Contrato de encargado del tratamiento

CONTRATO DE ENCARGO DEL TRATAMIENTO DE CHATNOVA

Última actualización: 12 de agosto de 2026

El presente Contrato de Encargo del Tratamiento regula el tratamiento de datos personales realizado por ChatNova por cuenta de los negocios que contratan y utilizan el Servicio, de conformidad con el artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa aplicable.

Este documento forma parte de la relación contractual entre ChatNova y el Cliente y se incorpora a los Términos y Condiciones de ChatNova.

Su aceptación se produce conjuntamente con la contratación del Servicio cuando el Cliente acepta expresamente la documentación contractual correspondiente.

1. Identificación de las partes

1.1. Responsable del tratamiento

Tendrá la consideración de Responsable del Tratamiento el empresario, profesional o entidad que contrate ChatNova y utilice el Servicio para tratar datos personales de sus clientes, potenciales clientes, usuarios, pacientes, contactos u otras personas vinculadas con su actividad.

En adelante, el “Responsable” o el “Cliente”.

Los datos identificativos concretos del Responsable serán los asociados a su cuenta y contratación de ChatNova.

1.2. Encargado del tratamiento

Actúa como Encargado del Tratamiento:

Responsables: 1. Adrián Sevila Martínez (53248278N) 2. Alejandro Molina Jiménez (539577591H)

Nombre comercial: ChatNova Domicilio: Calle Dato Iradier 2, 03012 Alicante, España Correo electrónico: impulzea@gmail.com Sitio web: www.chatnova.es

En adelante, “ChatNova” o el “Encargado”.

2. Posición de las partes

El Responsable determina las finalidades para las que utiliza los datos personales de sus propios clientes, usuarios, pacientes o contactos, así como la configuración del agente, las instrucciones que proporciona y la información que decide solicitar.

ChatNova trata dichos datos únicamente por cuenta del Responsable y para prestar las funcionalidades contratadas.

La celebración del presente contrato no implica que ChatNova pase a ser responsable de los tratamientos cuya finalidad haya sido determinada por el Cliente.

Lo anterior se entiende sin perjuicio de los tratamientos respecto de los cuales ChatNova actúe como responsable por sus propias finalidades, como gestión de cuentas, contratación, facturación, soporte o comunicaciones propias, que se regulan en la Política de Privacidad de ChatNova.

3. Objeto del encargo

El objeto del presente contrato es permitir que ChatNova acceda y trate determinados datos personales por cuenta del Responsable para proporcionar las funcionalidades del Servicio.

Estas pueden comprender, dependiendo de la configuración contratada:

• recepción y gestión de conversaciones mediante WhatsApp;
• generación de respuestas mediante inteligencia artificial;
• consulta de la información configurada por el negocio;
• almacenamiento y visualización de conversaciones;
• gestión de solicitudes de información;
• consulta de disponibilidad;
• creación de citas;
• modificación de citas;
• cancelación de citas;
• sincronización con Google Calendar;
• y demás operaciones técnicas necesarias para proporcionar las funcionalidades contratadas.

4. Duración

El presente encargo permanecerá vigente mientras ChatNova preste al Responsable servicios que impliquen tratamiento de datos personales por cuenta de este.

La mera cancelación de una renovación podrá no implicar la eliminación inmediata de la cuenta cuando esta continúe accesible durante el periodo contratado o posteriormente permanezca habilitada conforme a las condiciones del Servicio.

Cuando se produzca la terminación definitiva del Servicio o el Responsable solicite la eliminación completa de la cuenta, se aplicará el régimen de devolución y supresión establecido en este contrato.

5. Naturaleza de las operaciones de tratamiento

Dependiendo de las funcionalidades utilizadas, ChatNova podrá realizar las siguientes operaciones:

• recepción;
• recogida técnica;
• registro;
• estructuración;
• organización;
• almacenamiento;
• consulta;
• recuperación;
• utilización;
• procesamiento automatizado;
• transmisión a proveedores autorizados;
• modificación;
• visualización;
• exportación;
• supresión;
• y aquellas otras operaciones estrictamente necesarias para prestar el Servicio.

