# Acuerdo de encargo del tratamiento de datos personales

**Versión 1.1 · 23 de octubre de 2026** · Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Este Acuerdo es el «Acuerdo de Encargo del Tratamiento» al que remiten las cláusulas 11.2, 16.2 y 19.1 de las [Condiciones de servicio](https://invokeapp.io/terms). Forma parte inseparable de ellas, se acepta al contratar el servicio y prevalece sobre ellas en materia de protección de datos. Si EL CLIENTE necesita una copia firmada, puede pedirla en privacy@invokeapp.io.

## 1. Partes y papeles

- **INVOKEAPP:** MARTÍNEZ CAMPOY CONSULTING, S.L., CIF B88657853, Calle Roma, 15, 30600 Archena (Murcia), marca InvokeApp. Actúa como **encargado del tratamiento** y, cuando los datos pertenecen a un Cliente Final de EL CLIENTE, como **subencargado**.
- **EL CLIENTE:** la empresa o profesional que contrata el servicio. Actúa como **responsable del tratamiento** de sus propios datos y como **encargado** de los datos de sus Clientes Finales.

Los términos con mayúscula («Cliente Final», «Espacio de Trabajo», «Agente», «Resultado») tienen el significado de las Condiciones de servicio.

## 2. Objeto y duración

INVOKEAPP tratará los datos personales que EL CLIENTE, sus usuarios o sus Clientes Finales introduzcan, importen, conecten o generen en la plataforma, **solo en la medida necesaria para prestar el servicio contratado**. El tratamiento se describe en el Anexo A.

Este Acuerdo rige mientras dure el contrato y, después, durante el plazo de exportación y supresión de la cláusula 13.

## 3. Instrucciones

1. INVOKEAPP tratará los datos solo siguiendo las instrucciones documentadas de EL CLIENTE, también en lo relativo a transferencias internacionales. Son instrucciones documentadas: las Condiciones de servicio y este Acuerdo; la configuración que EL CLIENTE hace en la plataforma (Agentes, conexiones, campañas, plazos de conservación); y las peticiones escritas de sus usuarios administradores.
2. Si INVOKEAPP considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato a EL CLIENTE y podrá suspender su ejecución hasta que se confirme o se retire.
3. Si una norma obligara a INVOKEAPP a tratar los datos de otra forma, se lo comunicará antes, salvo que la norma lo prohíba.

## 4. Finalidad limitada

1. INVOKEAPP no tratará los datos para fines propios ni los comunicará a terceros, salvo a los subencargados de la cláusula 7, a los terceros que exija una función que EL CLIENTE active (relacionados en el Anexo C), a los destinatarios de las alertas técnicas internas que se indican, con sus limitaciones, en el Anexo C, por obligación legal o para elaborar, conforme a la cláusula 10.3 de las Condiciones de servicio, métricas técnicas agregadas y anonimizadas sobre el uso del servicio (volúmenes, tiempos de respuesta y errores), sin el contenido de los datos y con la exclusión del apartado 3. Si los tratara para otro fin, se convertiría en responsable de ese tratamiento (artículo 33.2 de la LOPDGDD).
2. INVOKEAPP no usará los datos para entrenar, ajustar ni mejorar modelos de inteligencia artificial, propios o de terceros (cláusula 10.3 de las Condiciones de servicio).
3. **Datos obtenidos de Google y de Meta.** La facultad de tratar datos agregados y anonimizados de la cláusula 10.3 de las Condiciones de servicio **no se aplica** a los datos obtenidos a través de las API de Google (Gmail, Google Calendar y otras) ni de la plataforma de Meta (WhatsApp, Instagram, Facebook, Threads). Esos datos se usan solo para las funciones que el usuario ve en la plataforma, conforme a la Google API Services User Data Policy (incluidos sus requisitos de uso limitado) y a los términos de Meta para proveedores tecnológicos.

