Anexo de encargado del tratamiento

Este anexo regula lo que WasaBot hace con los datos de los clientes de tu negocio. Tú respondes de esos datos y nosotros solo los tratamos por cuenta tuya y siguiendo tus instrucciones. Es lo que pide el artículo 28 del Reglamento General de Protección de Datos, y lo aceptas al darte de alta en WasaBot.

Versión: 2026-10-27.1.

1. Las partes

• Responsable del tratamiento: la empresa que se da de alta en WasaBot, en adelante «la empresa».
• Encargado del tratamiento: Antonio Laguna Matías, con NIF 53345413H y domicilio en Avenida de la Petanca 14, 41960 Gines, Sevilla, que trabaja por su cuenta bajo el nombre de WasaBot, en adelante «WasaBot». Contacto: [email protected].

2. Qué tratamos y para qué

WasaBot recibe los mensajes de WhatsApp que los clientes mandan al número de la empresa, los guarda, los lee con un programa para convertirlos en pedidos y, a la hora de cierre, le manda a la empresa un resumen por WhatsApp y por correo. Si la empresa lo activa, además le manda al cliente un mensaje corto que confirma lo que ha pedido. Esos son los únicos fines del tratamiento.

• Quiénes: los clientes de la empresa que le escriben por WhatsApp o a los que la empresa escribe desde su número, y las personas que la empresa tiene guardadas en los contactos de su móvil, que WhatsApp nos pasa al conectar el número.
• Qué datos: su número de teléfono, el nombre con el que aparecen en WhatsApp, un alias, que de entrada es el nombre con el que la empresa los tiene guardados en sus contactos y que la empresa puede cambiar, la nota que la empresa les ponga, el texto de los mensajes que se cruzan con la empresa y los pedidos que salen de ellos.
• Qué no: no tratamos datos de categorías especiales a propósito. Si un cliente escribe algo así en un mensaje, se trata igual que el resto del texto y se borra en el mismo plazo.
• Cuánto dura: lo que dure el servicio con la empresa, más los plazos de borrado del punto 9.

3. Solo con tus instrucciones

WasaBot trata los datos solo para lo que dice el punto 2 y para lo que la empresa indique por escrito, incluido el correo. No los usa para nada propio, no los vende, no los cruza con los de otra empresa y no los usa para entrenar ningún modelo. Lo que aprende de las correcciones de una empresa sirve solo para esa empresa.

Si una instrucción de la empresa nos parece contraria a la ley, se lo decimos antes de cumplirla. Si la ley nos obligara a tratar algún dato por otro motivo, se lo diríamos a la empresa antes, salvo que esa misma ley lo prohíba.

4. Confidencialidad

Solo accede a los datos quien lo necesita para dar el servicio, y está obligado a guardar secreto, también después de dejar de trabajar en WasaBot.

5. Seguridad

WasaBot aplica medidas técnicas y organizativas adecuadas al riesgo, como pide el artículo 32 del Reglamento. Entre ellas:

• Todo viaja cifrado, y las credenciales de WhatsApp de cada empresa se guardan cifradas.
• La base de datos está en la Unión Europea y sus copias de seguridad van cifradas.
• Cada dato lleva la empresa a la que pertenece, y la base de datos rechaza que un registro de una empresa apunte a otra.
• Al panel solo se entra con un enlace de un solo uso. El de la empresa llega a su correo. Si la empresa pide ayuda, WasaBot puede abrir una sesión de soporte que dura como mucho una hora, queda registrada y se ve en el panel mientras está abierta.
• Los mensajes se guardan antes de leerlos, para que un fallo pueda retrasar un resumen pero no perder un pedido.

6. Subencargados

La empresa autoriza a WasaBot a apoyarse en estos subencargados, que figuran con más detalle en la página de privacidad: Railway, Meta Platforms Ireland, Anthropic, Resend y Sentry. Better Stack y Cloudflare, que también aparecen en esa página, no reciben datos de los clientes de la empresa. Cada uno está obligado por contrato a lo mismo que WasaBot por este anexo, y WasaBot responde ante la empresa de lo que hagan.

