Protección de Datos · Acuerdo de Encargo (DPA)

1. Objeto, vinculación contractual e identidad

Este DPA regula el tratamiento de datos personales que se realiza por cuenta del cliente (responsable) para prestar el servicio: importación y gestión de reseñas, generación asistida de respuestas, análisis de patrones, elaboración de recomendaciones e informes, y entrega a través de los canales configurados.

Vinculación contractual

Cuando RepuOrbit trate datos personales por cuenta del cliente, este DPA (versión 1.0), basado en el artículo 28 del RGPD, forma parte integrante de las condiciones contractuales aplicables al servicio y de los Términos y Condiciones, y vincula a las partes desde la aceptación de dichas condiciones.

Identidad del encargado

RepuOrbit es un producto de IATASKIA S.L., con NIF B05703038 (España), que actúa como encargado del tratamiento cuando procesa datos personales por cuenta del cliente.

Naturaleza

Operaciones de recogida, almacenamiento, consulta, análisis, generación asistida por IA, comunicación a los canales configurados y supresión, por medios automatizados.

2. Duración

El encargo se mantiene mientras esté vigente la relación de servicio. A su finalización se aplicará lo previsto en la cláusula de devolución o supresión.

3. Categorías de interesados y tipos de datos

Categorías de interesados

• Clientes finales y autores de reseñas del negocio.
• Personal y usuarios autorizados del negocio cliente.

Tipos de datos

• Datos identificativos y de contacto contenidos en reseñas y respuestas.
• Contenido de las opiniones y de las comunicaciones asociadas.
• Datos de configuración y metadatos técnicos necesarios para el servicio.

Categorías especiales de datos

RepuOrbit no solicita categorías especiales de datos personales para la prestación ordinaria del servicio. No obstante, el contenido de las reseñas o comunicaciones procesadas puede incluir incidentalmente información de esta naturaleza introducida por sus propios autores. El cliente, en su condición de responsable del tratamiento, deberá garantizar la existencia de una base jurídica adecuada cuando resulte aplicable y configurar y utilizar el servicio conforme a la normativa de protección de datos.

4. Instrucciones documentadas y confidencialidad

RepuOrbit tratará los datos únicamente siguiendo las instrucciones documentadas del cliente, incluidas las de este DPA y las derivadas del uso de la plataforma, salvo obligación legal. Si una instrucción infringe la normativa, RepuOrbit informará al cliente.

Las personas autorizadas a tratar los datos se comprometen a respetar la confidencialidad o están sujetas a un deber de confidencialidad de naturaleza equivalente.

5. Medidas técnicas y organizativas

RepuOrbit aplica medidas técnicas y organizativas apropiadas al riesgo. Las medidas efectivamente implementadas se describen en el Anexo I de este DPA.

6. Asistencia al responsable y ejercicio de derechos

RepuOrbit asistirá razonablemente al cliente para: atender las solicitudes de ejercicio de derechos de los interesados; cumplir las obligaciones de seguridad, notificación de brechas y, cuando proceda, evaluaciones de impacto y consultas previas.

7. Incidentes y violaciones de seguridad

RepuOrbit notificará al cliente sin dilación indebida cuando tenga conocimiento de una violación de la seguridad que afecte a datos tratados por cuenta del cliente.

En la medida en que esté disponible, facilitará:

• la naturaleza del incidente;
• las categorías de datos y de interesados afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas;
• la información necesaria para que el responsable pueda cumplir sus obligaciones de notificación.

8. Subencargados

• El cliente otorga una autorización general para el recurso a subencargados en la prestación del servicio.
• RepuOrbit informará de las incorporaciones o sustituciones de subencargados que afecten al tratamiento de datos.
• El cliente podrá formular objeciones justificadas conforme a este DPA.
• Los subencargados quedarán sujetos a obligaciones de protección de datos equivalentes a las aplicables a RepuOrbit.

9. Subencargados y proveedores de tratamiento

Según las funcionalidades utilizadas, el servicio podrá apoyarse en los siguientes tipos de proveedores. La lista está preparada para actualizarse con los proveedores reales; no se presenta como contratado ningún proveedor que todavía no lo esté:

• Google Business Profile / Google — reseñas y publicación.
• Meta / WhatsApp Business Platform y Telegram — entrega y aprobación de respuestas.
• Proveedores de IA configurados por el cliente — OpenAI, Anthropic, Google Gemini.
• Proveedor de pagos — cuando se implante el sistema de cobro.
• Proveedor de hosting / base de datos — infraestructura del servicio.
• Proveedor de email — comunicaciones del servicio.
• Servicios técnicos necesarios para operar la plataforma.

