Acuerdo de tratamiento de datos de NeuroAI

Resumen en lenguaje claro (no sustituye al texto del acuerdo)

• Los datos de sus contactos (sus clientes, prospectos y visitantes) son suyos. Usted decide qué datos recoge y para qué; NeuroAI solo los trata para prestarle el servicio y según sus instrucciones.
• NeuroAI no vende esos datos, no los usa para su propio marketing y no comparte los números de móvil ni los consentimientos de SMS con terceros para fines de marketing.
• NeuroAI usa proveedores (nube, mensajería y telefonía, modelos de IA, soporte) con obligaciones de protección similares a las de este acuerdo, y le avisa al menos 30 días antes de añadir o sustituir alguno.
• Si una brecha de seguridad afecta a sus datos, le avisamos sin demora indebida (como máximo, 72 horas desde que la confirmamos).
• Usted es responsable de tener el permiso (consentimiento) de sus contactos para escribirles, llamarles o enviarles SMS, WhatsApp o correos, y de cumplir las leyes que le aplican.
• Al terminar, tiene 30 días para reactivar la cuenta o pedir una exportación de sus datos (gratis una vez); los datos se eliminan a más tardar a los 90 días de la fecha de fin.

1.Partes y aceptación

1.1Este Acuerdo de tratamiento de datos (el «Acuerdo» o «DPA») se celebra entre NeuroAI Inc., una sociedad de Delaware (Estados Unidos), con dirección en 254 Chapman Rd, Ste 208 #24811, Newark, DE 19702, United States («NeuroAI» o «nosotros»), titular de la marca NeuroAI y del servicio NeuroAI Studio (https://neuroaistudio.com y app.neuroaistudio.com), y la persona o empresa que contrata una suscripción de NeuroAI para su negocio (el «Cliente» o «usted»).

1.2Este Acuerdo forma parte de los Términos de servicio de NeuroAI (los «Términos», publicados en https://neuroaistudio.com/legal/terminos) y se publica en https://neuroaistudio.com/legal/dpa. El Cliente lo acepta al marcar la casilla de aceptación obligatoria en el proceso de pago o al usar el Servicio. Quien lo acepta en nombre de una empresa declara que tiene facultades para obligarla.

1.3Si el Cliente necesita una copia firmada de este Acuerdo (por ejemplo, para sus propias auditorías o autoridades), puede pedirla a legal@neuroaistudio.com (sección 19), y NeuroAI se la enviará firmada.

2.Definiciones

Las palabras con mayúscula inicial que no se definen aquí tienen el significado que les dan los Términos.

• «Leyes de Protección de Datos»: todas las leyes de privacidad y protección de datos que se apliquen al tratamiento de los Datos del Cliente, incluidas, cuando correspondan: la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California (CCPA/CPRA), y su reglamento; las demás leyes estatales de privacidad de EE. UU. (por ejemplo, las de Virginia, Colorado, Connecticut, Utah y Texas); el Reglamento General de Protección de Datos de la Unión Europea (RGPD o GDPR) y sus equivalentes del Reino Unido y de Suiza; la Ley 81 de 2018 del Líbano sobre transacciones electrónicas y datos personales; y las leyes de protección de datos de Latinoamérica que correspondan (por ejemplo, la LGPD de Brasil, la Ley 1581 de 2012 de Colombia, la Ley 25.326 de Argentina y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México).
• «Leyes de Comunicaciones»: la Ley de Protección al Consumidor Telefónico de EE. UU. (TCPA) y las normas de la Comisión Federal de Comunicaciones (FCC); la ley CAN-SPAM; las leyes estatales de telemercadeo (por ejemplo, la Florida Telephone Solicitation Act); el Registro Nacional «No Llame» (National Do Not Call Registry); los Principios y Mejores Prácticas de Mensajería de CTIA y las reglas A2P 10DLC de los operadores móviles; la Política de WhatsApp Business y las demás condiciones y políticas de Meta; y las leyes equivalentes de otros países.
• «Datos del Cliente»: los datos personales de los Contactos y de los Usuarios del Cliente que el Cliente, sus Usuarios o sus Contactos introducen, suben, envían o generan en el Servicio, o que el Servicio recibe de los canales que el Cliente conecta.
• «Contactos»: las personas con las que se relaciona el negocio del Cliente: clientes, prospectos, visitantes de sus páginas, personas que llenan sus formularios, escriben o llaman a sus canales, agendan citas, compran o reciben sus comunicaciones.
• «Usuarios»: las personas del equipo del Cliente que tienen acceso a su cuenta.
• «Tratamiento» o «tratar»: cualquier operación con datos personales, como recoger, guardar, organizar, consultar, usar, enviar, transcribir, analizar, modificar o eliminar.
• «Responsable»: quien decide para qué y cómo se tratan los datos personales (en otras leyes: «controller», «business» o «controlador»). En este Acuerdo, el Cliente.
• «Encargado»: quien trata datos personales por cuenta del Responsable (en otras leyes: «processor», «service provider», «contractor» o «procesador»). En este Acuerdo, NeuroAI.
• «Subencargado»: el proveedor contratado por NeuroAI que trata Datos del Cliente para ayudar a prestar el Servicio.
• «Brecha de seguridad»: una violación de la seguridad que provoque la destrucción, pérdida, alteración, divulgación o acceso no autorizados o accidentales a Datos del Cliente. No incluye los intentos fallidos que no comprometen los datos (por ejemplo, escaneos de red o intentos fallidos de inicio de sesión).
• «Servicio»: el software de NeuroAI (CRM, web, agenda, mensajería por WhatsApp, SMS y correo, NEO y demás funciones) según el plan contratado.
• «NEO»: el asistente virtual con inteligencia artificial de NeuroAI que el Cliente puede configurar para responder a sus Contactos.

