Acuerdo de encargo del tratamiento
Acuerdo entre la empresa que contrata Aipiter y el titular del servicio para el tratamiento de datos por cuenta de la empresa.
Versión: 1.0
Fecha del texto: 2026-10-31
En vigor desde su publicación.

1. Quiénes firman y para qué

1.1. Responsable del tratamiento: la empresa o el profesional que contrata Aipiter, identificado en su alta («la empresa»).

1.2. Encargado del tratamiento: Adrián Puig de la Morena, empresario autónomo con el nombre comercial Meypi Developers, titular de Aipiter, NIF 49322385N, con el domicilio que figura en el [aviso legal](https://aipiter.com/legal/aviso-legal/). Contacto: hola@aipiter.com («Aipiter»).

1.3. Este acuerdo forma parte del contrato de Aipiter y lo acepta la empresa al darse de alta. En protección de datos manda sobre las [condiciones](https://aipiter.com/legal/terminos/) si alguna dice otra cosa.

1.4. Objeto: Aipiter trata datos personales por cuenta de la empresa solo para prestarle el servicio que contrata. El anexo I detalla el objeto, la naturaleza, la finalidad, la duración, los tipos de datos y las personas afectadas (artículo 28.3 del RGPD).

1.5. Este acuerdo no cubre lo que Aipiter trata como responsable: su web, las solicitudes de alta y de demo, las cuentas de las personas que usan el panel, el soporte y la facturación de Aipiter. Eso lo explica la [política de privacidad](https://aipiter.com/legal/privacidad/).

2. Instrucciones (artículo 28.3.a)

2.1. Aipiter solo trata los datos con instrucciones documentadas de la empresa. Son instrucciones:

- este acuerdo y las condiciones;
- lo que la empresa configura en el panel: módulos, canales, reglas, asistente, agenda, plazos y permisos;
- lo que pida por escrito una persona con permiso de administración de la empresa.

2.2. Aipiter no usa los datos para fines propios, no los vende ni los cede, y no los usa ni deja usarlos para entrenar modelos de inteligencia artificial.

2.3. Si una ley de la UE o de España obligara a Aipiter a tratar los datos de otra forma, avisará antes a la empresa, salvo que esa misma ley lo prohíba por un interés público importante.

2.4. Si Aipiter cree que una instrucción infringe la normativa de protección de datos, se lo dirá enseguida a la empresa (artículo 28.3, párrafo final, del RGPD).

3. Confidencialidad (artículo 28.3.b)

3.1. Las personas que trabajan para Aipiter con acceso a los datos están obligadas a guardar secreto, por contrato o por ley, también cuando la relación termine (artículo 5 de la LOPDGDD).

3.2. Aipiter solo accede a los datos de una empresa en tres casos:

- para prestar el servicio;
- para resolver una incidencia que la empresa pida;
- para proteger la seguridad del servicio.

En cada caso accede solo a lo necesario.

4. Seguridad (artículos 28.3.c y 32)

4.1. Aipiter aplica las medidas del anexo IV, adecuadas al riesgo, y las revisa cuando cambian el servicio o los riesgos.

5. Subencargados (artículos 28.2, 28.3.d y 28.4)

5.1. La empresa autoriza de forma general que Aipiter recurra a los subencargados del anexo III. La lista vigente está en [subencargados](https://aipiter.com/legal/subencargados/).

5.2. Antes de añadir o sustituir un subencargado, Aipiter avisa al menos 10 días antes. El aviso se envía por correo a las personas con permiso de administración y se publica en esa página. La empresa puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si no hay otra solución, puede dar por terminado el contrato sin penalización antes del cambio.

5.3. Cada subencargado queda obligado por contrato a las mismas obligaciones de protección de datos que este acuerdo. Aipiter responde ante la empresa de lo que haga cada subencargado.

5.4. No son subencargados de Aipiter los servicios que la empresa conecta con sus propias cuentas (anexo III, parte B). La empresa los contrata directamente y acepta sus condiciones; Aipiter les envía o recibe datos por instrucción suya.

6. Derechos de las personas (artículo 28.3.e)

6.1. El panel permite a la empresa consultar, corregir, exportar y borrar los datos de sus contactos y conversaciones.

6.2. Si una persona escribe a Aipiter para ejercer sus derechos sobre datos de una empresa, Aipiter no la responde en su nombre. Se la pasa a la empresa en un máximo de 5 días hábiles y le ayuda a responderla.

7. Ayuda con la seguridad, las brechas y las evaluaciones (artículo 28.3.f)

7.1. Brechas de datos: Aipiter avisa a la empresa sin dilación indebida y, como máximo, 48 horas después de conocerla. Le da la información del artículo 33.3 del RGPD que tenga, y la completa por fases si hace falta. Así la empresa puede notificar a la autoridad dentro de sus 72 horas y, si hace falta, a las personas afectadas (artículos 33 y 34).

