Acord d’encàrrec del tractament

1. Qui signa i per a què

1.1. Responsable del tractament: l’empresa o el professional que contracta Aipiter, identificat a l’alta («l’empresa»).

1.2. Encarregat del tractament: Adrián Puig de la Morena, empresari autònom amb el nom comercial Meypi Developers, titular d’Aipiter, NIF 49322385N, amb el domicili que consta a l’avís legal. Contacte: hola@aipiter.com («Aipiter»).

1.3. Aquest acord forma part del contracte d’Aipiter i l’accepta l’empresa en donar-se d’alta. En protecció de dades preval sobre les condicions si alguna disposició diu una altra cosa.

1.4. Objecte: Aipiter tracta dades personals per compte de l’empresa només per prestar-li el servei que contracta. L’annex I detalla l’objecte, la naturalesa, la finalitat, la durada, els tipus de dades i les persones afectades (article 28.3 del RGPD).

1.5. Aquest acord no cobreix allò que Aipiter tracta com a responsable: la seva web, les sol·licituds d’alta i de demo, els comptes de les persones que fan servir el tauler, el suport i la facturació d’Aipiter. Ho explica la política de privacitat.

2. Instruccions (article 28.3.a)

2.1. Aipiter només tracta les dades amb instruccions documentades de l’empresa. Són instruccions:

• aquest acord i les condicions;
• allò que l’empresa configura al tauler: mòduls, canals, regles, assistent, agenda, terminis i permisos;
• allò que demani per escrit una persona amb permís d’administració de l’empresa.

2.2. Aipiter no fa servir les dades per a finalitats pròpies, no les ven ni les cedeix, i no les fa servir ni permet que es facin servir per entrenar models d’intel·ligència artificial.

2.3. Si una llei de la UE o d’Espanya obligués Aipiter a tractar les dades d’una altra manera, avisarà abans l’empresa, llevat que la mateixa llei ho prohibeixi per un interès públic important.

2.4. Si Aipiter creu que una instrucció infringeix la normativa de protecció de dades, ho dirà de seguida a l’empresa (article 28.3, paràgraf final, del RGPD).

3. Confidencialitat (article 28.3.b)

3.1. Les persones que treballen per a Aipiter amb accés a les dades estan obligades a guardar secret, per contracte o per llei, també quan s’acabi la relació (article 5 de la LOPDGDD).

3.2. Aipiter només accedeix a les dades d’una empresa en tres casos:

• per prestar el servei;
• per resoldre una incidència que demani l’empresa;
• per protegir la seguretat del servei.

En cada cas accedeix només al que cal.

4. Seguretat (articles 28.3.c i 32)

4.1. Aipiter aplica les mesures de l’annex IV, adequades al risc, i les revisa quan canvien el servei o els riscos.

5. Subencarregats (articles 28.2, 28.3.d i 28.4)

5.1. L’empresa autoritza de manera general que Aipiter recorri als subencarregats de l’annex III. La llista vigent és a subencarregats.

5.2. Abans d’afegir o substituir un subencarregat, Aipiter avisa almenys 10 dies abans. L’avís s’envia per correu a les persones amb permís d’administració i es publica en aquella pàgina. L’empresa s’hi pot oposar dins d’aquest termini per motius raonables de protecció de dades. Si no hi ha una altra solució, pot donar per acabat el contracte sense penalització abans del canvi.

5.3. Cada subencarregat queda obligat per contracte a les mateixes obligacions de protecció de dades que aquest acord. Aipiter respon davant l’empresa del que faci cada subencarregat.

5.4. No són subencarregats d’Aipiter els serveis que l’empresa connecta amb els seus propis comptes (annex III, part B). L’empresa els contracta directament i n’accepta les condicions; Aipiter hi envia dades o en rep per instrucció seva.

6. Drets de les persones (article 28.3.e)

6.1. El tauler permet a l’empresa consultar, corregir, exportar i esborrar les dades dels seus contactes i converses.

6.2. Si una persona escriu a Aipiter per exercir els seus drets sobre dades d’una empresa, Aipiter no li respon en nom seu. Ho trasllada a l’empresa en un màxim de 5 dies hàbils i l’ajuda a respondre.