3.Objeto, alcance y papeles de cada parte

3.1Objeto. Este Acuerdo regula cómo NeuroAI trata los Datos del Cliente por cuenta del Cliente cuando presta el Servicio. La descripción del tratamiento (personas afectadas, tipos de datos, naturaleza, finalidad y duración) está en el Anexo 1.

3.2Papeles. Respecto de los Datos del Cliente, el Cliente es el Responsable y NeuroAI es el Encargado. Si el Cliente trata esos datos a su vez por cuenta de otra persona (por ejemplo, una agencia que gestiona los datos de sus propios clientes, lo que solo se permite con un contrato aparte firmado con NeuroAI), el Cliente garantiza que tiene la autorización de ese responsable, y NeuroAI actuará como subencargado.

3.3Lo que este Acuerdo no cubre. Este Acuerdo no se aplica a los datos que NeuroAI trata como responsable para gestionar su propia relación con el Cliente: cuenta, facturación, pagos, soporte, seguridad, prevención de fraude, cumplimiento legal, comunicaciones de NeuroAI con el Cliente y métricas de uso del Servicio. Esos datos se rigen por la Política de privacidad de NeuroAI.

3.4Finalidad limitada. NeuroAI trata los Datos del Cliente solo para:

• (a)prestar, mantener, proteger y dar soporte al Servicio;
• (b)cumplir las instrucciones del Cliente (sección 4);
• (c)medir el consumo (mensajes, minutos, uso de IA y tarifas de Meta) para cobrarlo de la billetera del Cliente y aplicar los límites de gasto y los avisos;
• (d)prevenir fraude, abuso, spam y amenazas de seguridad; y
• (e)cumplir la ley.

4.Instrucciones del Cliente

4.1NeuroAI trata los Datos del Cliente solo según las instrucciones documentadas del Cliente, salvo que la ley le obligue a otra cosa. En ese caso, NeuroAI informará al Cliente antes de tratar los datos, salvo que la ley lo prohíba.

4.2Son instrucciones del Cliente:

• (a)este Acuerdo y los Términos;
• (b)la configuración que el Cliente y sus Usuarios hacen en el Servicio (por ejemplo, formularios, automatizaciones, campañas, calendarios, la configuración de NEO, las integraciones que conectan y la importación o eliminación de contactos); y
• (c)otras instrucciones escritas razonables que el Cliente envíe por los canales de soporte y que sean compatibles con el Servicio.

4.3Si NeuroAI cree que una instrucción infringe las Leyes de Protección de Datos o las Leyes de Comunicaciones, se lo dirá al Cliente y podrá no ejecutarla, o suspender el tratamiento afectado, hasta que el Cliente la confirme o la cambie. NeuroAI no está obligado a revisar si las instrucciones del Cliente son legales, y ese aviso no es asesoría legal.

4.4Las instrucciones que exijan funciones nuevas o trabajo fuera del Servicio estándar no están incluidas en el plan. Si NeuroAI puede atenderlas, las presupuestará aparte, y solo las ejecutará después de que el Cliente acepte el presupuesto por escrito.

5.Compromisos de NeuroAI como proveedor de servicios (CCPA/CPRA y leyes estatales)

5.1NeuroAI:

• (a)no vende ni «comparte» los Datos del Cliente (compartir en el sentido de la CCPA/CPRA, es decir, para publicidad conductual entre contextos);
• (b)no retiene, usa ni divulga los Datos del Cliente para finalidades distintas de las del apartado 3.4, ni fuera de su relación directa con el Cliente, incluido su propio marketing;
• (c)no combina los Datos del Cliente con datos personales que reciba de otras personas o que recoja por su cuenta, salvo en lo que permitan la CCPA/CPRA y su reglamento (por ejemplo, para seguridad y prevención de fraude);
• (d)no comparte con terceros ni con afiliados, para fines de marketing o promoción, los números de teléfono móvil de los Contactos ni los registros de consentimiento (opt-in) para mensajes de texto; esa información solo se usa para prestar el Servicio y solo llega a los Subencargados que la necesitan para entregar los mensajes o dar soporte;
• (e)cumple las obligaciones que las Leyes de Protección de Datos imponen a los encargados y da a los Datos del Cliente el nivel de protección que esas leyes exigen;
• (f)avisará al Cliente si determina que ya no puede cumplir sus obligaciones según las Leyes de Protección de Datos; y
• (g)permite al Cliente tomar, previo aviso, medidas razonables y apropiadas para detener y corregir un uso no autorizado de los Datos del Cliente (por ejemplo, exportarlos, eliminarlos o desconectar integraciones).

NeuroAI certifica que entiende estas restricciones y que las cumplirá.

5.2Datos agregados o desidentificados. NeuroAI puede crear estadísticas agregadas o datos desidentificados a partir del uso del Servicio (por ejemplo, número de mensajes enviados o tiempo medio de respuesta) para operar, facturar y mejorar el Servicio, siempre que esos datos no permitan identificar al Cliente ni a ninguna persona, que NeuroAI no intente reidentificarlos y que cualquier tercero que los reciba se comprometa a lo mismo. Los datos de WhatsApp no se usan, ni siquiera agregados o anonimizados, para crear, entrenar ni mejorar modelos de IA.

