Acuerdo de tratamiento de datos

Este Addendum de tratamiento de datos («DPA») forma parte de, y se incorpora a, los Términos de Servicio u otro acuerdo escrito o electrónico («Acuerdo») entre Deliberate Livin LLC («KlientHQ», «Encargado», «nosotros», «nos» o «nuestro»), una compañía de responsabilidad limitada de Texas, y la entidad cliente que es parte del Acuerdo («Cliente» o «Responsable»). Los términos en mayúscula no definidos en el presente tienen el significado establecido en el Acuerdo.

Este DPA aplica cuando el Encargado Trata Datos Personales en nombre del Cliente al prestar los Servicios.

1. Definiciones

• «CCPA/CPRA» significa la California Consumer Privacy Act de 2018 (Cal. Civ. Code § 1798.100 et seq.), según fue enmendada por la California Privacy Rights Act, y su reglamentación.
• «Leyes de Protección de Datos» significa todas las leyes aplicables relativas a privacidad, protección de datos y seguridad, incluidas CCPA/CPRA, Virginia Consumer Data Protection Act, Colorado Privacy Act y otras leyes estatales similares de EE. UU. (en conjunto, «Leyes de Privacidad de EE. UU.»).
• «Datos Personales» significa cualquier información relativa a una persona natural identificada o identificable que el Cliente proporciona al Encargado o que el Encargado Trata en nombre del Cliente en conexión con los Servicios, incluidos nombres, direcciones de correo, números de teléfono, direcciones, ubicaciones de trabajos, firmas y otros datos descritos en el Anexo 1.
• «Tratar» o «Tratamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales.
• «Servicios» significa la plataforma de gestión de servicios de campo proporcionada por el Encargado conforme al Acuerdo.
• «Subencargado» significa cualquier tercero contratado por el Encargado para Tratar Datos Personales.

2. Roles de las partes

El Cliente es el Responsable (o «Business» conforme a CCPA/CPRA) y el Encargado es el Encargado (o «Service Provider» conforme a CCPA/CPRA). El Encargado Tratará Datos Personales únicamente como proveedor de servicios según las instrucciones documentadas del Cliente, con el fin de prestar los Servicios y de conformidad con este DPA.

3. Instrucciones de tratamiento

El Encargado Tratará Datos Personales únicamente:

• Para prestar los Servicios;
• Según sea necesario para cumplir la ley aplicable;
• Según se documenta en este DPA o en el Acuerdo;
• Conforme a instrucciones escritas adicionales del Cliente.

Si el Encargado considera que una instrucción infringe las Leyes de Protección de Datos, informará al Cliente de inmediato.

4. Detalles del tratamiento

El objeto, la duración, la naturaleza, la finalidad, los tipos de Datos Personales y las categorías de Interesados se describen en el Anexo 1 (Detalles del tratamiento).

5. Confidencialidad

El Encargado se asegurará de que las personas autorizadas a Tratar Datos Personales estén sujetas a obligaciones de confidencialidad.

6. Seguridad

El Encargado implementará y mantendrá medidas técnicas y organizativas adecuadas al riesgo, incluidas las descritas en el Anexo 2 (Medidas de seguridad). El Encargado usa cifrado TLS en tránsito y AES-256 en reposo, y no almacena números completos de tarjetas de pago (procesados a través de Stripe).

7. Subencargados

El Cliente otorga autorización general para que el Encargado contrate a los Subencargados listados en el Anexo 3 (Subencargados actuales).

El Encargado notificará al Cliente sobre Subencargados nuevos o de reemplazo con al menos 30 días de anticipación (por correo o notificación en la cuenta). El Cliente puede objetar dentro de 15 días; las partes negociarán de buena fe.

El Encargado vinculará a los Subencargados a obligaciones sustancialmente similares a este DPA.

8. Derechos de los interesados y asistencia

El Encargado asistirá al Cliente (a costa del Cliente) en la respuesta a solicitudes de Interesados (acceso, eliminación, corrección, exclusión) y con obligaciones de cumplimiento (p. ej., evaluaciones), en la medida legalmente requerida y técnicamente viable.

9. Notificación de violaciones de datos

El Encargado notificará al Cliente sin dilación indebida (y, en cualquier caso, dentro de 72 horas) después de tener conocimiento de una Violación de Datos Personales. La notificación incluirá la naturaleza, los datos afectados, las acciones correctivas y los pasos de mitigación.

10. Disposiciones específicas de CCPA/CPRA

El Encargado:

• Recibe Datos Personales únicamente para el propósito comercial de prestar los Servicios;
• No retendrá, usará, revelará ni venderá Datos Personales excepto según sea necesario para los Servicios o según lo permita CCPA/CPRA;
• No combinará Datos Personales con datos de otras fuentes excepto según esté permitido;
• Certifica el cumplimiento de las obligaciones de CCPA/CPRA.

11. Eliminación o devolución de Datos Personales

Al terminar/expirar el Acuerdo, el Encargado (a elección del Cliente) eliminará o devolverá todos los Datos Personales y certificará la eliminación dentro de 30 días, salvo lo que exija la ley.

12. Auditorías

El Cliente puede solicitar una auditoría una vez cada 12 meses (a costa del Cliente) con 30 días de aviso. El Encargado puede satisfacer la auditoría mediante informes de terceros (p. ej., SOC 2) o inspección in situ (alcance limitado).

13. Transferencias internacionales

Todo el Tratamiento ocurre en Estados Unidos. Si ocurre alguna transferencia fuera de EE. UU., el Encargado garantizará salvaguardas adecuadas.

14. Vigencia y terminación

Este DPA sobrevive a la terminación del Acuerdo mientras el Encargado Trate Datos Personales. Termina cuando todos los Datos Personales se hayan eliminado/devuelto.

15. Ley aplicable

Se rige por la ley de Texas, sin consideración al conflicto de leyes.

Anexo 1 – Detalles del tratamiento

• Objeto: Prestación de SaaS de gestión de servicios de campo (programación, gestión de clientes, outreach por SMS/correo, facturación, pagos y, de forma opcional, manejo de llamadas de voz/IA).
• Duración: Vigencia del Acuerdo + período de cierre posterior a la terminación.
• Naturaleza/Finalidad: Recolección, almacenamiento, análisis y transmisión para programación de trabajos, recordatorios, comunicaciones y facturación.
• Categorías de Interesados: Clientes finales del Cliente (propietarios/clientes empresariales), miembros del equipo.
• Tipos de Datos Personales: Nombres, correos, números de teléfono, direcciones, ubicaciones de trabajos/geolocalización, firmas, métodos de pago (a través de Stripe o Square), historial de comunicaciones y —cuando el Agente de ventas o las funciones de voz estén habilitados— grabaciones de llamadas, transcripciones, audio de buzón de voz y resúmenes de llamadas generados por IA.

Anexo 2 – Medidas de seguridad

• Cifrado: TLS 1.2+ en tránsito; AES-256 en reposo.
• Controles de acceso: RBAC, mínimo privilegio, MFA.
• Monitoreo: Registros, detección de anomalías.
• Respuesta a incidentes: Plan de incidentes, procedimientos de notificación.
• Físicas: Centros de datos seguros (Google Cloud).

Anexo 3 – Subencargados actuales