7. Ajuda amb la seguretat, les bretxes i les avaluacions (article 28.3.f)

7.1. Bretxes de dades: Aipiter avisa l’empresa sense dilació indeguda i, com a màxim, 48 hores després de tenir-ne coneixement. Li facilita la informació de l’article 33.3 del RGPD que tingui i la completa per fases si cal. Així l’empresa pot notificar l’autoritat dins de les seves 72 hores i, si cal, les persones afectades (articles 33 i 34).

7.2. Aipiter facilita a l’empresa la informació que tingui per a la seva avaluació d’impacte i per a una consulta prèvia a l’autoritat (articles 35 i 36).

8. En acabar el servei (article 28.3.g)

8.1. Mentre el servei està actiu, l’empresa pot exportar les seves dades des del tauler.

8.2. En acabar el contracte, per baixa o per falta de pagament, el compte queda en pausa. Durant 60 dies l’empresa pot consultar i descarregar les seves dades.

8.3. Passats aquests 60 dies, Aipiter tanca l’empresa i destrueix les seves dades, arxius, converses i safata, i les persones que feien servir el tauler perden l’accés.

8.4. Només es conserva el que obliga la llei: les factures emeses amb Aipiter i els seus registres de facturació. Es guarden bloquejats i només es fan servir per a aquesta obligació (Reial decret 1007/2023, article 30 del Codi de comerç i article 66 de la Llei general tributària). Les persones que hi apareixen deixen de tenir fitxa i se substitueixen per «Persona donada de baixa», llevat del document emès.

8.5. Les còpies de seguretat desapareixen quan caduquen, com a màxim als 30 dies.

8.6. Si l’empresa ho demana, Aipiter li confirma per escrit que ha esborrat les dades.

9. Informació i auditories (article 28.3.h)

9.1. Aipiter posa a disposició de l’empresa la informació necessària per demostrar que compleix aquest acord: mesures, subencarregats i registre d’activitats com a encarregat (article 30.2 del RGPD).

9.2. L’empresa pot auditar-ne el compliment amb aquestes condicions:

• la fa ella o un auditor independent obligat a guardar secret;
• avisa amb 30 dies d’antelació;
• una vegada l’any, llevat que hi hagi una bretxa o ho demani una autoritat;
• primer es revisen els documents i, només si no n’hi ha prou, s’inspecciona.

El cost el paga l’empresa, llevat que l’auditoria trobi un incompliment greu d’Aipiter.

10. Dades fora de la UE

10.1. Les dades s’allotgen a la Unió Europea. Quan un subencarregat les tracta o les consulta des de fora, Aipiter ho fa només amb les garanties del capítol V del RGPD, indicades a l’annex III: una decisió d’adequació, inclòs el Marc de Privacitat UE-EUA per a les entitats certificades, o les clàusules contractuals tipus de la Decisió (UE) 2021/914.

11. Allò que correspon a l’empresa

11.1. L’empresa decideix per a què es fan servir les dades. Li correspon:

• tenir una base jurídica per a cada tractament;
• informar les persones (articles 13 i 14 del RGPD);
• no aportar més dades de les necessàries;
• tenir els permisos que exigeix cada canal (per exemple, el de les persones a qui escriu per WhatsApp fora de la finestra de 24 hores);
• complir les condicions dels serveis que connecta.

11.2. Dades especials: el servei no necessita dades de salut ni altres categories especials (article 9 del RGPD). Si l’empresa les tracta, per exemple una clínica que organitza les seves cites, respon de tenir l’excepció de l’article 9.2 que correspongui. Aipiter les tracta amb les mateixes mesures i només per al servei.

12. Durada, canvis i llei

12.1. Aquest acord dura el que dura el contracte i, després, el que calgui per complir el punt 8. El deure de secret no s’acaba.

12.2. Aipiter publica cada versió nova amb el seu número i la seva data, i avisa dels canvis importants amb 30 dies d’antelació. Es guarda quina versió ha acceptat cada empresa i quan.

