Contrato de encargo de tratamiento
Esta traducción se ofrece por comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés. Leer la versión en inglés
Última actualización: 22 de octubre de 2026 · Este Contrato de encargo de tratamiento se incorpora a los Términos del servicio y no requiere una firma por separado.
1. Partes y funciones
El presente Contrato de encargo de tratamiento (el «Contrato de encargo»), previsto en el artículo 28 del RGPD, se celebra entre el Cliente (la empresa titular de la cuenta de Whapier, el responsable del tratamiento) y ADDO VISION SOLUTIONS SRL, NIF-IVA RO32203240, Bucarest, Rumanía (el encargado del tratamiento, «Whapier»). Regula todos los datos personales que el Cliente introduce en el Servicio.
2. Objeto, duración, naturaleza y finalidad
Objeto: el funcionamiento de la plataforma Whapier, es decir, el almacenamiento, la transmisión, la visualización, la automatización y los informes de las conversaciones de WhatsApp y de los datos de contacto por cuenta del Cliente. Duración: la vigencia de la cuenta del Cliente, más el plazo de supresión previsto en la cláusula 8. Naturaleza y finalidad: alojamiento y tratamiento en la medida estrictamente necesaria para prestar las funciones contratadas; ningún tratamiento para fines propios de Whapier.
3. Categorías de datos y de interesados
| Interesados | Categorías de datos |
|---|---|
| Clientes, clientes potenciales y otros interlocutores de las conversaciones del Cliente | Nombres, números de teléfono, identificadores de WhatsApp, campos de contacto personalizados definidos por el Cliente, contenido y archivos multimedia de los mensajes, metadatos de entrega, pertenencia a grupos o segmentos |
| Miembros del equipo del Cliente | Nombres, direcciones de correo electrónico, roles, actividad dentro de la cuenta (asignaciones, notas) |
El Cliente garantiza que no introduce en el Servicio categorías especiales de datos personales (artículo 9 del RGPD); el contenido de los mensajes que los usuarios finales transmitan espontáneamente se trata como contenido, sin que Whapier lo evalúe.
4. Instrucciones
Whapier trata los datos únicamente siguiendo instrucciones documentadas del Cliente —en primer lugar, la propia configuración y utilización del Servicio—, a menos que el Derecho de la Unión o de los Estados miembros le exija otra cosa, en cuyo caso Whapier informa al Cliente antes del tratamiento, salvo que dicho Derecho lo prohíba. Whapier informa inmediatamente al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.
5. Confidencialidad y seguridad (artículo 32)
Las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad. Teniendo en cuenta el estado de la técnica y los riesgos, Whapier aplica y mantiene, entre otras, las siguientes medidas: cifrado TLS en tránsito; hash de las contraseñas con sal; claves de API almacenadas como hash y revocables una a una; control de acceso basado en roles y autenticación de dos factores opcional; verificación de la firma de los webhooks entrantes; separación lógica de los datos de cada organización; alojamiento en la UE; copias de seguridad; acceso al entorno de producción según el principio de mínimo privilegio, limitado al personal de operaciones; registro de los accesos administrativos.
6. Subencargados del tratamiento
El Cliente otorga una autorización general para recurrir a subencargados del tratamiento. La lista actual es la siguiente:
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Meta Platforms Ireland Ltd | WhatsApp Business Platform — transmisión de mensajes | Irlanda / grupo Meta, según sus condiciones |
| Proveedor de alojamiento de la UE | Infraestructura, almacenamiento, copias de seguridad | Unión Europea |
| Hetzner Online GmbH | Almacenamiento de objetos para los archivos intercambiados en las conversaciones (imágenes, documentos, audio, vídeo) | Alemania (Núremberg) |
| Stripe Payments Europe Ltd | Procesamiento de los pagos de las suscripciones (datos de los que Whapier es responsable; se incluye por transparencia) | Irlanda |
| Pusher (grupo MessageBird) | Entrega en tiempo real de las actualizaciones de las conversaciones a las sesiones de navegador del propio Cliente | Unión Europea (clúster de la UE) |
| OpenAI (región de la UE) | Respuestas asistidas por IA, transcripción y búsqueda en documentos — solo interviene si el Cliente activa el complemento IntelliReply | Unión Europea (endpoint con residencia de datos en la UE, sin conservación de datos y sin entrenamiento con datos de los clientes) |
| Oblio Software SRL | Emisión de facturas fiscales (datos de los que Whapier es responsable; se incluye por transparencia) | Rumanía |
Whapier informa a los titulares de las cuentas, por correo electrónico y con al menos 14 días de antelación, de las incorporaciones o sustituciones previstas; el Cliente puede oponerse por motivos razonables de protección de datos y, si no se encuentra una solución, resolver el contrato respecto del servicio afectado. Whapier impone a cada subencargado obligaciones de protección de datos que no ofrezcan menos protección que este Contrato de encargo y sigue siendo plenamente responsable ante el Cliente del cumplimiento de dichas obligaciones.
7. Asistencia y notificaciones
Whapier asiste al Cliente, siempre que sea posible y mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de los interesados (artículos 15 a 22) —las funciones de exportación, rectificación y supresión del producto son el primer instrumento para ello— y en el cumplimiento de las obligaciones del Cliente previstas en los artículos 32 a 36 (seguridad, notificación de violaciones, evaluaciones de impacto). Whapier notifica al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente, con la información que exige el artículo 33, apartado 3, a medida que se disponga de ella.
8. Supresión y devolución
Durante la vigencia del contrato, el Cliente puede exportar en cualquier momento los contactos y los resultados de las conversaciones. Al cerrarse la cuenta, Whapier suprime o anonimiza de forma irreversible el contenido del Cliente en un plazo de 90 días, salvo que el Derecho de la Unión o de los Estados miembros exija una conservación más prolongada (en cuyo caso los datos quedan bloqueados para cualquier otro uso). Previa solicitud, Whapier confirma la supresión por escrito.
9. Auditoría
Whapier pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 y, como máximo una vez al año, salvo que una autoridad de control exija otra cosa o se haya producido una violación de la seguridad, permite la realización de auditorías: en primer lugar, respondiendo a un cuestionario escrito y, cuando sea realmente necesario, mediante una inspección presencial o remota en horario laboral, con sujeción a confidencialidad y a cargo del Cliente.
10. Transferencias internacionales, responsabilidad, prelación
El tratamiento se realiza en la UE; cualquier transferencia fuera del EEE por parte de un subencargado se basa en una decisión de adecuación o en cláusulas contractuales tipo (véase la cláusula 6). La responsabilidad se rige por los Términos del servicio. En caso de contradicción entre este Contrato de encargo y los Términos en materia de protección de datos, prevalece este Contrato de encargo. Se aplica la legislación rumana.