Anexo de Tratamiento de Datos

Cuando tu negocio usa Arvisflows, el agente atiende a tus clientes y trata sus datos. Esos datos son tuyos, no nuestros. Este anexo es el contrato de encargo que exige el artículo 28 del Reglamento General de Protección de Datos y regula qué podemos y qué no podemos hacer con ellos.

1. Partes y papel de cada una

Arvisflows no determina las finalidades ni los medios esenciales del tratamiento de estos datos y no los utiliza para fines propios.

2. Objeto, duración y finalidad

Objeto. El tratamiento de los datos personales de los clientes finales del negocio que resulte necesario para que el agente de inteligencia artificial pueda atenderlos.

Naturaleza y finalidad. Recogida, registro, conservación, consulta, uso y supresión de esos datos con el fin de mantener conversaciones, atender llamadas, consultar disponibilidad, gestionar citas, reservas, pedidos, envíos y trayectos de transporte, y enviar los avisos que el negocio configure; y, si el negocio activa el cobro, preparar el pago de la operación en la cuenta de Stripe del negocio y registrar su resultado.

Duración. Mientras esté vigente el contrato de servicio, más el plazo previsto en la cláusula 11 para la devolución o supresión. El contenido de las conversaciones mantenidas con el asistente (WhatsApp, teléfono y chat web) se conserva seis meses desde cada mensaje y después se suprime automáticamente, con independencia de que el contrato siga vigente. Los datos de las citas, reservas, presupuestos, pedidos, envíos y trayectos de transporte no se ven afectados por ese plazo y se conservan conforme a la cláusula 11.

3. Qué datos y de quién

4. Obligaciones de Arvisflows

Arvisflows se obliga a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del cliente. Se consideran instrucciones documentadas estos Términos, este anexo y la configuración que el cliente establezca en el Panel del Gerente.
• No utilizar los datos para finalidades propias, ni cederlos, ni emplearlos para entrenar modelos de inteligencia artificial propios o de terceros.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido incluso tras finalizar su relación con Arvisflows.
• Aplicar y mantener las medidas de seguridad de la cláusula 8.
• Asistir al cliente, en la medida de lo posible, para que pueda atender las solicitudes de derechos de los interesados.
• Ayudar al cliente a cumplir sus obligaciones de seguridad, notificación de brechas y evaluación de impacto, teniendo en cuenta la información de que dispone.
• Informar al cliente de inmediato si considera que una instrucción recibida infringe la normativa de protección de datos.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones.

5. Obligaciones del cliente

El cliente, como responsable, se obliga a:

• Disponer de una base jurídica válida para tratar los datos de sus clientes finales y para comunicárselos a Arvisflows.
• Informar a sus clientes finales de que la atención puede prestarse mediante un sistema automatizado, de la identidad del responsable y de cómo ejercer sus derechos. Arvisflows recomienda incluirlo en el primer mensaje del agente y en la política de privacidad del negocio.
• Configurar el agente y el panel de forma conforme a la normativa, y no introducir en ellos datos que no necesite para prestar su servicio.
• Atender las solicitudes de derechos que reciba de sus clientes finales, con la asistencia de Arvisflows.
• Mantener actualizada la lista de personas de su organización con acceso al panel y revocar el acceso de quien deje de necesitarlo.

6. Subencargados autorizados

El cliente autoriza de forma general a Arvisflows a recurrir a los siguientes subencargados, necesarios para prestar el servicio:

Cuando el cliente activa el cobro de reservas, Stripe presta el servicio de pago en virtud del contrato que el cliente celebra directamente con Stripe, y no como subencargado de Arvisflows. Por cuenta del cliente, Arvisflows solo le comunica el importe, la moneda, el nombre del servicio y un identificador interno de la reserva. El cliente es responsable de informar a sus clientes finales de ese tratamiento por Stripe.

Arvisflows suscribe con cada subencargado obligaciones equivalentes a las de este anexo y responde de su actuación frente al cliente.

Antes de incorporar o sustituir un subencargado, Arvisflows lo comunicará al cliente con una antelación mínima de 30 días naturales. Si el cliente se opone por motivos razonables y fundados relacionados con la protección de datos, podrá resolver el contrato sin penalización antes de que el cambio entre en vigor.

Último cambio en esta lista: el 6 de septiembre de 2026 se incorporó Anthropic como subencargado, y la función de OpenAI pasó a repartirse con él. Los dos tratan la misma categoría de datos, en el mismo país y con las mismas garantías descritas en el apartado siguiente, y ninguno de ellos utiliza el contenido de las conversaciones para entrenar sus modelos. Este cambio se comunicó por correo electrónico a todos los clientes el 6 de septiembre de 2026.

