Actualizado el 5 de octubre de 2026
Este contrato se celebra entre el negocio que utiliza Ally-agent (el «Responsable») y el titular del servicio identificado en el aviso legal (el «Encargado»). Forma parte del contrato de servicio y se aplica desde que el Responsable empieza a usar el servicio, mientras lo use.
El Responsable decide por qué y cómo se tratan los datos personales de sus clientes y sigue siendo responsable de la base jurídica de ese tratamiento. El Encargado trata los datos únicamente por cuenta del Responsable, como se describe aquí.
El Encargado presta un asistente de IA con base de clientes y agenda. Por cuenta del Responsable responde a consultas en mensajería, en la web y, si está activado, por teléfono; crea, mueve y cancela reservas; envía recordatorios, solicitudes de reseña y los mensajes que redacta el Responsable; mantiene la base de clientes; y muestra al Responsable la analítica calculada a partir de sus propios datos.
El tratamiento dura lo que dure el contrato de servicio y termina con la supresión o devolución de los datos como se describe más abajo.
Interesados: los clientes del Responsable y las personas que contactan con él; el personal del Responsable que usa el servicio (cuentas, roles, horarios).
Datos: nombre, teléfono, identificadores y nombres de usuario de mensajería, idioma; el contenido de mensajes y llamadas, incluidas transcripciones y, si el Responsable lo activa, grabaciones de llamadas; reservas (servicio, hora, profesional, precio, estado); las notas y etiquetas que añade el Responsable; marcas de consentimiento y de baja; los registros técnicos necesarios para entregar mensajes.
El servicio no está pensado para categorías especiales de datos. Si el Responsable es un centro sanitario, el mero hecho de una reserva puede revelar información de salud; el Responsable sigue siendo responsable de la base jurídica de ese tratamiento e instruye al Encargado en consecuencia.
El Encargado trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable: este contrato, la configuración que el Responsable hace en el servicio (canales, base de conocimiento, políticas, permisos del equipo) y cualquier instrucción escrita. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informa al Responsable sin demora.
Toda persona que actúe bajo la autoridad del Encargado con acceso a datos personales está sujeta a confidencialidad.
Medidas técnicas y organizativas: los datos se almacenan y tratan en la Unión Europea (AWS, región de Fráncfort); se cifran en tránsito y en reposo; cada negocio vive en su propio esquema de base de datos aislado, de modo que ninguna consulta de un negocio puede alcanzar los datos de otro; el acceso es por roles y el propietario decide qué miembros ven la base de clientes, los ingresos y la exportación; las exportaciones y el acceso de la plataforma a los datos de un negocio se registran en un diario de auditoría; credenciales y claves se guardan en un almacén de secretos gestionado; la base de datos se respalda automáticamente cada día; en las llamadas el asistente informa de que es una IA y de que la llamada puede grabarse.
El Responsable autoriza de forma general a los siguientes subencargados: Amazon Web Services (alojamiento, base de datos, copias de seguridad y los modelos de IA servidos mediante Amazon Bedrock en la región de la UE); Meta — WhatsApp, Instagram y Messenger — y Telegram, cada uno solo cuando el Responsable conecta ese canal; Twilio (telefonía) y ElevenLabs (síntesis de voz y gestión de llamadas), solo cuando el Responsable activa las llamadas.
El Encargado informa al Responsable de cualquier adición o sustitución prevista con al menos 14 días de antelación. El Responsable puede oponerse por motivos razonables; si no se encuentra solución, puede poner fin a la parte afectada del servicio.
El alojamiento, la base de datos y los modelos de IA permanecen en la Unión Europea. Los proveedores de mensajería y de voz pueden tratar datos fuera del Espacio Económico Europeo en sus propias condiciones; cuando lo hacen, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea o en una decisión de adecuación. El Responsable elige qué canales conecta.
Los datos personales de un cliente se conservan 12 meses desde su último contacto con el Responsable — una reserva, un mensaje o una llamada — y después se anonimizan automáticamente: se eliminan nombre, teléfono, identificadores de mensajería, notas y etiquetas, y las reservas quedan como estadística anónima de visitas.
A petición del Responsable — o cuando un cliente lo pide al Responsable o directamente al Encargado — el Encargado suprime los datos personales del cliente sin dilación indebida y como máximo en 30 días, del mismo modo. El Responsable puede hacerlo por sí mismo en cualquier momento desde la ficha del cliente. Cada exportación de la base de clientes queda registrada: quién, cuándo y cuántas filas.
Al terminar el contrato de servicio, el Responsable puede exportar sus datos durante 30 días; después el Encargado suprime los datos personales y conserva solo agregados anonimizados, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos más tiempo. Las copias de seguridad se sobrescriben en la rotación ordinaria en cuestión de días.
Teniendo en cuenta la naturaleza del tratamiento, el Encargado asiste al Responsable en la respuesta a las solicitudes de ejercicio de derechos: acceso, rectificación, supresión, limitación, portabilidad (la base de clientes se puede exportar) y oposición (un cliente que responde con una palabra de baja no recibe más mensajes). Las solicitudes que lleguen directamente al Encargado se remiten al Responsable sin dilación indebida.
El Encargado asiste al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto y la consulta previa a la autoridad de control, teniendo en cuenta la información de que dispone.
El Encargado notifica al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento de ella, con la información que el Responsable necesita para su propia notificación, y coopera en su contención e investigación.
El Encargado pone a disposición toda la información necesaria para demostrar el cumplimiento de este contrato y permite y contribuye a las auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por él: una vez en cualquier periodo de 12 meses o tras una violación de seguridad, con 30 días de preaviso, en horario laboral, bajo compromiso de confidencialidad y a cargo del Responsable.
Este contrato dura lo que dure el contrato de servicio; las obligaciones de supresión y confidencialidad subsisten tras su fin. La responsabilidad se rige por el contrato de servicio y por el artículo 82 del RGPD. La ley aplicable y el fuero son los del contrato de servicio; en materia de datos personales prevalece este contrato.
Las cuestiones sobre este contrato se dirigen a la dirección de contacto indicada en el aviso legal.