## 5. Confidencialidad y personal

INVOKEAPP garantiza, conforme al artículo 28.3.b del RGPD, que las personas que autorice a tratar los datos personales se habrán comprometido por escrito a respetar su confidencialidad antes de acceder a ellos, además de quedar sujetas al deber de confidencialidad del artículo 5 de la LOPDGDD. INVOKEAPP solo les dará acceso cuando lo necesiten para su trabajo y con el mínimo privilegio, les informará de sus obligaciones de protección de datos y se asegurará de que solo traten los datos siguiendo las instrucciones de EL CLIENTE. El personal de INVOKEAPP no leerá el contenido de correos, mensajes o calendarios conectados salvo petición expresa de EL CLIENTE para un caso concreto, por seguridad o por obligación legal. Este deber de confidencialidad continúa después de terminar el contrato y después de que cada persona deje de prestar servicios a INVOKEAPP.

## 6. Seguridad

INVOKEAPP aplica las medidas técnicas y organizativas del Anexo B (artículo 32 del RGPD), las revisa al menos una vez al año y no reducirá el nivel de protección durante el contrato.

## 7. Subencargados

1. EL CLIENTE autoriza con carácter general a INVOKEAPP a recurrir a los subencargados publicados en [invokeapp.io/subprocessors](https://invokeapp.io/subprocessors) (Anexo C).
2. INVOKEAPP comunicará cualquier alta o sustitución con **treinta (30) días naturales de antelación**. EL CLIENTE podrá oponerse por escrito y de forma motivada, por razones de protección de datos, en los quince (15) días siguientes; si INVOKEAPP mantiene el cambio, EL CLIENTE podrá darse de baja sin penalización (cláusula 16.3 de las Condiciones de servicio).
3. INVOKEAPP impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Acuerdo y responderá ante EL CLIENTE de su cumplimiento.
4. EL CLIENTE, cuando actúe por cuenta de un Cliente Final, identificará a INVOKEAPP como subencargado autorizado en su propio acuerdo con ese Cliente Final (cláusula 7.3 de las Condiciones de servicio).

## 8. Transferencias internacionales

La plataforma y su base de datos se alojan en la Unión Europea (Madrid). Los modelos de IA se ejecutan en la Unión Europea (Bélgica y, como respaldo de la generación de imágenes, Países Bajos), salvo la generación de vídeo (Veo, Estados Unidos), que solo se usa si EL CLIENTE la activa. Las copias de seguridad se guardan en la multirregión de la Unión Europea, y los registros técnicos y los secretos de la plataforma, en la ubicación global de Google Cloud. El detalle está en el Anexo C. INVOKEAPP solo transferirá datos fuera del Espacio Económico Europeo a través de los subencargados y demás destinatarios del Anexo C o por instrucción de EL CLIENTE, y siempre con una garantía del Capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo), salvo las excepciones indicadas en el Anexo C, que no tienen todavía garantía acreditada. Si una autoridad de un tercer país le pidiera acceso a los datos, se lo notificará a EL CLIENTE salvo prohibición legal y revelará solo lo mínimo exigible.

## 9. Derechos de los interesados

1. Si un interesado se dirige a INVOKEAPP, esta trasladará la solicitud a EL CLIENTE en un máximo de **tres (3) días hábiles** y no la responderá salvo instrucción suya o en el caso del apartado 4.
2. INVOKEAPP ayudará a EL CLIENTE a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, con las funciones de la plataforma o, si no bastan, ejecutando por sí misma la acción pedida en un máximo de **diez (10) días hábiles** desde la instrucción escrita.
3. Las bajas de comunicaciones comerciales se conservan en la lista de supresión para no volver a contactar a esa persona (artículo 21.3 del RGPD).
4. Cuando el titular de una cuenta conectada (por ejemplo, un Cliente Final dueño de su cuenta de WhatsApp Business o de Google) desconecte la cuenta o pida borrar los datos obtenidos de ella, EL CLIENTE autoriza desde ahora a INVOKEAPP a ejecutarlo como instrucción documentada. INVOKEAPP trasladará la solicitud a EL CLIENTE sin demora.

## 10. Violaciones de seguridad

1. INVOKEAPP notificará a EL CLIENTE, **sin dilación indebida y como máximo en cuarenta y ocho (48) horas** desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos personales, por correo a sus administradores.
2. La notificación incluirá, en la medida en que se conozca y completándose por fases: la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas, y un contacto.
3. INVOKEAPP colaborará para que EL CLIENTE pueda notificar a la autoridad de control en 72 horas y, cuando proceda, a los interesados. INVOKEAPP no notificará por su cuenta salvo obligación legal o contractual propia o instrucción de EL CLIENTE.
4. Cuando un incidente afecte a datos obtenidos a través de las API de Google o de la plataforma de Meta, INVOKEAPP podrá notificarlo a Google o a Meta en la forma y los plazos que exijan sus condiciones, e informará de ello a EL CLIENTE.