6. Finalidades del tratamiento

ChatNova tratará los datos exclusivamente para:

• prestar las funcionalidades contratadas;
• ejecutar las instrucciones configuradas por el Responsable;
• atender automáticamente conversaciones;
• generar respuestas;
• mantener las conversaciones disponibles para el Responsable;
• consultar disponibilidad;
• crear, modificar o cancelar citas;
• sincronizar información con las integraciones autorizadas;
• prestar soporte técnico cuando resulte necesario;
• garantizar razonablemente la seguridad y continuidad técnica del Servicio;
• y ejecutar las demás operaciones directamente vinculadas con la prestación contratada.

ChatNova no utilizará los datos objeto del encargo para:

• publicidad propia dirigida a los clientes finales del Responsable;
• comercialización de bases de datos;
• venta de datos;
• elaboración de perfiles comerciales propios;
• prospección comercial propia sobre clientes finales;
• ni cualquier otra finalidad propia incompatible con este encargo.

7. Categorías de interesados

Dependiendo de la actividad del Responsable, podrán verse afectados:

• clientes;
• potenciales clientes;
• pacientes;
• usuarios;
• personas que soliciten información;
• personas que contacten mediante WhatsApp;
• personas que soliciten, modifiquen o cancelen citas;
• profesionales identificados en relación con una reserva;
• representantes;
• contactos;
• y otras personas cuyos datos sean introducidos legítimamente por el Responsable.

8. Categorías de datos

Podrán tratarse, entre otros:

• nombre y apellidos;
• nombre o alias utilizado en WhatsApp;
• número de teléfono;
• identificadores asociados a WhatsApp;
• contenido de mensajes;
• consultas realizadas;
• preferencias comunicadas;
• servicio solicitado;
• información necesaria para gestionar una cita;
• fecha y hora;
• profesional asociado;
• observaciones o notas;
• contenido de documentación o base de conocimiento introducida por el Responsable;
• y cualquier otra información que el interesado facilite durante la conversación.

9. Categorías especiales de datos

ChatNova puede ser contratado por clínicas, centros sanitarios, fisioterapeutas, psicólogos, nutricionistas u otros negocios en cuyas conversaciones puedan aparecer datos relativos a la salud u otras categorías especiales de datos personales.

El Responsable decide si su actividad y configuración del agente requieren solicitar o tratar dicha información.

ChatNova no determina por iniciativa propia qué información sanitaria debe solicitarse.

Cuando el Responsable configure el Servicio de manera que se traten datos de salud u otras categorías especiales, declara ser responsable de:

• determinar la base jurídica del tratamiento;
• cumplir las condiciones adicionales exigibles para dichas categorías de datos;
• proporcionar la información correspondiente a los interesados;
• respetar el principio de minimización;
• limitar las preguntas a la información necesaria;
• realizar, cuando proceda, una evaluación de impacto;
• y adoptar cualquier garantía adicional legalmente exigible.

ChatNova tratará dichos datos exclusivamente como encargado y para prestar las funcionalidades configuradas por el Responsable.

10. Datos de menores

ChatNova no solicita con carácter general la edad de las personas que interactúan con los negocios.

Cuando el Responsable utilice el Servicio en actividades en las que puedan tratarse datos de menores, corresponderá al Responsable determinar y cumplir las obligaciones aplicables conforme a la edad, finalidad, base jurídica y naturaleza de su actividad.

11. Instrucciones documentadas del Responsable

ChatNova tratará los datos únicamente siguiendo instrucciones documentadas del Responsable.

Se consideran instrucciones documentadas, entre otras:

• el presente Contrato;
• los Términos y Condiciones;
• las funcionalidades contratadas;
• las configuraciones realizadas desde la cuenta;
• las instrucciones introducidas en el agente;
• las integraciones activadas;
• las acciones realizadas por el Responsable desde la plataforma;
• y las solicitudes remitidas por escrito a ChatNova.

Las instrucciones adicionales podrán comunicarse mediante:

[impulzea@gmail.com](mailto:impulzea@gmail.com)

Si ChatNova considera que una instrucción infringe el RGPD, la LOPDGDD u otra normativa aplicable en materia de protección de datos, informará inmediatamente al Responsable.