Proveedores de IA y credenciales (API Key)

• El cliente puede configurar su propio proveedor de IA y utilizar sus propias credenciales/API Key.
• Ello no significa que los datos nunca pasen por la infraestructura de RepuOrbit.
• RepuOrbit puede necesitar recibir, procesar y transmitir determinados datos para ejecutar la funcionalidad solicitada.
• Los datos necesarios podrán enviarse al proveedor de IA seleccionado o configurado por el cliente.
• Las credenciales se tratan de forma segura conforme a las medidas efectivamente implementadas (ver Anexo I): se almacenan cifradas y se redactan en los registros.

10. Transferencias internacionales

Cuando un proveedor o subencargado implique una transferencia internacional de datos, se utilizará el mecanismo jurídico que corresponda conforme al Capítulo V del RGPD, por ejemplo: una decisión de adecuación, cláusulas contractuales tipo u otras garantías legalmente válidas.

No se afirma que la totalidad de los datos permanezca siempre en España o en el EEE.

Cuando esté confirmada, la información se detallará por proveedor real, con la siguiente estructura:

• proveedor;
• país o región de tratamiento;
• servicio prestado;
• mecanismo de transferencia aplicable.

11. Auditoría e información de cumplimiento

Sin perjuicio del derecho del cliente a auditar conforme al art. 28 RGPD, dicho derecho se ejercerá en términos razonables:

• RepuOrbit pondrá a disposición del cliente la información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones.
• Las auditorías se realizarán con un preaviso razonable.
• Se respetarán la confidencialidad y la seguridad de la información propia y de terceros.
• Se evitarán interferencias desproporcionadas en la continuidad del servicio.
• El derecho podrá satisfacerse mediante documentación, evidencias o auditorías de terceros cuando resulten suficientes.

12. Devolución o supresión de datos

Finalizada la prestación, y a elección del responsable, RepuOrbit devolverá o suprimirá los datos personales tratados por cuenta del cliente. A estos efectos se distingue:

• Datos activos: se devuelven o suprimen tras la finalización del servicio, según la elección del responsable.
• Datos conservados por obligación legal: se conservan bloqueados durante los plazos legalmente exigibles y se suprimen a su vencimiento.
• Copias de seguridad (backups): los datos contenidos en copias de seguridad se eliminan conforme al ciclo de retención técnicamente establecido y permanecen bloqueados y no accesibles para explotación ordinaria durante ese periodo, cuando corresponda.
• Fin del servicio: una vez completados los pasos anteriores, se elimina la información salvo la que deba conservarse legalmente.

Anexo I — Medidas técnicas y organizativas

Medidas efectivamente implementadas en el servicio a la fecha de esta versión del DPA:

• Cifrado de secretos en reposo: las credenciales e integraciones sensibles (API Keys de proveedores de IA y tokens de acceso de Google, WhatsApp y Telegram) se almacenan cifradas mediante AES-256-GCM.
• Protección de contraseñas: las contraseñas de usuario se almacenan con hash mediante bcrypt; nunca en claro.
• Autenticación: acceso mediante tokens firmados (JWT) verificados en cada petición.
• Control de accesos basado en roles: permisos por rol dentro de cada organización y separación del rol de administración de la plataforma.
• Aislamiento lógico multi-tenant: los datos se segmentan por organización y negocio; el acceso se resuelve según la pertenencia del usuario.
• Validación y saneamiento de entradas: las peticiones se validan con esquemas estrictos antes de procesarse.
• Registros de auditoría: se registran eventos relevantes (por ejemplo, autenticación y cambios de credenciales) para su trazabilidad.
• Cabeceras de seguridad HTTP y CORS restringido: se aplican cabeceras de seguridad y una política de CORS controlada.
• Limitación de tasa (rate limiting): se limita la frecuencia de peticiones, con límites más estrictos en autenticación, para mitigar abusos y ataques de fuerza bruta.
• Gestión segura de secretos: la configuración sensible se valida y se carga desde el entorno (no se incrusta en el código) y los datos sensibles se redactan en los registros.
• Comunicaciones cifradas: las comunicaciones con los servicios externos se realizan sobre HTTPS/TLS; la aplicación está preparada para operar tras un proxy que gestiona la terminación TLS.
• Verificación en tiempo constante: la comprobación de determinados tokens sensibles emplea comparaciones en tiempo constante.
• Mecanismos de borrado: es posible revocar y eliminar credenciales e integraciones almacenadas, así como eliminar negocios y sus datos asociados. Minimización de datos: se tratan los datos necesarios para prestar la funcionalidad solicitada.