Contrato de encargo del tratamiento

Versión 1.2.0, en vigor desde el 20 de octubre de 2026.

1. Partes y objeto

1.1. Este contrato se celebra entre el negocio que contrata un plan de NordixAIgency (el «Cliente» o el «Responsable») y la sociedad que presta el servicio con la marca NordixAIgency (en adelante, «nosotros» o el «Encargado»):

• Denominación social: AD Caldas Innotec SA

• NIF: A66316399

• Domicilio social: Calle Blanco 1011595 Torrecera (Cádiz)España

  1.2. Forma parte de las Condiciones de contratación de NordixAIgency (cláusula 11.2) y el Cliente lo acepta junto con ellas al completar el alta en la aplicación (app.nordixaigency.com). No hace falta firmarlo por separado.

  1.3. Regula el tratamiento de datos personales que hacemos por cuenta del Cliente al prestarle el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (el «RGPD») y a la Ley Orgánica 3/2018 (la «LOPDGDD»). El Cliente es el responsable del tratamiento de esos datos y nosotros, su encargado.

  1.4. No regula los datos que tratamos como responsables: los del Cliente y de las personas que lo representan o usan su cuenta (alta, acceso, facturación y soporte), ni los de los visitantes de nordixaigency.com. Esos datos se rigen por las políticas de privacidad de la cláusula 11.1 de las condiciones: la de la aplicación y la Política de privacidad de este sitio web.

  1.5. En materia de protección de datos, este contrato prevalece sobre las condiciones de contratación si hubiera contradicción entre ambos.

2. Definiciones

Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado», «violación de la seguridad de los datos personales» y «evaluación de impacto» tienen el significado del RGPD. Además:

• «Datos del Cliente»: los datos personales que tratamos por cuenta del Cliente según la cláusula 4.
• «Subencargado»: el tercero al que recurrimos para tratar Datos del Cliente (cláusula 8 y Anexo I).
• «Plataforma»: NordixBIOS, la plataforma de agentes de IA de Nordix Systems sobre la que funciona el asistente.
• «Aplicación»: la aplicación de NordixAIgency en la que el Cliente configura y gestiona su asistente.
• «Sistemas conectados»: los sistemas externos que el Cliente une a su asistente: los de nuestra lista (por ejemplo, Google Calendar, Outlook o su programa de reservas o de gestión), con el complemento «Conectores», y los que se unen con un trabajo de integración a medida (cláusulas 3.5 y 4.4 de las condiciones).
• «Línea de gestión»: el número de teléfono de la Aplicación (el «número de gestión» del Cliente) al que el Cliente llama desde su móvil verificado, con su PIN, para gestionar su negocio por voz.

3. Naturaleza, finalidad y duración del tratamiento

3.1. Naturaleza. El asistente del Cliente recibe y responde, de forma automática, las comunicaciones que las personas dirigen al negocio por los canales del plan; consulta la información y la agenda que el Cliente configura; crea, cambia y cancela citas y apuntes en la lista de espera; lee y escribe, por cuenta del Cliente, en los sistemas conectados (según el sistema, por ejemplo, reservas, fichas de clientes o pedidos); envía los avisos del plan (por ejemplo, la confirmación de una cita o el recordatorio del día anterior); pasa la conversación o la llamada a una persona cuando así está configurado, y avisa al Cliente de lo que ha hecho. Con las Reservas desactivadas en la Aplicación, el asistente no comprueba la disponibilidad: toma la petición de reserva o de producto de la persona y la Aplicación se la envía al Cliente por correo electrónico, para que sea el Cliente quien responda a la persona. Cuando el Cliente pide que se le pague antes de mantener una reserva, la Aplicación guarda la hora reservada hasta un plazo y envía a la persona un enlace a la página de pago del propio Cliente (con las Reservas desactivadas, no se guarda ninguna hora y el enlace se envía al tomar la petición); es el Cliente quien confirma el pago y, si el plazo pasa sin esa confirmación, la reserva guardada se cancela. Cuando el Cliente llama a su número de gestión, la línea de gestión atiende lo que pide sobre su agenda y, según su plan, sus sistemas conectados (por ejemplo, consultar las citas del día, cancelar una cita o bloquear un horario). Para ello los datos se recogen, registran, conservan, consultan, transmiten y, al final, se suprimen.

