Acuerdo de encargo de tratamiento

Última actualización: 6 de noviembre de 2026

Este acuerdo forma parte de los Términos de Servicio y se aplica desde que el Cliente crea una cuenta en DAYIA SaaS (en adelante, "la Plataforma"). Cumple lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes

Responsable del tratamiento: el Cliente, es decir, la empresa o profesional titular de la cuenta.
Encargado del tratamiento: Dayannis Yasmin Alguaca Evariste, NIF 61919897X, Calle Lugo 40, Portal 4, Piso 1A, 15810 Arzúa, A Coruña (dayannis.y@gmail.com).

2. Objeto, naturaleza y finalidad

El Encargado trata datos personales por cuenta del Responsable únicamente para prestarle el servicio de la Plataforma: conectar su cuenta de WhatsApp Business, su página de Facebook (Messenger) y su cuenta profesional de Instagram, mostrar y almacenar sus conversaciones, gestionar contactos, citas y reservas online, enviar confirmaciones, recordatorios y correos, sincronizar con Google Calendar si el Responsable lo conecta y generar respuestas con un asistente de inteligencia artificial si el Responsable lo activa.

3. Duración

Mientras el Cliente mantenga su cuenta. Al terminar, se aplica el apartado 10.

4. Datos y personas afectadas

Interesados: clientes finales y contactos del Responsable, y personas que reservan una cita en su página pública.
Datos: nombre, @usuario y foto de perfil de Messenger e Instagram, teléfono, correo electrónico, fecha de cumpleaños, contenido de los mensajes y adjuntos, citas y notas, y el resto de datos que el Responsable introduzca.
Categorías especiales: la Plataforma no está pensada para tratarlas (por ejemplo, datos de salud). Si el Responsable decide introducirlas, es responsable de contar con una base legal y de valorar los riesgos.

5. Obligaciones del Encargado

Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este acuerdo, los Términos de Servicio y la configuración y el uso que el Responsable hace de la Plataforma. Si considera que una instrucción infringe la normativa, se lo comunicará.
Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
Aplicar las medidas de seguridad del artículo 32 RGPD descritas en la Política de Privacidad (comunicaciones cifradas, tokens y contraseñas protegidos, separación de los datos de cada empresa y control de accesos).
No usar los datos para fines propios, no cederlos a terceros salvo a los subencargados autorizados y no utilizarlos para entrenar modelos de inteligencia artificial.
Asistir al Responsable, con medidas técnicas y organizativas, para atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige al Encargado, este se lo trasladará al Responsable.
Notificar al Responsable, sin dilación indebida, cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus obligaciones (artículos 33 y 34 RGPD), y asistirle en sus obligaciones de seguridad, evaluaciones de impacto y consulta previa (artículos 32 a 36).
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, previo aviso y sin interferir en el servicio, que se harán preferentemente mediante la documentación que el Encargado facilite.

6. Subencargados

El Responsable autoriza con carácter general la contratación de los siguientes subencargados, con los que el Encargado tiene o acepta las condiciones de tratamiento de datos que exige el artículo 28.4 RGPD:

Proveedor	Para qué	Qué datos	Dónde
Meta Platforms Ireland Limited	Conexión con WhatsApp Business, Facebook Messenger e Instagram: envío y recepción de mensajes.	Contenido de los mensajes, teléfonos y nombre de perfil de los contactos de WhatsApp; identificador, nombre, @usuario y foto de perfil de quienes escriben por Messenger o Instagram.	Irlanda; Meta puede tratar datos en EE. UU.
DigitalOcean, LLC	Alojamiento de la Plataforma y de su base de datos.	Todos los datos de la Plataforma.	Servidores en Nueva York (EE. UU.).
Anthropic, PBC	Modelo de inteligencia artificial del asistente conversacional (solo en los números donde el negocio lo activa).	Los últimos mensajes de la conversación, el teléfono y el nombre guardado del cliente (en Messenger e Instagram, el nombre de su perfil), sus citas próximas y los datos del negocio configurados para el asistente.	EE. UU.
Brevo (Sendinblue SAS)	Envío de correos electrónicos: verificación de cuenta, avisos del plan, confirmaciones de cita y promociones que envía el negocio.	Dirección de email, nombre y contenido del correo.	Francia (UE); Brevo puede recurrir a sus propios proveedores, algunos fuera del EEE.
Google Ireland Limited / Google LLC	Google Calendar, solo si el usuario conecta su calendario: crear, actualizar y borrar los eventos de las citas y leer las franjas ocupadas.	Título y descripción del evento con el nombre y teléfono del cliente, profesional y estado de la cita; lugar y horario (sin las notas internas).	UE y EE. UU.

El Encargado avisará al Responsable por correo electrónico con al menos 15 días de antelación de cualquier incorporación o sustitución de subencargados. Si el Responsable se opone por motivos razonables de protección de datos, podrá dar de baja su cuenta antes de que el cambio se aplique. El Encargado responde ante el Responsable del cumplimiento de sus subencargados.

7. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo. El Encargado se asegura de que esas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea o, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU.

8. Obligaciones del Responsable

Contar con una base legal para tratar los datos de sus clientes y para escribirles por WhatsApp, Messenger, Instagram o correo electrónico, e informarles de los tratamientos, incluida la intervención de la Plataforma y del asistente de IA.
Mantener el aviso que la Plataforma añade al primer mensaje del asistente de IA a cada cliente, sin eliminarlo ni contradecirlo.
Usar la Plataforma conforme a los Términos de Servicio y mantener actualizados los datos y la configuración de su cuenta.

9. Seguridad y registro

El Encargado mantiene el registro de actividades de tratamiento que le corresponde como encargado (artículo 30.2 RGPD).

10. Fin del servicio

Al terminar el servicio, el Encargado suprimirá los datos del Responsable en un máximo de 30 días desde la baja o desde su solicitud de eliminación (puede pedirlo en https://app.dayia.es/legal/data-deletion) y, si lo pide antes, le entregará una copia. Se conservarán, bloqueados, solo los datos que la ley obligue a guardar. Las copias de seguridad se eliminan en el mismo plazo máximo.

11. Contacto

Para cualquier cuestión sobre este acuerdo, escribe a dayannis.y@gmail.com.