7.2. Aipiter da a la empresa la información que tenga para su evaluación de impacto y para una consulta previa a la autoridad (artículos 35 y 36).

8. Al terminar el servicio (artículo 28.3.g)

8.1. Mientras el servicio está activo, la empresa puede exportar sus datos desde el panel.

8.2. Al terminar el contrato, por baja o por falta de pago, la cuenta queda en pausa. Durante 60 días la empresa puede consultar y descargar sus datos.

8.3. Pasados esos 60 días, Aipiter cierra la empresa y destruye sus datos, archivos, conversaciones y bandeja, y las personas que usaban el panel pierden el acceso.

8.4. Solo se conserva lo que obliga la ley: las facturas emitidas con Aipiter y sus registros de facturación. Se guardan bloqueados y solo se usan para esa obligación (Real Decreto 1007/2023, artículo 30 del Código de Comercio y artículo 66 de la Ley General Tributaria). Las personas que salen en ellas dejan de tener ficha y se sustituyen por «Persona dada de baja», salvo en el documento emitido.

8.5. Las copias de seguridad desaparecen al caducar, como máximo a los 30 días.

8.6. Si la empresa lo pide, Aipiter le confirma por escrito que ha borrado los datos.

9. Información y auditorías (artículo 28.3.h)

9.1. Aipiter pone a disposición de la empresa la información necesaria para demostrar que cumple este acuerdo: medidas, subencargados y registro de actividades como encargado (artículo 30.2 del RGPD).

9.2. La empresa puede auditar el cumplimiento con estas condiciones:

- la hace ella o un auditor independiente obligado a guardar secreto;
- avisa con 30 días de antelación;
- una vez al año, salvo que haya una brecha o lo pida una autoridad;
- primero se revisan los documentos y, solo si no bastan, se inspecciona.

El coste lo paga la empresa, salvo que la auditoría encuentre un incumplimiento grave de Aipiter.

10. Datos fuera de la UE

10.1. Los datos se alojan en la Unión Europea. Cuando un subencargado los trata o los consulta desde fuera, Aipiter lo hace solo con las garantías del capítulo V del RGPD, indicadas en el anexo III: una decisión de adecuación, incluido el Marco de Privacidad UE-EE. UU. para las entidades certificadas, o las cláusulas contractuales tipo de la Decisión (UE) 2021/914.

11. Lo que corresponde a la empresa

11.1. La empresa decide para qué se usan los datos. Le corresponde:

- tener una base jurídica para cada tratamiento;
- informar a las personas (artículos 13 y 14 del RGPD);
- no aportar más datos de los necesarios;
- tener los permisos que exige cada canal (por ejemplo, el de las personas a las que escribe por WhatsApp fuera de la ventana de 24 horas);
- cumplir las condiciones de los servicios que conecta.

11.2. Datos especiales: el servicio no necesita datos de salud ni otras categorías especiales (artículo 9 del RGPD). Si la empresa los trata, por ejemplo una clínica que organiza sus citas, responde de tener la excepción del artículo 9.2 que corresponda. Aipiter los trata con las mismas medidas y solo para el servicio.

12. Duración, cambios y ley

12.1. Este acuerdo dura lo que dure el contrato y, después, lo necesario para cumplir el punto 8. El deber de secreto no termina.

12.2. Aipiter publica cada versión nueva con su número y su fecha, y avisa de los cambios importantes con 30 días de antelación. Se guarda qué versión aceptó cada empresa y cuándo.

12.3. Se rige por la ley española. Para cualquier conflicto valen los tribunales que fijan las [condiciones](https://aipiter.com/legal/terminos/). Cada parte responde según el artículo 82 del RGPD.

13. Anexo I · Detalles del tratamiento

Qué se hace: Alojar, ordenar, consultar y conservar los datos. Recibir y enviar mensajes por los canales que conecta la empresa. Aplicar sus reglas y automatizaciones. Responder con el asistente que configura. Gestionar agenda y reservas, contactos, ventas y, si los contrata, facturación y tiendas. Exportarlos y borrarlos.
Para qué: Prestar a la empresa el servicio que contrata.
Cuánto dura: Lo que dure el contrato, más los 60 días de salida del punto 8.
De quién son los datos: Clientes y posibles clientes de la empresa. Personas que le escriben por WhatsApp, Instagram, chat de su web o correo. Personas que reservan citas. Contactos de sus clientes y proveedores. Personas que salen en sus presupuestos y facturas. El equipo de la empresa que usa el panel.
Qué datos: Nombre y datos de contacto. Teléfono de WhatsApp, usuario de Instagram y correo. Contenido de conversaciones, comentarios y adjuntos. Citas y reservas. Oportunidades, presupuestos, pedidos de tienda y facturas. Notas y etiquetas. Permisos y bajas de comunicaciones. Datos técnicos: dirección IP y señales del navegador en la comprobación anti-robots, y registros técnicos. Con el módulo de Voz, que hoy no se puede contratar: audio y transcripción de las llamadas.
Datos especiales: No hacen falta. Pueden aparecer si la empresa los incluye o si una persona los escribe por su cuenta (punto 11.2).
Cada cuánto: De forma continua mientras el servicio está activo.
Cuánto se guardan: Lo que fije la empresa. Además, Aipiter borra solo lo que ya no hace falta, por ejemplo: las importaciones sin terminar a los 7 días; los datos temporales de quien comenta en Instagram a las 24 horas; las notificaciones del equipo a los 90 días; el historial de WhatsApp que ninguna ficha recoge a los 180 días.