3.2. Finalidad. Tratamos los Datos del Cliente solo para prestarle el servicio contratado: atender a sus clientes, gestionar su agenda, trabajar con sus sistemas conectados, atender lo que pide por su número de gestión, informarle a él, medir el uso del plan para facturarlo, mantener la seguridad del servicio y atender sus consultas de soporte. No los usamos para fines propios, no los vendemos ni los cedemos, no los usamos para enviar comunicaciones comerciales y no se usan para entrenar modelos de inteligencia artificial: los proveedores de modelos de la Plataforma lo tienen prohibido por contrato.

3.3. Duración. Este contrato dura lo mismo que el contrato de servicio y, después, hasta que hayamos devuelto o suprimido los Datos del Cliente según la cláusula 13.

4. Interesados y categorías de datos

4.1. Interesados. Los clientes y potenciales clientes del Cliente y cualquier persona que se dirija a su asistente (quien llama, escribe por WhatsApp, usa el chat de su web o envía un correo); las personas apuntadas en su agenda o en su lista de espera; las personas cuyos datos están en los sistemas conectados, en lo que el asistente o la línea de gestión leen o escriben de ellos; las personas del equipo del Cliente que figuran en la agenda o reciben las llamadas transferidas.

4.2. Categorías de datos, por canal. Según los canales y los complementos del plan del Cliente:

Canal o función	Datos que se tratan
Llamadas	Número desde el que se llama; fecha, hora y duración; lo que dice quien llama, convertido a texto, y las respuestas del asistente (transcripción); idioma; el número al que se transfiere la llamada. El audio de la llamada no se graba.
WhatsApp	Número de teléfono y nombre de perfil de WhatsApp; contenido de los mensajes y su fecha y hora.
Chat de la web	Contenido de la conversación; un identificador del visitante, que solo permite reconocerlo en visitas posteriores si ha dado su consentimiento en la web del Cliente; idioma.
Correo electrónico	Dirección y nombre del remitente; asunto, contenido y fecha de los mensajes; los archivos adjuntos, que se guardan y se leen para extraer su texto, que el asistente usa para responder.
Agenda y lista de espera	Nombre, teléfono móvil, correo electrónico (solo si la persona lo da), idioma y notas de la persona; servicio, fecha, hora, profesional, estado de la cita, canal por el que se pidió y apuntes en la lista de espera. Además: cómo recibe la persona lo que reserva (en el negocio, recogida, entrega o en su domicilio); solo para una entrega o un servicio en el domicilio de la persona, su dirección (líneas de la dirección, código postal y localidad); el detalle en texto libre de lo que pide; las peticiones tomadas con las Reservas desactivadas y, cuando el Cliente pide que se le pague antes de mantener una reserva, si la reserva está guardada a la espera del pago, su plazo y el canal (móvil o correo electrónico) por el que se envió el enlace de pago (el enlace también se le puede dar a la persona en la propia conversación, o mostrar en la página de una oferta de la lista de espera que la persona acepta). El destinatario es el Cliente, en la Aplicación y en los correos de aviso y de petición. La dirección nunca se devuelve al asistente después de la conversación, nunca va en un SMS ni en un mensaje de WhatsApp a la persona, en la página del enlace de un aviso ni a un calendario externo, y las copias técnicas que el servicio hace de ella para tratar cada cambio una sola vez duran como máximo 24 horas.
Avisos por SMS y por correo	Teléfono móvil, contenido del aviso y su estado de entrega; al abrir el enlace del aviso, la dirección IP, solo para limitar abusos. Cuando el Cliente pide que se le pague antes de mantener una reserva, el enlace de pago, y el aviso de que el pago se confirmó o de que el plazo terminó, pueden ir también por correo electrónico a la dirección que dio la persona.
Sistemas conectados	Los datos que el asistente del Cliente lee y escribe en los sistemas conectados, según el sistema y lo que el Cliente configure: por ejemplo, reservas, fichas de clientes o pedidos; de los calendarios, los periodos ocupados que se leen y las citas que se escriben en ellos.
Memoria del asistente	Lo que la persona ha dicho en conversaciones anteriores, para reconocerla y no volver a preguntarle lo mismo.
Avisos al Cliente	Los datos de la cita incluidos en los correos y avisos que recibe el Cliente (cita nueva, cancelación, petición de cambio, resumen del día, petición tomada con las Reservas desactivadas, reserva guardada a la espera del pago o cuyo enlace de pago no se pudo enviar, y reserva guardada cuyo plazo terminó). Los correos de una reserva nueva, cancelada o movida, de una petición de cambio, de una reserva desde la lista de espera y de una petición llevan además la dirección y el detalle en texto libre, cuando los hay, y las notas libres de cualquier reserva; el correo de una reserva guardada a la espera del pago, o reservada con el pago pendiente con el negocio, no los lleva.
Línea de gestión	Lo que el Cliente pide al llamar a su número de gestión, convertido a texto (transcripción), y los datos de su agenda y de sus sistemas conectados que la línea lee o cambia para atenderlo. El audio de la llamada no se graba.