Si añadimos o cambiamos un subencargado, se lo decimos a la empresa por correo con al menos 30 días de antelación. Si la empresa se opone con un motivo razonable y no encontramos una alternativa, puede terminar el servicio antes de que el cambio empiece a valer.

7. Fuera del Espacio Económico Europeo

Algunos subencargados tratan datos en Estados Unidos. Esos envíos se apoyan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., cuando el subencargado está adherido, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea. La página de privacidad dice cuál usa cada uno.

8. Ayudarte a cumplir

• Derechos de tus clientes: si un cliente nos pide a nosotros acceder a sus datos, corregirlos o borrarlos, se lo trasladamos a la empresa enseguida y no lo resolvemos por nuestra cuenta. Cuando la empresa nos pida atenderlo, lo hacemos.
• Brechas de seguridad: si algo afecta a los datos de los clientes de la empresa, se lo decimos sin dilación indebida y en todo caso en un plazo de 48 horas desde que lo sepamos, con lo que sepamos en ese momento, para que la empresa pueda avisar a la Agencia Española de Protección de Datos en las 72 horas que marca la norma.
• Evaluaciones de impacto y consultas: si la empresa tiene que hacer una evaluación de impacto o consultar a la autoridad, le damos la información que tengamos y le haga falta.

9. Cuánto tiempo y cómo se borra

• El texto de los mensajes, lo que la empresa escribe al número de WasaBot y los mensajes que no se han podido leer se borran a los 30 días.
• Los pedidos se borran a los 12 meses. La línea de un pedido que no se ha podido entender se guarda con su texto tal cual, porque esa línea es el propio pedido, y se borra con él.
• Los mensajes se quedan como registro de dónde salió cada pedido, sin su texto. A los 12 meses se les quita también el teléfono del cliente que llevan copiado.
• La ficha de un cliente se queda hasta que la empresa la borre.

Cuando la empresa pide borrar a un cliente, quitamos su teléfono, su nombre, el alias, la nota, el texto de sus mensajes y el texto de sus pedidos, y cancelamos los pedidos que estén abiertos. Las cantidades de los pedidos ya cerrados se quedan, sin nombre ni teléfono, para que los resúmenes de días pasados no cambien. Guardamos una huella cifrada del número que no permite recuperarlo, solo para que la agenda de la empresa no vuelva a crear al cliente que se ha borrado. Cuando la empresa pide borrar a un cliente, borramos también el contenido de todos los mensajes de esa empresa que no se pudieron leer. Los pocos que no sabemos a qué empresa pertenecen se borran a los 30 días como mucho. El identificador técnico que WhatsApp pone a cada mensaje puede llevar dentro el número de teléfono, así que siempre que quitamos el teléfono de un mensaje, al borrar a un cliente o a los 12 meses, cambiamos también ese identificador por una huella cifrada que no permite recuperar el número.

Lo que se borra puede seguir dentro de una copia de seguridad hasta que esa copia caduca, como mucho 30 días, y no se restaura salvo desastre.

10. Al terminar el servicio

Cuando la empresa cierra su cuenta, nos dice si quiere que le devolvamos sus datos en un archivo o que los borremos, y lo hacemos en un plazo de 30 días. Si no dice nada, los borramos al terminar ese plazo. En los dos casos no nos quedamos con ninguna copia, salvo lo que la ley nos obligue a guardar y mientras nos obligue.

11. Demostrar que cumplimos

WasaBot pone a disposición de la empresa la información necesaria para demostrar que cumple este anexo y permite las auditorías que la empresa pida de forma razonable, avisando con antelación suficiente y por su cuenta.

12. Cambios en este anexo

Si cambiamos este anexo, publicamos la nueva versión aquí con su fecha y se lo decimos a la empresa antes de que empiece a valer. Guardamos qué versión aceptó cada empresa y cuándo.