14. Anexo II · Dónde están los datos

- Base de datos: París (Francia).
- Servidores, bandeja de conversaciones y colas: Francia y Bélgica.
- Inteligencia artificial: Gemini, en Vertex AI, con su punto de acceso europeo.
- Fuera de la UE solo salen los casos del anexo III, cada uno con su garantía.

15. Anexo III · Subencargados y servicios de la empresa

Parte A · Subencargados de Aipiter

Anexo III · Subencargados y servicios de la empresa
| Proveedor | Qué hace | Dónde | Garantía si salen de la UE |
| --- | --- | --- | --- |
| Supabase Pte. Ltd. (Singapur) | Base de datos y acceso al panel | París (Francia) | Cláusulas contractuales tipo de su acuerdo de encargo |
| Google Cloud EMEA Limited (Irlanda) | Servidores del servicio, bandeja de conversaciones, colas, archivos y copias | Francia y Bélgica | Cláusulas contractuales tipo de su acuerdo de encargo |
| Google Cloud EMEA Limited (Irlanda) | Modelo de IA Gemini, en Vertex AI | Unión Europea | Cláusulas contractuales tipo de su acuerdo de encargo |
| Plus Five Five, Inc., «Resend» (EE. UU.) | Correos del servicio y, si la empresa activa su remitente propio, los correos que envía a sus clientes | Envío desde Irlanda; lo guarda en EE. UU. durante 30 días | Marco de Privacidad UE-EE. UU. (activo) y cláusulas contractuales tipo, módulo 3. Para los datos de uso del servicio (origen, destino y registros) actúa además como responsable independiente, según su acuerdo. |
| Cloudflare, Inc. (EE. UU.) | Comprobación de que una persona, no un programa, pide un código en el enlace público de reservas (Turnstile) | Red mundial de Cloudflare | Marco de Privacidad UE-EE. UU. y cláusulas contractuales tipo de su acuerdo de encargo. Para mejorar su propia detección de robots actúa como responsable, según su anexo de Turnstile. |
| Vonage y Soniox | Telefonía, reconocimiento y síntesis de voz | Según la página de subencargados | Solo si se contrata Voz, que hoy no está disponible |

Parte B · Servicios que conecta la empresa (no son subencargados de Aipiter)

La empresa los contrata directamente y acepta sus condiciones; Aipiter solo les envía o recibe datos por su instrucción:

- Meta (WhatsApp Business e Instagram);
- Microsoft 365 y Gmail;
- su propio proveedor de correo (IMAP y SMTP);
- Shopify y WooCommerce;
- Holded;
- su cuenta de Stripe;
- Redsys y su banco.

Con el módulo de facturación, Aipiter remite los registros de facturación a la Agencia Tributaria en nombre de la empresa, porque lo exige el Real Decreto 1007/2023.

16. Anexo IV · Medidas de seguridad (artículo 32)

- 1. Cada empresa ve solo sus datos: la base de datos aplica seguridad por fila a las tablas con datos de las empresas.
- 2. Entrada con código por correo y segundo factor; permisos por persona y por función; registro de actividad.
- 3. Cifrado en tránsito (HTTPS y TLS) y en reposo. Las credenciales que Aipiter guarda de los canales y conexiones se cifran con AES-256-GCM, y las claves del servicio se guardan en un gestor de secretos.
- 4. Alojamiento en la Unión Europea (anexo II).
- 5. Comprobación anti-robots y límites de uso en los formularios y enlaces públicos.
- 6. Copias de seguridad de la base de datos, que caducan como máximo a los 30 días.
- 7. Alarmas de disponibilidad y de errores.
- 8. Pruebas automáticas y revisión independiente antes de publicar cada cambio.
- 9. Deber de secreto de las personas con acceso y acceso limitado a lo necesario.
- 10. Procedimiento de brechas: detectar, contener, avisar a la empresa en un máximo de 48 horas y documentar.