Contrato de Encargo de Tratamiento
Versión v2026-10-06 · Última actualización: 6 de octubre de 2026 · Art. 28 RGPD
Este contrato regula el tratamiento de datos personales que Visitoo hace por cuenta del Cliente al prestar el Servicio. Forma parte de los Términos de Servicio y se acepta al crear la cuenta. Describe lo que pasa hoy.
1. Partes
- Responsable del tratamiento: el Cliente (profesional o empresa titular de la cuenta), que decide para qué y cómo se tratan los datos de sus contactos.
- Encargado del tratamiento: Leonardo Romero Giménez (NIF 60032501V), titular de Visitoo, Carrer Pintor Josep Piñós 18, 08031 Barcelona, info@visitoo.app, que trata esos datos solo para prestar el Servicio.
2. Objeto y finalidad
Atender y gestionar las conversaciones con los contactos del Cliente: recibir mensajes (WhatsApp, correo y formulario de su web), transcribir notas de voz, preparar propuestas de respuesta, proponer y recordar citas y guardar el historial. Ninguna respuesta sale sin que una persona la apruebe: el Cliente o, si él nos lo encarga, el equipo de Visitoo.
3. Duración
Mientras esté vigente la cuenta. Al terminar se aplica la cláusula 9.
4. Datos e interesados
- Interesados: los contactos y clientes del Cliente y, en WhatsApp, cualquier persona que escriba al número vinculado.
- Datos: nombre, teléfono, correo, contenido de las conversaciones (texto, notas de voz y adjuntos), correos recibidos, citas y notas.
- WhatsApp (dato importante): el número se conecta como dispositivo vinculado y, hoy, el servicio recibe y guarda todas las conversaciones de ese WhatsApp, incluidos grupos, estados y el historial que WhatsApp sincroniza al vincular, aunque solo trabaja con los chats individuales. Esos datos se guardan en servidores de IONOS en España, no tienen borrado automático y no entran en las copias de seguridad. El Cliente puede pedir su borrado (cláusula 9).
- No está previsto tratar categorías especiales de datos (art. 9 RGPD), como los de salud; el Servicio no está pensado para ellas.
5. Obligaciones de Visitoo
- Tratar los datos solo según las instrucciones del Cliente (el uso del Servicio es la instrucción), salvo obligación legal.
- Confidencialidad de quienes acceden a los datos.
- Acceso del equipo de Visitoo: el equipo ve las conversaciones del Cliente cuando aprueba o envía respuestas por encargo suyo, para darle soporte y para configurar el agente. El modo «ver como cliente» es de solo lectura, dura 30 minutos y queda registrado.
- Medidas de seguridad (art. 32): conexión cifrada, contraseñas con hash, verificación en dos pasos disponible (obligatoria para personas invitadas), copias de seguridad cifradas y registro de actividad del panel.
- Copias de seguridad: cifradas, en servidores de IONOS en España, con rotación de 7 diarias, 4 semanales y 6 mensuales. Lo borrado desaparece de las copias, en 6 meses como máximo.
- Ayudar al Cliente a atender los derechos de los interesados y sus obligaciones de seguridad.
- Avisar al Cliente sin dilación, y como máximo en 24 horas desde que se sepa, de cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus obligaciones.
- Dar al Cliente la información necesaria para demostrar el cumplimiento.
- No usar los datos para fines propios ni cederlos fuera de lo previsto aquí.
6. Subencargados
El Cliente autoriza a Visitoo a usar estos subencargados. Antes de añadir o sustituir uno, Visitoo avisará por correo con 30 días de antelación y el Cliente podrá oponerse en 15 días; si no hay alternativa, podrá cancelar sin penalización.
| Proveedor | País | Para qué |
|---|---|---|
| IONOS / Arsys | España | Servidores, base de datos, automatizaciones (n8n alojado por Visitoo), copias de seguridad y buzones de correo |
| OpenAI | EE. UU. | Preparar propuestas de respuesta y transcribir notas de voz (recibe el texto y el audio de los mensajes) |
| Telegram | Emiratos Árabes Unidos | Avisos internos sin datos personales: el nombre del proyecto y un enlace al panel |
| UE / EE. UU. | Google Calendar, si el Cliente conecta su calendario; reCAPTCHA en el acceso; Places para buscar la ficha pública del negocio al configurar el agente | |
| Stripe Payments Europe | Irlanda | Cobro de la suscripción (datos del Cliente, no de sus contactos) |
| Proveedor de IA que conecte el Cliente | Según el proveedor | El asistente del portal envía las preguntas y la ficha del contacto al proveedor que el Cliente elija con su clave (por ejemplo Anthropic, OpenAI o Google) |
| CRM | España o según el proveedor | Si el proyecto lo tiene activado, la conversación del contacto se copia al CRM: Twenty, alojado por Visitoo en el mismo servidor de IONOS, o el Perfex del propio Cliente |
7. Transferencias internacionales
OpenAI y Google (EE. UU.) tratan datos fuera del Espacio Económico Europeo. Garantías: OpenAI, con contrato de tratamiento y cláusulas contractuales tipo de la Comisión Europea; Google y Stripe, adheridas al Marco de Privacidad de Datos UE-EE. UU. A Telegram solo enviamos avisos internos sin datos personales (el nombre del proyecto y un enlace). Los mensajes de WhatsApp viajan por la red de WhatsApp (Meta) porque es el propio WhatsApp del Cliente; Meta no actúa por encargo de Visitoo.
8. Derechos de los interesados
Si un interesado se dirige a Visitoo, se lo trasladamos al Cliente y le ayudamos a atenderlo. Quien resuelve es el Cliente, como responsable.
9. Fin del encargo: devolución o supresión
Al terminar el contrato, o antes si lo pide, el Cliente puede pedir por correo a info@visitoo.app que le devolvamos sus datos (en ficheros de uso común) o que los suprimamos, incluidos los del WhatsApp vinculado. Lo hacemos en 30 días como máximo y confirmamos por correo cuando está hecho. De las copias de seguridad desaparecen al rotar, en 6 meses como máximo. Se conservan solo los datos que la ley obligue a guardar (por ejemplo, facturación).