Cambio del 30 de octubre de 2026: OpenAI pasó a ser el proveedor principal y Anthropic quedó como respaldo. Ambos tratan la misma categoría de datos, en el mismo país y con las mismas garantías descritas en el apartado siguiente.

7. Transferencias internacionales

Los datos residen en la Unión Europea. Ahora bien, Arvisflows es una sociedad estadounidense y parte de los subencargados anteriores trata datos en Estados Unidos, por lo que se producen transferencias internacionales.

Esas transferencias se amparan en cláusulas contractuales tipo aprobadas por la Comisión Europea, complementadas con las medidas adicionales que resulten necesarias, o en la decisión de adecuación relativa al Marco de Privacidad de Datos entre la Unión Europea y Estados Unidos cuando el subencargado esté certificado en él. Arvisflows facilitará al cliente copia de las garantías aplicables a petición de este.

8. Medidas de seguridad

Atendiendo al estado de la técnica y al riesgo del tratamiento, Arvisflows aplica al menos las siguientes medidas:

• Cifrado en tránsito. Todas las comunicaciones entre el navegador, la aplicación y los proveedores viajan cifradas mediante TLS.
• Credenciales. Las contraseñas de acceso al panel se almacenan mediante una función de derivación con sal, nunca en claro, y no son recuperables ni por el propio personal de Arvisflows.
• Control de acceso. El acceso al panel requiere autenticación y se gestiona mediante tokens de sesión de duración limitada, que caducan al cerrar el navegador.
• Segregación. Los datos de cada negocio están separados lógicamente y cada consulta está acotada al negocio autenticado.
• Mínimo privilegio. El acceso administrativo a los sistemas se limita a las personas que lo necesitan para operar el servicio.
• Copias de seguridad periódicas de la base de datos, con posibilidad de restauración.
• Registro de actividad de las ejecuciones y de los errores del sistema, para poder detectar y analizar incidentes.
• Revisión. Estas medidas se revisan periódicamente y se actualizan cuando cambia el riesgo.

9. Violaciones de seguridad

Si Arvisflows tiene conocimiento de una violación de la seguridad que afecte a datos tratados por cuenta del cliente, se lo notificará sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia.

La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio. Corresponde al cliente, como responsable, decidir sobre la notificación a la autoridad de control y a los interesados.

10. Derechos de los interesados

Si un cliente final se dirige directamente a Arvisflows para ejercer sus derechos, Arvisflows no responderá al fondo de la solicitud y la trasladará al negocio correspondiente sin dilación, informando al solicitante de que el responsable es ese negocio.

Arvisflows facilita al cliente las herramientas necesarias para atender esas solicitudes por sí mismo desde el Panel del Gerente, y le presta asistencia adicional cuando la consulta o la supresión no puedan realizarse desde el panel.

El cliente puede suprimir por sí mismo, desde el Panel del Gerente, la conversación completa de una persona concreta, incluido el registro que el asistente utiliza para recordar conversaciones anteriores. La supresión es inmediata y no se puede deshacer.

11. Devolución y supresión al finalizar

Al terminar la prestación del servicio, y a elección del cliente, Arvisflows devolverá los datos en un formato estructurado y de uso común o los suprimirá, junto con las copias existentes.

El cliente dispone de 30 días naturales desde la baja para solicitar la devolución. Transcurrido ese plazo sin solicitud, Arvisflows procederá a la supresión. Se exceptúan los datos que deban conservarse por obligación legal, que permanecerán bloqueados y sin uso hasta el vencimiento del plazo correspondiente.

12. Auditoría

Arvisflows pondrá a disposición del cliente la información razonablemente necesaria para acreditar el cumplimiento de este anexo, y colaborará en las auditorías o inspecciones que el cliente o un auditor por él designado realicen.

Las auditorías se solicitarán con una antelación mínima de treinta días, se limitarán a una al año salvo que exista un incidente que justifique otra, se realizarán en horario laboral y sin afectar a la operativa, y estarán sujetas a confidencialidad. Los costes correrán a cargo del cliente, salvo que la auditoría revele un incumplimiento sustancial imputable a Arvisflows.

13. Cambios en este anexo

Arvisflows podrá actualizar este anexo para adaptarlo a cambios normativos, a nuevas resoluciones de las autoridades de control o a modificaciones del servicio. Los cambios sustanciales se comunicarán con una antelación mínima de 30 días naturales. En caso de contradicción entre este anexo y los Términos de Servicio, prevalecerá este anexo en todo lo relativo a la protección de datos.