Acuerdo de Procesamiento de Datos
Este Acuerdo de Procesamiento de Datos (DPA) se realiza de conformidad con el Artículo 28 del Reglamento General de Protección de Datos (RGPD) y forma parte de los Términos de Servicio. Regula el procesamiento de datos personales por ClientFlow en nombre de nuestros clientes.
Versión 2.2 | Última actualización: 5 de octubre de 2026
1. Partes
Responsable del Tratamiento
Tú, el cliente (la entidad que determina los fines y medios del procesamiento)
Encargado del Tratamiento
ClientFlow (procesa datos personales en tu nombre)
1.1 Alcance del Procesamiento
Este DPA se aplica al procesamiento de datos personales cuando:
- ClientFlow procesa datos personales en nombre del Responsable como parte de la prestación del Servicio
- El procesamiento se relaciona con la gestión de las relaciones con clientes del Responsable
- Los interesados son los clientes y contactos comerciales del Responsable
- ClientFlow es un software de gestión empresarial, no un sistema de historiales médicos ni clínico. Cuando el Responsable registra datos de salud u otras categorías especiales de datos sobre sus clientes, el Responsable determina la base jurídica y obtiene el consentimiento explícito que se requiera, y ClientFlow procesa esos datos únicamente conforme a las instrucciones documentadas del Responsable
Actividades de Procesamiento
- Almacenamiento y organización de información de contacto de clientes
- Registro y seguimiento de transacciones de pago
- Envío de comunicaciones autorizadas (recordatorios, notificaciones)
- Generación de análisis e informes basados en datos agregados
2. Categorías de Datos
| Categoría | Ejemplos | Propósito |
|---|---|---|
| Datos de Cuenta | Correo electrónico, nombre, foto de perfil | Acceso al servicio |
| Datos de Clientes | Nombres de clientes, teléfonos, correos | Funcionalidad CRM |
| Registros de Pago | Cantidades, fechas, estados | Seguimiento de pagos |
| Datos de Uso | Tiempos de inicio de sesión, uso de funciones | Seguridad, mejora |
3. Obligaciones del Encargado
Nosotros:
- Procesaremos datos solo según tus instrucciones documentadas
- Garantizaremos que el personal esté sujeto a confidencialidad
- Implementaremos medidas de seguridad apropiadas
- Asistiremos con solicitudes de interesados
- Te notificaremos de brechas de datos dentro de las 72 horas
- Eliminaremos datos tras la terminación (después del período de retención)
4. Medidas de Seguridad
Técnicas
- TLS (tránsito)
- AES-256-GCM en reposo (notas de sesión, registros de resultados, credenciales de integraciones, tokens de pago, secretos de doble factor)
- Autenticación OAuth 2.0
- Control de acceso basado en roles
- Monitoreo y alertas automatizados
Organizacionales
- Prácticas escritas de seguridad y tratamiento de datos
- Procedimiento de respuesta a incidentes
- Revisiones de proveedores y subencargados
- Obligaciones de confidencialidad para cualquier persona con acceso a los datos
- Gestión de cambios para sistemas de producción
5. Subencargados
Utilizamos los siguientes subencargados autorizados:
| Proveedor | Servicio | Ubicación | Mecanismo de transferencia |
|---|---|---|---|
| Hetzner Cloud | Infraestructura en la nube y alojamiento | Germany | Tratado dentro de la UE/EEE |
| Vercel | Alojamiento y entrega del frontend | Frankfurt, Germany (FRA1) | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Cloudflare | Entrega de contenidos y almacenamiento de archivos | Global edge network (EU primary storage) | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| iyzico | Procesamiento de pagos | Istanbul, Turkey | Cláusulas Contractuales Tipo (aún no en vigor) |
