Acuerdo de tratamiento de datos

1. Alcance y papel de cada parte

Este acuerdo forma parte de las Condiciones para negocios. Regula cómo INDEXA, S.R.L. («INDEXA»), RNC 1-31-79391-6, trata los datos personales de los clientes de un negocio («el Negocio») cuando el Negocio usa los servicios Vende (con Facturación), Atiende y Cobra de Timbro. El tratamiento se ajusta a la Ley No. 172-13 que tiene por objeto la protección integral de los datos personales («Ley 172-13»).

El Negocio es el responsable de los datos de sus clientes: decide para qué y cómo se tratan. INDEXA actúa como encargado: los trata por cuenta del Negocio para prestar Timbro, según las instrucciones del Negocio, y para elaborar los datos agregados que permite la sección 2. Esas instrucciones son las Condiciones para negocios, la configuración que el Negocio hace en Timbro y sus solicitudes por la API.

Este acuerdo no cubre los datos que INDEXA trata como responsable, como los de Cuenta Timbro o los de las personas que usan Portal Timbro. Esos datos se rigen por la Política de Privacidad.

2. Datos y finalidades

Datos: nombre, correo, RNC o cédula, razón social, dirección fiscal cuando el Negocio la incluye, detalle de compras y facturas, y datos del pago. INDEXA no guarda el número completo de la tarjeta ni su código de seguridad.

Datos de las conversaciones de Atiende: cuando el Negocio activa Atiende, que está en beta, los mensajes que sus clientes escriben y reciben, sus números de teléfono, sus notas de voz y, cuando se transcriben, el texto de esas notas, además de los pedidos que salen de la conversación. El Anexo de Atiende regula además ese servicio.

Finalidades:

• con el servicio Vende, emitir, enviar a la DGII, conservar y entregar facturas, y mostrar su historial al Negocio;
• con el servicio Cobra, procesar pagos con el adquirente del Negocio;
• con Atiende, responder a los clientes en nombre del Negocio, armar sus pedidos y permitir que el Negocio tome la conversación;
• en todos los servicios, elaborar datos agregados o disociados para análisis y estadísticas.

Datos agregados para análisis: el Negocio autoriza a INDEXA a elaborar, a partir de los datos que trata por cuenta del Negocio, datos agregados o disociados en el sentido de la Ley 172-13, y a usarlos para análisis y estadísticas. Esos datos no permiten identificar razonablemente a una persona, al Negocio, una factura ni una operación. Para elaborarlos, INDEXA:

• usa solo los campos necesarios para cada análisis, y nunca certificados, contraseñas, claves ni datos completos de tarjetas;
• no publica ni entrega grupos tan pequeños que permitan deducir a quién corresponden;
• no intenta volver a identificar a nadie a partir de ellos, y prohíbe hacerlo a quien los reciba;
• no vende ni cede datos personales ni información identificable del Negocio.

Una vez agregados o disociados, esos datos dejan de ser datos personales de los clientes del Negocio, e INDEXA puede conservarlos después de que termine la relación.

Quién ve las conversaciones: el Negocio y las personas que autorice en Portal Timbro. El equipo de Timbro accede a una conversación solo cuando es necesario para prestar el servicio, atender una solicitud del Negocio o cumplir una obligación legal.

Conservación de las conversaciones: INDEXA conserva las conversaciones durante el tiempo necesario para prestar Atiende al Negocio y cumplir obligaciones legales y fiscales. Al terminar la relación se aplica la sección 4.

Cliente frecuente: esta función aplica solo cuando esté disponible y el Negocio la active. Con las compras de una Cuenta Timbro en el Negocio, INDEXA calcula cuántas veces vuelve a comprar y se lo muestra al Negocio con un identificador seudónimo, distinto en cada negocio, sin nombre ni contacto. El Negocio ve el nombre y el contacto solo si la persona aceptó compartirlos con él en su Cuenta Timbro, y esa persona puede retirar su aceptación. El Negocio no puede intentar relacionar identificadores de otros negocios ni identificar a quien no haya aceptado.

3. Obligaciones del Negocio

El Negocio:

• tiene la base legal y da los avisos que la ley exige para los datos que incorpora a Timbro, incluido el aviso a sus clientes de que los atiende un asistente automático cuando usa Atiende, y el consentimiento que se requiera para que los datos se traten fuera de la República Dominicana;
• incorpora solo los datos necesarios;
• atiende las solicitudes de sus clientes sobre sus datos, es decir, las de acceso, rectificación, cancelación y oposición que reconoce la Ley 172-13.

4. Obligaciones de INDEXA

INDEXA:

• trata los datos solo según las instrucciones del Negocio y avisa si considera que una instrucción infringe la ley;
• exige confidencialidad a las personas con acceso a los datos;
• aplica las medidas de la Política de Seguridad;
• usa solo los proveedores listados en Proveedores que tratan datos, exige a los que tratan datos por su cuenta obligaciones de confidencialidad y seguridad adecuadas, y avisa con 30 días de anticipación antes de añadir otro, para que el Negocio pueda oponerse o cancelar;
• ayuda al Negocio a responder las solicitudes de sus clientes, con las funciones de consulta y exportación de Timbro, y a atender el pedido de un cliente de hablar con una persona cuando el Negocio usa Atiende;
• avisa al Negocio sin demora indebida si un incidente de seguridad afecta esos datos;
• al terminar la relación, mantiene disponibles la consulta y la exportación de las facturas del Negocio durante al menos 30 días, como indican las Condiciones para negocios, y después conserva solo lo que la ley obligue a conservar y lo necesario para atender reclamaciones.

5. Datos fuera de la República Dominicana

El Negocio autoriza que INDEXA trate los datos en servidores de sus proveedores fuera de la República Dominicana, principalmente en los Estados Unidos, como explica la Política de Privacidad. Cuando el Negocio usa Atiende, esto incluye a Meta (WhatsApp Business) y a los proveedores de modelos de inteligencia artificial que figuren en Proveedores que tratan datos. INDEXA exige a los proveedores que tratan datos por su cuenta medidas de seguridad y confidencialidad adecuadas. Meta trata los datos del canal bajo sus propias políticas y las que el Negocio acepta con Meta.

6. Auditoría

A solicitud razonable del Negocio, y no más de una vez al año, INDEXA le entrega información escrita sobre sus medidas de seguridad y sus proveedores. Una auditoría en sitio solo se realiza si se acuerda por escrito, por ejemplo en un contrato del plan Enterprise.

7. Ley aplicable y contacto

Este acuerdo se rige por las leyes de la República Dominicana. Cualquier controversia se somete a los tribunales competentes del Distrito Nacional, como indican las Condiciones para negocios.

Si tienes preguntas sobre este acuerdo, escribe a hola@timbro.do.