6.Confidencialidad

6.1NeuroAI trata los Datos del Cliente como información confidencial.

6.2NeuroAI solo da acceso a los Datos del Cliente al personal, a los colaboradores y a los Subencargados que lo necesitan para prestar el Servicio o dar soporte, y solo en la medida necesaria. Todos ellos están sujetos a obligaciones de confidencialidad por escrito o a un deber legal de confidencialidad.

6.3El personal de soporte de NeuroAI o de sus Subencargados solo entra en la cuenta del Cliente cuando hace falta para atender una solicitud del Cliente, resolver una incidencia, proteger la seguridad o cumplir la ley.

6.4Solicitudes de autoridades. Si una autoridad pide a NeuroAI Datos del Cliente, NeuroAI intentará remitirla al Cliente y, si la ley lo permite, avisará al Cliente con prontitud para que pueda oponerse. NeuroAI solo entregará los datos que esté legalmente obligado a entregar.

7.Seguridad

7.1NeuroAI aplica, directamente o por medio de sus Subencargados, medidas técnicas y organizativas razonables y adecuadas al riesgo para proteger los Datos del Cliente. Esas medidas se describen en el Anexo 2. NeuroAI puede actualizarlas siempre que no reduzcan el nivel general de protección.

7.2La seguridad es compartida. El Cliente es responsable de: gestionar a sus Usuarios y sus permisos; usar contraseñas seguras y activar la verificación en dos pasos; no compartir credenciales; retirar el acceso a quien deje su equipo; proteger sus dispositivos y las cuentas de terceros que conecta (por ejemplo, su cuenta de Meta o de Google); y configurar el Servicio de forma segura.

7.3Datos prohibidos. El Servicio no está diseñado para datos sensibles. Salvo acuerdo escrito de NeuroAI, el Cliente no debe subir ni recoger por medio del Servicio: números de tarjetas de pago o de cuentas bancarias; números de Seguro Social, pasaportes u otros documentos de identidad oficiales; datos biométricos o genéticos; contraseñas de terceros; ni datos de menores de 13 años (o de 16 años donde la ley local lo exija). La información de salud (incluida la protegida por la ley HIPAA o por otras leyes de salud) está prohibida siempre, sin excepciones. NeuroAI no presta el Servicio a negocios de salud de ningún tipo, traten o no información de salud protegida (según se describen en la Política de uso aceptable, mensajería e IA), y no firma acuerdos de socio comercial de la ley HIPAA (Business Associate Agreements). Los pagos que los Contactos hacen al Cliente se procesan por procesadores de pago (por ejemplo, Stripe), y NeuroAI no guarda los números completos de tarjeta.

8.Subencargados

8.1Autorización general. El Cliente autoriza a NeuroAI a contratar Subencargados de las categorías del Anexo 3 para prestar el Servicio.

8.2Condiciones. NeuroAI:

• (a)evalúa de forma razonable las prácticas de seguridad y privacidad de cada Subencargado antes de usarlo;
• (b)le impone por contrato obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, en lo que corresponda al servicio que presta; y
• (c)sigue siendo responsable ante el Cliente del cumplimiento de sus Subencargados, en los términos y con los límites de este Acuerdo y de los Términos.

8.3Información. NeuroAI publica, y mantiene actualizada, la lista de categorías de Subencargados con su función y la región donde tratan los datos, en https://neuroaistudio.com/legal/subencargados. NeuroAI solo facilitará la identidad de los Subencargados al Cliente al que una ley aplicable le obligue a conocerla, si la pide por escrito a legal@neuroaistudio.com indicando esa obligación, y como información confidencial que el Cliente no podrá divulgar salvo a sus autoridades o a asesores obligados a confidencialidad.

8.4Aviso de cambios. NeuroAI avisará al Cliente al menos 30 días antes de añadir o sustituir un Subencargado que trate Datos del Cliente, por correo electrónico al propietario de la cuenta o con un aviso dentro del Servicio, y actualizará la lista. Si el cambio es urgente para proteger la seguridad o la continuidad del Servicio (por ejemplo, porque un proveedor deja de operar), NeuroAI podrá hacerlo antes y avisará lo antes posible.

8.5Objeción. El Cliente puede oponerse por escrito a un nuevo Subencargado, por motivos razonables de protección de datos, dentro de los 15 días siguientes al aviso. Las partes buscarán de buena fe una solución (por ejemplo, no usar ese Subencargado para el Cliente o cambiar la configuración). Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una solución, podrá cancelar el Servicio afectado, y NeuroAI le devolverá la parte proporcional no usada de lo que haya pagado por adelantado por el periodo en curso (punto 10.5 de los Términos y punto 7.4 d) de la Política de cobros, renovación, cancelación y no devoluciones). Es una de las excepciones a la regla de «sin devoluciones».

9.Asistencia al Cliente

9.1Derechos de los titulares. El Servicio incluye herramientas para que el Cliente atienda los derechos de sus Contactos (acceder, corregir, exportar, eliminar, oponerse, darse de baja de los mensajes, limitar el uso de datos sensibles o pedir que no se vendan ni compartan sus datos), por ejemplo: editar, exportar o eliminar contactos, marcar «no molestar» por canal y gestionar las bajas (STOP). El Cliente es quien responde a sus Contactos.