ChatNova podrá suspender la ejecución de una instrucción manifiestamente contraria a la normativa hasta que sea aclarada, modificada o retirada.

12. Tratamientos exigidos legalmente

Si ChatNova estuviera obligado a tratar datos personales en virtud del Derecho de la Unión Europea o del Derecho español de una forma distinta a las instrucciones del Responsable, informará previamente a este de dicha obligación legal, salvo que la propia normativa prohíba facilitar dicha información por razones de interés público.

13. Confidencialidad

ChatNova garantizará que las personas autorizadas para tratar datos personales:

• se hayan comprometido a respetar la confidencialidad;
• o estén sujetas a una obligación legal equivalente.

El acceso a información de clientes finales se limitará a las personas que necesiten intervenir en:

• soporte;
• mantenimiento;
• seguridad;
• investigación de incidencias;
• cumplimiento de obligaciones legales;
• o cualquier actuación necesaria para prestar correctamente el Servicio.

Las obligaciones de confidencialidad continuarán siendo aplicables después de finalizar la relación contractual.

14. Seguridad

ChatNova aplicará medidas técnicas y organizativas apropiadas atendiendo:

• al estado de la técnica;
• naturaleza de los datos;
• contexto del tratamiento;
• riesgos existentes;
• probabilidad e impacto potencial para los interesados;
• y características del Servicio.

Las medidas aplicadas se describen adicionalmente en el Anexo II.

15. Derechos de los interesados

ChatNova asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, para que este pueda atender las solicitudes de ejercicio de derechos.

La asistencia podrá comprender los derechos de:

• acceso;
• rectificación;
• supresión;
• oposición;
• limitación;
• portabilidad;
• y demás derechos legalmente aplicables.

Cuando ChatNova reciba directamente una solicitud de un cliente, paciente o usuario del Responsable relacionada con datos tratados por cuenta de este, la trasladará al Responsable sin dilación indebida siempre que sea posible identificarlo.

ChatNova no resolverá por iniciativa propia la solicitud salvo instrucción del Responsable o exigencia legal.

16. Asistencia en materia de cumplimiento

ChatNova asistirá razonablemente al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de las obligaciones relacionadas con:

• seguridad del tratamiento;
• gestión de violaciones de seguridad;
• evaluación del riesgo;
• evaluaciones de impacto relativas a la protección de datos;
• consultas previas ante la autoridad de control cuando resulten necesarias;
• y demás obligaciones previstas en los artículos 32 a 36 RGPD que resulten aplicables.

17. Violaciones de seguridad

ChatNova notificará al Responsable sin dilación indebida cualquier violación de seguridad de los datos personales tratados por cuenta de este de la que tenga conocimiento.

La comunicación se realizará mediante los datos de contacto asociados a la cuenta u otro medio adecuado.

En la medida en que esté disponible, la notificación incluirá:

• descripción de la naturaleza del incidente;
• categorías de datos afectadas;
• categorías aproximadas de interesados;
• volumen aproximado de registros afectados;
• posibles consecuencias;
• medidas adoptadas o propuestas para contener el incidente;
• medidas destinadas a mitigar posibles efectos;
• y datos de contacto para obtener información adicional.

Cuando no resulte posible facilitar toda la información simultáneamente, esta podrá proporcionarse progresivamente sin dilación indebida.

ChatNova colaborará razonablemente con el Responsable para que pueda valorar y cumplir sus propias obligaciones de notificación.

18. Subencargados

El Responsable concede a ChatNova una autorización general previa para contratar a otros encargados cuando sean necesarios para prestar el Servicio.

La autorización se entiende limitada a proveedores que ofrezcan garantías suficientes de cumplimiento y que se encuentren sometidos a las obligaciones contractuales de protección de datos correspondientes.

19. Subencargados actualmente utilizados

Atendiendo a la arquitectura actual del Servicio, pueden intervenir como subencargados:

Supabase

Finalidad: infraestructura de base de datos, autenticación y almacenamiento.

