Acuerdo de Encargo del Tratamiento

Acuerdo de encargo del tratamiento de datos personales

Versión 1.0 · 20 de octubre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Este Acuerdo es el «Acuerdo de Encargo del Tratamiento» al que remiten las cláusulas 11.2, 16.2 y 19.1 de las Condiciones de servicio. Forma parte inseparable de ellas, se acepta al contratar el servicio y prevalece sobre ellas en materia de protección de datos. Si EL CLIENTE necesita una copia firmada, puede pedirla en privacy@invokeapp.io.

1. Partes y papeles

• INVOKEAPP: MARTÍNEZ CAMPOY CONSULTING, S.L., CIF B88657853, Calle Roma, 15, 30600 Archena (Murcia), marca InvokeApp. Actúa como encargado del tratamiento y, cuando los datos pertenecen a un Cliente Final de EL CLIENTE, como subencargado.
• EL CLIENTE: la empresa o profesional que contrata el servicio. Actúa como responsable del tratamiento de sus propios datos y como encargado de los datos de sus Clientes Finales.

Los términos con mayúscula («Cliente Final», «Espacio de Trabajo», «Agente», «Resultado») tienen el significado de las Condiciones de servicio.

2. Objeto y duración

INVOKEAPP tratará los datos personales que EL CLIENTE, sus usuarios o sus Clientes Finales introduzcan, importen, conecten o generen en la plataforma, solo en la medida necesaria para prestar el servicio contratado. El tratamiento se describe en el Anexo A.

Este Acuerdo rige mientras dure el contrato y, después, durante el plazo de exportación y supresión de la cláusula 13.

3. Instrucciones

1. INVOKEAPP tratará los datos solo siguiendo las instrucciones documentadas de EL CLIENTE, también en lo relativo a transferencias internacionales. Son instrucciones documentadas: las Condiciones de servicio y este Acuerdo; la configuración que EL CLIENTE hace en la plataforma (Agentes, conexiones, campañas, plazos de conservación); y las peticiones escritas de sus usuarios administradores.
2. Si INVOKEAPP considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato a EL CLIENTE y podrá suspender su ejecución hasta que se confirme o se retire.
3. Si una norma obligara a INVOKEAPP a tratar los datos de otra forma, se lo comunicará antes, salvo que la norma lo prohíba.

4. Finalidad limitada

1. INVOKEAPP no tratará los datos para fines propios ni los comunicará a terceros, salvo a los subencargados de la cláusula 7 o por obligación legal. Si lo hiciera, se convertiría en responsable de ese tratamiento (artículo 33.2 de la LOPDGDD).
2. INVOKEAPP no usará los datos para entrenar, ajustar ni mejorar modelos de inteligencia artificial, propios o de terceros (cláusula 10.3 de las Condiciones de servicio).
3. Datos obtenidos de Google y de Meta. La facultad de tratar datos agregados y anonimizados de la cláusula 10.3 de las Condiciones de servicio no se aplica a los datos obtenidos a través de las API de Google (Gmail, Google Calendar y otras) ni de la plataforma de Meta (WhatsApp, Instagram, Facebook, Threads). Esos datos se usan solo para las funciones que el usuario ve en la plataforma, conforme a la Google API Services User Data Policy (incluidos sus requisitos de uso limitado) y a los términos de Meta para proveedores tecnológicos.

5. Confidencialidad y personal

INVOKEAPP garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad, acceden a ellos solo cuando lo necesitan para su trabajo y con el mínimo privilegio, y han recibido la formación adecuada. El personal de INVOKEAPP no lee el contenido de correos, mensajes o calendarios conectados salvo petición expresa de EL CLIENTE para un caso concreto, por seguridad o por obligación legal. Este deber continúa después de terminar el contrato.

6. Seguridad

INVOKEAPP aplica las medidas técnicas y organizativas del Anexo B (artículo 32 del RGPD), las revisa al menos una vez al año y no reducirá el nivel de protección durante el contrato.