9.2Solicitudes recibidas por NeuroAI. Si un Contacto se dirige a NeuroAI por datos que NeuroAI trata para el Cliente, NeuroAI no responderá en nombre del Cliente (salvo para indicarle que se dirija al Cliente) y le enviará la solicitud al Cliente en un plazo de 5 días hábiles, siempre que pueda identificarlo.

9.3Ayuda adicional. Si las herramientas no bastan, NeuroAI ayudará al Cliente en lo razonable, según la naturaleza del tratamiento y la información de que disponga. Las herramientas de autoservicio y esta ayuda razonable son gratuitas. NeuroAI solo podrá cobrar una tarifa razonable, que comunicará al Cliente antes de empezar, por las auditorías del apartado 13.2 y por trabajos fuera de lo normal.

9.4Otras obligaciones. A petición razonable del Cliente, NeuroAI le dará la información de que disponga para que el Cliente haga evaluaciones de impacto o de riesgo, responda a sus autoridades de protección de datos o cumpla sus propias obligaciones de seguridad.

10.Notificación de brechas de seguridad

10.1Plazo. NeuroAI notificará al Cliente sin demora indebida, y en todo caso dentro de las 72 horas siguientes a confirmar una Brecha de seguridad que afecte a Datos del Cliente.

10.2Contenido. El aviso incluirá, en la medida en que se conozca: qué ocurrió y cuándo; qué tipos de datos y cuántos Contactos, aproximadamente, están afectados; las consecuencias probables; las medidas tomadas o propuestas; y un contacto para más información. Si al principio no se conoce todo, NeuroAI enviará la información por etapas.

10.3Medio. El aviso se enviará al correo del propietario de la cuenta del Cliente y al contacto de privacidad que el Cliente haya registrado y, si hace falta, por teléfono o dentro del Servicio. El Cliente debe mantener esos datos actualizados y puede comunicar a NeuroAI cualquier sospecha de brecha a seguridad@neuroaistudio.com.

10.4Medidas. NeuroAI tomará medidas razonables para contener la brecha, investigarla y reducir sus efectos, y cooperará con el Cliente.

10.5Avisos a autoridades y personas. Como Responsable, el Cliente decide y hace las notificaciones que la ley le exija a las autoridades y a sus Contactos (por ejemplo, el aviso a la autoridad dentro de 72 horas del RGPD o las leyes estatales de EE. UU. sobre brechas de datos), con la ayuda razonable de NeuroAI. NeuroAI no notificará a los Contactos del Cliente en su nombre, salvo que el Cliente lo pida o la ley lo obligue.

10.6El aviso de NeuroAI no supone reconocimiento de culpa o de responsabilidad.

11.Transferencias internacionales

11.1Ubicación. NeuroAI es una empresa de EE. UU. Los Datos del Cliente se alojan principalmente en Estados Unidos y pueden tratarse en otros países donde operan NeuroAI o sus Subencargados (Anexo 3). El Cliente entiende y autoriza estas transferencias, y es responsable de informar a sus Contactos, en su propio aviso de privacidad, de que sus datos pueden tratarse en Estados Unidos y en otros países.

11.2Garantías. NeuroAI solo transferirá Datos del Cliente fuera de su país de origen cumpliendo las Leyes de Protección de Datos.

11.3Europa y cláusulas tipo (solo como respaldo). El Servicio no se ofrece a negocios establecidos en el Espacio Económico Europeo (EEE), el Reino Unido ni Suiza. Solo si NeuroAI acepta por escrito un caso excepcional en el que el RGPD o sus equivalentes se apliquen a los Datos del Cliente y la transferencia a NeuroAI necesite garantías, las partes incorporan por referencia las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914 (Módulo 2, de responsable a encargado; o Módulo 3, de encargado a encargado, si el Cliente actúa como encargado), con los detalles del Anexo 4. Para el Reino Unido se aplica el Anexo de Transferencia Internacional de Datos (International Data Transfer Addendum) emitido por la autoridad británica de protección de datos (ICO), y para Suiza, las adaptaciones que exija su ley. NeuroAI exige garantías equivalentes a los Subencargados que reciban esos datos.

11.4Otros países. Si otra ley aplicable al Cliente exige cláusulas o garantías específicas para transferir datos (por ejemplo, las cláusulas tipo de la autoridad brasileña de protección de datos bajo la LGPD), el Cliente puede pedirlas por escrito a legal@neuroaistudio.com y las partes las acordarán de buena fe.

11.5Sanciones y controles de exportación. Ninguna parte transferirá Datos del Cliente de forma que infrinja las leyes de sanciones o de controles de exportación de EE. UU., incluidas las que administra la Oficina de Control de Activos Extranjeros (OFAC). El Cliente declara que ni él ni sus Usuarios figuran en listas de personas sancionadas, incluida la lista SDN de la OFAC. Las demás reglas sobre sanciones (incluidos los países donde no se presta el Servicio) están en los Términos. NeuroAI puede suspender el tratamiento cuando esas leyes lo exijan.

12.Devolución y eliminación al terminar

12.1Mientras la suscripción está activa, el Cliente puede exportar sus Datos del Cliente con las herramientas del Servicio (por ejemplo, contactos, conversaciones y registros de consentimiento).