4.3. Pagos. El asistente no recoge datos de tarjetas. En las soluciones que envían enlaces de pago, el pago se hace en la cuenta del propio Cliente con su proveedor de pagos (cláusula 3.4 de las condiciones).

4.4. Categorías especiales de datos. El servicio no está pensado para tratar categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales. El Cliente no debe configurar su asistente para pedirlos. Si una persona los da por iniciativa propia, el asistente los trata solo dentro de la conversación y de la cita, y se suprimen con ellas (Anexo III y cláusula 13) o antes, a petición del Cliente (cláusula 10).

4.5. Negocios de salud: solo la logística de las citas. Un Cliente del sector de la salud (por ejemplo, una clínica o una consulta) solo puede usar el servicio para la logística de sus citas: darlas, cambiarlas, confirmarlas y cancelarlas, llevar su lista de espera y enviar los avisos del plan. En particular:

• el Cliente se compromete a no configurar su asistente —sus instrucciones, la información que da, las preguntas que hace— para recoger información clínica (síntomas, diagnósticos, tratamientos, medicación, resultados de pruebas o antecedentes médicos), y a no escribir esa información en las notas de las citas;

• las partes reconocen que el tipo de cita (el servicio reservado, el profesional o la especialidad) puede revelar por sí solo datos relativos a la salud. Esos datos se tratan solo en la medida en que la cita lo necesita y se les aplican las medidas reforzadas de la cláusula 4.6;

• como responsable, el Cliente determina la circunstancia del artículo 9.2 del RGPD que permite el tratamiento, informa a sus pacientes y, cuando proceda, hace la evaluación de impacto, en la que le ayudamos (cláusula 12.1).

  4.6. Medidas reforzadas para los datos de salud. a) Se aplican a esos datos, sin excepción, todas las medidas de la cláusula 7, y el audio de las llamadas no se graba. b) El nombre del servicio aparece en los avisos por SMS que se envían al móvil de la persona y en los avisos al Cliente, por lo que el Cliente nombra sus servicios de forma que no revelen más de lo que la cita necesita (por ejemplo, «Consulta» y no el nombre de una enfermedad o de un tratamiento). c) Los datos no se conservan más de lo que indica el Anexo III y se suprimen con la cuenta según la cláusula 13. d) Solo acceden a ellos las personas de nuestro equipo que lo necesitan para atender una petición del Cliente (cláusula 10) o para mantener el servicio en funcionamiento (cláusula 6).

5. Instrucciones del Cliente y obligaciones como responsable

5.1. Tratamos los Datos del Cliente solo siguiendo sus instrucciones documentadas, que son: las condiciones de contratación, este contrato, la configuración que el Cliente hace en la Aplicación (canales, horarios, servicios, respuestas, cuándo pasar a una persona, quién puede llamar, límite de gasto, sistemas conectados), lo que pide por teléfono a su número de gestión y las instrucciones que nos envíe por escrito a privacy@nordixaigency.com.

5.2. Si una instrucción nos parece contraria al RGPD o a otra norma de protección de datos, se lo diremos al Cliente de inmediato y podremos no cumplirla mientras no la confirme o la modifique.

