contrato de encargo del tratamiento (AVV)

Este contrato de encargo del tratamiento (en adelante, «AVV») concreta las obligaciones del art. 28 del RGPD para el tratamiento de datos personales que realizamos por encargo de nuestros clientes. Complementa las Condiciones Generales (en adelante, «contrato principal») y debe leerse junto con la política de privacidad . En caso de contradicción entre el contrato principal y este AVV, prevalecen las disposiciones de este AVV en lo que respecta al tratamiento de datos personales por encargo.

1. Partes del contrato y funciones

Encargado del tratamiento es HACO d. Gschnitzer Franz Josef KG, Angerweg 43 - Gasteig, 39040 Ratschings (BZ), Tirol del Sur, Italia (en adelante, «nosotros» o «proveedor»). Contacto: team@smartchat.marketing.

Responsable del tratamiento eres tú como cliente que usa SmartChat para recopilar tus propios contactos y escribirles.

El reparto de funciones es doble y se describe con más detalle en el apartado 3 de la política de privacidad: para los datos de tu propia cuenta (registro, perfil de onboarding y de empresa, facturación, chat de AI, canales conectados) somos nosotros mismos los responsables; este AVV no se aplica a ellos. Para los datos de los contactos que recopilas y a los que escribes a través de SmartChat, tú eres el responsable y nosotros tratamos los datos únicamente por encargo tuyo. Este documento trata solo de esos datos.

2. Objeto y duración del encargo

El objeto del encargo es la prestación de los servicios de SmartChat descritos en el contrato principal, en la medida en que se traten datos personales de tus contactos: en particular, la recopilación de contactos mediante landing pages, widget web, introducción manual o importación, la realización del procedimiento de doble opt-in, el envío de newsletters de WhatsApp y seguimientos (follow-ups), la gestión de los mensajes entrantes en la bandeja de entrada, la elaboración de estadísticas y, si lo activas, la respuesta automática a los mensajes entrantes.

La duración del encargo corresponde a la vigencia del contrato principal. El AVV termina cuando termina el contrato principal, sin necesidad de una cancelación aparte. Las obligaciones de eliminación y devolución (apartado 10) y de confidencialidad (apartado 5) siguen vigentes después.

3. Tipo, finalidad y alcance del tratamiento

Tratamos los datos exclusivamente con el fin de prestarte los servicios acordados en el contrato principal. No hay tratamiento para fines propios, en particular para crear perfiles propios, para publicidad propia o para cederlos a terceros.

3.1 Categorías de personas afectadas

Las personas afectadas son los contactos que registras y a los que escribes a través de SmartChat (en adelante, «contactos finales»): por ejemplo, interesados, suscriptores de tu newsletter y tus clientes.

3.2 Tipos de datos tratados

• Datos básicos de los contactos finales: nombre, dirección de e-mail, número de teléfono, idioma
• Datos de consentimiento: estado del consentimiento, momento y canal del consentimiento o de la confirmación, así como datos técnicos como la dirección IP y el navegador
• Datos de contenido: contenido de los mensajes y conversaciones entrantes y salientes
• Metadatos del envío: información de entrega y de estado, y estadísticas derivadas de ella
• Otros campos que tú mismo recojas en tus formularios

Las categorías especiales de datos personales según el art. 9 del RGPD no forman parte del encargo. Si aun así recoges este tipo de datos a través de SmartChat, lo haces bajo tu exclusiva responsabilidad; en ese caso nos informas con antelación.

4. Derecho a dar instrucciones

Tratamos los datos exclusivamente según tus instrucciones documentadas. Se consideran instrucciones este AVV, el contrato principal y los ajustes y datos que tú mismo introduces en la aplicación (p. ej., crear una landing page, lanzar un envío o activar la respuesta automática).

Las instrucciones concretas nos las envías por escrito a team@smartchat.marketing. Si consideramos que una instrucción infringe la normativa de protección de datos vigente, te lo indicamos y podemos suspender su ejecución hasta que la confirmes.

Si el Derecho de la Unión o de un Estado miembro nos obliga a un tratamiento adicional, te informamos antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

5. Confidencialidad

Para el tratamiento solo empleamos a personas que se hayan comprometido a la confidencialidad o que estén sujetas a una obligación legal de secreto adecuada. Este compromiso continúa también después de terminar su actividad. El número de personas con acceso se limita a lo necesario para prestar el servicio.

6. Medidas técnicas y organizativas (art. 32 del RGPD)

Aplicamos medidas técnicas y organizativas adecuadas para garantizar un nivel de protección acorde al riesgo. Entre ellas, en particular:

• Separación de clientes: separación estricta de los entornos de cada cliente a nivel de base de datos (Row Level Security); cada entorno de cliente está separado de forma lógica.
• Cifrado de la transmisión: TLS/HTTPS para toda la transmisión de datos.
• Cifrado de los datos de acceso sensibles: los tokens de WhatsApp y de integraciones se guardan cifrados (AES-256-GCM) y nunca se entregan al frontend del navegador.
• Control de acceso: limitación de los accesos a lo necesario; el acceso de escritura a la base de datos se hace solo desde el servidor.
• Integridad: verificación de la firma de los webhooks entrantes.
• Prueba del consentimiento: registro del momento y del canal del consentimiento en el procedimiento de doble opt-in.

