Encargo de tratamiento de datos (art. 28 RGPD)

Última actualización: 2 de octubre de 2026

Cuando un negocio usa Atendyo, el asistente trata datos personales de sus clientes y de quienes le escriben por la web o por WhatsApp. Este contrato regula ese tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de las condiciones de contratación y se acepta con ellas, se haya contratado en atendyo.com o desde la Shopify App Store.

1. Partes

2. Objeto, duración, naturaleza y finalidad

Atendyo trata los datos por cuenta del negocio con una única finalidad: prestarle el servicio contratado. Eso incluye recibir los mensajes de los clientes, generar las respuestas con modelos de inteligencia artificial, guardar las conversaciones para que el negocio las vea en su panel, recoger las peticiones de contacto y avisar al negocio por correo, consultar pedidos en su tienda cuando el cliente demuestra que son suyos, reconocer a los clientes que vuelven y, si el negocio los activa, enviar un único correo de carrito abandonado y enviar y recibir mensajes de WhatsApp. El encargo dura lo que dure el servicio y, en lo relativo a la supresión, la devolución y la confidencialidad, hasta que estas se completen.

3. Datos y personas afectadas

• Personas: clientes del negocio y visitantes que escriben a su asistente en la web o en WhatsApp.
• Conversaciones: los mensajes y el texto extraído de los archivos que adjuntan (de los PDF, su texto; de las fotos, una descripción que genera la inteligencia artificial; el archivo no se guarda).
• Contacto: nombre, correo y mensaje de las peticiones de contacto y, en WhatsApp, el número de teléfono.
• Perfil de cliente: nombre, correo, identificador de cliente de Shopify, número de conversaciones y tema de la última.
• Pedidos: los datos del pedido que se consultan para contestar (número, estado, envío y los datos del cliente que contenga).
• Carritos y avisos de producto: correo, nombre y productos de un carrito creado en el chat; correo y producto de los avisos de disponibilidad que el cliente pide.
• Estadísticas de uso: eventos del chat asociados a la conversación y, en WhatsApp, los acuses de entrega con el número de destino.

El servicio no está pensado para tratar categorías especiales de datos (salud, ideología, etc.). El negocio no debe pedirlas a sus clientes a través del asistente.

4. Instrucciones del negocio

Atendyo trata los datos solo siguiendo las instrucciones documentadas del negocio: este contrato y la configuración que hace en su panel (por ejemplo, el plazo de conservación de las conversaciones o activar los correos de carrito abandonado). No los usa para fines propios ni los comunica a terceros, salvo a los subencargados del apartado 7 o cuando lo exija la ley, en cuyo caso se lo dirá antes al negocio salvo que la ley lo prohíba. Si una instrucción infringe, en su opinión, la normativa de protección de datos, lo advertirá de inmediato al negocio.

5. Confidencialidad

Las personas autorizadas por Atendyo para tratar los datos están obligadas a guardar secreto, también cuando dejen de hacerlo.

6. Medidas de seguridad (art. 32 RGPD)

• Todas las conexiones con la aplicación van cifradas (HTTPS).
• La aplicación y la base de datos están en servidores de netcup GmbH en Alemania.
• Las credenciales del negocio (claves de Shopify, token de WhatsApp) se guardan cifradas en reposo.
• Aislamiento por cliente: los datos de cada negocio se tratan en un espacio separado y nunca se mezclan con los de otro.
• Acceso a cada panel con clave individual.
• Hacemos una copia de seguridad diaria de la base de datos, en el mismo servidor de la Unión Europea y con acceso restringido, y guardamos las de los últimos 7 días.
• Los datos de un pedido solo se muestran cuando el cliente confirma el correo del pedido y otro dato, o cuando ha iniciado sesión en la tienda, con bloqueo de los intentos repetidos.
• Conservación limitada: las conversaciones y sus adjuntos se borran solos cuando llevan inactivos el plazo que elige el negocio en su panel («Mi negocio» → «Historial de conversaciones»; por defecto 30 días de inactividad; el negocio puede ampliarlo, reducirlo o conservarlas sin límite). Las conversaciones que un agente del negocio ha tomado (con el asistente en pausa) no se borran mientras sigan así. Las peticiones de contacto y los perfiles de cliente siguen ese mismo plazo. Los carritos se borran a las 48 horas y las estadísticas de uso a los 30 días. Los avisos de producto se borran a los 90 días de pedirse, y antes con la cuenta o cuando se pide el borrado de ese cliente.