5.3. Si una norma de la Unión o de un Estado miembro nos obliga a tratar los datos de otra forma (por ejemplo, ante un requerimiento de una autoridad), se lo comunicaremos antes al Cliente, salvo que esa norma lo prohíba.

5.4. Como responsable, el Cliente:

• decide la base jurídica del tratamiento y responde de ella;
• informa a sus clientes del tratamiento de sus datos (por ejemplo, en la política de privacidad de su web y en sus comunicaciones), incluido el uso de un asistente automático, que se presenta como tal en su primera respuesta;
• obtiene en su web, cuando corresponda, el consentimiento para reconocer al visitante del chat en visitas posteriores;
• solo da al asistente números y direcciones que tiene derecho a usar (por ejemplo, el de la persona que recibe las llamadas transferidas);
• no usa el servicio para enviar comunicaciones no solicitadas, y
• cumple el resto de obligaciones de la cláusula 10 de las condiciones.

6. Confidencialidad

6.1. Solo acceden a los Datos del Cliente las personas de nuestro equipo que lo necesitan para operar el servicio o atender al Cliente, y todas están sujetas a un deber de confidencialidad, contractual o legal, que sigue vigente después de que termine su relación con nosotros.

6.2. Ese deber de confidencialidad se impone también a los Subencargados (cláusula 8.4).

7. Medidas de seguridad

7.1. Aplicamos las medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD). Hoy son, en resumen:

• Ubicación. La Aplicación, su base de datos y su almacenamiento se alojan en Amazon Web Services, en la Unión Europea (Fráncfort, Alemania). La Plataforma funciona también en Fráncfort.

• Cifrado en tránsito. Toda comunicación con la Aplicación y la Plataforma va cifrada (HTTPS/TLS); el almacenamiento rechaza las conexiones sin cifrar y el envío de correo exige TLS 1.2 o superior.

• Cifrado en reposo. La base de datos y el almacenamiento están cifrados. Las credenciales más sensibles (las de los sistemas conectados, los segundos factores del equipo y las sesiones con la Plataforma) se cifran además una a una con AES-256-GCM y una clave que puede rotarse. La Plataforma cifra sus datos en reposo con AES-256 y guarda las credenciales en un almacén de claves gestionado.

• Credenciales de los sistemas conectados. Las claves y los accesos que el Cliente da para conectar un sistema son del Cliente: la Aplicación los guarda cifrados como se acaba de indicar y solo los usa, en la cuenta de ese Cliente, para su asistente y, cuando el Cliente llama a su número de gestión, para la línea de gestión. Nunca usamos credenciales de NordixAIgency en los sistemas del Cliente. Según el sistema, la Aplicación entrega la credencial a la Plataforma para cada llamada al sistema, o la llamada pasa por la Aplicación, que pone la credencial: en ese caso la Aplicación ve en tránsito los datos que van y vienen, no los guarda más allá de lo necesario para la llamada y no anota su contenido en sus registros.

• Aislamiento. Cada marca que usa la Aplicación tiene una instalación propia, con su base de datos, su almacenamiento y sus secretos; los datos de un Cliente están separados de los de los demás, y el reconocimiento de quien llama nunca cruza de un Cliente a otro. En la Plataforma, los datos de cada empresa que la usa están aislados por políticas de seguridad a nivel de fila en la base de datos.

• Control de acceso. El acceso de nuestro equipo exige un segundo factor de autenticación; cada función tiene su rol y sus permisos mínimos; las contraseñas se guardan con un algoritmo de derivación de claves (scrypt) y nunca en claro; los secretos del servicio se guardan en un gestor de secretos y no en el código.

• Minimización. Cuando el asistente busca una cita para cambiarla o cancelarla, nunca revela el nombre, el teléfono, el correo ni las notas de nadie, y cada cambio que hace se avisa al Cliente y, por SMS, al móvil de la cita.

• Registros. Los registros técnicos ocultan los datos personales y los secretos y se conservan 30 días; los cambios de estado del servicio dejan un registro de auditoría. La Plataforma también lleva un registro de las operaciones del asistente.

