Este Acuerdo de Encargado del Tratamiento (“DPA”) forma parte de las condiciones contratadas por el Cliente (Responsable del Tratamiento de los datos de sus usuarios finales) con Active Network Global SL (en adelante, “InBoxIA” o el “Encargado”), y regula el tratamiento de datos personales que InBoxIA realiza en nombre del Cliente al prestar el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes

Responsable del Tratamiento: el Cliente que contrata y usa la plataforma InBoxIA para gestionar su propio negocio y a sus propios usuarios finales.
Encargado del Tratamiento: Active Network Global SL, NIF B93372217, C/ Decano Manuel Dominguez 12, 29140 Málaga, España — titular de inbox-ia.com y app.inbox-ia.com.

2. Objeto, naturaleza y finalidad del tratamiento

El Encargado tratará los datos personales que el Cliente introduce o recibe a través de la plataforma, única y exclusivamente para prestar el servicio contratado: gestión de agentes de IA, procesamiento de conversaciones por los canales conectados (WhatsApp, Instagram, Messenger y otros), agendamiento de citas, gestión de la base de conocimiento, funciones de Social Hub y demás funcionalidades que el Cliente active. El Encargado no tratará los datos para ningún fin propio ni distinto del indicado en este DPA y en la Política de Privacidad.

3. Tipos de datos tratados

Datos identificativos y de contacto de los usuarios finales del Cliente (nombre, número de teléfono o ID de la plataforma de mensajería)
Contenido de las conversaciones: mensajes de texto y archivos multimedia (fotos, vídeos, audios, documentos)
Datos de citas y calendario gestionados por el agente de IA en nombre del Cliente
Datos de negocio que el propio Cliente configura (catálogo, horarios, base de conocimiento)
Metadatos técnicos de las conversaciones (fechas, estados, etiquetas)

El Encargado no determina qué categorías de datos recibe de los usuarios finales: estos dependen de lo que el Cliente y sus usuarios se comuniquen a través de los canales conectados.

4. Categorías de interesados

Usuarios finales del Cliente (clientes, contactos o pacientes del negocio del Cliente, según su actividad)
Personal del Cliente autorizado a usar la plataforma (agentes, administradores de la cuenta)

5. Obligaciones del Encargado (Art. 28 RGPD)

El Encargado se compromete a:

Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, materializadas en la configuración del servicio y en este DPA
Garantizar que el personal autorizado a tratar los datos está sujeto a un deber de confidencialidad
Aplicar las medidas técnicas y organizativas exigidas por el artículo 32 RGPD (ver sección 8)
Asistir al Cliente en la respuesta a solicitudes de ejercicio de derechos de sus usuarios finales
Notificar al Cliente, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento
Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones, y permitir y contribuir a auditorías razonables
Suprimir o devolver todos los datos personales al finalizar la prestación del servicio, salvo obligación legal de conservación (ver sección 10)

6. Subencargados

El Cliente autoriza con carácter general al Encargado a recurrir a los siguientes subencargados, necesarios para prestar el servicio, todos ellos sujetos a obligaciones de protección de datos equivalentes a las de este DPA:

OpenAI (EE.UU.) — procesamiento de lenguaje natural, análisis de imágenes y transcripción de audio
Groq (EE.UU.) — procesamiento con IA para el asistente de soporte interno de la plataforma
Stripe (EE.UU.) — procesamiento de pagos y gestión de suscripciones
Meta Platforms (EE.UU.) — integración con WhatsApp, Instagram, Messenger, Facebook Pages y Threads
Google (EE.UU.) — integración con Google Calendar, YouTube y Google My Business
TikTok, LinkedIn (Microsoft), X Corp., Pinterest, Reddit y demás plataformas del módulo Social Hub que el Cliente active voluntariamente
PostHog (UE) — analítica de producto, instancia alojada en la Unión Europea
Hetzner Online GmbH (Alemania, UE) — alojamiento de servidores e infraestructura

El Encargado informará al Cliente de cualquier cambio previsto en esta lista con antelación razonable, dando al Cliente la oportunidad de oponerse a dicho cambio. Esta lista coincide con la relación de proveedores publicada en la Política de Privacidad.

7. Transferencias internacionales

Cuando un subencargado se encuentre fuera del Espacio Económico Europeo, la transferencia se realiza al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea y/o el Marco de Privacidad UE-EE.UU., según corresponda al proveedor.

8. Medidas de seguridad

El Encargado aplica, entre otras, las siguientes medidas: cifrado de contraseñas (bcrypt), comunicaciones cifradas mediante HTTPS/TLS, autenticación mediante tokens JWT, almacenamiento cifrado de tokens de terceros, y un sistema de prevención de fraude. El detalle completo figura en la sección de Seguridad de la Política de Privacidad.

9. Duración y destino de los datos

Este DPA estará vigente mientras exista la relación contractual entre el Cliente y el Encargado. Al finalizar dicha relación, el Encargado suprimirá o devolverá al Cliente, a su elección, todos los datos personales tratados en su nombre, salvo que una norma exija su conservación (por ejemplo, obligaciones fiscales sobre datos de pago), en cuyo caso se conservarán únicamente durante el plazo legal correspondiente y con el único fin de cumplir dicha obligación.

10. Responsabilidad

Cada parte es responsable del cumplimiento de sus propias obligaciones conforme al RGPD. El Encargado responderá de los daños causados por un tratamiento que incumpla las obligaciones de este DPA o las instrucciones lícitas del Cliente.

11. Contacto

Para cualquier consulta sobre este Acuerdo de Encargado del Tratamiento, puedes escribir a agent@inbox-ia.com.