Anexo de Tratamiento de Datos (DPA)

1. Introducción y Alcance

Este DPA se aplica siempre que los datos personales del Cliente sean tratados por Bridgeware Technologies (“el Encargado del tratamiento”) en nombre del Cliente (“el Responsable del tratamiento”) durante la prestación de los servicios de la plataforma de WhatsApp/Instagram/Telegram CRM y Agente de IA Parlario. Este acuerdo forma parte integrante del Contrato Principal entre las partes.

2. Definiciones

• «Legislación Aplicable de Protección de Datos»: significa todas las leyes y regulaciones aplicables al tratamiento de datos personales bajo el Contrato, incluyendo la Ley 1581 de 2012 de Colombia y sus decretos reglamentarios, la Ley de Privacidad de Australia de 1988 y sus Principios (APPs), el Reglamento General de Protección de Datos de la UE (RGPD/GDPR), el RGPD del Reino Unido, la Ley de Privacidad del Consumidor de California (CCPA/CPRA) y la Ley General de Protección de Datos de Brasil (LGPD).
• «Datos Personales del Cliente»: significa cualquier dato personal (incluyendo números de teléfono de WhatsApp, identificadores y nombres de usuario de Instagram, identificadores y nombres de usuario de Telegram, nombres, historiales de chat y metadatos de mensajería) tratado por Bridgeware Technologies en nombre del Cliente en relación con los servicios de la plataforma WhatsApp/Instagram/Telegram CRM y el Agente de IA Parlario.
• «Responsable del Tratamiento» o «Controlador»: significa la entidad que determina los fines y medios del tratamiento de los Datos Personales del Cliente.
• «Encargado del Tratamiento» o «Procesador»: significa Bridgeware Technologies, que trata Datos Personales del Cliente en nombre del Responsable.
• «Interesado» o «Titular de los Datos»: significa una persona física identificada o identificable cuyos datos personales son objeto de tratamiento.
• «Violación de Datos Personales»: significa una brecha o falla de seguridad que ocasione la destrucción, pérdida, alteración accidental o ilícita, o la comunicación o acceso no autorizado a Datos Personales del Cliente transmitidos, conservados o tratados de otro modo.
• «Subencargado del Tratamiento»: significa cualquier tercero contratado por Bridgeware Technologies para asistir en la prestación de los servicios y el cumplimiento de sus obligaciones bajo el Contrato.
• «Cláusulas Contractuales Tipo (SCCs)»: significa las cláusulas tipo de protección de datos aprobadas por la Comisión Europea mediante la Decisión (UE) 2021/914.

3. Roles de las Partes e Instrucciones de Tratamiento

3.1 Roles: El Cliente actúa como Responsable del Tratamiento (o Encargado actuando en nombre de un Responsable tercero), y Bridgeware Technologies actúa como Encargado del Tratamiento con respecto a los Datos Personales del Cliente.

3.2 Instrucciones: Bridgeware Technologies tratará los Datos Personales del Cliente únicamente de conformidad con las instrucciones documentadas del Cliente, tal como se establece en este DPA, los Términos de Servicio principales y las configuraciones realizadas en la plataforma de WhatsApp/Instagram/Telegram CRM y el Agente de IA Parlario. Si Bridgeware Technologies estuviera obligada por ley a tratar datos fuera de las instrucciones del Cliente, notificará al Cliente antes de dicho tratamiento, salvo prohibición legal por motivos de interés público.

4. Confidencialidad y Medidas de Seguridad

4.1 Confidencialidad: Bridgeware Technologies garantiza que todo el personal autorizado para tratar Datos Personales del Cliente está sujeto a estrictos compromisos de confidencialidad y no divulgación.

4.2 Medidas Técnicas y Organizativas (TOMs): Bridgeware Technologies aplicará y mantendrá las medidas técnicas y organizativas adecuadas para proteger los Datos Personales del Cliente contra la destrucción, pérdida, alteración accidental o ilícita, o el acceso no autorizado, según se detalla en el Anexo 2. Estas medidas incluyen:

• Cifrado en tránsito: Cifrado de datos en tránsito utilizando protocolos TLS 1.2 o superior.
• Cifrado en reposo: Cifrado de datos en reposo mediante el estándar AES-256.
• Control de acceso: Control de acceso basado en roles (RBAC), y restricción opcional de cada miembro del equipo a números de WhatsApp o cuentas de Instagram conectados específicos.
• Evaluaciones de seguridad: Evaluaciones continuas de seguridad, escaneo de vulnerabilidades y pruebas de recuperación ante desastres.