7. Subencargados

El negocio autoriza de forma general a Atendyo a recurrir a estos subencargados, necesarios para prestar el servicio. Atendyo les impone por contrato obligaciones de protección de datos conforme al artículo 28.4 RGPD y responde ante el negocio de su cumplimiento.

• netcup GmbH (Alemania, UE): servidor de la aplicación y base de datos.
• Mistral AI (Francia, UE): modelo de inteligencia artificial que genera respuestas a partir del texto de la conversación.
• Groq UK Limited (Reino Unido; procesa en EE. UU.): modelo de inteligencia artificial que genera respuestas y describe las fotos adjuntas. Sus condiciones le prohíben usar estos datos para entrenar modelos.
• Cloudflare, Inc. (EE. UU., Workers AI): modelo de inteligencia artificial que genera respuestas. Sus condiciones le prohíben usar estos datos para entrenar modelos.
• Sendinblue SAS (Brevo) (Francia, UE): correos al negocio (avisos de contactos) y, si el negocio los activa, el correo de carrito abandonado a su cliente.

Además, cuando responde el modelo de inteligencia artificial instalado en el propio servidor de Atendyo, la conversación no sale de ese servidor. Para leer la web pública del negocio, Atendyo usa también Jina AI GmbH (Alemania) e Internet Archive (EE. UU.), a los que solo envía la dirección de esa web, no datos de clientes.

Los servicios que el negocio contrata directamente no son subencargados de Atendyo: Shopify (su tienda) y WhatsApp Business, cuya API en la nube presta Meta Platforms Ireland Limited como encargado del propio negocio, según las condiciones que el negocio acepta con Meta al conectar su número (Meta conserva los mensajes hasta 30 días). Atendyo se conecta a ellos con el permiso del negocio.

Atendyo avisará al negocio por correo, con al menos 15 días de antelación, antes de añadir o sustituir un subencargado. Si el negocio se opone por motivos de protección de datos y no hay otra solución, puede cancelar el contrato sin penalización antes de que el cambio se aplique.

8. Transferencias internacionales

Groq y Cloudflare procesan datos en EE. UU. Cloudflare está certificada en el Marco de Privacidad de Datos UE-EE. UU. y, además, firma cláusulas contractuales tipo; Groq no está en ese marco: los datos pasan al Reino Unido (país con decisión de adecuación) y de allí a EE. UU. con cláusulas contractuales tipo. El negocio autoriza estas transferencias. Atendyo no hará otras transferencias fuera del Espacio Económico Europeo sin una de las garantías del capítulo V del RGPD.

9. Derechos de los interesados

Atendyo ayuda al negocio a atender los derechos de sus clientes (acceso, rectificación, supresión, oposición, limitación y portabilidad): el panel muestra las conversaciones y los contactos, y en las tiendas Shopify las peticiones de datos y de borrado de un cliente (customers/data_request y customers/redact) se atienden de forma automática. Si un interesado se dirige a Atendyo, se lo trasladará al negocio sin demora. El negocio autoriza a Atendyo a atender directamente las peticiones de supresión que le lleguen de sus clientes, borrando sus conversaciones y datos de contacto, y a informarle de ello.

10. Violaciones de seguridad

Atendyo notificará al negocio, sin dilación indebida y por correo, cualquier violación de la seguridad de los datos que trate por su cuenta de la que tenga conocimiento, con la información disponible para que el negocio pueda cumplir sus obligaciones (art. 33.3 RGPD): qué ha pasado, qué datos y cuántas personas afecta, sus posibles consecuencias y las medidas tomadas o propuestas. Le ayudará también a comunicarla a la autoridad de control y a las personas afectadas cuando proceda.

11. Otras ayudas al negocio

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Atendyo ayudará al negocio a cumplir las obligaciones de los artículos 32 a 36 del RGPD: seguridad, evaluaciones de impacto y consultas previas a la autoridad de control.

