunicarlos fuera de la relación directa con el Cliente ni para fines distintos de los de este DPA; no combinarlos con datos de otras fuentes salvo lo que permita la ley; cumplir la CCPA y darles el mismo nivel de protección; y avisar al Cliente si ya no puede cumplir.
• El Cliente puede tomar medidas razonables para detener y corregir un uso no autorizado, y SalesMarketing colaborará en ello.
• SalesMarketing certifica que entiende y cumplirá estas restricciones.
• En las leyes estatales que usan la figura de «processor» (entre otras, Virginia, Colorado, Connecticut, Texas, Utah y Oregón), este DPA hace las veces del contrato exigido.

Anexo América Latina

• Colombia: este DPA es el contrato de transmisión del artículo 25 del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.5.2 del Decreto 1074 de 2015). SalesMarketing tratará los datos según las políticas del Cliente y la Ley 1581 de 2012.
• México: este DPA documenta la remisión de datos al encargado prevista en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025) y su normativa.
• Argentina: este DPA es el contrato de prestación de servicios del artículo 25 de la Ley 25.326. Para transferencias internacionales se aplican, en lo que corresponda, las cláusulas modelo de la Disposición AAIP 60-E/2016.
• Chile: se aplica la Ley 19.628 y, desde su entrada en vigor, la Ley 21.719, cuyas obligaciones de encargado se entienden incorporadas.
• Otros países de América Latina (excepto Perú, donde no se ofrece el servicio): este DPA hace las veces del contrato con el encargado que exija la ley local.

16. Responsabilidad y duración

La responsabilidad de cada parte bajo este DPA se rige por los límites de los Términos, salvo donde la ley o las cláusulas incorporadas no los permitan. Este DPA dura lo mismo que los Términos y sus obligaciones de confidencialidad, seguridad y supresión siguen mientras SalesMarketing conserve Datos del Cliente. La ley aplicable y los tribunales son los de los Términos, salvo lo que fijen las cláusulas incorporadas en la sección 15.