12.2Tras cancelar, el Cliente sigue usando el Servicio hasta el final del periodo pagado (en el plan anual, hasta el final del año contratado). Recomendamos exportar los datos antes de esa fecha.

12.3Plazo de exportación. Hasta la fecha de fin, el Cliente puede exportar sus datos desde la aplicación. Durante los 30 días siguientes la cuenta queda bloqueada, pero el Cliente puede reactivarla o pedir a soporte@neuroaistudio.com una exportación (por ejemplo, en CSV) de todos los datos que la aplicación permita exportar. NeuroAI hará esa exportación gratis una vez.

12.4Eliminación. Después, NeuroAI borra o anonimiza los Datos del Cliente del Servicio, o hace que sus Subencargados los borren, en un máximo de 90 días desde la fecha de fin, salvo que la ley obligue a conservarlos o se trate de lo indicado en el apartado 12.5. Las copias de seguridad se eliminan en su ciclo normal de rotación y, mientras existan, siguen protegidas por este Acuerdo y no se usan para nada más. Si el Cliente lo pide, NeuroAI le confirmará por escrito que la eliminación se hizo.

12.5NeuroAI podrá conservar, protegidos por este Acuerdo: la información que la ley le obligue a guardar; la prueba de la aceptación de los Términos y de este Acuerdo; los registros de facturación; los registros técnicos (logs), que se borran en sus ciclos normales; y los registros de bajas y la lista de no contactar de los Contactos (número o correo, fecha y canal), solo para respetar esas bajas, cumplir la ley y las reglas de los operadores y de Meta y defenderse de reclamos, durante el plazo de la sección 14 de la Política de privacidad (al menos 5 años desde el último mensaje, porque los reclamos bajo la TCPA pueden llegar años después).

12.6Importante sobre los consentimientos. Los registros de consentimiento y de bajas de los Contactos pueden ser la prueba del Cliente ante una reclamación (por ejemplo, bajo la TCPA). El Cliente es responsable de exportarlos y guardarlos el tiempo que necesite antes de que se eliminen.

12.7Eliminación anticipada. El Cliente puede eliminar Datos del Cliente en cualquier momento con las herramientas del Servicio. Algunos elementos eliminados pueden quedar en una papelera durante un tiempo limitado (por ejemplo, hasta 30 días) antes de borrarse de forma definitiva.

13.Auditoría razonable y documentación

13.1Documentación. A petición escrita del Cliente, y no más de una vez cada 12 meses (salvo lo previsto en 13.3), NeuroAI le dará la información razonablemente necesaria para demostrar que cumple este Acuerdo, por ejemplo: un resumen de sus medidas de seguridad; las respuestas a un cuestionario de seguridad razonable; y, cuando sus proveedores permitan compartirlos, resúmenes de sus informes o certificaciones de seguridad independientes (por ejemplo, SOC 2 o ISO/IEC 27001).

13.2Auditoría. Si esa documentación no basta para que el Cliente cumpla una obligación legal concreta, el Cliente podrá pedir una auditoría, hecha por él o por un auditor independiente obligado a confidencialidad que no sea competidor de NeuroAI, con estas condiciones:

• (a)aviso escrito con al menos 30 días de antelación;
• (b)plan y alcance acordados antes;
• (c)en horario laboral y sin interrumpir el Servicio;
• (d)sin acceso a datos de otros clientes ni a información confidencial de NeuroAI o de sus Subencargados que no sea necesaria;
• (e)a costa del Cliente, incluido, si se pide, el tiempo razonable del personal de NeuroAI, con una tarifa razonable que NeuroAI comunicará al Cliente antes de empezar; y
• (f)como máximo una vez cada 12 meses.

13.3Excepciones. El límite de una vez al año no se aplica si lo exige una autoridad de protección de datos o si hubo una Brecha de seguridad que afectó a los Datos del Cliente.

13.4Subencargados. Las instalaciones y los sistemas de los Subencargados se auditan según sus propios programas y contratos. NeuroAI cumple esta sección facilitando los informes o certificaciones que esos proveedores pongan a su disposición.

13.5El Cliente compartirá con NeuroAI el resultado de cualquier auditoría y lo tratará como confidencial. Si se detecta un incumplimiento, NeuroAI lo corregirá en un plazo razonable.

14.Responsabilidades del Cliente: datos, consentimiento y contenido de sus contactos

14.1Base legal y avisos. El Cliente es el único responsable de:

• (a)tener una base legal válida para recoger y tratar los Datos del Cliente y para dar a NeuroAI las instrucciones de este Acuerdo;
• (b)publicar y cumplir su propio aviso o política de privacidad, que informe a sus Contactos de que usa proveedores de software, incluidos asistentes con IA, y de que sus datos pueden tratarse en Estados Unidos; y
• (c)la exactitud, la calidad y la legalidad de los Datos del Cliente y de la forma en que los obtuvo.