5. Subencargados del Tratamiento

5.1 Autorización General: El Cliente otorga una autorización general para que Bridgeware Technologies contrate subencargados del tratamiento que asistan en la prestación de los servicios de la plataforma de WhatsApp/Instagram/Telegram CRM y el Agente de IA Parlario. La lista activa de subencargados está disponible en Proveedores de Servicios y Subencargados.

5.2 Obligaciones del Subencargado: Bridgeware Technologies suscribirá un acuerdo por escrito con cada subencargado imprimiendo u imponiendo obligaciones de protección de datos no menos restrictivas que las establecidas en este DPA. Bridgeware Technologies seguirá siendo plenamente responsable ante el Cliente por el cumplimiento de las obligaciones de dicho subencargado.

5.3 Cambios en Subencargados: Bridgeware Technologies notificará al Cliente cualquier cambio o incorporación previstos de subencargados con al menos 15 días de antelación. El Cliente podrá oponerse por motivos justificados de protección de datos mediante notificación por escrito dentro de los 10 días hábiles siguientes a la recepción de la notificación.

5.4 Telegram: Telegram (Telegram FZ-LLC y/o Telegram Messenger Inc.) es un canal de plataforma directo y un servicio de terceros gestionado por el Cliente, no un Subencargado designado por Bridgeware Technologies. Parlario es un software que le permite al Cliente conectar su propio bot de Telegram pegando el token de ese bot; el Cliente crea, es propietario y controla el bot, mantiene la relación de cuenta principal con Telegram y acepta los términos de Telegram directamente con Telegram. Los datos que circulan por Telegram se rigen por esos términos directos entre el Cliente y Telegram. Telegram figura en la página de proveedores de servicio solo por transparencia, porque los mensajes enviados por el canal opcional de Telegram pasan por su Bot API; las secciones 5.2 y 5.3 no se le aplican.

6. Derechos de los Titulares y Asistencia

6.1 Solicitudes de Titulares de Datos: Bridgeware Technologies proporcionará asistencia técnica razonable a través de la plataforma de WhatsApp/Instagram/Telegram CRM y el Agente de IA Parlario para permitir al Cliente responder a las solicitudes de los Titulares de Datos que ejerzan sus derechos (incluidos los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad). Si Bridgeware Technologies recibe una solicitud directamente de un Titular de Datos, la remitirá al Cliente de manera inmediata y sin retrasos indebidos.

6.2 Evaluaciones de Impacto y Consultas Previas: Bridgeware Technologies prestará asistencia razonable al Cliente en la realización de Evaluaciones de Impacto relativas a la Protección de Datos (EIPD/DPIA), así como en las consultas previas con las autoridades de control competentes, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga Bridgeware Technologies.

7. Gestión de Violaciones de Datos Personales

En caso de confirmarse una Violación de Datos Personales que afecte a los Datos Personales del Cliente, Bridgeware Technologies:

• Notificación oportuna: Notificará al Cliente sin retraso indebido y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento del incidente.
• Información detallada: Proporcionará información sobre la naturaleza de la violación, el número aproximado y categorías de datos afectadas, las posibles consecuencias o impacto estimado y las medidas correctivas adoptadas o propuestas.
• Mitigación y contención: Tomará de inmediato las medidas necesarias para contener, mitigar y minimizar los efectos de la brecha o falla de seguridad.

8. Transferencias Internacionales de Datos

8.1 Mecanismos de Transferencia: En la medida en que el tratamiento implique una transferencia de Datos Personales del Cliente fuera del Espacio Económico Europeo (EEE), Reino Unido, Suiza u otras jurisdicciones aplicables a países sin un nivel adecuado de protección de datos, las partes acuerdan la incorporación y aplicación de las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea mediante la Decisión (UE) 2021/914:

• Módulo 2 (Responsable a Encargado): Se aplicará cuando el Cliente actúe como Responsable del Tratamiento y Bridgeware Technologies actúe como Encargado del Tratamiento.
• Módulo 3 (Encargado a Encargado): Se aplicará cuando el Cliente actúe como Encargado del Tratamiento en nombre de un tercero y Bridgeware Technologies actúe como Subencargado.

8.2 Transferencias en Australia: Para la transferencia de datos personales desde Australia, Bridgeware Technologies cumplirá con el Principio de Privacidad de Australia 8 (APP 8), adoptando medidas razonables para garantizar que los receptores en el extranjero no infrinjan los Principios de Privacidad de Australia (APPs).

