Acuerdo de encargo de tratamiento (DPA)

Forma parte de los Términos de Tutti.

Este acuerdo regula el tratamiento que Detach Labs Limited ("Encargado" o "Tutti") realiza por cuenta del usuario de Tutti ("Responsable" o "tú") de los datos personales de tus clientes finales, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y normativa equivalente. Se aplica automáticamente a todo usuario; no hace falta firmarlo. Si necesitas una copia firmada, pídela en hello@usetutti.io.

1. Objeto, naturaleza y duración

Tutti trata datos personales de tus clientes finales para prestarte el Servicio: generar y enviar presupuestos, facturas, albaranes y mensajes, registrar cobros, recordatorios y trabajos, atender a tus clientes mediante la recepcionista virtual si la activas, y alojar esos datos en tu instancia. El tratamiento dura mientras tengas cuenta y durante el plazo de borrado de la sección 9.

2. Datos y personas afectadas

Personas afectadas: tus clientes y potenciales clientes, y las personas de contacto de tus clientes empresa.

Categorías de datos: identificación (nombre, identificador fiscal), contacto (teléfono, correo, dirección), datos de los trabajos (descripción, dirección de la obra, fotos, precios, estado de pago) y, si usas la recepcionista virtual o un número conectado, el contenido de los mensajes que esas personas te envían. No se tratan categorías especiales de forma intencionada.

3. Instrucciones

Tutti trata estos datos solo según tus instrucciones, que son: las de este acuerdo, los Términos, la configuración que haces en el Servicio y las órdenes que das al asistente. Si creemos que una instrucción infringe la ley te lo diremos. Tutti no usará estos datos para fines propios, salvo lo previsto en la sección 10 (datos agregados y anonimizados).

4. Confidencialidad

Las personas que acceden a los datos por cuenta de Tutti están sujetas a un deber de confidencialidad y acceden solo cuando es necesario para soporte, calidad o seguridad.

5. Seguridad

Tutti aplica las medidas del Anexo I y las revisa periódicamente. Si se produce una violación de seguridad que afecte a los datos de tus clientes, te lo notificaremos sin dilación indebida y en todo caso en 48 horas desde que la conozcamos, con la información disponible para que puedas cumplir tus propias obligaciones (incluida la notificación a la autoridad en 72 horas si procede).

6. Subencargados

Nos autorizas a usar los subencargados listados en la Política de privacidad (soytutti.com/privacy, sección 9). Cada uno está sujeto a obligaciones equivalentes a las de este acuerdo. Si añadimos o sustituimos un subencargado que trate datos de tus clientes finales lo publicaremos con 30 días de antelación; si tienes un motivo razonable para oponerte y no encontramos una alternativa, podrás cancelar la suscripción sin penalización.

7. Ayuda con los derechos de los interesados

Si uno de tus clientes ejerce sus derechos ante nosotros, te lo trasladaremos sin demora. Las herramientas del Servicio te permiten consultar, corregir y borrar los datos de tus clientes; si necesitas algo que no puedas hacer desde el Servicio, te ayudaremos en un plazo razonable. Te ayudaremos también, en lo que esté a nuestro alcance, en evaluaciones de impacto o consultas a la autoridad que debas realizar.

8. Transferencias internacionales

Algunos subencargados están fuera del Espacio Económico Europeo. Las transferencias se amparan en Cláusulas Contractuales Tipo o en la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU., con las medidas adicionales descritas en la Política de privacidad.

9. Devolución y borrado

Puedes exportar los datos de tus clientes desde el Servicio en cualquier momento. Al cancelar la cuenta, los datos se conservan 60 días para permitir la reactivación y después se borran de forma irreversible, con un plazo adicional de 14 días para la eliminación de copias de seguridad. Si quieres el borrado inmediato, pídelo en hello@usetutti.io. Conservaremos solo lo que una ley nos obligue a conservar.

10. Datos agregados y anonimizados

Nos autorizas a elaborar, a partir del tratamiento realizado por tu cuenta, estadísticas, comparativas e informes agregados y anonimizados, con la condición de que no permitan identificar, directa ni indirectamente, a ninguna persona física ni a tu negocio, aplicando el estándar publicado en soytutti.com/anonimizacion. Esta actividad no incluye nunca los datos de contacto ni la identidad de tus clientes finales, es compatible con la finalidad original del tratamiento y no constituye una cesión de datos personales. Los resultados no son datos personales y Tutti puede usarlos conforme a la sección 8.4 de los Términos.

11. Auditoría

Una vez al año, previo aviso de 30 días, puedes pedirnos la información necesaria para comprobar que cumplimos este acuerdo (descripción de medidas, lista de subencargados, certificaciones de los proveedores). Si eso no fuera suficiente por una obligación legal tuya, acordaremos una auditoría proporcionada, a tu cargo.

12. Responsabilidad y duración

La responsabilidad de cada parte se rige por los Términos. Este acuerdo dura lo mismo que tu suscripción y, en lo relativo al borrado, hasta que se complete.

---

Anexo I. Medidas de seguridad

• Cifrado de las comunicaciones en tránsito y de los datos en reposo.
• Control de acceso por roles y registro de accesos.
• Aislamiento de los datos de cada cliente en su propia instancia.
• Verificación del origen de los mensajes entrantes.
• Copias de seguridad periódicas.
• Revisiones de seguridad periódicas y canal público de reporte (security.txt).
• Caducidad automática de los mensajes y archivos de las conversaciones.
• Contratos de tratamiento con todos los subencargados; proveedores de IA en condiciones de API sin uso para entrenamiento.
• Formación y deber de confidencialidad del personal con acceso.