## 11. Evaluaciones de impacto y consulta previa

INVOKEAPP facilitará a EL CLIENTE la información sobre el tratamiento, las medidas de seguridad, los Agentes de IA y los subencargados que necesite para realizar una evaluación de impacto y, si procede, la consulta previa a la autoridad (artículos 35 y 36 del RGPD).

## 12. Registro de actividades

INVOKEAPP mantiene por escrito el registro de las actividades de tratamiento que realiza como encargado (artículo 30.2 del RGPD) y lo pondrá a disposición de la autoridad de control cuando esta lo solicite.

## 13. Fin del servicio: devolución y supresión

1. Tras la baja, durante **treinta (30) días naturales** los datos de EL CLIENTE siguen disponibles para su exportación (cláusula 5.4 de las Condiciones de servicio): EL CLIENTE puede pedirla en privacy@invokeapp.io e INVOKEAPP se la entregará en un formato estructurado y de uso común (CSV o JSON) en un máximo de **diez (10) días hábiles**. Durante el contrato puede exportar desde la plataforma los datos que esta permite exportar y pedir el resto por el mismo canal (cláusula 10.5 de las Condiciones de servicio).
2. Pasado ese plazo, INVOKEAPP **suprimirá** los datos, incluidas las conexiones con terceros y sus credenciales, en un máximo de treinta (30) días. A petición de EL CLIENTE o del titular de la cuenta conectada, los datos obtenidos a través de las API de Google y de la plataforma de Meta se suprimen en un máximo de treinta (30) días desde la petición, sin esperar al plazo de exportación. Las copias de seguridad se eliminan conforme a su ciclo de rotación (Anexo B). INVOKEAPP emitirá un certificado de borrado a petición de EL CLIENTE.
3. INVOKEAPP podrá conservar, **bloqueados** y sin otro uso, los datos estrictamente necesarios para acreditar el cumplimiento de este Acuerdo mientras puedan derivarse responsabilidades (artículo 33.4 de la LOPDGDD), y los que una norma le obligue a conservar.

## 14. Información y auditorías

1. INVOKEAPP pondrá a disposición de EL CLIENTE la información necesaria para demostrar el cumplimiento de este Acuerdo y responderá, una vez al año, a un cuestionario de seguridad en veinte (20) días hábiles.
2. EL CLIENTE, o un auditor obligado a confidencialidad, podrá auditar el cumplimiento una vez al año (o tras una violación de seguridad o a requerimiento de una autoridad), con treinta (30) días de preaviso, en horario laboral, sin acceder a datos de otros clientes y con los costes a su cargo, salvo que se descubra un incumplimiento sustancial de INVOKEAPP.
3. Respecto de la infraestructura de los subencargados, INVOKEAPP facilitará los informes y certificaciones de que disponga; no procede la inspección física de los centros de datos de los proveedores de nube.

## 15. Obligaciones de EL CLIENTE

EL CLIENTE: (a) dispone de base jurídica para todos los tratamientos que instruye y ha informado a los interesados (artículos 13 y 14 del RGPD); (b) da instrucciones lícitas; (c) realiza la evaluación de impacto cuando proceda; (d) no introduce en la plataforma, salvo acuerdo previo por escrito, categorías especiales de datos (artículo 9 del RGPD), datos penales, datos de menores de catorce años ni datos completos de tarjetas de pago; (e) fija los plazos de conservación de sus datos; (f) cumple la normativa de comunicaciones comerciales (artículos 20 a 22 de la LSSI y 23 de la LOPDGDD); y (g) traslada este Acuerdo a sus Clientes Finales.