• Copias y continuidad. La base de datos tiene recuperación a un momento anterior durante 35 días y protección contra el borrado; los límites de uso por persona y por dirección IP protegen frente a abusos.

  7.2. Podemos actualizar estas medidas con la evolución técnica, siempre que no se reduzca el nivel de seguridad.

8. Subencargados

8.1. El Cliente nos da una autorización general para recurrir a Subencargados. Los actuales figuran en el Anexo I.

8.2. Avisaremos al Cliente por correo electrónico con al menos 30 días de antelación antes de añadir o sustituir un Subencargado. En ese plazo el Cliente puede oponerse por motivos razonables de protección de datos, escribiendo a privacy@nordixaigency.com. Si no encontramos una solución, el Cliente puede cerrar su cuenta con efecto inmediato.

8.3. Si un Subencargado deja de prestar el servicio por una causa urgente de seguridad o de continuidad, podemos sustituirlo sin esperar ese plazo, avisando al Cliente en cuanto sea posible.

8.4. Imponemos a cada Subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y respondemos ante el Cliente de su cumplimiento (art. 28.4 RGPD).

8.5. No son Subencargados los servicios de terceros que el Cliente conecta con su propia cuenta y bajo las condiciones de ese tercero (cláusula 3.3 de las condiciones), incluidos los sistemas conectados, que figuran en el Anexo II: son proveedores del Cliente, y los datos van a ellos, y se leen de ellos, por decisión del Cliente.

8.6. Tampoco lo son los proveedores que usamos para nuestros propios tratamientos como responsables (cláusula 1.4): por ejemplo, Stripe para cobrar al Cliente, Cloudflare Turnstile contra el spam en los formularios del sitio web y en el alta, Google para la medición del sitio web y Microsoft 365 para el buzón que recibe las solicitudes del sitio web.

9. Transferencias internacionales

9.1. Los Datos del Cliente se alojan en el Espacio Económico Europeo. Algunos Subencargados del Anexo I están o pueden estar fuera de él (por ejemplo, los proveedores de modelos de IA en Estados Unidos).

9.2. Solo hay transferencias fuera del Espacio Económico Europeo con una garantía del capítulo V del RGPD: una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. si el destinatario está certificado) o, en su defecto, las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), con las medidas complementarias que procedan. El Anexo I indica la garantía de cada Subencargado.

10. Derechos de los interesados

10.1. Si una persona nos dirige a nosotros una solicitud de ejercicio de sus derechos (acceso, rectificación, supresión, oposición, limitación o portabilidad) sobre Datos del Cliente, se la remitiremos al Cliente en un plazo de 5 días hábiles y no la contestaremos por nuestra cuenta, salvo instrucción del Cliente.

10.2. El Cliente puede atender parte de esas solicitudes por sí mismo en la Aplicación: cambiar y cancelar citas, modificar o vaciar sus notas y quitar apuntes de la lista de espera.

10.3. Para lo demás —por ejemplo, una copia de los datos de una persona o la supresión de sus conversaciones, de las transcripciones de sus llamadas, de la memoria del asistente o de sus citas— el Cliente nos envía la solicitud por correo electrónico a privacy@nordixaigency.com, identificando a la persona por el teléfono, la dirección de correo o el número de WhatsApp que usó. La atendemos por cuenta del Cliente, mediante un procedimiento documentado de nuestro equipo, en la Aplicación y en la Plataforma, sin dilación indebida y a tiempo para que el Cliente pueda responder a la persona dentro de los plazos del artículo 12.3 del RGPD (un mes, prorrogable dos meses más cuando sea necesario): en un plazo de 10 días hábiles desde la petición del Cliente, salvo que en ese plazo le expliquemos por qué la solicitud necesita más tiempo. Le comunicamos por escrito qué encontramos y qué hicimos, para que pueda responder a la persona. No hay una herramienta de autoservicio para estas acciones.

11. Violaciones de la seguridad de los datos

11.1. Notificaremos al Cliente, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tengamos conocimiento, toda violación de la seguridad que afecte a Datos del Cliente, a la dirección de correo de su cuenta.

