Acuerdo de encargo de tratamiento
Si usas nuestro chat con IA, el seguimiento o el CRM, tratamos datos de tus clientes por encargo tuyo. Este acuerdo establece cómo lo hacemos.
Partes y punto de partida
Este acuerdo de encargo de tratamiento forma parte del contrato entre el Cliente y Mova XL, con nombre comercial Viva67, Stadhouderslaan 12D, 6171 KL Stein, Países Bajos (KvK 42106567), así como de nuestras condiciones generales.
El Cliente es el responsable del tratamiento. Viva67 es el encargado del tratamiento en el sentido del artículo 28 del Reglamento General de Protección de Datos (RGPD). Esto significa que el Cliente decide por qué y para qué se tratan los datos de sus clientes, y que Viva67 los trata por encargo del Cliente.
Los términos de este contrato, como datos personales, tratamiento, interesado y violación de la seguridad de los datos personales, tienen el significado que les da el RGPD. Los términos Servicio y Usuarios finales tienen el significado de las condiciones generales.
1. Objeto y duración
Viva67 trata datos personales para el Cliente con el fin de prestar el Servicio. Este contrato se aplica mientras Viva67 trate datos personales para el Cliente, también si el contrato principal ya ha terminado y los datos aún no se han eliminado.
2. Naturaleza y finalidad del tratamiento
Viva67 trata los datos para:
- responder a las preguntas de los Usuarios finales mediante el chat con IA;
- registrar solicitudes y conversaciones en el CRM;
- programar citas;
- enviar mensajes de seguimiento automáticos por correo electrónico.
Viva67 no utiliza los datos para fines propios. Viva67 no vende los datos, no los comparte con anunciantes y no los utiliza para entrenar modelos de IA.
3. Tipos de datos e interesados
Datos
Nombre, datos de contacto (correo electrónico, número de teléfono), mensajes y conversaciones de chat, datos de citas, notas en el CRM, una ubicación aproximada (ciudad y país según la dirección IP) y los datos técnicos necesarios para el funcionamiento del Servicio.
Interesados
Los visitantes del sitio web del Cliente, los clientes (potenciales) del Cliente y los empleados del Cliente que utilizan el CRM.
Sin categorías especiales de datos
El Cliente se asegura de que no se soliciten a través del Servicio categorías especiales de datos personales, como datos de salud o datos sobre religión, origen o asuntos penales. Esto solo es posible con acuerdo previo por escrito y medidas adicionales.
4. Responsabilidades del Cliente
El Cliente garantiza que dispone de una base jurídica válida para que se traten los datos y que informa correctamente a sus Usuarios finales, por ejemplo en su propia política de privacidad. El Cliente indica en ella que recurre a Viva67 como encargado del tratamiento para el chat, el CRM y el seguimiento. El Cliente es responsable del contenido que facilita y de los mensajes que hace enviar a través del Servicio.
5. Instrucciones del Cliente
Viva67 solo trata los datos sobre la base del contrato y de las instrucciones escritas del Cliente, salvo que la ley obligue a Viva67 a tratarlos. En ese caso, Viva67 informa previamente al Cliente, salvo que la ley lo prohíba. Si Viva67 considera que una instrucción infringe el RGPD, lo comunica de inmediato al Cliente.
6. Confidencialidad
Toda persona que tenga acceso a los datos por cuenta de Viva67 está obligada a guardar secreto. Este acceso se limita a las personas que necesitan los datos para su trabajo en el Servicio.
7. Seguridad
Viva67 adopta medidas técnicas y organizativas adecuadas para proteger los datos contra la pérdida y el tratamiento ilícito, tal como establece el artículo 32 del RGPD. Para ello, Viva67 tiene en cuenta el estado de la técnica, los costes y los riesgos para los interesados. Las principales medidas son:
- conexiones cifradas (HTTPS) para el sitio web, el chat y el CRM;
- almacenamiento cifrado de la base de datos;
- acceso al CRM solo con una cuenta personal;
- recoger el menor número posible de datos y no conservarlos más tiempo del necesario;
- proveedores cuidadosamente seleccionados con acuerdos por escrito.
Encontrarás una explicación más detallada en la página Seguridad e IA.
8. Subencargados
El Cliente autoriza a Viva67 a recurrir a los siguientes subencargados:
- Vercel Inc. (Estados Unidos): alojamiento del CRM, el chat y el tratamiento de formularios.