## 16. Canales de terceros (Google, Meta y otros)

1. **Titularidad.** Las cuentas que EL CLIENTE o sus Clientes Finales conecten (WhatsApp Business, páginas y perfiles sociales, cuentas de Google) pertenecen al negocio que las conecta. INVOKEAPP no adquiere derecho alguno sobre ellas, y el negocio puede desconectarlas en cualquier momento.
2. **Normas de la plataforma.** EL CLIENTE se obliga, y obligará a cada Cliente Final, a cumplir las condiciones y políticas del proveedor de cada canal, en particular los Meta Platform Terms, las Meta Terms for WhatsApp Business Platform, la WhatsApp Business Messaging Policy y la Google API Services User Data Policy, y a no tratar los datos obtenidos a través de esos canales de forma contraria a ellas.
3. **Consentimiento de los destinatarios.** Solo se enviarán mensajes de WhatsApp a personas que hayan facilitado su número y aceptado recibirlos, y correos comerciales a contactos con base jurídica conforme al artículo 21 de la LSSI. EL CLIENTE responde de acreditarlo.
4. **Costes del canal.** Los mensajes de WhatsApp los factura Meta directamente al negocio titular de la cuenta. Ni INVOKEAPP ni EL CLIENTE revenden la plataforma de WhatsApp ni repercuten como propio el coste de los mensajes.
5. **Contenidos restringidos.** No se usará WhatsApp para enviar o pedir información de salud, datos de tarjetas, números de cuentas bancarias o de documentos de identidad, ni para los productos y servicios que Meta restringe.
6. **Suspensión.** INVOKEAPP suspenderá el acceso a un canal cuando su proveedor lo requiera o cuando haya indicios razonables de incumplimiento de sus políticas, comunicándolo sin demora.
7. **Comunicaciones del proveedor.** INVOKEAPP trasladará sin demora al negocio afectado cualquier comunicación del proveedor del canal sobre solicitudes de los interesados relativas a sus datos.

## 17. Responsabilidad

Cada parte responde frente a los interesados y las autoridades conforme al artículo 82 del RGPD. Entre las partes rige la cláusula 13 de las Condiciones de servicio: INVOKEAPP responde de los daños causados por incumplir las obligaciones que el RGPD o este Acuerdo le imponen como encargado o por actuar fuera de las instrucciones lícitas de EL CLIENTE; EL CLIENTE, de los derivados de sus instrucciones, de la falta de base jurídica o de la ilicitud de los datos.

## 18. Contacto

Protección de datos: privacy@invokeapp.io · Seguridad y vulnerabilidades: security@invokeapp.io.

---

## Anexo A. Descripción del tratamiento

| Elemento | Descripción |
|---|---|
| Naturaleza | Alojamiento, registro, organización, consulta, importación y exportación; envío y recepción de mensajes y correos por las cuentas que EL CLIENTE conecta; programación y publicación de contenidos; gestión de citas; segmentación; puntuación de leads, por reglas o con IA según la función; generación de borradores, resúmenes y clasificaciones con IA; obtención de datos de fuentes públicas (webs, Google Maps Platform y el buscador de Google) cuando EL CLIENTE activa la prospección o el enriquecimiento de leads; soporte; supresión |
| Finalidad | Prestar a EL CLIENTE el servicio de la plataforma InvokeApp (CRM, Agentes de IA, integraciones e inteligencia de negocio) conforme a las Condiciones de servicio |
| Interesados | Usuarios de EL CLIENTE; sus clientes, contactos y leads; los clientes, contactos y leads de sus Clientes Finales; personas que escriben a sus canales (WhatsApp, chat web, correo) |
| Categorías de datos | Identificativos y de contacto; profesionales; comerciales (productos, compras, oportunidades, notas); contenido de mensajes, correos y conversaciones; datos de citas; base jurídica, consentimientos y bajas; datos derivados (segmentos, puntuaciones, Resultados de IA); identificadores y credenciales cifradas de cuentas conectadas; actividad de los usuarios |
| Datos excluidos | Los de la cláusula 15(d), salvo acuerdo previo por escrito |
| Frecuencia | Continua durante el contrato |
| Lugar | Unión Europea (Madrid; los modelos de IA, en Bélgica y, como respaldo de la generación de imágenes, en Países Bajos); Estados Unidos solo para la generación de vídeo, si se activa; registros técnicos y secretos de la plataforma en la ubicación global de Google Cloud. Ver la cláusula 8 y el Anexo C |