12. Auditorías e inspecciones

Atendyo pondrá a disposición del negocio toda la información necesaria para demostrar que cumple este contrato y el artículo 28 del RGPD, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, que haga el negocio o un auditor autorizado por él (art. 28.3.h RGPD). Salvo que lo pida una autoridad de control o haya indicios de un incumplimiento, se solicitarán por escrito con al menos 30 días de antelación, empezarán por la información documental, se harán en horario laboral sin afectar a la seguridad ni a los datos de otros clientes, y quien audite se comprometerá a guardar confidencialidad. Cada parte asume sus propios costes. Atendyo colaborará también con la autoridad de control cuando esta lo requiera.

13. Fin del servicio: supresión o devolución de los datos

Si el negocio cancela un plan de pago, o no se puede cobrar, el servicio no termina: al acabar el periodo pagado, su cuenta pasa al plan Gratis, el asistente sigue contestando en su web con los límites de ese plan y se pausa lo que el plan Gratis no incluye (sus documentos y WhatsApp), sin borrar nada.

El servicio termina cuando el negocio pide que borremos su cuenta, cuando la cuenta se borra por falta de uso en el caso que prevén las condiciones de contratación o cuando el contrato se resuelve por incumplimiento. Entonces el asistente se desactiva automáticamente: desaparece de la web del negocio y deja de responder, también en WhatsApp, y Atendyo aplica la supresión, con la devolución previa si el negocio la pide. Si el contrato se resuelve por incumplimiento, por instrucción del negocio, que la da al aceptar este contrato, los datos se conservan desactivados hasta que el negocio elija una de las dos:

• Supresión: Atendyo borra de forma definitiva e irreversible todos los datos de su espacio (conversaciones, contactos, perfiles de cliente, conocimiento, configuración y credenciales) y le confirma el borrado por correo. Lo borrado desaparece también de las copias de seguridad cuando caducan, a los 7 días.
• Devolución: antes de borrarlos, Atendyo le envía una copia de las conversaciones y los contactos en un formato de uso común (CSV o JSON).

Basta con pedirlo a comercial@flexigobe.com desde el correo de la cuenta. Si la tienda desinstala Atendyo de Shopify, Shopify lo avisa a las 48 horas (shop/redact) y el borrado completo se hace automáticamente. Mientras tanto, las conversaciones siguen borrándose solas según el plazo configurado.

14. Obligaciones del negocio

• Tener una base legal para tratar los datos de sus clientes con el asistente y para los correos de carrito abandonado si los activa.
• Informar a sus clientes (puede usar el párrafo del apartado 15) y responder a sus peticiones de derechos.
• Elegir en su panel el plazo de conservación de las conversaciones que necesite.
• Incluir en su política de cookies lo que el chat guarda en el navegador de sus visitantes, en el dominio de su web: ssb_session_id_<identificador del negocio> (identificador de la conversación, se crea al enviar el primer mensaje y dura hasta que el visitante borra los datos del sitio) y ssb_sound (preferencia de sonido, solo si pulsa el botón de sonido). Son técnicos y de preferencias, sin fines de analítica ni publicidad.
• En WhatsApp, cumplir las normas de WhatsApp Business (por ejemplo, las de consentimiento de sus clientes).

15. Párrafo para la política de privacidad del negocio

El negocio debe informar a sus clientes del uso del asistente. Puede pegar este párrafo en su política de privacidad. El plazo que aparece es el de serie: si lo ha cambiado en su panel («Mi negocio» → «Historial de conversaciones») o conserva las conversaciones sin límite, debe poner el suyo.

Asistente de chat: esta web utiliza Atendyo, un asistente de inteligencia artificial, para atender consultas en la web y/o por WhatsApp. Los mensajes que envíes al chat, los archivos que adjuntes y los datos de contacto que dejes los trata en nuestro nombre Flexibles y Accesorios Gobe, S.L. («Atendyo»), como encargado del tratamiento, con la única finalidad de prestar este servicio de atención. Las conversaciones se borran automáticamente pasado el plazo de inactividad que tenemos configurado (por defecto 30 días). Para generar las respuestas se usan proveedores de inteligencia artificial de la Unión Europea y de EE. UU., con las garantías que exige el RGPD para las transferencias internacionales. Más información y ejercicio de derechos: en esta política de privacidad y en la del proveedor (https://atendyo.com/legal/privacidad).

16. Ley aplicable

Este contrato se rige por el RGPD, la LOPDGDD y la legislación española, y las cuestiones de jurisdicción, por lo que dicen las condiciones de contratación.