Puede intervenir en:

• almacenamiento de conversaciones;
• configuración de cuentas;
• documentación;
• bases de conocimiento;
• y demás información necesaria para prestar el Servicio.

Según la configuración actual de ChatNova, la infraestructura utilizada se encuentra desplegada en una región situada en España.

Anthropic

Finalidad: prestación de funcionalidades de inteligencia artificial mediante su API comercial.

Para generar respuestas, puede recibir:

• contenido de la conversación;
• mensajes anteriores relevantes;
• contexto;
• instrucciones;
• información de la base de conocimiento;
• y demás información que el agente procese como necesaria para responder.

Cuando dicha información contenga datos personales, estos serán procesados técnicamente para generar la correspondiente respuesta.

ChatNova no autoriza por iniciativa propia la utilización de los datos objeto del presente encargo para entrenamiento general de modelos cuando dicha utilización no resulte necesaria para prestar el Servicio contratado.

IONOS

Finalidad: alojamiento en España de infraestructura técnica relacionada con la ejecución del agente y el flujo de WhatsApp.

Según la configuración actual, dicha infraestructura:

• ejecuta el componente técnico necesario para el agente;
• procesa los mensajes durante su funcionamiento;
• no se utiliza como repositorio permanente de las conversaciones;
• y no mantiene actualmente registros técnicos propios adicionales configurados por ChatNova tras finalizar el procesamiento ordinario.

Google

Finalidad: integración con Google Calendar cuando el Responsable la active voluntariamente.

La integración puede permitir:

• consultar disponibilidad;
• crear eventos;
• modificar eventos;
• cancelar o eliminar eventos.

Los eventos pueden contener:

• nombre;
• teléfono;
• servicio;
• fecha y hora;
• y notas asociadas a la cita.

Google Calendar únicamente interviene cuando el Responsable conecta expresamente su cuenta.

20. Proveedores que no actúan como subencargados de las conversaciones

La utilización de un proveedor por ChatNova no implica automáticamente que tenga la condición de subencargado respecto de los datos personales regulados por este contrato.

Según la arquitectura actual:

• Stripe se utiliza para tratar datos relacionados con pagos del propio Cliente y no recibe las conversaciones de sus clientes finales.
• Resend se utiliza para comunicaciones transaccionales dirigidas a usuarios de ChatNova y no recibe el contenido de las conversaciones de clientes finales.
• Vercel se utiliza para operar la plataforma e interfaz web y no se utiliza como sistema de almacenamiento ni canal de tratamiento del contenido de las conversaciones de WhatsApp.

Estos proveedores podrán ser relevantes respecto de tratamientos en los que ChatNova actúe como responsable, conforme a su Política de Privacidad.

21. Incorporación o sustitución de subencargados

ChatNova podrá incorporar, sustituir o eliminar subencargados.

Cuando exista un cambio que afecte materialmente al tratamiento realizado por cuenta del Responsable, ChatNova lo comunicará con antelación razonable siempre que resulte posible.

El Responsable podrá oponerse al nuevo subencargado cuando existan motivos razonables y documentados relacionados con la protección de datos personales.

Las partes intentarán encontrar una alternativa razonable.

Si no fuera posible y el proveedor resultara necesario para continuar prestando el Servicio, el Responsable podrá cancelar la suscripción sin penalización antes de que el nuevo subencargado comience a tratar sus datos.

Cuando corresponda, ChatNova devolverá la parte proporcional del periodo ya abonado que no llegue a disfrutarse como consecuencia directa de dicha resolución.

22. Obligaciones de los subencargados

ChatNova impondrá a sus subencargados mediante contrato u otro instrumento jurídico obligaciones de protección de datos adecuadas y sustancialmente equivalentes a las que resulten aplicables a las funciones que desempeñen.

En particular, se establecerán garantías relacionadas con:

• confidencialidad;
• seguridad;
• limitación de finalidad;
• instrucciones;
• asistencia;
• eliminación o devolución;
• y demás obligaciones que correspondan.

ChatNova continuará siendo responsable frente al Responsable del cumplimiento de las obligaciones del subencargado en los términos previstos por la normativa aplicable.

