Saltar al contenido

Contrato de encargo del tratamiento de datos personales

Versión 2026-10, publicada el 26 de septiembre de 2026

Contrato de encargo del tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679, general de protección de datos (RGPD), entre el negocio que lo acepta y el prestador del servicio papaia.

1. Partes y aceptación

1.1. Responsable del tratamiento. El negocio identificado en su cuenta del panel de papaia cuando se acepta este contrato (el Responsable). El Responsable decide para qué y cómo se tratan los datos de sus clientes y contactos, y configura su asistente.

1.2. Encargado del tratamiento. Gustavo Jimenez Gamo, con NIF 48999122Z y domicilio en Villamiel de Cáceres 2, 28042 Madrid, que presta el servicio con el nombre comercial papaia (en este contrato, papaia). Contacto para asuntos de protección de datos: hello@papaia.to. papaia es la otra parte de este contrato también cuando el Responsable usa el panel con la marca de una agencia colaboradora.

1.3. Aceptación. Acepta este contrato el propio negocio, a través de su titular (la persona que figura como titular del negocio en el panel), marcando la casilla del contrato de encargo y pulsando aceptar. Ni una agencia colaboradora ni el personal de papaia lo aceptan en su nombre. Quien acepta declara que puede obligar al negocio.

1.4. Registro y justificante. papaia guarda de cada aceptación el documento, la versión, la fecha y la hora, la persona usuaria que aceptó, la dirección IP y el navegador, y envía al titular por email un justificante con los documentos, sus versiones, la fecha y la hora y dónde leer los textos (artículo 28 de la Ley 34/2002, LSSI).

1.5. Relación con el contrato de servicio. Si el Responsable contrata el servicio directamente con papaia, este contrato completa las Condiciones del servicio que acepta en la misma pantalla. Si lo contrata a través de una agencia que revende el servicio, el contrato de servicio es con la agencia, y este contrato vincula directamente a papaia con el Responsable en lo que se refiere al tratamiento de datos personales. En materia de protección de datos, este contrato prevalece sobre cualquier otro acuerdo entre las partes.

2. Agencias colaboradoras

2.1. Si el negocio está asignado en el panel a una agencia colaboradora, revendedora o recomendadora (la Agencia), la Agencia no es parte de este contrato. papaia trata los datos por cuenta del Responsable, no por cuenta de la Agencia.

2.2. Mientras el negocio esté asignado a la Agencia, los administradores que ella designe tienen en el panel de ese negocio el acceso que describe el Anexo I, apartado 6. Al aceptar este contrato, el Responsable instruye a papaia para dar ese acceso.

2.3. El tratamiento que haga la Agencia con ese acceso se rige por la relación entre el Responsable y la Agencia. El Responsable se compromete a tener con la Agencia el contrato que exige el artículo 28 del RGPD cuando la Agencia trate datos por su cuenta. papaia no responde del tratamiento que haga la Agencia fuera de las funciones del panel.

2.4. Para retirar ese acceso, el Responsable pide a papaia que desvincule el negocio de la Agencia; desde ese momento sus administradores dejan de acceder a él. Si el Responsable contrataba el servicio con una agencia revendedora, a partir de entonces lo contrata directamente con papaia, y el panel le pedirá que acepte las Condiciones del servicio.

3. Objeto, naturaleza y finalidad del tratamiento

3.1. Objeto. papaia presta al Responsable un asistente de atención y captación con inteligencia artificial en la web del Responsable y, si lo activa, en su número de WhatsApp, junto con un panel para gestionarlo. Para prestarlo, papaia trata por cuenta del Responsable los datos personales que describe el Anexo I.

3.2. Naturaleza. Tratamiento automatizado y continuo mientras el servicio está activo, que comprende:

  • recoger y registrar los mensajes que las personas escriben al asistente, la transcripción de sus notas de voz y la descripción de las imágenes que envían; el audio y las imágenes se procesan en memoria y no se guardan;
  • enviar esos mensajes a los modelos de lenguaje para generar las respuestas, calcular su representación vectorial, clasificar la intención y buscar en el material del Responsable;
  • mostrar las conversaciones en el panel para que el equipo del Responsable, y la Agencia si la hay, las lea, las responda o tome su control;
  • estructurar la ficha del contacto (nombre, teléfono o email, resumen, intención, urgencia y siguiente paso), las citas y las derivaciones al equipo del Responsable;
  • comunicar esos datos a los destinos que configura el Responsable (Anexo IV);
  • enviar avisos y resúmenes al equipo del Responsable, recordatorios de cita a la persona interesada e informes al Responsable;
  • registrar trazas técnicas de cada respuesta para medir la calidad y el coste (apartado 14.2);
  • conservar, exportar y suprimir los datos según los apartados 14 y 15.

