Contrato de Encargado de Tratamiento

1. Partes

Este contrato regula el tratamiento de datos personales entre el negocio que se registra y usa Citawa ("el Negocio", "el Responsable") y MegaPandaDev ("Citawa", "el Encargado"), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Al crear tu cuenta de Negocio, aceptas este contrato junto con los Términos de Servicio y la Política de Privacidad.

Este documento es una plantilla estándar de encargo de tratamiento, pensada para dejar claras las obligaciones de ambas partes desde ya. Si tu negocio necesita firmarlo de forma individualizada (por ejemplo, para tu propio cumplimiento normativo), escríbenos a boss@megapandadev.com.

2. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales de los clientes finales del Negocio (nombre y teléfono) que el propio Responsable cargue en Citawa, con el único fin de prestar el Servicio: enviar recordatorios de citas por WhatsApp y registrar las confirmaciones o cancelaciones que esos clientes finales respondan.

3. Duración

Este contrato está vinculado a la duración de la cuenta del Negocio en Citawa: entra en vigor al registrarse y permanece vigente mientras la cuenta esté activa, extinguiéndose automáticamente al eliminarla.

4. Naturaleza, finalidad y tipo de datos tratados

• Naturaleza del tratamiento: almacenamiento, envío automatizado de mensajes de WhatsApp y registro de las respuestas recibidas.
• Finalidad: recordar y confirmar citas previas del Negocio con sus propios clientes.
• Categorías de interesados: los clientes finales del Negocio.
• Tipo de datos personales: nombre, teléfono, servicio contratado, fecha y hora de la cita, estado de la cita (pendiente/confirmada/cancelada) y observaciones opcionales que el Negocio decida anotar.

5. Obligaciones del Encargado (Citawa)

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable (los datos que el propio Negocio decide cargar), y solo para la finalidad de este contrato.
• Garantizar que las personas autorizadas a tratar los datos se comprometen a confidencialidad.
• Aplicar las medidas de seguridad descritas en la sección 8.
• No subcontratar a otro encargado sin informar de ello (ver sección 6), y exigirle las mismas obligaciones de protección de datos.
• Ayudar al Responsable, dentro de lo razonable, a responder solicitudes de ejercicio de derechos de sus clientes finales (acceso, rectificación, supresión...) y a cumplir con sus propias obligaciones de seguridad y notificación de brechas.
• Suprimir todos los datos al finalizar la relación (al eliminar la cuenta), sin conservar copia alguna, tal como ya describe la Política de Privacidad.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.

6. Subencargados autorizados

Para poder prestar el Servicio, Citawa recurre a los siguientes subencargados, limitados a lo estrictamente necesario para el envío de recordatorios:

• Meta (WhatsApp Cloud API): transmisión de los mensajes de recordatorio y recepción de las respuestas de confirmación/cancelación.
• Neon: alojamiento de la base de datos donde se almacenan estos datos.
• Render: alojamiento de la aplicación Citawa.

El Responsable autoriza con carácter general el uso de estos subencargados. Si Citawa incorporase uno nuevo relevante para esta actividad, lo comunicará actualizando esta página con antelación razonable, dando al Responsable la oportunidad de oponerse.

7. Transferencias internacionales

Meta presta el servicio de WhatsApp Business desde infraestructura que puede estar fuera del Espacio Económico Europeo; dicha transferencia se ampara en las garantías y cláusulas contractuales tipo que la propia Meta tiene suscritas para su plataforma de WhatsApp Business, conforme al capítulo V del RGPD.

8. Medidas de seguridad

Citawa aplica, entre otras, las siguientes medidas técnicas y organizativas:

• Cifrado en reposo del teléfono de los clientes finales (Fernet), con un hash aparte (HMAC-SHA256) para poder localizarlos sin exponer el dato en claro.
• Verificación de la firma de cada mensaje entrante del webhook de WhatsApp, para descartar eventos que no vengan realmente de Meta.
• Cifrado en tránsito (HTTPS) en todas las comunicaciones con el Servicio.
• Límites de frecuencia de peticiones y captcha en el registro, para dificultar el acceso o uso abusivo.
• Control de acceso: cada Negocio solo puede ver y gestionar los datos de sus propios clientes.

9. Notificación de violaciones de seguridad

Si Citawa detecta una violación de la seguridad de los datos tratados por cuenta del Responsable, se lo notificará sin dilación indebida por correo electrónico, con la información disponible en ese momento, para que el Responsable pueda cumplir con sus propias obligaciones de notificación ante la autoridad de control y, en su caso, a sus clientes finales.

10. Derecho de auditoría

El Responsable puede solicitar a Citawa, por escrito a boss@megapandadev.com, información razonable que permita verificar el cumplimiento de este contrato.

11. Destino de los datos al finalizar

Al eliminar la cuenta desde el propio panel (Configuración → Zona de peligro), todos los datos de clientes finales del Responsable se suprimen de forma inmediata y permanente, sin periodo de gracia ni copia de seguridad posterior — no hace falta ninguna gestión adicional para ello.

12. Legislación aplicable

Este contrato se rige por el RGPD, la normativa española de protección de datos y, en lo no previsto, por la legislación española.