14.2Consentimiento para comunicarse. Antes de enviar mensajes o hacer llamadas por medio del Servicio, el Cliente debe obtener, guardar y respetar el consentimiento que exija la ley para cada canal y cada finalidad. En particular:

• (a)SMS y llamadas en EE. UU.: cumplir la TCPA y las normas de la FCC, incluido el consentimiento previo, expreso y por escrito para los mensajes o llamadas de marketing que lo requieran; tener en cuenta que la FCC considera las voces generadas por IA como «voces artificiales» bajo la TCPA; respetar el Registro Nacional «No Llame», los horarios permitidos y las leyes estatales de telemercadeo; y atender las bajas (STOP o cualquier otra forma razonable) en los plazos legales.
• (b)Registro A2P 10DLC y reglas de los operadores: dar información veraz en el registro de marca y de campaña; enviar solo el tipo de mensajes registrado; identificar al negocio e incluir las instrucciones de baja; cumplir los Principios y Mejores Prácticas de Mensajería de CTIA; e indicar en su propia política de privacidad que no comparte con terceros, para fines de marketing, los números de móvil ni los consentimientos de SMS de sus Contactos. El consentimiento de un Contacto no se puede comprar, vender ni transferir a otro negocio, y el Cliente no debe usar listas compradas, alquiladas o de terceros para SMS, llamadas o WhatsApp.
• (c)WhatsApp: obtener el consentimiento (opt-in) del Contacto antes de enviarle mensajes iniciados por el negocio; usar plantillas aprobadas por Meta para escribir fuera de la ventana de atención al cliente; respetar las bajas y los bloqueos; y cumplir la Política de WhatsApp Business, la Política de Comercio y las demás condiciones de Meta, incluidas sus reglas sobre IA (NEO se usa solo como asistente del negocio del Cliente, nunca como asistente de uso general).
• (d)Correo electrónico: cumplir la ley CAN-SPAM y las demás leyes aplicables: identificarse como remitente, no usar asuntos ni encabezados engañosos, incluir una dirección postal válida y una forma de darse de baja, y atender las bajas en un máximo de 10 días hábiles.
• (e)Grabación y transcripción de llamadas: dar los avisos y obtener los consentimientos que exijan las leyes del lugar donde se graba o transcribe la llamada (algunos estados exigen el consentimiento de todas las partes).
• (f)Otros países: cumplir las normas de comunicaciones comerciales y de protección de datos de los países donde están sus Contactos (por ejemplo, en Latinoamérica, el Líbano o la Unión Europea).

14.3Contenido. El Cliente es responsable del contenido que envía o publica con el Servicio, incluido el que NEO genera según la configuración del Cliente, y de que sea veraz y no engañoso según la Ley de la Comisión Federal de Comercio (FTC Act). El Cliente no publicará reseñas ni testimonios falsos, no condicionará las reseñas y cumplirá la regla de la FTC sobre reseñas y testimonios de consumidores.

14.4IA ante sus Contactos. NEO siempre se presenta como asistente virtual con IA. El Cliente no lo configurará para hacerse pasar por una persona y cumplirá las leyes que exigen revelar el uso de bots o de IA (por ejemplo, la ley de California sobre bots, SB 1001). El Cliente revisa la información que da a NEO (precios, horarios, políticas) y es responsable de los compromisos que su negocio asume con sus Contactos.

14.5Menores. El Cliente no usará el Servicio para dirigirse a menores de 13 años ni para recoger sus datos (ley COPPA), ni datos de menores de 16 años donde la ley local exija un consentimiento especial que el Cliente no tenga.

14.6Prueba. El Cliente guardará la prueba de los consentimientos (fecha, hora, origen y texto aceptado) y la entregará a NeuroAI, a los operadores o a Meta cuando la pidan para atender una queja, una revisión o una reclamación.

14.7Medidas de protección. Para proteger el Servicio, sus números y su reputación de envío, NeuroAI puede, con aviso cuando sea razonable, pausar campañas, números o canales, o bloquear contenidos, si detecta quejas, tasas altas de bajas o de reportes, falta de consentimiento o infracciones de las Leyes de Comunicaciones o de las políticas de los operadores o de Meta. Los consumos ya cobrados de la billetera no se devuelven.

14.8Indemnidad. El Cliente defenderá e indemnizará a NeuroAI, a sus directivos, empleados y Subencargados frente a reclamaciones, multas, sanciones y gastos razonables (incluidos honorarios de abogados) que se deriven de: la falta de base legal o de consentimiento de sus Contactos; el contenido que envía; el incumplimiento por parte del Cliente de las Leyes de Comunicaciones o de las Leyes de Protección de Datos; o instrucciones ilegales del Cliente.

15.Servicios de terceros que conecta el Cliente

15.1Si el Cliente conecta o activa servicios de terceros (por ejemplo, su cuenta de WhatsApp Business o de Meta, sus redes sociales, Google, su propia cuenta de procesador de pagos o aplicaciones e integraciones externas), esos terceros no son Subencargados de NeuroAI: el Cliente se relaciona directamente con ellos, acepta sus condiciones y es responsable de esa relación. NeuroAI solo intercambia con ellos los datos necesarios para la integración que el Cliente activó.

15.2Los operadores de telecomunicaciones y las redes que solo transportan los mensajes o las llamadas tampoco son Subencargados.

16.IA y datos (NEO)

16.1Para que NEO responda, resuma, transcriba o clasifique, NeuroAI envía las partes necesarias de los Datos del Cliente (por ejemplo, el mensaje del Contacto, el historial de la conversación y la información del negocio que el Cliente cargó) a proveedores de modelos de IA que actúan como Subencargados.

16.2NeuroAI no usa los Datos del Cliente para entrenar modelos de IA, propios ni de terceros, y elige proveedores de modelos de IA cuyas condiciones para empresas no les permitan usar esos datos para entrenar sus modelos.

