Acuerdo de tratamiento de datos

Traducción de cortesía. En caso de discrepancia prevalece la versión en inglés.

Última actualización: 4 de octubre de 2026

Este Acuerdo de tratamiento de datos ("DPA") forma parte de los Términos del servicio entre tú, la empresa que usa Whappy ("tú" o el "Cliente"), y Whappy Inc., sociedad constituida en Delaware ("Whappy", "nosotros"). Se aplica siempre que Whappy trate datos personales en tu nombre al prestar el Servicio, incluidos los datos personales recibidos de una tienda que conectes, como una tienda Shopify. Si este DPA y los Términos entran en conflicto sobre el tratamiento de datos personales, prevalece este DPA.

1. Roles

Para los datos personales de tus contactos y clientes ("Datos personales del Cliente"), tú eres el responsable del tratamiento y Whappy es tu encargado del tratamiento (o "service provider" según la CCPA). Para los datos de tu propia cuenta, Whappy es el responsable del tratamiento, como se describe en nuestra Política de privacidad.

2. Detalles del tratamiento

3. Nuestras obligaciones

1. Tus instrucciones. Tratamos los Datos personales del Cliente solo para prestar el Servicio y según tus instrucciones documentadas, que son estos Términos, este DPA y tu configuración del Servicio. Te avisamos si creemos que una instrucción infringe la ley.
2. Ningún otro uso. No vendemos los Datos personales del Cliente, no los compartimos para publicidad comportamental entre contextos, no los combinamos con los datos de otro cliente ni los usamos para entrenar modelos de IA.
3. Confidencialidad. Solo el personal de Whappy que necesita acceso para operar o dar soporte al Servicio puede acceder a los Datos personales del Cliente, y está sujeto a confidencialidad.
4. Seguridad. Aplicamos las medidas de la sección 9 y las mantenemos al menos a ese nivel durante toda la vigencia de este DPA.
5. Asistencia. Te ayudamos a responder a las solicitudes de tus clientes de acceder a sus datos, corregirlos, eliminarlos o exportarlos, y en las evaluaciones de impacto relativas a la protección de datos cuando nuestro tratamiento sea relevante. Para las tiendas Shopify conectadas, las solicitudes de acceso y eliminación se gestionan automáticamente (sección 8).
6. Notificación de violaciones. Te avisamos sin dilación indebida, y en todo caso en un plazo de 72 horas desde que tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a tus Datos personales del Cliente, con lo que sepamos sobre su naturaleza, los datos y las personas afectadas, sus probables consecuencias y las medidas adoptadas. Te mantenemos informado a medida que sabemos más.
7. Registros y auditorías. Ponemos a tu disposición la información que razonablemente necesites para demostrar el cumplimiento de este DPA, y respondemos a preguntas de auditoría razonables por escrito una vez al año, o tras una violación, sin cargo.

4. Tus obligaciones

Eres responsable de tener una base legal para el tratamiento que nos instruyes, incluido el opt-in que WhatsApp y la ley exigen antes de que una empresa escriba a una persona, y de la exactitud de los datos que introduces en Whappy.

5. Subencargados

Nos autorizas a usar los subencargados indicados a continuación. Obligamos a cada uno de ellos a condiciones de protección de datos al menos tan protectoras como este DPA y seguimos siendo responsables de su trabajo. Avisamos con al menos 30 días de antelación de un nuevo subencargado por email a la dirección de tu cuenta; puedes oponerte por motivos razonables de protección de datos y, si no podemos atender la objeción, puedes poner fin a la parte del Servicio afectada.

6. Transferencias internacionales

Cuando Datos personales del Cliente sujetos al GDPR, al GDPR del Reino Unido o a la ley suiza se transfieren a un país sin decisión de adecuación, las Cláusulas contractuales tipo adoptadas por la Comisión Europea (Módulo 2, o Módulo 3 cuando tú mismo seas encargado del tratamiento), con la Adenda del Reino Unido cuando proceda, se incorporan a este DPA por referencia, con Whappy como importador de datos. Los tribunales y la ley indicados en los Términos se aplican en la medida en que las cláusulas lo permitan.

7. Conservación y eliminación

Conservamos los Datos personales del Cliente mientras los mantengas en el Servicio. Cuando eliminas un contacto, una campaña o tu cuenta, los datos relacionados se eliminan de nuestros sistemas de producción; las copias de seguridad caducan según su ciclo normal y no se restauran salvo para recuperarse de un incidente. Los datos de una tienda conectada tienen límites más cortos:

8. Tiendas Shopify conectadas

Cuando conectas una tienda Shopify:

• Qué recibimos. Solo los clientes que aceptaron el marketing por WhatsApp en Shopify se convierten en contactos o reciben mensajes. Usamos su nombre, email y número de teléfono; no usamos direcciones. Si un cliente retira su consentimiento en Shopify, deja de recibir tus mensajes de marketing a través de Whappy.
• Solicitudes de compradores. Cuando Shopify nos reenvía la solicitud de un comprador de acceder a sus datos, preparamos una exportación de todo lo que conservamos sobre ese comprador y enviamos por email al propietario de la tienda un enlace de descarga válido durante 7 días. Cuando Shopify nos reenvía la solicitud de eliminación de un comprador, anonimizamos los contactos de ese comprador, vaciamos el texto de sus conversaciones y eliminamos sus citas y registros de pedidos.
• Tokens de acceso. El token que permite a Whappy leer tu tienda está cifrado en reposo y nunca se te muestra a ti ni a otros clientes.
• Facturación. Los planes para tiendas Shopify los cobra Shopify; Shopify no recibe de nosotros las conversaciones de tus clientes.

9. Medidas de seguridad

• Cifrado en tránsito (TLS) en todos los endpoints y en reposo para bases de datos, almacenamiento y copias de seguridad; los tokens de acceso a tiendas van además sellados con AES-256-GCM.
• Aislamiento de tenants: cada solicitud se limita a la cuenta a la que pertenece.
• Secretos guardados en un almacén de secretos gestionado, con acceso concedido por servicio; los buckets de almacenamiento son privados y solo se alcanzan mediante enlaces firmados de corta duración.
• Acceso del personal limitado a quien lo necesita, con contraseñas únicas y robustas y verificación en dos pasos.
• Registros de acceso a secretos y exportaciones almacenadas conservados 400 días; registros de solicitudes de cada llamada a la API.
• Entornos de desarrollo y producción separados; los datos de producción no se copian a desarrollo.
• Una política escrita de respuesta a incidentes de seguridad, incluido el aviso en 72 horas de la sección 3.

10. Contacto

Preguntas sobre este DPA o una solicitud de protección de datos: team@whappy.ai, o Whappy Inc., 2045 Connecticut Ln, Sewickley, PA 15143, USA.