8.3 Canal de Telegram: Cuando el Cliente conecta un bot de Telegram (opcional), los mensajes enviados y recibidos a través de ese bot son tratados por Telegram (Telegram FZ-LLC y/o Telegram Messenger Inc.), que opera desde los Emiratos Árabes Unidos con infraestructura global. El bot pertenece al Cliente, que acepta directamente con Telegram los términos de su plataforma de bots; por lo tanto, las garantías de transferencia aplicables al tratamiento propio de Telegram surgen de la relación propia del Cliente con Telegram. Las Cláusulas Contractuales Tipo descritas en 8.1 rigen entre las partes de este DPA y no vinculan a Telegram.

9. Retención, Supresión y Devolución de Datos

A la finalización o expiración de la prestación de los servicios de la plataforma de WhatsApp/Instagram/Telegram CRM y Agente de IA Parlario, o previa solicitud por escrito del Cliente, Bridgeware Technologies eliminará o devolverá todos los Datos Personales del Cliente en su posesión dentro de los 30 días siguientes a dicha terminación o solicitud, salvo que la legislación aplicable exija su conservación. Las solicitudes de eliminación de datos también podrán tramitarse de conformidad con nuestra Política de Eliminación de Datos de Parlario.

9.2 Retención de los datos de pedidos de WooCommerce

Cuando el Cliente conecta una tienda WooCommerce (opcional, planes Business y Advanced), los registros de pedidos recibidos de esa tienda —que contienen el nombre, el teléfono, el correo y la dirección postal de los clientes de esa tienda— se conservan con la misma regla que en 9.1: un máximo de 90 días desde su recepción, después de los cuales su contenido se borra de forma permanente y solo queda el registro derivado descrito arriba.

9.1 Retención de datos protegidos de cliente de Shopify

Cuando el Cliente conecta una tienda de Shopify (opcional, planes Business y Advanced), los registros crudos de pedidos y envíos recibidos de esa tienda —que contienen el nombre y el teléfono de los clientes de esa tienda— se conservan por un máximo de 90 días desde su recepción, y luego se eliminan de forma permanente. Noventa días corresponden a la ventana de devoluciones y soporte posventa en la que es probable que un cliente escriba al negocio por una compra reciente, que es la única finalidad para la que se guardan estos datos.

Pasado ese plazo, Bridgeware Technologies conserva únicamente un registro derivado del evento: el tipo de evento, la fecha en que se recibió, la referencia del pedido y el contacto del CRM del Cliente con el que se relaciona. Ese registro derivado no contiene datos protegidos de cliente: el contacto ya existe en el CRM del Cliente porque le escribió al negocio por su cuenta, y la constancia de que hubo una venta es registro comercial del propio Cliente. Se conserva mientras exista la cuenta del Cliente y se elimina junto con ella, conforme a la cláusula 9 anterior.

10. Auditorías y Verificación del Cumplimiento

Previa solicitud razonable por escrito, Bridgeware Technologies pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA, incluidos informes de auditoría o certificaciones de terceros (por ejemplo, ISO 27001, SOC 2 o PCI-DSS) relativos a su infraestructura en la nube.

ANEXO 1: Detalles del Tratamiento de Datos

A. Categorías de Interesados

Empleados del Cliente, administradores de cuentas, clientes potenciales (leads) y contactos de WhatsApp, Instagram y Telegram que se comunican con la empresa del Cliente a través de la plataforma de WhatsApp/Instagram/Telegram CRM y el Agente de IA Parlario.

