Contrato de encargo del tratamiento

1. Las partes y su papel

• Responsable del tratamiento: el negocio que tiene la cuenta de NTX-Agent («el negocio»). Decide a quién escribe, qué datos guarda de sus clientes y para qué.
• Encargado del tratamiento: NEWTEX ESPJ, NIF E26701060, C/ Río Jaranda 7, Bajo C, 10004 Cáceres (info@newtex.es). Trata esos datos solo para prestar el servicio.

Los datos de la propia cuenta del negocio (quién se registra, la facturación) no entran aquí: de esos NEWTEX es responsable y se explican en la Política de privacidad.

2. Objeto, duración y naturaleza

• Objeto: prestar el servicio NTX-Agent: atender el WhatsApp del negocio, gestionar su agenda y su lista de clientes, y mandar los avisos, felicitaciones y campañas que el negocio configure.
• Operaciones: recoger, registrar, guardar, consultar, ordenar, usar para enviar mensajes, comunicar a los subencargados del punto 7, exportar y suprimir.
• Duración: mientras exista la cuenta del negocio, con plan de pago, plan Gratis o en pausa. Al terminar se aplica el punto 10.

3. Qué datos y de quién

• Personas: los clientes del negocio y quien escriba a su WhatsApp (también personas que aún no son clientes).
• Datos: nombre, teléfono, identificador de WhatsApp, los mensajes y notas de voz de las conversaciones, citas, etiquetas, notas internas y los campos que el negocio añada (por ejemplo, matrícula, fecha de ITV o de cumpleaños), y si ha aceptado o rechazado recibir mensajes.
• Datos especialmente protegidos: el servicio no está pensado para guardar datos de salud ni otros del artículo 9 RGPD. Si el negocio es sanitario (clínica, dental, fisioterapia…), una cita ya puede revelar algo de la salud de una persona: el negocio debe limitarse a lo imprescindible para citar y avisar, no escribir diagnósticos ni tratamientos en las notas, los campos ni las plantillas, y valorar si necesita una evaluación de impacto. NEWTEX aplica a esos datos las mismas medidas del punto 6.

4. Instrucciones del negocio

NEWTEX trata los datos solo siguiendo las instrucciones documentadas del negocio. Son instrucciones estos términos y lo que el negocio configura en el panel (los módulos que activa, las plantillas, las campañas, a quién escribe, lo que importa y lo que borra). Si NEWTEX cree que una instrucción infringe la normativa de protección de datos, se lo dirá al negocio y podrá no ejecutarla mientras tanto.

NEWTEX no usa los datos de los clientes del negocio para nada propio: ni para publicidad, ni para venderlos, ni para entrenar sistemas de inteligencia artificial, ni los mezcla con los de otros negocios.

5. Confidencialidad

Solo acceden a los datos las personas de NEWTEX que lo necesitan para prestar el servicio o para resolver una incidencia que el negocio pida, y todas tienen un deber de confidencialidad que sigue después de terminar su relación con NEWTEX.

6. Medidas de seguridad

NEWTEX aplica medidas adecuadas al riesgo (art. 32 RGPD). Entre ellas:

• conexiones cifradas (HTTPS) entre el panel, nuestros servidores y los proveedores;
• cada consulta va limitada al negocio que la hace: un negocio no puede ver los datos de otro;
• acceso al panel con usuario propio y permisos por rol; nadie de NEWTEX conoce las contraseñas;
• acceso a los servidores solo por una red privada y con claves, sin acceso abierto a internet;
• las credenciales sensibles (por ejemplo, las de los proxies) se guardan cifradas;
• borrado automático de los mensajes, las notas de voz y los registros técnicos en los plazos del punto 9;
• registro de errores y de acciones sensibles para detectar y estudiar incidentes.

7. Subencargados

El negocio autoriza a NEWTEX a usar estos proveedores para prestar el servicio. Cada uno trata solo lo que necesita para su parte y está obligado por contrato a las mismas garantías:

• OVH (Francia): el servidor donde funcionan el servicio y el software que conecta con WhatsApp, incluida la sesión del dispositivo vinculado.
• Supabase (base de datos en Irlanda): base de datos, inicio de sesión y almacén de las notas de voz.
• Webshare (EE. UU.): salida a internet (proxy) de la conexión con WhatsApp. Por el proxy pasa la conexión ya cifrada por WhatsApp: no puede leer los mensajes.
• Resend (EE. UU.): envío de los correos del servicio.
• Google (Firebase Cloud Messaging) y el servicio de notificaciones del navegador que use el negocio (Google, Apple o Mozilla): las notificaciones en el móvil o el ordenador del negocio, que pueden llevar el nombre o el teléfono del cliente y el principio de su mensaje.
• Sentry (región de la UE, Alemania): registro de errores técnicos, que puede incluir algún dato de la petición que falló.