12.3. Es regeix per la llei espanyola. Per a qualsevol conflicte valen els tribunals que fixen les condicions. Cada part respon segons l’article 82 del RGPD.

13. Annex I · Detalls del tractament

Què es fa

Allotjar, ordenar, consultar i conservar les dades. Rebre i enviar missatges pels canals que connecta l’empresa. Aplicar les seves regles i automatitzacions. Respondre amb l’assistent que configura. Gestionar agenda i reserves, contactes, vendes i, si els contracta, facturació i botigues. Exportar-les i esborrar-les.

Per a què

Prestar a l’empresa el servei que contracta.

Quant dura

El que dura el contracte, més els 60 dies de sortida del punt 8.

De qui són les dades

Clients i possibles clients de l’empresa. Persones que li escriuen per WhatsApp, Instagram, xat de la seva web o correu. Persones que reserven cites. Contactes dels seus clients i proveïdors. Persones que apareixen als seus pressupostos i factures. L’equip de l’empresa que fa servir el tauler.

Quines dades

Nom i dades de contacte. Telèfon de WhatsApp, usuari d’Instagram i correu. Contingut de converses, comentaris i adjunts. Cites i reserves. Oportunitats, pressupostos, comandes de botiga i factures. Notes i etiquetes. Permisos i baixes de comunicacions. Dades tècniques: adreça IP i senyals del navegador en la comprovació anti-robots, i registres tècnics. Amb el mòdul de Veu, que avui no es pot contractar: àudio i transcripció de les trucades.

Dades especials

No calen. Poden aparèixer si l’empresa les inclou o si una persona les escriu pel seu compte (punt 11.2).

Cada quant

De manera contínua mentre el servei està actiu.

Quant es guarden

El que fixi l’empresa. A més, Aipiter esborra només el que ja no cal, per exemple: les importacions sense acabar als 7 dies; les dades temporals de qui comenta a Instagram a les 24 hores; les notificacions de l’equip als 90 dies; l’historial de WhatsApp que cap fitxa recull als 180 dies.

14. Annex II · On són les dades

• Base de dades: París (França).
• Servidors, safata de converses i cues: França i Bèlgica.
• Intel·ligència artificial: Gemini, a Vertex AI, amb el seu punt d’accés europeu.
• Fora de la UE només en surten els casos de l’annex III, cadascun amb la seva garantia.

15. Annex III · Subencarregats i serveis de l’empresa

Part A · Subencarregats d’Aipiter

Part B · Serveis que connecta l’empresa (no són subencarregats d’Aipiter)

L’empresa els contracta directament i n’accepta les condicions; Aipiter només hi envia dades o en rep per instrucció seva:

• Meta (WhatsApp Business i Instagram);
• Microsoft 365 i Gmail;
• el seu propi proveïdor de correu (IMAP i SMTP);
• Shopify i WooCommerce;
• Holded;
• el seu compte de Stripe;
• Redsys i el seu banc.

Amb el mòdul de facturació, Aipiter remet els registres de facturació a l’Agència Tributària en nom de l’empresa, perquè ho exigeix el Reial decret 1007/2023.

16. Annex IV · Mesures de seguretat (article 32)

• 1. Cada empresa veu només les seves dades: la base de dades aplica seguretat per fila a les taules amb dades de les empreses.
• 2. Entrada amb codi per correu i segon factor; permisos per persona i per funció; registre d’activitat.
• 3. Xifratge en trànsit (HTTPS i TLS) i en repòs. Les credencials dels canals i connexions que Aipiter guarda es xifren amb AES-256-GCM, i les claus del servei es guarden en un gestor de secrets.
• 4. Allotjament a la Unió Europea (annex II).
• 5. Comprovació anti-robots i límits d’ús als formularis i enllaços públics.
• 6. Còpies de seguretat de la base de dades, que caduquen com a màxim als 30 dies.
• 7. Alarmes de disponibilitat i d’errors.
• 8. Proves automàtiques i revisió independent abans de publicar cada canvi.
• 9. Deure de secret de les persones amb accés i accés limitat al que cal.
• 10. Procediment de bretxes: detectar, contenir, avisar l’empresa en un màxim de 48 hores i documentar.