11.2. La notificación incluirá, en la medida en que lo sepamos, la información del artículo 33.3 del RGPD: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Lo que no sepamos al principio lo daremos por fases.

11.3. Adoptaremos las medidas razonables para contener la violación y mitigar sus efectos y colaboraremos con el Cliente para que pueda notificar a la autoridad de control y, en su caso, a los interesados. No notificaremos a la autoridad ni a los interesados en nombre del Cliente salvo que nos lo pida. La notificación no supone reconocer culpa o responsabilidad.

12. Otra asistencia al Cliente

12.1. Ayudaremos al Cliente, con la información de que dispongamos, en sus evaluaciones de impacto relativas a la protección de datos y en las consultas previas a la autoridad de control (arts. 35 y 36 RGPD).

12.2. Llevamos el registro de las actividades de tratamiento que efectuamos por cuenta de nuestros clientes (art. 30.2 RGPD).

13. Fin del contrato: devolución y supresión de los datos

13.1. Al cerrarse la cuenta se cierran los canales, se libera el número de teléfono, se desconectan los sistemas conectados y se borran en el acto sus credenciales (de los calendarios, además, se retira el permiso cuando el proveedor lo permite) y el asistente deja de atender. Lo que ya está escrito en los sistemas del Cliente (por ejemplo, las citas de sus calendarios) sigue allí, porque es suyo.

13.2. Exportación. Dentro de los 30 días siguientes al cierre, el Cliente puede pedirnos en privacy@nordixaigency.com una copia de sus citas, de su lista de espera, de sus conversaciones y de las transcripciones de llamadas que sigan existiendo, en un formato estructurado y de uso común. La prepara a mano nuestro equipo y la enviamos por un canal seguro en un plazo de 30 días desde la petición y, en todo caso, antes de la supresión de la cláusula 13.3.

13.3. Supresión. En un plazo máximo de 90 días desde el cierre, suprimimos los Datos del Cliente en la Aplicación y en la Plataforma, salvo los que una norma nos obligue a conservar, que quedan bloqueados mientras dure esa obligación. Los datos suprimidos que sigan en una copia de seguridad desaparecen al vencer su ciclo (35 días en la base de datos de la Aplicación) y nunca se restauran en el servicio; los registros técnicos de la Aplicación caducan a los 30 días. Si el Cliente lo pide, le confirmamos por escrito la supresión.

13.4. La exportación y la supresión las hace nuestro equipo mediante un procedimiento documentado: el cierre de la cuenta no las pone en marcha por sí solo.

13.5. Los datos del propio Cliente como cliente nuestro (su cuenta, sus facturas y sus pagos) no son Datos del Cliente: se conservan según la Política de privacidad (cláusula 1.4) durante el tiempo que exija la normativa fiscal y mercantil.

13.6. Mientras el contrato está en vigor, los Datos del Cliente se conservan según el Anexo III.

14. Información y auditorías

14.1. Pondremos a disposición del Cliente la información necesaria para demostrar que cumplimos este contrato y el artículo 28 del RGPD.

14.2. El Cliente puede auditar ese cumplimiento, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, como máximo una vez al año (salvo tras una violación de la seguridad o a petición de una autoridad), avisando con 30 días de antelación y a su costa. Primero intentaremos atenderla con documentación, incluidas las certificaciones y los informes de auditoría de nuestros Subencargados; la auditoría no puede dar acceso a datos de otros clientes ni comprometer la seguridad del servicio.

15. Responsabilidad

Cada parte responde de sus propias obligaciones según el artículo 82 del RGPD. La responsabilidad derivada de este contrato está sujeta a los límites y exclusiones de la cláusula 13 de las condiciones de contratación, salvo en la medida en que la normativa de protección de datos no permita limitarla.

16. Modificaciones

Podemos modificar este contrato por el mismo procedimiento de la cláusula 15 de las condiciones (aviso por correo electrónico con al menos 30 días de antelación). Los cambios de Subencargados siguen la cláusula 8; los que imponga la ley se aplican desde que sean obligatorios.

17. Contacto

Las comunicaciones sobre este contrato se dirigen a privacy@nordixaigency.com; las nuestras van a la dirección de correo de la cuenta del Cliente. No hemos designado un delegado de protección de datos.