23. Transferencias internacionales

ChatNova procurará que los datos se traten dentro del Espacio Económico Europeo cuando la arquitectura y los proveedores utilizados lo permitan.

No obstante, determinadas funcionalidades pueden requerir que un subencargado establecido fuera del Espacio Económico Europeo o con operaciones internacionales procese datos personales.

Cuando exista una transferencia internacional de datos, ChatNova garantizará que exista un mecanismo válido conforme al capítulo V del RGPD.

Dependiendo del proveedor y del destino, podrán utilizarse:

• decisiones de adecuación adoptadas por la Comisión Europea;
• el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable;
• cláusulas contractuales tipo aprobadas por la Comisión Europea;
• garantías adecuadas conforme al artículo 46 RGPD;
• u otros mecanismos válidos conforme a la normativa vigente.

Cuando resulte necesario se evaluará la transferencia y se aplicarán medidas complementarias apropiadas.

El Responsable autoriza las transferencias vinculadas a los subencargados autorizados siempre que se realicen conforme a esta cláusula.

24. Almacenamiento de conversaciones

Las conversaciones se almacenan mediante la infraestructura de Supabase y permanecen asociadas exclusivamente a la cuenta del Responsable correspondiente.

Los controles implementados están destinados a impedir que un Cliente pueda acceder a conversaciones pertenecientes a otro.

Las conversaciones permanecerán disponibles mientras el Responsable decida conservarlas dentro de su cuenta y mientras la cuenta permanezca habilitada conforme a las condiciones del Servicio.

El Responsable puede eliminar conversaciones mediante las funcionalidades disponibles en ChatNova.

25. Citas y Google Calendar

Las citas gestionadas mediante la integración de Google Calendar se almacenan en el calendario conectado por el propio Responsable.

ChatNova no almacena actualmente las citas como registros independientes de agenda en Supabase.

La desconexión de Google Calendar no implica necesariamente la eliminación automática de los eventos previamente creados.

El Responsable podrá gestionar dichos eventos desde su propia cuenta de Google.

26. Cancelación de suscripción y eliminación de cuenta

La cancelación de una renovación de pago no implica por sí misma la eliminación inmediata de todos los datos cuando la cuenta permanezca disponible.

El Responsable podrá seguir accediendo a sus datos mientras la cuenta permanezca habilitada conforme a las condiciones del Servicio.

Cuando el Responsable desee la eliminación definitiva deberá solicitarla mediante:

[impulzea@gmail.com](mailto:impulzea@gmail.com)

A partir de la solicitud de eliminación completa se aplicará el régimen previsto en la cláusula siguiente.

27. Devolución o supresión de los datos

Al finalizar definitivamente la prestación de servicios que implique tratamiento de datos personales, el Responsable podrá elegir entre la devolución o la supresión de los datos personales tratados por ChatNova, salvo que exista una obligación legal de conservación.

27.1. Devolución

Mientras la cuenta permanezca disponible, el Responsable podrá acceder directamente a las conversaciones y demás información que ChatNova permita consultar mediante el panel.

Antes de solicitar la eliminación definitiva, el Responsable deberá conservar o descargar aquella información que necesite mantener.

Cuando resulte necesario y el Responsable solicite una devolución adicional de datos personales que no pueda obtener directamente mediante las funcionalidades ordinarias, ChatNova prestará asistencia razonable atendiendo a la naturaleza, volumen y formato de la información disponible.

27.2. Supresión

Cuando el Responsable solicite la supresión definitiva, ChatNova eliminará los datos personales objeto del encargo de sus sistemas activos en un plazo máximo ordinario de 30 días.

La supresión comprenderá las copias existentes bajo control de ChatNova en la medida técnicamente posible, salvo que una norma de la Unión Europea o del Derecho español exija la conservación.

Si existiera una obligación legal de conservación, los datos quedarán limitados a dicha finalidad durante el periodo exigido.

28. Copias de seguridad

Actualmente ChatNova no mantiene un sistema propio adicional de copias de seguridad de las conversaciones más allá de las funcionalidades proporcionadas por sus proveedores tecnológicos.