7. Subencargados

1. EL CLIENTE autoriza con carácter general a INVOKEAPP a recurrir a los subencargados publicados en invokeapp.io/subprocessors (Anexo C).
2. INVOKEAPP comunicará cualquier alta o sustitución con treinta (30) días naturales de antelación. EL CLIENTE podrá oponerse por escrito y de forma motivada, por razones de protección de datos, en los quince (15) días siguientes; si INVOKEAPP mantiene el cambio, EL CLIENTE podrá darse de baja sin penalización (cláusula 16.3 de las Condiciones de servicio).
3. INVOKEAPP impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Acuerdo y responderá ante EL CLIENTE de su cumplimiento.
4. EL CLIENTE, cuando actúe por cuenta de un Cliente Final, identificará a INVOKEAPP como subencargado autorizado en su propio acuerdo con ese Cliente Final (cláusula 7.3 de las Condiciones de servicio).

8. Transferencias internacionales

La plataforma y sus datos se alojan en la Unión Europea (Madrid). INVOKEAPP solo transferirá datos fuera del Espacio Económico Europeo a través de los subencargados del Anexo C o por instrucción de EL CLIENTE, y siempre con una garantía del Capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo). Si una autoridad de un tercer país le pidiera acceso a los datos, se lo notificará a EL CLIENTE salvo prohibición legal y revelará solo lo mínimo exigible.

9. Derechos de los interesados

1. Si un interesado se dirige a INVOKEAPP, esta trasladará la solicitud a EL CLIENTE en un máximo de tres (3) días hábiles y no la responderá salvo instrucción suya.
2. INVOKEAPP ayudará a EL CLIENTE a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, con las funciones de la plataforma o, si no bastan, ejecutando por sí misma la acción pedida en un máximo de diez (10) días hábiles desde la instrucción escrita.
3. Las bajas de comunicaciones comerciales se conservan en la lista de supresión para no volver a contactar a esa persona (artículo 21.3 del RGPD).

10. Violaciones de seguridad

1. INVOKEAPP notificará a EL CLIENTE, sin dilación indebida y como máximo en cuarenta y ocho (48) horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos personales, por correo a sus administradores.
2. La notificación incluirá, en la medida en que se conozca y completándose por fases: la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas, y un contacto.
3. INVOKEAPP colaborará para que EL CLIENTE pueda notificar a la autoridad de control en 72 horas y, cuando proceda, a los interesados. INVOKEAPP no notificará por su cuenta salvo obligación legal propia o instrucción de EL CLIENTE.

11. Evaluaciones de impacto y consulta previa

INVOKEAPP facilitará a EL CLIENTE la información sobre el tratamiento, las medidas de seguridad, los Agentes de IA y los subencargados que necesite para realizar una evaluación de impacto y, si procede, la consulta previa a la autoridad (artículos 35 y 36 del RGPD).

12. Registro de actividades

INVOKEAPP mantiene el registro de las actividades de tratamiento que realiza como encargado (artículo 30.2 del RGPD).

13. Fin del servicio: devolución y supresión

1. Tras la baja, EL CLIENTE dispone de treinta (30) días naturales para exportar sus datos en formato estructurado y de uso común (cláusulas 5.4 y 10.5 de las Condiciones de servicio). Durante el contrato puede exportarlos en cualquier momento.
2. Pasado ese plazo, INVOKEAPP suprimirá los datos, incluidas las conexiones con terceros y sus credenciales, en un máximo de treinta (30) días. Las copias de seguridad se eliminan conforme a su ciclo de rotación (Anexo B). INVOKEAPP emitirá un certificado de borrado a petición de EL CLIENTE.
3. INVOKEAPP podrá conservar, bloqueados y sin otro uso, los datos estrictamente necesarios para acreditar el cumplimiento de este Acuerdo mientras puedan derivarse responsabilidades (artículo 33.4 de la LOPDGDD), y los que una norma le obligue a conservar.

