Acuerdo de Encargo de Tratamiento (DPA)

1. Objeto y roles

Este Acuerdo regula el tratamiento de datos personales que Vondia (Encargado) realiza por cuenta del Cliente (Responsable) para prestarle la plataforma. El Cliente decide las finalidades y medios esenciales; Vondia trata los datos únicamente siguiendo sus instrucciones documentadas, incluidas las contenidas en los Términos y en la configuración que el Cliente realiza en la plataforma. Encargado: [entidad — persona física operadora hasta constituir la SL]. Contacto de privacidad: [correo].

2. Descripción del tratamiento

Categorías de interesados: clientes finales del Cliente (quienes interactúan con sus agentes de IA). Categorías de datos: datos de contacto (teléfono, nombre si se aporta); contenido de las conversaciones (transcripción y resumen de voz, mensajes de WhatsApp y chat) y datos derivados (intención, resultado, citas). El audio de voz no se almacena como grabación: se transcribe y resume. Naturaleza y finalidad: atención al cliente automatizada, CRM, agenda de citas y campañas configuradas por el Cliente. Duración: mientras dure la relación, más los plazos de la cláusula 7.

3. Obligaciones de Vondia (Encargado)

• a) Tratar los datos solo según las instrucciones del Cliente; si una instrucción infringe la ley, informarle.
• b) Garantizar la confidencialidad y que el personal autorizado esté sujeto a deber de secreto.
• c) Aplicar medidas de seguridad apropiadas (cláusula 5).
• d) Respetar las condiciones para recurrir a subencargados (cláusula 6).
• e) Asistir al Cliente para atender solicitudes de los interesados y cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• f) Notificar al Cliente sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento.
• g) A elección del Cliente, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal.
• h) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables (cláusula 8).

4. Obligaciones del Cliente (Responsable)

El Cliente garantiza que: (a) tiene base legal y autorizaciones para tratar los datos y para que Vondia los procese en su nombre; (b) ha informado a sus clientes finales conforme a la ley, incluyendo, cuando proceda, que la atención es automatizada y que la conversación puede ser transcrita para generar resúmenes; (c) sus instrucciones son lícitas.

5. Medidas de seguridad

Cifrado de credenciales y de tokens de proveedores (AES-256), cifrado en tránsito (HTTPS), aislamiento estricto entre Clientes (un Cliente no accede a datos de otro), control de acceso basado en roles, límites de consumo, validación de firmas en webhooks, invalidación de sesiones y registros de seguridad. Las medidas se revisan y pueden actualizarse manteniendo un nivel equivalente o superior.

6. Subencargados

El Cliente autoriza de forma general el uso de los subencargados listados en el Anexo. Vondia impondrá a cada subencargado obligaciones equivalentes a las de este Acuerdo y seguirá siendo responsable de su actuación. Vondia informará de los cambios con antelación razonable y el Cliente podrá objetar por motivos razonables de protección de datos.

7. Conservación y supresión

Vondia conserva los datos mientras dure la relación y, tras su fin, los suprime o anonimiza salvo obligación legal. Plazos por categoría: transcripciones/resúmenes [X meses]; datos de contacto en CRM: duración de la relación; logs [X meses].

8. Auditoría

Vondia facilitará la información razonable para verificar el cumplimiento. Las auditorías se realizarán con preaviso razonable, sin perturbar la operación y con deber de confidencialidad; podrán sustituirse por certificaciones o informes de terceros cuando existan.

9. Transferencias internacionales

Cuando el tratamiento implique transferencias fuera del EEE o de Colombia (p. ej. proveedores en EE.UU.), se aplicarán garantías adecuadas: Cláusulas Contractuales Tipo, marcos de adecuación o las salvaguardas exigidas por la normativa aplicable.

10. Duración y efectos

Este Acuerdo estará vigente mientras Vondia trate datos por cuenta del Cliente y forma parte integrante de los Términos y Condiciones. En caso de conflicto sobre protección de datos, prevalece este Acuerdo.

Anexo — Subencargados

• Google (Gemini) — IA de voz y texto.
• Twilio — telefonía y mensajería (WhatsApp/SMS).
• Meta (WhatsApp Cloud API) — mensajería.
• OpenAI — embeddings para búsqueda de conocimiento.
• Groq — IA de respaldo.
• Render — alojamiento.
• MongoDB o proveedor equivalente — base de datos.
• Resend — correo transaccional.
• Cloudflare — seguridad y entrega web.

[Confirmar ubicaciones y entidades reales de cada proveedor.]