| Resend | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo |
| Sentry | Supervisión de errores y diagnóstico | United States | Cláusulas Contractuales Tipo |
| Google (OAuth, Analytics) | Inicio de sesión y autenticación | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Firebase Cloud Messaging | Notificaciones push | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Expo (push relay, OTA updates) | Notificaciones push | United States | Cláusulas Contractuales Tipo |
| WhatsApp Business API | Mensajería de WhatsApp | Ireland (contracting) + global (Meta infrastructure) | Cláusulas Contractuales Tipo |
| Apple (Sign in with Apple) | Inicio de sesión y autenticación | United States | Cláusulas Contractuales Tipo |
| Anthropic (Claude) | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| OpenAI | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo + Marco de Privacidad de Datos UE-EE. UU. |
| Groq | Procesamiento del asistente de IA y del chatbot | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Meta (Facebook Login) | Inicio de sesión y autenticación | Ireland (EEA controller) + global (Meta infrastructure) | Cláusulas Contractuales Tipo (aún no en vigor) |
| Google (reCAPTCHA) | Protección contra bots y abuso | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Google (Gmail, customer-connected) | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Google (Calendar sync, customer-connected) | Sincronización de calendario | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Microsoft (Outlook mail, customer-connected) | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Apple (iCloud Mail, customer-connected) | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Apple (iCloud Calendar, customer-connected) | Sincronización de calendario | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| Yahoo (Yahoo Mail, customer-connected) | Envío de correos electrónicos transaccionales | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
| OpenStreetMap (map tiles, address search) | Visualización de mapas y búsqueda de direcciones | United Kingdom and Netherlands (tile requests: global CDN) | Cláusulas Contractuales Tipo (aún no en vigor) |
| CARTO (dark-theme map tiles) | Visualización de mapas y búsqueda de direcciones | United States | Cláusulas Contractuales Tipo (aún no en vigor) |
Cambios en Subencargados
Te notificaremos de cualquier cambio previsto en los subencargados:
- Aviso previo de al menos 14 días antes de agregar o reemplazar subencargados
- Notificación por correo electrónico a tu dirección de correo de cuenta registrada
- Puedes objetar los cambios dentro de 14 días contactándonos
- Si tu objeción no puede resolverse, puedes dar por terminados los servicios afectados
5.1 Derechos de Auditoría
El Responsable tiene derecho a verificar el cumplimiento de este DPA:
- Solicitar documentación y certificaciones relevantes
- Realizar auditorías con al menos 30 días de aviso por escrito
- Las auditorías se realizarán durante el horario comercial normal
- El auditor debe firmar un acuerdo de confidencialidad
Alcance de la Auditoría
- Medidas de seguridad y salvaguardas técnicas
- Cumplimiento de subencargados
- Procedimientos de manejo de datos
- Capacidades de respuesta a incidentes
Los costos de las auditorías correrán a cargo del Responsable, a menos que la auditoría revele un incumplimiento material.
6. Retención y Eliminación de Datos
Conservamos los datos personales solo durante el tiempo necesario para los fines descritos, o durante el tiempo que exija la legislación fiscal y mercantil aplicable.