14. Información y auditorías

1. INVOKEAPP pondrá a disposición de EL CLIENTE la información necesaria para demostrar el cumplimiento de este Acuerdo y responderá, una vez al año, a un cuestionario de seguridad en veinte (20) días hábiles.
2. EL CLIENTE, o un auditor obligado a confidencialidad, podrá auditar el cumplimiento una vez al año (o tras una violación de seguridad o a requerimiento de una autoridad), con treinta (30) días de preaviso, en horario laboral, sin acceder a datos de otros clientes y con los costes a su cargo, salvo que se descubra un incumplimiento sustancial de INVOKEAPP.
3. Respecto de la infraestructura de los subencargados, INVOKEAPP facilitará los informes y certificaciones de que disponga; no procede la inspección física de los centros de datos de los proveedores de nube.

15. Obligaciones de EL CLIENTE

EL CLIENTE: (a) dispone de base jurídica para todos los tratamientos que instruye y ha informado a los interesados (artículos 13 y 14 del RGPD); (b) da instrucciones lícitas; (c) realiza la evaluación de impacto cuando proceda; (d) no introduce en la plataforma, salvo acuerdo previo por escrito, categorías especiales de datos (artículo 9 del RGPD), datos penales, datos de menores de catorce años ni datos completos de tarjetas de pago; (e) fija los plazos de conservación de sus datos; (f) cumple la normativa de comunicaciones comerciales (artículos 20 a 22 de la LSSI y 23 de la LOPDGDD); y (g) traslada este Acuerdo a sus Clientes Finales.

16. Canales de terceros (Google, Meta y otros)

1. Titularidad. Las cuentas que EL CLIENTE o sus Clientes Finales conecten (WhatsApp Business, páginas y perfiles sociales, cuentas de Google) pertenecen al negocio que las conecta. INVOKEAPP no adquiere derecho alguno sobre ellas, y el negocio puede desconectarlas en cualquier momento.
2. Normas de la plataforma. EL CLIENTE se obliga, y obligará a cada Cliente Final, a cumplir las condiciones y políticas del proveedor de cada canal, en particular los Meta Platform Terms, las Meta Terms for WhatsApp Business Platform, la WhatsApp Business Messaging Policy y la Google API Services User Data Policy, y a no tratar los datos obtenidos a través de esos canales de forma contraria a ellas.
3. Consentimiento de los destinatarios. Solo se enviarán mensajes de WhatsApp a personas que hayan facilitado su número y aceptado recibirlos, y correos comerciales a contactos con base jurídica conforme al artículo 21 de la LSSI. EL CLIENTE responde de acreditarlo.
4. Costes del canal. Los mensajes de WhatsApp los factura Meta directamente al negocio titular de la cuenta. Ni INVOKEAPP ni EL CLIENTE revenden la plataforma de WhatsApp ni repercuten como propio el coste de los mensajes.
5. Contenidos restringidos. No se usará WhatsApp para enviar o pedir información de salud, datos de tarjetas, números de cuentas bancarias o de documentos de identidad, ni para los productos y servicios que Meta restringe.
6. Suspensión. INVOKEAPP suspenderá el acceso a un canal cuando su proveedor lo requiera o cuando haya indicios razonables de incumplimiento de sus políticas, comunicándolo sin demora.
7. Comunicaciones del proveedor. INVOKEAPP trasladará sin demora al negocio afectado cualquier comunicación del proveedor del canal sobre solicitudes de los interesados relativas a sus datos.

17. Responsabilidad

Cada parte responde frente a los interesados y las autoridades conforme al artículo 82 del RGPD. Entre las partes rige la cláusula 13 de las Condiciones de servicio: INVOKEAPP responde de los daños causados por incumplir las obligaciones que el RGPD o este Acuerdo le imponen como encargado o por actuar fuera de las instrucciones lícitas de EL CLIENTE; EL CLIENTE, de los derivados de sus instrucciones, de la falta de base jurídica o de la ilicitud de los datos.

18. Contacto

Protección de datos: privacy@invokeapp.io · Seguridad y vulnerabilidades: security@invokeapp.io.

Anexo A. Descripción del tratamiento

Anexo B. Medidas técnicas y organizativas

Anexo C. Subencargados

La relación vigente, con su servicio, ubicación y garantía, se publica en invokeapp.io/subprocessors y se actualiza conforme a la cláusula 7.