Si en el futuro se incorporan sistemas adicionales de copias de seguridad, los datos incluidos en ellas podrán mantenerse durante el correspondiente ciclo técnico de rotación.

Mientras permanezcan exclusivamente en copias destinadas a recuperación, dichos datos:

• no se utilizarán para finalidades ordinarias;
• permanecerán sujetos a las correspondientes medidas de seguridad;
• y serán eliminados conforme al ciclo técnico establecido.

ChatNova actualizará las condiciones aplicables cuando se produzcan cambios materiales en dicho sistema.

29. Auditoría e información

ChatNova pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente contrato.

El Responsable podrá realizar auditorías o inspecciones directamente o mediante un auditor independiente sujeto a deber de confidencialidad.

Salvo que exista:

• una violación de seguridad;
• un requerimiento de una autoridad;
• indicios razonables de incumplimiento;
• o una circunstancia excepcional,

las auditorías:

• deberán solicitarse con antelación razonable;
• se realizarán durante horario laboral;
• procurarán minimizar la interrupción del Servicio;
• no podrán comprometer los datos o secretos de otros clientes;
• y tendrán una periodicidad ordinaria máxima de una auditoría por año.

Siempre que sea suficiente, podrá darse prioridad a:

• documentación;
• cuestionarios;
• certificaciones;
• informes;
• evidencias técnicas;
• o respuestas escritas

antes de realizar accesos físicos o directos a sistemas.

Los costes ordinarios de una auditoría solicitada exclusivamente por el Responsable serán asumidos por este, salvo que se detecte un incumplimiento material imputable a ChatNova o que la normativa aplicable establezca otra cosa.

30. Registro y evidencia

ChatNova podrá conservar la evidencia necesaria para acreditar:

• aceptación del presente contrato;
• instrucciones recibidas;
• solicitudes relativas a datos;
• comunicaciones sobre subencargados;
• incidencias;
• y actuaciones relacionadas con el cumplimiento de las obligaciones del Encargado.

31. Responsabilidad del Responsable

El Responsable garantiza que:

• los datos han sido obtenidos lícitamente;
• dispone de una base jurídica adecuada;
• ha informado a los interesados;
• las instrucciones facilitadas a ChatNova son lícitas;
• las finalidades son legítimas;
• la configuración del agente cumple la normativa aplicable;
• y dispone de las autorizaciones necesarias para utilizar las integraciones correspondientes.

El Responsable será responsable de las decisiones relativas a:

• qué información solicita;
• para qué utiliza los datos;
• qué preguntas formula el agente;
• qué periodos de conservación aplica;
• y qué bases jurídicas utiliza.

32. Responsabilidad de ChatNova

ChatNova responderá del cumplimiento de las obligaciones que le correspondan directamente como encargado del tratamiento.

Cada parte responderá de sus propias infracciones conforme a la normativa aplicable.

Las responsabilidades frente a los interesados se regirán, entre otras disposiciones, por el régimen establecido en el artículo 82 RGPD.

Las limitaciones de responsabilidad previstas en los Términos y Condiciones se aplicarán únicamente en la medida en que sean legalmente válidas y no podrán excluir responsabilidades que tengan carácter inderogable.

33. Cooperación con autoridades

ChatNova colaborará con las autoridades de control competentes cuando esté legalmente obligado a ello.

Cuando un requerimiento afecte a datos tratados por cuenta del Responsable, ChatNova informará a este cuando resulte legalmente posible.

34. Prevalencia

En caso de contradicción entre el presente Contrato de Encargo del Tratamiento y los Términos y Condiciones respecto de una cuestión específicamente relacionada con el tratamiento de datos personales realizado por cuenta del Responsable, prevalecerá el presente Contrato de Encargo del Tratamiento.

35. Modificaciones

ChatNova podrá actualizar este contrato cuando resulte necesario como consecuencia de:

• cambios legales;
• cambios técnicos;
• modificaciones en los proveedores;
• nuevas funcionalidades;
• cambios en las transferencias internacionales;
• o evolución de las medidas de seguridad.

