Acuerdo de encargo de tratamiento de datos

Este es el modelo de acuerdo que firma cada empresa que contrata el Facturador, Support IA o un desarrollo a medida que trate datos personales. Lo exige la Ley Orgánica de Protección de Datos Personales cuando una empresa, la responsable, confía el tratamiento de datos personales a otra, la encargada. [Revisar con el abogado antes de usarlo; puede ir como anexo de la propuesta.]

Partes

• Responsable: [razón social de la empresa cliente], con RUC [RUC del cliente].
• Encargado: [Razón social de Deployits], con RUC [RUC de la empresa].

Objeto

El encargado trata datos personales por cuenta del responsable solo para prestar el servicio contratado:

Servicio	Datos	Personas
Facturador	Identificación, contacto y datos de facturación	Clientes y proveedores del responsable
Support IA	Mensajes, notas de voz, números de WhatsApp y los documentos que el responsable carga	Clientes del responsable que le escriben por WhatsApp o por el chat de su sitio
Desarrollo a medida	Los que defina la propuesta de cada proyecto	Las que defina la propuesta
Todos	Nombre, correo, perfil y registros de acceso	Usuarios del responsable

Obligaciones del encargado

Deployits se compromete a:

1. Tratar los datos solo según las instrucciones del responsable y para prestar el servicio. No los usa para fines propios ni los vende o cede.
2. Guardar confidencialidad. Solo acceden las personas del equipo que lo necesitan, y están obligadas a la misma confidencialidad.
3. Aplicar medidas de seguridad:
   • conexiones cifradas;
   • acceso por usuario y perfil, con segundo factor para quienes administran;
   • registro de quién hace cada cambio;
   • copias de respaldo;
   • separación de los datos de cada empresa.
4. Avisar sin demora al responsable de cualquier vulneración de seguridad que afecte sus datos, con la información disponible, para que pueda notificarla a la autoridad y a las personas afectadas.
5. Ayudar al responsable a atender las solicitudes de acceso, rectificación, eliminación y demás derechos de las personas.
6. Usar subencargados solo con conocimiento del responsable. La lista vigente está al final de este acuerdo. Cada subencargado queda obligado a las mismas reglas.
7. Devolver y borrar los datos al terminar el servicio, también cuando el responsable lo da de baja desde la página Dar de baja o ejercer tus derechos. Primero se entregan al responsable, en [plazo] días, y luego se eliminan de los servidores del encargado en [plazo acordado], salvo lo que una norma obligue a conservar.
8. Permitir la verificación. Entrega la información que el responsable necesite para comprobar que se cumple este acuerdo. [Definir si se aceptan auditorías y con qué aviso.]

Obligaciones del responsable

• Contar con la base legal para tratar los datos de sus clientes y proveedores, e informarles como exige la ley.
• Dar instrucciones conformes a la ley.
• En Support IA, informar a quienes le escriben que los atiende un asistente de inteligencia artificial y que una persona puede revisar la conversación.

Subencargados

Subencargado	Para qué	País
[Proveedor del servidor]	Alojar el servicio, si se instala en el servidor de Deployits	[País]
[Proveedor del correo]	Enviar los comprobantes y avisos por correo	[País]
Google (Firebase Cloud Messaging)	Avisos a la app de Support IA; cada aviso lleva solo el tipo, el alias de la cuenta y los identificadores, nunca mensajes ni números de clientes	Estados Unidos
[Proveedor externo de modelos de IA, solo si el responsable lo elige]	Generar las respuestas del asistente	[País]

Los datos que se transfieren fuera de Ecuador cumplen las condiciones que la ley establece para las transferencias internacionales. [Revisar con el abogado cuáles aplican a cada proveedor.]

Duración

Este acuerdo dura lo mismo que el servicio y, después, mientras el encargado conserve datos del responsable.