Podemos desarrollar y adaptar estas medidas, siempre que no se reduzca el nivel de protección acordado. El estado actual se describe en el apartado 6 de la política de privacidad.

7. Subencargados del tratamiento

Nos das la autorización general para recurrir a otros encargados del tratamiento. Los elegimos con cuidado y les obligamos por contrato a cumplir obligaciones de protección de datos que cumplen los requisitos del art. 28 del RGPD.

Te informamos por escrito con antelación si incorporamos un nuevo subencargado o sustituimos uno existente. Puedes oponerte en un plazo de 14 días por un motivo importante relacionado con la protección de datos. Si entonces no podemos prestar el servicio sin ese subencargado, ambas partes pueden cancelar el contrato principal con efecto en la fecha del cambio.

En el momento de firmar el contrato se utilizan los siguientes subencargados del tratamiento:

Nuestro proveedor de servicios de pago Polar no se considera subencargado en el sentido de este AVV: Polar trata tus datos de pago y de facturación bajo su propia responsabilidad, no los datos de tus contactos finales.

8. Transferencias a terceros países

Algunos de los subencargados indicados en el apartado 7 tratan datos fuera de la UE o del EEE, en particular en EE. UU. Estas transferencias solo se realizan si existen garantías adecuadas según el capítulo V del RGPD: sobre la base del EU-U.S. Data Privacy Framework, si el destinatario está certificado, y/o sobre la base de las cláusulas contractuales tipo de la Comisión Europea según el art. 46 del RGPD.

9. Apoyo al responsable del tratamiento

Te ayudamos, dentro de nuestras posibilidades, a cumplir tus obligaciones:

• Derechos de las personas afectadas (art. 12 a 23 del RGPD): Si un contacto final se dirige directamente a nosotros con una solicitud de acceso, rectificación, supresión u oposición, no la respondemos nosotros, sino que te la reenviamos sin demora. Puedes consultar, corregir, eliminar y exportar tus contactos tú mismo en la aplicación en cualquier momento.
• Seguridad, obligaciones de notificación y evaluación de impacto (art. 32 a 36 del RGPD): Te facilitamos la información que te falte para cumplir estas obligaciones.
• Bajas: Si un contacto final se da de baja (en WhatsApp, p. ej., con «STOP»; en el e-mail, con el enlace de baja), queda bloqueado automáticamente para futuros envíos.

10. Notificación de violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a los datos que tratamos por encargo tuyo, te informamos sin demora por escrito a la dirección de e-mail guardada en tu cuenta. La notificación incluye, en la medida en que esté disponible, una descripción del tipo de violación, las categorías afectadas y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. La notificación a la autoridad de control según el art. 33 del RGPD y la comunicación a las personas afectadas según el art. 34 del RGPD te corresponden a ti como responsable.

11. Eliminación y devolución al terminar

Al terminar el contrato principal, puedes exportar tú mismo los datos de contacto guardados en tu cuenta en un plazo de 30 días. Una vez vencido ese plazo, eliminamos o devolvemos los datos tratados por encargo, salvo que lo impida una obligación legal de conservación. Si existen obligaciones de conservación, en su lugar limitamos el tratamiento de los datos afectados.

Puedes enviar una solicitud de eliminación en cualquier momento a team@smartchat.marketing; confirmamos la eliminación en un plazo de 30 días.

12. Pruebas y controles

Si lo pides, te demostramos de forma adecuada que cumplimos las obligaciones de este AVV, normalmente con información relevante o con pruebas ya disponibles. Tienes derecho a comprobar ese cumplimiento. Los controles in situ se anuncian con antelación suficiente, se realizan en nuestro horario habitual de trabajo y no deben afectar de forma desproporcionada a la actividad. El coste de los controles que vayan más allá de una solicitud de información puede facturarse a ti, si no hay un motivo concreto para el control.

13. Responsabilidad

En materia de responsabilidad se aplican las disposiciones del contrato principal, salvo que el art. 82 del RGPD disponga obligatoriamente otra cosa. En la relación interna, tú eres responsable de la legalidad de la recogida de datos y de los consentimientos de tus contactos finales; nosotros somos responsables de un tratamiento conforme a tus instrucciones y al contrato.

14. Ley aplicable y jurisdicción

Se aplica la ley italiana. Para litigios con empresarios, el fuero competente, en la medida en que lo permita la ley, es la sede del proveedor en Bolzano (Italia). Las disposiciones obligatorias del RGPD no se ven afectadas.

15. Disposiciones finales

Los cambios y añadidos a este AVV deben hacerse por escrito. Si alguna disposición no fuera válida, la validez de las demás disposiciones no se verá afectada.

Versión: 17 de julio de 2026