16.3Las respuestas de la IA pueden contener errores. Las funciones de IA, sus límites de gasto, sus avisos y su uso justo se rigen por los Términos.

17.Responsabilidad

17.1La responsabilidad de cada parte derivada de este Acuerdo está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos, incluido el tope de la responsabilidad de NeuroAI: lo pagado por el Cliente a NeuroAI en los 12 meses anteriores al hecho que originó el reclamo, calculado como indican los Términos. Este Acuerdo no la amplía ni fija un tope distinto para la protección de datos.

17.2Nada de este Acuerdo limita la responsabilidad que la ley aplicable no permita limitar (por ejemplo, por fraude o daño intencional), ni los derechos que la ley reconoce directamente a los titulares de los datos.

17.3NeuroAI no responde de daños causados por las instrucciones del Cliente, la configuración que el Cliente elige, la falta de consentimiento de sus Contactos, el incumplimiento por el Cliente de sus obligaciones de seguridad (apartado 7.2) o los servicios de terceros que el Cliente conecta.

18.Duración, prevalencia, cambios, ley aplicable e idioma

18.1Duración. Este Acuerdo rige mientras NeuroAI trate Datos del Cliente, también después de terminar la suscripción, hasta que se completen la devolución y la eliminación de la sección 12.

18.2Prevalencia. En caso de conflicto, se aplica el orden de prioridad del punto 29.2 de los Términos. En resumen: primero, un acuerdo por escrito firmado por las dos partes; después, las Cláusulas Contractuales Tipo, cuando se apliquen; y después, este Acuerdo, que va antes que los Términos en lo relativo a los datos personales de los Contactos.

18.3Cambios. NeuroAI puede modificar este Acuerdo para adaptarlo a cambios legales, del Servicio o de los Subencargados, avisando al Cliente con al menos 30 días de antelación. Los cambios no reducirán de forma sustancial la protección de los Datos del Cliente, salvo que la ley lo exija.

18.4Ley aplicable y disputas. Este Acuerdo se rige por las leyes del estado de Delaware, EE. UU. Las disputas se resuelven según la cláusula de resolución de disputas de los Términos (sección 27): arbitraje vinculante administrado por la Asociación Americana de Arbitraje (AAA), con sede en Wilmington, Delaware, y con renuncia a acciones colectivas. Todo reclamo debe presentarse dentro de 1 año desde el hecho que lo origina, salvo que la ley exija un plazo mayor que no se pueda acortar. Esto se aplica salvo que las Cláusulas Contractuales Tipo (cuando se usen por excepción, según el apartado 11.3) o una ley de protección de datos de aplicación obligatoria digan otra cosa.

18.5Idioma. Este Acuerdo se ofrece en español y en inglés. En caso de conflicto o de diferencia de interpretación, prevalece la versión en inglés.

18.6Divisibilidad. Si una parte de este Acuerdo es inválida, el resto sigue vigente.

19.Contacto de privacidad

Anexo 1.Descripción del tratamiento

A.Partes. Responsable (exportador de datos): el Cliente, con los datos de su cuenta. Encargado (importador de datos): NeuroAI Inc. (sección 19).

B.Personas afectadas. Contactos del Cliente (clientes, prospectos, visitantes de las webs y páginas del Cliente, personas que llenan formularios, agendan, compran, escriben o llaman a los canales del Cliente, o dejan reseñas); Usuarios del Cliente (su equipo); y otras personas cuyos datos el Cliente decida incluir.

C.Tipos de datos.

• Identificación y contacto: nombre, teléfono, correo, dirección, empresa.
• Comunicaciones: contenido de mensajes de WhatsApp, SMS, correo, chat web y redes sociales; grabaciones y transcripciones de llamadas y notas de voz.
• Actividad comercial: citas, pedidos, presupuestos, facturas y estado de pagos (sin números completos de tarjeta); respuestas a formularios y encuestas; etiquetas, notas, oportunidades e historial de interacción.
• Consentimiento: registros de consentimiento y de bajas (fecha, hora, origen, canal y texto aceptado).
• Datos técnicos de visitantes: dirección IP, dispositivo, navegador, cookies y fuente de tráfico, según lo configure el Cliente.
• Redes y reputación: identificadores de redes sociales y reseñas.
• Usuarios: nombre, correo, teléfono, rol y registros de actividad.

D.Datos sensibles. No previstos. Están prohibidos salvo acuerdo escrito (apartado 7.3).

E.Naturaleza del tratamiento. Alojamiento y almacenamiento; organización en el CRM; envío y recepción de mensajes, correos y llamadas; automatizaciones y agenda; respuestas, resúmenes, transcripciones y clasificaciones con IA (NEO); páginas web y formularios; informes y paneles; medición del consumo; copias de seguridad; soporte técnico; seguridad y prevención de abuso.

F.Finalidad. Prestar el Servicio al Cliente, según el apartado 3.4.

G.Frecuencia. Continua mientras dure la suscripción.

H.Duración y conservación. Durante la suscripción y hasta la eliminación de la sección 12. Durante la suscripción, el Cliente decide cuánto tiempo conserva cada dato y puede eliminarlo.

I.Subencargados. Ver Anexo 3.