Inteligencia artificial: hoy NTX-Agent no envía datos a ningún proveedor de IA. Las funciones de inteligencia artificial están apagadas. Si se activaran, sería con los proveedores que se indiquen entonces (por ejemplo, Anthropic u OpenAI, en EE. UU.) y siguiendo el aviso de abajo.

Cambios: NEWTEX avisará al negocio por correo o en el panel, con al menos 30 días de antelación, antes de añadir o cambiar un subencargado. Si el negocio se opone con un motivo razonable y no hay otra solución, puede darse de baja y se le devuelve la parte proporcional de lo que haya pagado por adelantado.

WhatsApp (Meta) no es un subencargado de NEWTEX: es el canal que el negocio usa con su propia cuenta y trata los mensajes según sus propias condiciones, como en cualquier WhatsApp.

8. Transferencias fuera del Espacio Económico Europeo

Algunos proveedores son empresas de EE. UU. (Webshare, Resend, Google, Sentry y la matriz de Supabase). Cuando hay transferencia internacional, se ampara en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está adherido o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas adicionales que procedan. Fuera de esos casos, NEWTEX no transfiere datos fuera del Espacio Económico Europeo salvo que lo exija la ley, y entonces lo dirá al negocio antes, si la ley lo permite.

9. Cuánto tiempo se guarda cada cosa

• Mensajes de las conversaciones: se borran solos a los 90 días.
• Notas de voz: se borran solas a los 90 días.
• Avisos del panel ya leídos y registro de errores: 90 días.
• Avisos de trabajos recibidos de un programa de gestión (por ejemplo, Click): 45 días.
• Registro de envíos para proteger el número: 35 días.
• Fichas de clientes, citas y su permiso o baja: mientras el negocio las mantenga o hasta que se borre la cuenta. El negocio puede borrar una ficha cuando quiera.

10. Al terminar: devolución y borrado

Cuando se borra la cuenta (porque el negocio lo pide o porque termina el servicio), NEWTEX suprime los datos de sus clientes. Antes, el negocio puede exportar su lista de clientes desde el panel; si lo pide, NEWTEX le entrega también una copia del resto en un formato de uso común. Si el servicio lo termina NEWTEX, avisará con al menos 30 días de antelación para que dé tiempo a exportar.

El borrado se completa en un plazo máximo de un mes desde la petición. De las copias de seguridad desaparecen al rotar estas, sin restaurarse nunca. Solo se conserva, bloqueado, lo que una ley obligue a guardar.

11. Ayuda al negocio

• Derechos de sus clientes: si alguien pide a NEWTEX acceso, borrado u otro derecho sobre datos del negocio, NEWTEX se lo pasa al negocio sin demora y no contesta por él. El panel permite al negocio ver, corregir, exportar y borrar las fichas, y la palabra «BAJA» deja de enviar mensajes automáticos al momento.
• Brechas de seguridad: si NEWTEX sufre una brecha que afecte a datos del negocio, se lo comunica sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que la conozca, con lo que se sepa (qué ha pasado, a quién afecta, qué se ha hecho), para que el negocio pueda avisar a la AEPD en sus 72 horas si procede.
• Evaluaciones de impacto y consultas a la AEPD: NEWTEX facilita la información técnica que tenga y haga falta.

12. Información y auditorías

NEWTEX pone a disposición del negocio la información necesaria para demostrar que cumple este contrato y permite auditorías razonables, por el negocio o por un auditor con deber de confidencialidad, avisando con 30 días de antelación, en horario laboral y sin acceder a datos de otros negocios. Cada parte asume sus propios costes.

13. Lo que corresponde al negocio

• Tener base legal para los datos que mete y para cada mensaje que manda (ver el punto 8 de los términos).
• Informar a sus clientes de que usa NTX-Agent y de que NEWTEX trata sus datos por su cuenta.
• Atender los derechos de sus clientes y avisar a la AEPD de una brecha cuando proceda.
• No meter más datos de los necesarios, sobre todo si son especialmente protegidos.

14. Responsabilidad

Cada parte responde de lo que le toca según el artículo 82 RGPD. Si NEWTEX usa los datos para algo distinto de lo que dice este contrato, pasa a ser responsable de ese tratamiento y responde de él (art. 28.10 RGPD).