Encargo de tratamiento (resumen, art. 28 RGPD)

Última actualización: 11 de junio de 2026

Cuando un negocio contrata Atendyo, el asistente trata datos personales de los clientes finales de ese negocio (los visitantes que chatean en su web o su WhatsApp). Esta página resume las condiciones del encargo de tratamiento del artículo 28 del RGPD que rigen esa relación y forma parte de las Condiciones de contratación.

1. Partes y roles

2. Objeto, naturaleza y datos tratados

Atendyo trata, por cuenta del responsable y mientras dure el servicio, los datos necesarios para prestar el asistente conversacional: los mensajes del chat (web y, si está activo, WhatsApp), los archivos que los visitantes adjunten, los datos de contacto que dejen en los formularios del chat (nombre, email, mensaje y, en WhatsApp, el número de teléfono) y, cuando el responsable conecta su tienda, los datos de pedidos consultados de forma segura para responder al visitante.

3. Instrucciones del responsable

Atendyo tratará los datos únicamente para prestar el servicio descrito y conforme a las instrucciones documentadas del responsable (la configuración que este realiza en su panel), y no los utilizará para fines propios ni los cederá a terceros salvo los subencargados listados a continuación o por obligación legal.

4. Subencargados autorizados

El responsable autoriza de forma general a los siguientes subencargados, necesarios para prestar el servicio. Atendyo informará de cualquier cambio en esta lista, dando al responsable la posibilidad de oponerse:

• Hugging Face, Inc. (EE. UU.) — alojamiento de la aplicación.
• Neon, Inc. — base de datos PostgreSQL en la región eu-central-1 (Fráncfort, UE).
• Brevo (Sendinblue SAS, Francia, UE) — emails transaccionales (por ejemplo, avisos de contactos captados).
• Proveedores de inferencia de IA: Groq, Cloudflare, Cerebras, SambaNova y OpenRouter (EE. UU.) y Mistral AI (Francia, UE) — generación de las respuestas. Sus API se usan con condiciones de no entrenamiento (los mensajes no se usan para entrenar sus modelos).
• Meta Platforms (WhatsApp Cloud API) — solo si el responsable activa el canal WhatsApp.

Las transferencias internacionales a proveedores establecidos en EE. UU. se amparan en cláusulas contractuales tipo (SCC) y/o en el EU-US Data Privacy Framework, según el proveedor.

5. Confidencialidad y medidas de seguridad (art. 32 RGPD)

• Todas las comunicaciones con la aplicación viajan cifradas mediante HTTPS (TLS).
• Credenciales del responsable (por ejemplo, claves de Shopify o tokens de WhatsApp) cifradas en reposo.
• Aislamiento por cliente: los datos de cada negocio se tratan en un espacio separado y nunca se mezclan con los de otro cliente.
• Retención limitada por defecto: las conversaciones y sus adjuntos se eliminan automáticamente a los 30 días de inactividad.
• Acceso restringido mediante claves individuales; deber de confidencialidad de toda persona autorizada a tratar los datos.

6. Asistencia al responsable

Atendyo asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento: (a) en la atención de los derechos de los interesados (acceso, rectificación, supresión y demás derechos de los arts. 15 a 22 RGPD), trasladándole sin dilación las solicitudes que reciba; (b) en la notificación de violaciones de seguridad, informándole sin dilación indebida desde que tenga conocimiento de una; y (c) en lo razonable, en las evaluaciones de impacto que el responsable deba realizar.

7. Desactivación del servicio y supresión de los datos

Al finalizar el servicio (cancelación o impago), el asistente se desactiva automáticamente: desaparece de la web del responsable y deja de responder, también en WhatsApp. Los datos no se destruyen en ese mismo instante, para permitir una reactivación si el responsable lo desea. A elección del responsable, Atendyo suprimirá de forma definitiva e irreversible todos los datos de su espacio (conversaciones, contactos, conocimiento, configuración y credenciales) — la eliminación de la cuenta ejecuta esa purga completa — o se los devolverá antes de la supresión. Con independencia de ello, las conversaciones siguen eliminándose automáticamente a los 30 días de inactividad.

8. Obligación de transparencia del responsable

El responsable debe informar a sus propios usuarios del uso del asistente en su política de privacidad. Puede usar este párrafo, listo para pegar:

Asistente de chat: esta web utiliza Atendyo, un asistente conversacional automatizado, para atender consultas en la web y/o por WhatsApp. Los mensajes que envíes al chat, los archivos que adjuntes y los datos de contacto que facilites en sus formularios son tratados en nuestro nombre por Flexibles y Accesorios Gobe, S.L. ("Atendyo"), como encargado del tratamiento, con la única finalidad de prestar el servicio de atención. Las conversaciones se eliminan automáticamente a los 30 días de inactividad. Para generar las respuestas se utilizan proveedores de inteligencia artificial, algunos establecidos en EE. UU., configurados para no entrenar sus modelos con tus datos. Más información y ejercicio de derechos: en nuestra política de privacidad y en la del proveedor (https://victor34593993-flexigo-support-bot.hf.space/legal/privacidad).

9. Duración

Este encargo permanece vigente mientras dure la prestación del servicio y, en lo relativo a la supresión y confidencialidad, hasta que esta se complete.