| Cronología | Acción |
|---|---|
| A solicitud de eliminación de la cuenta | Los datos de los clientes se borran de forma permanente junto con tu cuenta: a más tardar un día después de que termine el período de gracia de 30 días que sigue a una solicitud de eliminación hecha en nuestro sitio web (que puedes cancelar hasta que termine ese período), o en un plazo de 3 días cuando la cuenta se elimina en la app de iOS. Las facturas, recibos y presupuestos que emites a tus propios clientes son tus registros: se eliminan con tu cuenta en los mismos plazos. |
| Tras el borrado de la cuenta | Los registros contables propios de ClientFlow sobre tu suscripción (nuestras facturas a ti) se conservan de forma anonimizada (sin datos personales) al menos mientras lo exija la legislación fiscal y mercantil. |
| Al finalizar | Cuando elimina su cuenta, los datos personales se borran en un plazo de 31 días (en un plazo de 3 días en la app de iOS), salvo los registros que debemos conservar (como los registros de auditoría y los registros de facturación anonimizados); las copias de seguridad cifradas rotan en un plazo de 90 días. Cancelar una suscripción no elimina los datos |
7. Disposiciones CCPA
Bajo CCPA, actuamos como "Proveedor de Servicios" y:
- Procesamos datos solo para fines comerciales especificados
- No vendemos información personal
- Asistimos con solicitudes de derechos del consumidor
- Implementamos medidas de seguridad razonables
8. Notificación de Violación de Datos
En caso de una violación de datos personales, nos comprometemos a lo siguiente:
Cronograma de Notificación
- Notificarte dentro de las 72 horas de conocer una violación
- Proporcionar una evaluación inicial del alcance e impacto de la violación
- Entregar una notificación escrita detallada dentro de 5 días hábiles
Contenido de la Notificación
- Naturaleza de la brecha, incluyendo las categorías y el número aproximado de interesados afectados
- Datos de contacto de privacidad para preguntas de seguimiento
- Descripción de las consecuencias probables de la brecha
- Medidas adoptadas o propuestas para abordar la brecha
- Medidas para mitigar posibles efectos adversos
Cooperaremos plenamente con tu investigación y cualquier consulta regulatoria, y asistiremos con las notificaciones de violación a las autoridades supervisoras y los interesados afectados según lo requiera la ley aplicable.
9. Transferencias Internacionales de Datos
Cuando los datos personales se transfieren fuera del Espacio Económico Europeo (EEE), nos basamos en la salvaguarda indicada para cada destinatario en nuestra página de subencargados, que también muestra dónde una salvaguarda aún no está en vigor:
Mecanismos de Transferencia
Decisiones de Adecuación de la UE
Transferencias a países considerados adecuados por la Comisión Europea
Marco de Privacidad de Datos UE-EE.UU.
Para procesadores con sede en EE.UU. certificados bajo el DPF
Cláusulas Contractuales Estándar (CCE)
Cláusulas aprobadas por la Comisión UE (versión 2021) para otras transferencias
Realizamos evaluaciones de impacto de transferencias cuando sea necesario e implementamos medidas complementarias (técnicas, organizativas y contractuales) cuando sea necesario para garantizar un nivel de protección esencialmente equivalente.
Puedes solicitar copias de los mecanismos de transferencia relevantes bajo petición.
10. Responsabilidad e Indemnización
Responsabilidad del Encargado
ClientFlow será responsable de los daños causados por el procesamiento que no cumpla con este DPA o cuando hayamos actuado fuera o en contra de las instrucciones legales del Responsable.
Responsabilidad del Responsable
El Responsable será responsable de los daños causados por el procesamiento que viole la ley de protección de datos aplicable o no cumpla con las obligaciones del Responsable bajo este DPA.
Limitaciones
- Ninguna parte será responsable de daños indirectos, incidentales o consecuentes
- La responsabilidad total agregada bajo este DPA está limitada a las tarifas pagadas en los 12 meses anteriores a la reclamación
- Estas limitaciones no se aplican a violaciones de confidencialidad, mala conducta intencional o negligencia grave
Cada parte se compromete a indemnizar a la otra contra reclamaciones de terceros que surjan del incumplimiento de este DPA o de las leyes de protección de datos aplicables por la parte indemnizadora.
11. Terminación y Devolución de Datos
Duración
Este DPA permanece vigente durante la duración del Acuerdo de Servicio y mientras procesemos datos personales en tu nombre.
Tras la Terminación
- A tu elección, devolveremos o eliminaremos tus datos personales en un plazo de 31 días, salvo los registros que debemos conservar (como los registros de auditoría y los registros de facturación anonimizados)
- Puedes solicitar la exportación de datos en un formato de uso común y legible por máquina
- Certificaremos la eliminación bajo petición
- Los datos pueden conservarse cuando lo requiera la ley aplicable
Las secciones relacionadas con confidencialidad, responsabilidad y derechos de protección de datos sobrevivirán a la terminación de este DPA.