- Google (Firebase y Cloud Firestore): base de datos e inicio de sesión, con almacenamiento en los Países Bajos (europe-west4).
- OpenRouter Inc. (Estados Unidos), con el modelo de IA Claude de Anthropic (Estados Unidos): redacción de respuestas y mensajes.
- Resend: envío de correos electrónicos, a través de la región de la UE (Irlanda).
- Upstash (QStash): programación de mensajes de seguimiento, en la región de la UE (Fráncfort).
- Hostinger: el buzón de correo de Viva67, para el contacto con el Cliente y sus Usuarios finales.
- ipapi.co: conversión de una dirección IP en ciudad y país.
Viva67 impone a los subencargados obligaciones comparables a las de este contrato. Si Viva67 quiere añadir o sustituir un subencargado, lo anuncia al menos con 30 días de antelación por correo electrónico. El Cliente puede oponerse de forma motivada. Si no encontramos juntos una solución, el Cliente puede resolver el contrato en la fecha en que el cambio entra en vigor.
9. Transferencias fuera del EEE
Si se tratan datos fuera del Espacio Económico Europeo, solo se hace sobre la base del Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), si el subencargado está certificado, o sobre la base de las cláusulas contractuales tipo de la Comisión Europea. Cuando es posible, Viva67 elige una región europea.
10. Derechos de los interesados
En virtud del RGPD, los Usuarios finales tienen, entre otros, derecho de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad de sus datos. El Cliente gestiona estas solicitudes. Viva67 le ayuda en la medida de lo razonable, por ejemplo buscando, exportando o eliminando datos en el CRM.
Si Viva67 recibe directamente una solicitud de un interesado, la remite al Cliente en un plazo de cinco días hábiles y no responde ella misma, salvo que el Cliente lo pida.
11. Otra asistencia al Cliente
Viva67 ayuda al Cliente, en la medida de lo razonable, con una evaluación de impacto relativa a la protección de datos (EIPD) y con una posible consulta previa a la autoridad de control. Si esa ayuda supone más de unas pocas horas de trabajo, acordamos los costes de antemano.
12. Violaciones de la seguridad de los datos
Si Viva67 descubre una violación de la seguridad de los datos personales, la comunica al Cliente sin dilación indebida y como muy tarde 48 horas después de descubrirla. Viva67 facilita toda la información que el Cliente necesita para notificar, si procede, la violación en un plazo de 72 horas a la autoridad neerlandesa de protección de datos e informar a los interesados, como:
- qué ha ocurrido y cuándo;
- qué datos y aproximadamente cuántos interesados están afectados;
- cuáles son las posibles consecuencias;
- qué medidas ha adoptado o propone Viva67.
Viva67 adopta de inmediato medidas para limitar las consecuencias y mantiene informado al Cliente. El Cliente decide si la violación se notifica a la autoridad de control y a los interesados.
13. Control
Viva67 facilita al Cliente toda la información necesaria para demostrar que cumple este contrato. El Cliente puede, como máximo una vez al año y con un preaviso de 30 días, encargar una auditoría a un experto independiente obligado a guardar secreto. Los costes corren a cargo del Cliente, salvo que la auditoría demuestre que Viva67 incumple este contrato en aspectos importantes.
14. Fin y devolución de los datos
Al finalizar el contrato, Viva67 entrega los datos al Cliente en cuanto se han pagado todos los importes pendientes del contrato principal, tal como se describe en el artículo 16 de las condiciones generales. Tras esa entrega, el Cliente dispone de 30 días para exportar sus datos.
Después, y en todo caso como muy tarde 90 días después del fin del contrato, Viva67 elimina los datos, también en los subencargados, salvo que la ley obligue a conservarlos. Hasta entonces, los datos se mantienen protegidos y Viva67 no los utiliza para nada. A petición, Viva67 confirma por escrito que los datos se han eliminado.
15. Responsabilidad y otras disposiciones
En materia de responsabilidad se aplican las condiciones generales. Si este contrato y las condiciones generales se contradicen, prevalece este contrato en lo relativo al tratamiento de datos personales.
Viva67 anuncia los cambios en este contrato al menos con 30 días de antelación. Este contrato se rige por el derecho neerlandés. En caso de diferencias entre las traducciones, prevalece el texto neerlandés.
Versión 1.1, 13 de octubre de 2026.