Cuando una modificación afecte sustancialmente a las obligaciones del Responsable o a las garantías aplicables al tratamiento, ChatNova la comunicará con antelación razonable salvo que deba aplicarse inmediatamente por obligación legal o razón de seguridad.

---

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO

Responsable: negocio identificado en la cuenta y contratación de ChatNova.

Encargado: Responsables: 1. Adrián Sevila Martínez 2. Alejandro Molina Jiménez

Objeto: prestación de un servicio tecnológico de atención automatizada mediante inteligencia artificial, gestión de conversaciones por WhatsApp y reserva de citas.

Duración: durante la prestación del Servicio y, tras su finalización, durante el tiempo estrictamente necesario para devolución, supresión o cumplimiento de obligaciones legales.

Naturaleza del tratamiento: tratamiento automatizado de información necesaria para gestionar conversaciones y funcionalidades asociadas.

Finalidades: atención de usuarios del Responsable, generación de respuestas, gestión de conversaciones y reservas y demás funcionalidades activadas.

Operaciones: recepción, registro, almacenamiento, consulta, utilización, procesamiento automatizado, transmisión necesaria, modificación, exportación y supresión.

Interesados: clientes, potenciales clientes, pacientes, usuarios, contactos y personas que interactúen con el Responsable.

Datos: identificativos, contacto, número de teléfono, contenido de comunicaciones, datos relativos a servicios, citas, preferencias e información introducida durante la conversación.

Categorías especiales: podrán tratarse cuando aparezcan en conversaciones o cuando el Responsable configure el agente para solicitarlas, especialmente en actividades sanitarias. La determinación de su necesidad y base jurídica corresponde al Responsable.

---

ANEXO II — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

ChatNova aplica medidas técnicas y organizativas destinadas a proporcionar un nivel de seguridad adecuado al tratamiento.

1. Autenticación

• utilización de Supabase para gestión de autenticación;
• protección de las contraseñas mediante el sistema de autenticación del proveedor;
• ChatNova no necesita disponer de las contraseñas en texto claro;
• gestión de sesiones autenticadas.

2. Separación entre clientes

• separación lógica de los datos pertenecientes a diferentes negocios;
• mecanismos de autorización destinados a impedir que una cuenta acceda a conversaciones de otra;
• asociación de los datos al negocio correspondiente.

3. Comunicaciones

• utilización de conexiones seguras mediante HTTPS cuando resulta técnicamente aplicable;
• transmisión cifrada mediante los protocolos utilizados por los servicios integrados cuando corresponda.

4. Credenciales y secretos

• protección de credenciales de servicios externos;
• protección de tokens;
• limitación de su exposición;
• acceso restringido a información técnica sensible.

5. Acceso interno

• acceso limitado a personas que necesiten intervenir por razones de soporte, mantenimiento, seguridad o cumplimiento;
• aplicación del principio de necesidad de acceso;
• deber de confidencialidad.

6. Infraestructura

• Supabase para base de datos y autenticación;
• IONOS en España para determinados componentes técnicos;
• Anthropic mediante API comercial para generación de respuestas;
• Google Calendar cuando la integración haya sido activada por el Responsable.

7. Gestión de incidentes

• procedimientos razonables para analizar incidencias;
• comunicación de violaciones de datos personales al Responsable sin dilación indebida;
• adopción de medidas destinadas a contener y mitigar incidentes.

8. Conservación y supresión

• posibilidad de eliminar conversaciones desde la cuenta;
• procedimiento de eliminación completa mediante solicitud;
• supresión ordinaria en un máximo de 30 días desde la solicitud de eliminación definitiva;
• régimen específico para eventuales copias de seguridad.

9. Evolución de las medidas

ChatNova podrá modificar o mejorar las medidas técnicas y organizativas durante la vigencia del Servicio para adaptarlas:

• al estado de la técnica;
• a cambios de infraestructura;
• a nuevos riesgos;
• a nuevas funcionalidades;
• o a nuevas exigencias legales.

Las modificaciones no supondrán una reducción material injustificada del nivel general de protección proporcionado a los datos personales.