3.3. Finalidad. Únicamente prestar el servicio al Responsable: atender a sus clientes y contactos, captar y entregarle los contactos, gestionar citas, derivar a su equipo, informarle de la actividad y darle herramientas para cumplir sus propias obligaciones (aviso de inteligencia artificial, conservación, supresión y exportación). papaia no trata los datos para fines propios, no los vende ni los cede, no los usa para entrenar modelos de inteligencia artificial y no los combina con datos de otros negocios. Las cifras agregadas que no identifican a nadie (número de conversaciones, consumo y coste por negocio) se usan para facturar, dimensionar el servicio y elaborar el informe mensual del Responsable.

4. Duración

Este contrato entra en vigor cuando el titular lo acepta y dura mientras papaia preste el servicio al Responsable. Tras la baja del servicio sigue vigente hasta que terminen la devolución y la supresión del apartado 15. Las obligaciones de confidencialidad subsisten después.

5. Datos personales e interesados

5.1. Las categorías de interesados y de datos, y dónde se guarda cada dato, están en el Anexo I.

5.2. Categorías especiales y menores. El servicio no está diseñado para tratar categorías especiales de datos (artículo 9 del RGPD), datos relativos a condenas e infracciones penales (artículo 10 del RGPD) ni datos de menores de 14 años. El Responsable no configurará el asistente para pedirlos. Si por su sector es previsible que las personas los aporten por su cuenta (por ejemplo, síntomas en una clínica), el Responsable lo indicará a papaia antes de activar el asistente, y las partes acordarán por escrito las medidas adicionales antes de tratarlos.

6. Instrucciones del Responsable

6.1. papaia trata los datos solo siguiendo las instrucciones documentadas del Responsable. Son instrucciones documentadas este contrato, las Condiciones del servicio cuando el Responsable las ha aceptado y la configuración del asistente que el Responsable, o la Agencia según el apartado 2, guarda en el panel, que queda registrada con su versión, su autor y su fecha.

6.2. Esto incluye las transferencias de datos a un tercer país: papaia solo las hace en los casos y con las garantías del apartado 10, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro. En ese caso informará al Responsable antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público.

6.3. Si papaia considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Responsable y podrá suspender su ejecución hasta que el Responsable la confirme o la modifique.

7. Obligaciones de papaia

papaia se obliga a:

  1. Tratar los datos solo con las instrucciones documentadas del Responsable (apartado 6).
  2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y limitar el acceso a las personas que lo necesitan para prestar el servicio.
  3. Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD que describe el Anexo III.
  4. Respetar las condiciones del apartado 9 para recurrir a otros encargados.
  5. Asistir al Responsable, con las herramientas del panel y con medidas adicionales cuando hagan falta, para responder a las solicitudes de ejercicio de derechos (apartado 13).
  6. Ayudar al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad (apartado 12), de evaluación de impacto y de consulta previa a la autoridad de control, facilitándole la información del servicio, de los subencargados y de las medidas que necesite.
  7. Suprimir o devolver los datos al terminar el servicio, según decida el Responsable, en los términos del apartado 15.
  8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir y contribuir a las auditorías del apartado 16.
  9. No usar los datos para fines distintos de los del apartado 3.3.