Anexo 2.Medidas técnicas y organizativas

• 1.Cifrado de los datos en tránsito (TLS 1.2 o superior) y en reposo (por ejemplo, AES-256) en la infraestructura de los proveedores en la nube.
• 2.Separación lógica de los datos de cada cliente, con identificadores únicos y reglas de autorización.
• 3.Control de acceso del personal de NeuroAI por roles y con el mínimo privilegio; verificación en dos pasos obligatoria para quien tenga acceso administrativo; revisión periódica de accesos; retirada inmediata del acceso al terminar la relación con una persona o un proveedor.
• 4.Verificación en dos pasos disponible para los Usuarios del Cliente, con la opción de exigirla a todo el equipo.
• 5.Registro de actividad (logs) de accesos y cambios relevantes, conservado según los ciclos de los proveedores.
• 6.Copias de seguridad periódicas, infraestructura con redundancia y planes de recuperación ante desastres de los proveedores de infraestructura.
• 7.Seguridad de red y de aplicación: cortafuegos, protección contra ataques de denegación de servicio, monitoreo y alertas, gestión de vulnerabilidades y pruebas de penetración a cargo de los proveedores de infraestructura y software en la nube.
• 8.Proveedores evaluados, con contratos que incluyen confidencialidad y protección de datos; preferencia por proveedores con informes o certificaciones de seguridad independientes (por ejemplo, SOC 2 o ISO/IEC 27001).
• 9.Personas: compromisos de confidencialidad por escrito; formación básica en seguridad y privacidad para el personal y los colaboradores con acceso; acceso a las cuentas de los clientes solo para soporte.
• 10.Equipos del personal de NeuroAI con bloqueo de pantalla, cifrado de disco y software actualizado; uso de gestor de contraseñas.
• 11.Respuesta a incidentes: procedimiento escrito para detectar, contener, investigar, registrar y notificar brechas (sección 10).
• 12.Minimización y eliminación: herramientas para borrar datos y eliminación al terminar (sección 12).
• 13.Mensajería: gestión automática de bajas (STOP) y de listas de no contactar; autenticación del correo (SPF, DKIM y DMARC) en los dominios de envío de NeuroAI.

Anexo 3.Categorías de subencargados

• 1.Proveedores de infraestructura y software en la nube.Función: plataforma sobre la que funciona el Servicio (CRM, automatizaciones, webs, agenda), alojamiento, bases de datos y copias de seguridad.Datos: todos los tipos del Anexo 1.Región principal: Estados Unidos.
• 2.Proveedores de mensajería y telefonía.Función: envío y recepción de SMS y MMS, llamadas, números de teléfono, envío de correos y conexión con la plataforma de WhatsApp.Datos: datos de contacto, contenido de mensajes y llamadas, registros de consentimiento y de bajas.Región principal: Estados Unidos y otros países según el destino del mensaje.
• 3.Proveedores de modelos de IA.Función: respuestas de NEO, resúmenes, transcripción de voz y clasificación.Datos: mensajes, historial de conversación, información del negocio y audio.Región principal: Estados Unidos.
• 4.Proveedores de soporte técnico e implementación (nuestro equipo de implementación).Función: instalación (llamada de onboarding), configuración y soporte de cuentas, con acceso de usuario limitado.Datos: los visibles en la cuenta durante el soporte.Región principal: Estados Unidos y otros países.
• 5.Proveedores de correo, productividad y gestión de solicitudes de soporte de NeuroAI.Función: atender solicitudes de soporte y comunicarse con el Cliente.Datos: los que el Cliente incluya en sus solicitudes.Región principal: Estados Unidos.
• 6.Proveedores de alojamiento web, red de entrega de contenidos y DNS.Función: publicar y proteger páginas y formularios.Datos: datos técnicos de visitantes (IP, navegador) y envíos de formularios en tránsito.Región principal: Estados Unidos y red global.

No son Subencargados: los servicios de terceros que conecta el Cliente ni los operadores que solo transportan mensajes (sección 15). Stripe, el único procesador de pagos con el que NeuroAI cobra las suscripciones y las recargas de la billetera (con tarjeta, Apple Pay, Google Pay o Link), trata datos de facturación del Cliente bajo la Política de privacidad de NeuroAI, no Datos de sus Contactos.

Anexo 4.Cláusulas contractuales tipo (solo en un caso excepcional aceptado por escrito, según el apartado 11.3)

• 1.Módulo: 2 (Cliente responsable a NeuroAI encargado) o 3 (Cliente encargado a NeuroAI subencargado).
• 2.Cláusula 7 (cláusula de incorporación de nuevas partes): no se incluye.
• 3.Cláusula 9 (subencargados): opción 2, autorización general por escrito, con el plazo de aviso del apartado 8.4.
• 4.Cláusula 11 (reparación): no se incluye la opción del organismo independiente de resolución de conflictos.
• 5.Cláusula 13 (supervisión): la autoridad de control competente según esa cláusula.
• 6.Cláusula 17 (ley aplicable): la ley de Irlanda.
• 7.Cláusula 18 (foro): los tribunales de Irlanda.
• 8.Apéndice de las Cláusulas: el Anexo I es el Anexo 1 de este Acuerdo; el Anexo II es el Anexo 2; el Anexo III es el Anexo 3, completado con la identidad de los Subencargados según el apartado 8.3.
• 9.Reino Unido: el Anexo de Transferencia Internacional de Datos de la ICO, completado con la información de este Acuerdo.
• 10.Suiza: las referencias al RGPD se entienden hechas a la Ley Federal de Protección de Datos suiza, y la autoridad competente es el Comisionado Federal de Protección de Datos e Información, en la medida en que lo exija esa ley.