Contrato de encargo de tratamiento (DPA)

Este Contrato de Encargo de Tratamiento (en adelante, "DPA") forma parte del acuerdo de servicio entre el Cliente(negocio contratante, Responsable del tratamiento) y GRUPO GINGER 2021 SLU (Encargado del tratamiento) para el uso de Concierge AI (concierge.suple.ai). Cumple los requisitos del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018.

1. Partes

• Responsable: el Cliente contratante, identificado en el contrato marco de servicio.
• Encargado: GRUPO GINGER 2021 SLU · NIF B57439333 · C/ Gabriel Carbonell, 30 · Palma de Mallorca, España · privacy@suple.ai.

2. Objeto y duración

El Encargado tratará datos personales por cuenta del Responsable exclusivamente para prestar los servicios contratados de concierge conversacional, gestión de reservas, upsell, analítica comercial y comunicaciones asociadas por WhatsApp y correo electrónico. La duración coincide con la del contrato de servicio.

3. Naturaleza y finalidad del tratamiento

• Recepción, almacenamiento y respuesta automática o asistida de mensajes de WhatsApp.
• Generación de respuestas mediante modelos de lenguaje.
• Registro de reservas, leads, upsell, plantillas y métricas.
• Envío de correos transaccionales y notificaciones operativas.

4. Categorías de interesados y datos

Interesados: clientes finales del Responsable que contactan por WhatsApp.

Categorías de datos:

• Identificativos: número de WhatsApp, nombre visible, email si lo facilita.
• Contenido de mensajes (texto, imágenes, audio, ubicación).
• Datos de reserva (fecha, grupo, alergias, notas).
• Datos derivados por IA (intención, resumen, importe estimado, idioma).
• Metadatos técnicos (fechas, canal, estado de entrega).

No se prevé el tratamiento sistemático de categorías especiales del art. 9 RGPD.

5. Obligaciones del Encargado

• Tratar los datos únicamente conforme a instrucciones documentadas del Responsable, salvo obligación legal.
• Garantizar la confidencialidad del personal autorizado.
• Aplicar las medidas técnicas y organizativas descritas en el Anexo I.
• Asistir al Responsable en el ejercicio de derechos, evaluaciones de impacto y consultas previas.
• Notificar violaciones de seguridad sin dilación indebida y, siempre que sea posible, en un plazo máximo de 48 horas desde su conocimiento efectivo.
• A la finalización del contrato, suprimir o devolver los datos según instrucción del Responsable en un plazo máximo de 30 días, salvo obligación legal de conservación.

6. Subencargados

El Responsable autoriza expresamente al Encargado a recurrir a los subencargados listados en el Anexo II. Cualquier alta o sustitución se comunicará con antelación razonable, permitiendo al Responsable oponerse por motivos justificados relacionados con la protección de datos.

7. Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE, la transferencia se ampara en las Cláusulas Contractuales Tipo(Decisión UE 2021/914) o en decisiones de adecuación vigentes en cada momento.

8. Responsabilidad

Cada parte responderá de los daños causados por sus propios incumplimientos. La responsabilidad económica del Encargado queda sujeta al límite pactado en el contrato marco de servicio.

Anexo I — Medidas técnicas y organizativas

• Cifrado TLS 1.2+ en tránsito y AES-256 en reposo (infraestructura gestionada).
• Control de acceso por roles y aislamiento por negocio mediante RLS a nivel de base de datos.
• Verificación HMAC de webhooks entrantes y firmas de callback.
• Contraseñas verificadas contra la base HIBP.
• Registros de auditoría con retención de 24 meses.
• Copias de seguridad diarias con retención mínima de 7 días.
• Segregación de entornos (desarrollo, staging, producción).
• Plan de respuesta ante incidentes y comunicación al Responsable en las 48 h siguientes.

Anexo II — Subencargados autorizados

Este DPA se entiende firmado electrónicamente al aceptar los Términos de uso del servicio, y puede formalizarse en documento aparte a solicitud del Responsable.