B. Categorías de Datos Personales Tratados

• Identificadores de contacto: Números de teléfono de WhatsApp, identificadores y nombres de usuario de Instagram, identificadores y nombres de usuario de Telegram (Telegram no entrega número de teléfono) y detalles de perfil.
• Contenido de comunicaciones: Registros de conversación de chat, mensajes de texto, archivos adjuntos multimedia y mensajes de voz, incluidos, cuando el Cliente conecta un número de WhatsApp que sigue en la app de WhatsApp Business (“Coexistencia”), los mensajes que el Cliente manda desde esa app después de conectar. El historial de chats de esa app, que Meta exige que Bridgeware Technologies pida, se descarta al recibirlo y no se guarda nunca. En los contactos de Telegram, las fotos, notas de voz y archivos no se descargan ni se guardan: solo se conserva un breve marcador de texto y el pie de foto, si lo hay.
• Contactos que agrega el Cliente: nombres y números de teléfono que el Cliente importa desde un archivo CSV y, en Coexistencia, el nombre con el que el Cliente guardó cada número en la agenda de la app de WhatsApp Business — usado para nombrar a los contactos existentes y, solo si el Cliente lo elige al conectar, para crear los demás. El Cliente es responsable de tener una base legal para los contactos que importa. No se les envía ningún mensaje por eso.
• Datos de gestión Comercial/CRM: Metadatos de etapas del pipeline de ventas, etiquetas de leads y campos personalizados del CRM.
• Datos del Agente de IA: Prompts del agente de IA, archivos de base de conocimientos para entrenamiento y puntuaciones de evaluación (únicamente cuando el Cliente activa el Agente de IA Parlario).
• Datos de registro de cuenta: Nombres del administrador y de los miembros del equipo, direcciones de correo electrónico y registros de pago (las cuentas de miembros del equipo son creadas directamente por el propietario de la organización y están limitadas a la cantidad de licencias/asientos incluidos en el plan de suscripción del Cliente) y, si el propietario lo configura, a qué números de WhatsApp o cuentas de Instagram conectados puede acceder cada miembro.
• Atribución de campaña y datos de conversión (Meta Ads): identificador y título del anuncio de origen y un identificador de clic (ctwa_clid) capturados del primer mensaje de un contacto que llega desde un anuncio “Haz clic para WhatsApp” o “Haz clic para Instagram”; si el Cliente conecta Meta Conversions API, además un identificador del contacto (el número de teléfono con hash para contactos de WhatsApp, o el ID de la cuenta de Instagram para contactos de Instagram) y ese identificador de clic se transmiten a Meta al reportar una compra. Cuando la compra proviene de una tienda de Shopify que el Cliente conectó, se transmite junto con ella el total y la moneda de ese pedido, para que el Administrador de Anuncios del propio Cliente pueda medir retorno y no solo contar conversiones. Las conversaciones de Telegram no se reportan a Meta Conversions API.
• Credenciales de WhatsApp: Credenciales de conexión de la cuenta de WhatsApp Business (tokens de acceso) de cada número de WhatsApp que el Cliente conecte, cifradas en reposo, junto con el nombre que el Cliente le da a cada número.
• Credenciales de Instagram: Credenciales de conexión (token de acceso de Página) de cada cuenta de Instagram profesional que el Cliente conecte, cifradas en reposo, junto con el nombre que el Cliente le da a cada cuenta, si el Cliente decide conectar esta integración opcional.
• Credenciales de Telegram: El token del bot de Telegram que el Cliente crea con @BotFather de Telegram, cifrado en reposo, si el Cliente decide conectar esta integración opcional. Los secretos que autentican las llamadas del webhook de Telegram a Parlario (un segmento secreto de URL propio de cada bot y el encabezado de token secreto de Telegram) se guardan únicamente como hash SHA-256.
• Credenciales de Meta Ads: Pixel ID y token de acceso de Meta Conversions API del Cliente, cifrados en reposo, si el Cliente decide configurar esta integración opcional.
• Credenciales y datos de Google Calendar: token de acceso (refresh token) de la cuenta de Google Calendar del Cliente, cifrado en reposo, y los datos de las citas creadas (fecha, hora y nombre del contacto usado como título del evento), si el Propietario del Cliente decide configurar esta integración opcional (disponible en los planes Business y Advanced).
• Credenciales de Shopify: el Client ID y el Client secret de la app privada que el Cliente crea en su propia cuenta de Shopify, la clave de firma de webhooks de su tienda, y el token de acceso de corta duración que se obtiene con ellos — el secreto, la clave y el token cifrados en reposo —, si el Cliente decide configurar esta integración opcional (disponible en los planes Business y Advanced).
• Datos de la tienda de Shopify (recibidos, no enviados): datos de pedidos y envíos recibidos de la propia tienda de Shopify del Cliente — incluidos el nombre y el teléfono de los clientes de esa tienda, el contenido de los pedidos, los importes y la moneda, y el estado del envío. Bridgeware Technologies deliberadamente no solicita acceso al correo electrónico ni a la dirección postal de esos clientes, porque ninguna función del servicio los necesita. A diferencia de las integraciones anteriores, los datos van desde la tienda del Cliente hacia Parlario: Bridgeware Technologies tiene acceso de solo lectura y nunca crea, modifica ni cancela nada en la tienda. Estos datos se usan para identificar al contacto en el CRM del Cliente, para enviarle a ese contacto mensajes sobre su propio pedido a través de la cuenta de WhatsApp del Cliente, y para mostrarle al equipo del Cliente los pedidos recientes de ese contacto dentro de la Bandeja. Cuando el Cliente además conectó Meta Conversions API, el total y la moneda del pedido se reportan también a la cuenta publicitaria de Meta del propio Cliente, según lo descrito para esa integración más arriba. No se usan para ningún otro fin.
• Credenciales de WooCommerce: la clave y el secreto de consumidor que emite el propio WordPress del Cliente cuando aprueba la conexión (solo acceso de Lectura), y el secreto que firma los webhooks del Cliente — todo cifrado en reposo —, si el Cliente decide configurar esta integración opcional (disponible en los planes Business y Advanced).
• Datos de la tienda WooCommerce (recibidos, no enviados): datos de pedidos recibidos de la propia tienda WooCommerce del Cliente por sus webhooks, o leídos de ella cada 15 minutos para recuperar pedidos que un webhook no entregó — incluidos el nombre y el teléfono de los clientes de esa tienda, el contenido de los pedidos, los importes y la moneda, el estado del pedido y, cuando un plugin de la tienda lo guarda, el número de seguimiento. A diferencia de Shopify, el acceso de Lectura de WooCommerce no permite excluir campos, así que el pedido tal como llega también contiene el correo y la dirección postal del cliente; Bridgeware Technologies no los usa. Los datos van desde la tienda del Cliente hacia Parlario, y se usan exactamente para los fines descritos arriba para Shopify y para ningún otro.
• Credenciales de IA: Clave propia del Cliente (Bring Your Own Key) de su proveedor de IA, cifrada en reposo, si el Cliente decide configurar una en lugar de utilizar la cuenta administrada por Bridgeware Technologies.

