Encargo de tratamiento
Partes y objeto
Este acuerdo regula, conforme al artículo 28 del RGPD, el tratamiento de datos personales que Helix (Alejandro Bonet Hope, NIF ES41623264, Carrer de Felanitx, 36 · 07650 Santanyí, Illes Balears) realiza como encargado del tratamiento por cuenta del cliente, que actúa como responsable. Forma parte de los términos del servicio y se aplica mientras dure la suscripción.
Naturaleza y finalidad del tratamiento
Helix trata los datos exclusivamente para prestar el servicio: recibir y responder conversaciones de los leads del cliente por WhatsApp e Instagram, cualificarlos, hacer seguimiento, agendar llamadas y mostrar la actividad en el panel. Categorías de interesados: leads y contactos comerciales del cliente. Tipos de datos: identificativos (nombre, teléfono, usuario de Instagram), contenido de las conversaciones y archivos que el lead envíe, y metadatos de la interacción. Helix no usa estos datos para fines propios ni los cede a terceros con fines comerciales.
Obligaciones del encargado
Helix tratará los datos solo siguiendo instrucciones documentadas del cliente (las funciones del propio servicio); garantiza que las personas autorizadas se comprometen a la confidencialidad; no destinará los datos a otro fin; y pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones, permitiendo auditorías razonables previas al aviso.
Medidas de seguridad
Helix aplica, entre otras: cifrado de las credenciales y secretos de cada cliente en reposo, aislamiento lógico de los datos por cliente (arquitectura multi-tenant con separación por identificador de cliente en todas las tablas y consultas), control de acceso por roles con sesiones firmadas (cada cliente solo ve sus propios leads), comunicaciones cifradas (TLS), registro de operaciones sensibles y retención limitada con purga automática configurable.
Subencargados
El cliente autoriza de forma general a los siguientes subencargados, necesarios para prestar el servicio: Anthropic (procesamiento de lenguaje con modelos de IA), Kapso (infraestructura de mensajería de WhatsApp), Meta Platforms (plataformas WhatsApp e Instagram), Railway (alojamiento del backend y la base de datos) y Stripe (procesamiento de pagos de la suscripción). Todos operan con garantías del RGPD; cuando implican transferencias internacionales, se amparan en cláusulas contractuales tipo u otros mecanismos válidos. Cualquier cambio de subencargados se comunicará con antelación razonable, pudiendo el cliente oponerse de forma motivada.
Asistencia en el ejercicio de derechos
Helix asiste al cliente en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus leads. El propio panel incorpora herramientas de supresión y de exportación de los datos de un lead; para lo demás, el cliente puede escribir al contacto indicado arriba.
Notificación de brechas
Helix notificará al cliente sin dilación indebida cualquier violación de seguridad de los datos personales de la que tenga conocimiento, con la información disponible sobre su naturaleza, alcance y medidas adoptadas, de modo que el cliente pueda cumplir sus propias obligaciones de notificación.
Supresión al terminar
Al finalizar la relación contractual, Helix suprimirá los datos personales tratados por cuenta del cliente o, si este lo solicita antes de la supresión, se los devolverá en un formato estructurado de uso común, salvo que una obligación legal exija conservarlos. Las copias de seguridad se eliminan siguiendo su ciclo normal de rotación.
Consulta también los términos del servicio, la política de privacidad y el aviso legal.