## Anexo B. Medidas técnicas y organizativas

| Ámbito | Medida |
|---|---|
| Alojamiento | Google Cloud: cómputo, base de datos y ficheros en la región de Madrid (`europe-southwest1`), Unión Europea; colas de tareas y tareas programadas en Bélgica (`europe-west1`); copias de seguridad en la multirregión de la Unión Europea; registros técnicos y secretos en la ubicación global de Google Cloud; la web pública, en la red de distribución global de Firebase. Detalle en el Anexo C |
| Cifrado | Conexiones con la plataforma y con los proveedores cifradas con TLS/HTTPS; tráfico interno por la red privada de Google Cloud; cifrado en reposo de bases de datos y almacenamiento; credenciales de terceros (tokens OAuth, claves de API) cifradas además a nivel de aplicación, con las claves en un gestor de secretos y un sistema que permite rotarlas; secretos de la plataforma en un gestor de secretos |
| Contenidos para publicar | Las imágenes y los vídeos generados para publicar y las fotos de perfil se guardan en un almacenamiento accesible mediante su enlace, que no permite listar su contenido |
| Aislamiento | Datos de cada empresa y de cada Espacio de Trabajo separados lógicamente, con controles en todas las consultas y pruebas automáticas de aislamiento |
| Acceso | Usuarios individuales; roles; el buzón de correo de la agencia y de los proyectos solo lo conecta o desconecta un administrador de la empresa; el resto de conexiones las autoriza un usuario de la empresa o, mediante un enlace firmado y con caducidad, el titular de la cuenta (Cliente Final); contraseñas con hash; sesiones con caducidad; limitación general de peticiones |
| Personal de INVOKEAPP | Solo accederán a los datos de producción las personas que INVOKEAPP autorice, cuando lo necesiten y después de comprometerse por escrito a respetar su confidencialidad (cláusula 5); el acceso a la consola de Google Cloud se hace con cuentas nominales |
| Registro | Registro de actividad y de accesos; registros técnicos de la infraestructura conservados hasta 400 días |
| Copias de seguridad | Copias automáticas diarias y cifradas de la base de datos, guardadas en la multirregión de la Unión Europea de Google Cloud; se conservan las siete últimas y se eliminan por rotación, de modo que un dato borrado desaparece de las copias en un máximo de diez días |
| IA | Modelos de Google (Vertex AI) en la Unión Europea (Bélgica y, como respaldo de la generación de imágenes, Países Bajos), salvo la generación de vídeo (Veo, Estados Unidos, solo si se activa); seudonimización de los identificadores directos detectables y de los nombres del CRM antes de enviarlos, con las limitaciones descritas en la Política de privacidad (§4); sin entrenamiento con datos de clientes; al modelo se envía solo el contenido que necesita cada función: texto y, en las funciones de voz o de imagen, el audio dictado (no se guarda) o las imágenes que se aportan; aviso de IA en las conversaciones con personas; revisión humana de los Resultados que se envían a terceros, salvo en los modos autónomos que active EL CLIENTE |
| Comunicaciones comerciales | Lista de supresión; baja obligatoria en cada correo; las fichas de clientes del CRM sin base jurídica registrada quedan fuera de las campañas; aprobación humana de cada envío por defecto, que corresponde a EL CLIENTE (cláusula 17.3 de las Condiciones de servicio); modo autónomo solo si EL CLIENTE lo activa: en ese caso, EL CLIENTE asume que esos envíos salen sin revisión previa, bajo su responsabilidad |
| Gestión de incidentes | Procedimiento escrito de gestión y notificación de violaciones de seguridad (cláusula 10), con registro de cada incidente y avisos a EL CLIENTE y, cuando sus condiciones lo exijan, a Google y a Meta; canal para avisar de vulnerabilidades: security@invokeapp.io |
| Revisión | Revisión anual de estas medidas |

## Anexo C. Subencargados

La relación vigente, con su servicio, ubicación y garantía, se publica en [invokeapp.io/subprocessors](https://invokeapp.io/subprocessors) y se actualiza conforme a la cláusula 7. En la misma página se relacionan los terceros que reciben datos solo cuando EL CLIENTE activa una función y que no actúan como subencargados, y los destinatarios que actúan como responsables independientes, con las transferencias que no tienen todavía garantía acreditada.