C. Categorías Especiales de Datos

Bridgeware Technologies no solicita ni requiere intencionadamente categorías especiales o sensibles de datos (por ejemplo, datos de salud, biometría, opiniones políticas o convicciones religiosas). Se aconseja al Cliente no configurar la plataforma para recopilar ni tratar datos sensibles.

D. Naturaleza y Propósito del Tratamiento

Tratamiento de Datos Personales del Cliente para operar la plataforma de WhatsApp/Instagram/Telegram CRM Parlario, automatizar interacciones mediante agentes de IA, simular y probar flujos de conversación, gestionar clientes potenciales y prestar soporte técnico.

E. Duración del Tratamiento

Durante la vigencia del Contrato Principal más el periodo de retención y supresión posterior a la terminación (30 días).

ANEXO 2: Medidas Técnicas y Organizativas de Seguridad (TOMs)

Bridgeware Technologies mantiene los siguientes controles de seguridad para la plataforma de WhatsApp/Instagram/Telegram CRM y Agente de IA Parlario:

• Control de Acceso: Gestión estricta de identidades mediante autenticación con contraseñas cifradas (hash seguro — nunca almacenadas en texto plano) y control de acceso basado en roles (RBAC): los propietarios y miembros de cada organización tienen permisos diferenciados dentro de la plataforma. Además, el propietario puede restringir a cada miembro a números de WhatsApp o cuentas de Instagram conectados específicos; en ese caso, ese miembro solo accede a las conversaciones, los contactos y las métricas de esos canales.
• Cifrado de Datos: Todos los datos en tránsito se cifran mediante protocolos TLS 1.2 o superior. Los registros de la base de datos se cifran en reposo con el estándar AES-256, y las credenciales sensibles (tokens de conexión de WhatsApp, Instagram y Telegram y claves de API del cliente) se cifran adicionalmente a nivel de campo mediante AES-256-GCM.
• Seguridad de Red: Limitación de tasa de peticiones (rate limiting) en los puntos de entrada (endpoints) de autenticación para mitigar ataques de fuerza bruta y relleno de credenciales; filtrado por cortafuegos cloud y mitigación de ataques DDoS integrados por defecto a través de la infraestructura de alojamiento (AWS Amplify Hosting o Google Cloud Run, según el despliegue).
• Resiliencia del Sistema: Copias de seguridad diarias automatizadas de la base de datos, cifradas en reposo y conservadas según la política de retención del proveedor de base de datos. La capa de aplicación se ejecuta sobre infraestructura administrada y con escalado automático.
• Respuesta ante Incidentes: Conservación de registros (logs) de aplicación y acceso mediante los sistemas de registro de la plataforma de alojamiento. Los incidentes de seguridad detectados o sospechados son investigados conforme a los compromisos de notificación establecidos en la Sección 7 de este DPA.

ANEXO 3: Subencargados Autorizados

La lista actualizada de Subencargados Autorizados y los mecanismos de transferencia internacional aplicables se encuentran disponibles para su consulta en Proveedores de Servicios y Subencargados.

Contacto

Para cualquier consulta sobre este DPA o cumplimiento de privacidad, contáctenos en privacy@parlario.co.