18. Idioma, ley aplicable y jurisdicción

18.1. Este contrato se rige por la ley española.

18.2. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio social de AD Caldas Innotec SA.

18.3. Este contrato se redacta en inglés y en español. Prevalece la versión inglesa; la española es una traducción de cortesía.

Anexo I — Subencargados

Subencargado	Qué hace	Dónde	Garantía de la transferencia
Nordix Systems	Plataforma NordixBIOS: hace funcionar el asistente en todos los canales y la línea de gestión, lee y escribe en los sistemas conectados por cuenta del Cliente, conserva las conversaciones y la memoria del asistente, aloja el buzón de correo del asistente y mide el uso	Datos en la UE (Fráncfort, Alemania)	No hay transferencia
Amazon Web Services	Alojamiento de la Aplicación (base de datos, almacenamiento, ejecución, secretos y red de entrega) y envío de los correos al Cliente y a los clientes del Cliente (el enlace de pago de una reserva guardada); también aloja la Plataforma	UE (Fráncfort, Alemania)	No hay transferencia de los datos alojados
Telnyx LLC (Estados Unidos); sus condiciones no nombran una entidad contratante en la UE	Números de teléfono y transporte de las llamadas; reconocimiento y síntesis de voz durante las llamadas; SMS de avisos a los clientes del Cliente. Lo contratan la Plataforma (voz) y nosotros (SMS), con un único anexo de tratamiento de datos que cubre ambos	Instalaciones principales de tratamiento en Estados Unidos; Telnyx ofrece una opción de localización de datos en la UE (Alemania) que se elige por cuenta	Marco de Privacidad de Datos UE-EE. UU. (Telnyx LLC certificada, activa) y las cláusulas contractuales tipo (Decisión (UE) 2021/914) incorporadas a su anexo
Anthropic Ireland, Limited (Irlanda; la entidad contratante para clientes del EEE), contratada por la Plataforma	Modelo de IA que interpreta los mensajes y genera las respuestas del asistente. No puede entrenar modelos con este contenido y borra entradas y salidas en 30 días, salvo para hacer cumplir su política de uso y por obligaciones legales	Se almacena en Estados Unidos; el tratamiento puede ejecutarse en cualquier zona geográfica en la que opere Anthropic	Cláusulas contractuales tipo (Decisión (UE) 2021/914, módulos dos y tres) incorporadas a su anexo; Anthropic no está certificada en el Marco de Privacidad de Datos
OpenAI Ireland Ltd (Irlanda; la entidad contratante para clientes del EEE), contratada por la Plataforma	Representación del texto en vectores para buscar en la información que el Cliente configura. No usa este contenido para entrenar sus modelos; los registros de control de abusos se conservan hasta 30 días	Puede tratar datos fuera del Espacio Económico Europeo; OpenAI ofrece una opción de residencia de datos en la UE que se elige por proyecto	Cláusulas contractuales tipo incorporadas a su anexo, para sus transferencias a sociedades de OpenAI y a terceros fuera del EEE; OpenAI no está certificada en el Marco de Privacidad de Datos
Microsoft (Microsoft 365)	Buzón de soporte (support@nordixaigency.com), si el Cliente nos envía en él Datos del Cliente	Límite de Datos de la UE (EU Data Boundary): para las organizaciones dadas de alta en la UE, los Datos del Cliente se almacenan y tratan en la UE/AELC, con las excepciones limitadas que documenta Microsoft	Marco de Privacidad de Datos (Microsoft Corporation certificada, activa) y cláusulas contractuales tipo entre Microsoft Ireland Operations Limited y Microsoft Corporation

Nordix Systems puede recurrir a otros proveedores propios para la Plataforma; su lista está a disposición del Cliente, a petición, en privacy@nordixaigency.com.

Según su anexo de tratamiento de datos, Telnyx actúa como responsable independiente de los registros de las llamadas y los mensajes (quién llamó o escribió a quién, cuándo y durante cuánto tiempo) y puede usar contenido desidentificado para mejorar sus servicios.

Anexo II — Servicios de terceros que conecta el Cliente (no son Subencargados)

Servicio	Para qué
Meta (WhatsApp; Instagram y Messenger cuando estén disponibles)	El número de WhatsApp del Cliente se conecta con su propia cuenta de Meta, bajo las condiciones de Meta.
Google Calendar, Microsoft Outlook y los demás sistemas de nuestra lista	Los sistemas que el Cliente conecta, si lo hace, con su propia cuenta y bajo las condiciones de su proveedor, para que el asistente lea y escriba en ellos lo que el Cliente configura (por ejemplo, los periodos ocupados y las citas de sus calendarios).
Los sistemas unidos con una integración a medida	El sistema del Cliente que necesita desarrollo (por ejemplo, su ERP o su CRM), que unimos a su asistente con un trabajo a medida, bajo las condiciones de su proveedor.
El proveedor de pagos del Cliente (por ejemplo, su cuenta de Stripe)	Los enlaces de pago, en las soluciones que los envían.
El operador de telefonía del Cliente	El desvío de sus llamadas al número del plan y la recepción de las llamadas transferidas.

Estos servicios y sistemas son proveedores del Cliente, no Subencargados: el Cliente decide conectarlos, y los datos van a ellos, y se leen de ellos, según su relación con cada proveedor.

Anexo III — Conservación durante el contrato

Datos	Conservación
Transcripciones de las llamadas, también las de la línea de gestión	180 días; después la Plataforma las borra automáticamente
Audio de las llamadas	No se graba: la grabación está apagada por defecto y la Aplicación no la activa
Memoria del asistente sobre cada persona	Se borra a los 180 días sin contacto
Conversaciones de WhatsApp, chat de la web y correo	12 meses. Nuestro equipo las borra en un procedimiento mensual, de modo que ninguna se conserva más de 13 meses
Citas	Mientras exista la cuenta; se suprimen con ella (cláusula 13.3)
Peticiones de reserva tomadas con las Reservas desactivadas	Como una cita, también el nombre y el teléfono móvil de la persona: mientras exista la cuenta; se suprimen con ella (cláusula 13.3), salvo lo que la fila siguiente suprime antes
La dirección de la persona y el detalle en texto libre de una reserva o petición de un producto o de una petición que no nombra ningún servicio ni producto	Se suprimen 30 días después del final de la reserva (peticiones: 30 días después del día pedido o, si la petición no nombra un día, después de la petición). Las notas libres de una reserva o una petición de un servicio se conservan como la cita. Las copias ya entregadas en los correos de aviso están en el buzón del propio Cliente, bajo su control, y no las suprimimos nosotros. Una dirección que la persona dice en una conversación queda en esa conversación y sigue su conservación (más arriba)
Apuntes de la lista de espera	Hasta el día siguiente al final de la franja pedida
Enlaces de los avisos por SMS	Caducan 24 horas después del inicio de la cita
Enlaces de pago de una reserva guardada (enviados por SMS o correo, dados en la conversación o mostrados en la página de una oferta de la lista de espera)	Dejan de llevar a la página de pago del Cliente al terminar el plazo de la reserva guardada; en una petición tomada con las Reservas desactivadas, 24 horas después de la petición
Avisos al Cliente en el panel de notificaciones de la Aplicación	90 días
Registros técnicos de la Aplicación	30 días
Credenciales de los sistemas conectados	Mientras el sistema está conectado. Si el Cliente lo desconecta (salvo Google Calendar y Outlook), si deja de tener el complemento «Conectores» (en los sistemas de nuestra lista, salvo esos dos) o si el sistema deja de estar disponible para el Cliente (porque lo retiramos de nuestra lista o, si se unió con una integración a medida, deja de estar asignado al Cliente), se conservan cifradas e inutilizables hasta 30 días, para que pueda volver a conectarlo sin darlas de nuevo (en el último caso, si el sistema vuelve a estar disponible para él); después se borran automáticamente. Las de Google Calendar y Outlook, que se conectan desde la agenda, se borran en el acto al desconectarlas y, sin el complemento, se desconectan y se borran pasados 7 días. Al cerrarse la cuenta se borran en el acto (cláusula 13.1)
Copias de seguridad de la base de datos de la Aplicación	35 días