8. Obligaciones del Responsable

El Responsable se obliga a:

  1. Tratar los datos con una base jurídica válida e informar a las personas en su propia política de privacidad, que el asistente enlaza. El panel no activa el asistente sin una dirección de política de privacidad que responda, y la comprueba cada día.
  2. Mantener el aviso de que el asistente es un sistema de inteligencia artificial, que el servicio muestra en el primer mensaje de cada conversación y que no se puede desactivar (artículo 50 del Reglamento (UE) 2024/1689).
  3. Configurar un plazo de conservación adecuado a su finalidad (por defecto, 12 meses) y revisarlo.
  4. No configurar el asistente para recoger datos que no necesite ni los del apartado 5.2.
  5. Tener con la Agencia, si la hay, el contrato del apartado 2.3.
  6. Ser titular de las cuentas de terceros que conecte (Anexo IV) y cumplir sus condiciones.
  7. Informar en su web, si procede, de que el asistente web guarda los datos de la conversación en curso en el almacenamiento de sesión del navegador de la persona.
  8. Atender las solicitudes de las personas interesadas que le corresponden como responsable y pedir a papaia la ayuda que necesite.
  9. Supervisar el tratamiento, incluidas las auditorías del apartado 16.

9. Subencargados del tratamiento

9.1. Autorización general. El Responsable da a papaia una autorización general por escrito para recurrir a los subencargados del Anexo II.

9.2. Cambios. papaia informará al Responsable por escrito, antes de que se produzca, de cualquier incorporación o sustitución de un subencargado, indicando quién es, qué tratamiento hará y dónde, para que el Responsable pueda oponerse. El cambio se recoge en una versión nueva de este contrato.

9.3. Oposición. El Responsable puede oponerse al cambio por motivos razonables relacionados con la protección de datos. Si las partes no encuentran una alternativa, el Responsable puede resolver el servicio afectado sin pagar cuotas por baja anticipada.

9.4. Mismas obligaciones. papaia impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que este contrato le impone, en particular garantías suficientes de que aplicará medidas técnicas y organizativas apropiadas.

9.5. Responsabilidad. Si un subencargado incumple sus obligaciones de protección de datos, papaia sigue siendo plenamente responsable ante el Responsable del cumplimiento de ese subencargado.

9.6. Modelos de lenguaje. papaia solo usa proveedores de modelos que figuren en el Anexo II. Cambiar de modelo dentro de un mismo proveedor no es un cambio de subencargado; incorporar otro proveedor sí lo es y sigue el apartado 9.2.

10. Ubicación y transferencias internacionales

10.1. Ubicación. La base de datos se aloja en Fráncfort (Alemania) y las funciones del servicio web se ejecutan en Fráncfort. Los modelos de lenguaje principales del asistente, la transcripción de notas de voz y la descripción de imágenes se ejecutan en Scaleway, en París (Francia). El Anexo II indica la ubicación de cada subencargado cuando papaia la conoce; para los demás, remite a su contrato.

10.2. Transferencias. Algunos subencargados están establecidos fuera del Espacio Económico Europeo o pueden tratar datos fuera de él. En particular, las tareas programadas del servicio se ejecutan en GitHub, en Estados Unidos. papaia solo transfiere datos fuera del Espacio Económico Europeo con una de las garantías del capítulo V del RGPD: una decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas a él, o las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan.

10.3. Destinos del Responsable. Los envíos a los destinos que el propio Responsable elige y contrata (Anexo IV) no son transferencias de papaia: los decide y los contrata el Responsable.

11. Seguridad del tratamiento

papaia aplica las medidas del Anexo III teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas. Puede sustituir una medida por otra equivalente o mejor, sin rebajar el nivel de seguridad; el Anexo III se actualiza en la siguiente versión de este contrato.

12. Violaciones de la seguridad de los datos

12.1. papaia notificará al Responsable, por escrito a través de su titular y sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que trate por su cuenta.

12.2. La notificación incluirá, en la medida en que se conozcan, la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, un contacto para obtener más información, las consecuencias probables y las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos. Si no es posible dar toda la información a la vez, se dará por fases sin dilación indebida.

12.3. Corresponde al Responsable notificar la violación a la autoridad de control (artículo 33 del RGPD) y, cuando proceda, comunicarla a las personas afectadas (artículo 34 del RGPD). papaia colaborará en ambas cosas y solo las hará en nombre del Responsable si este se lo pide por escrito.

13. Derechos de las personas interesadas

13.1. El Responsable atiende las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de las personas que hablan con su asistente. Para ello, el panel le ofrece:

  • Supresión de los datos de una persona, buscándola por su email o su teléfono, o desde su conversación o su ficha. En una sola operación borra sus conversaciones, sus mensajes, sus fichas de contacto, sus derivaciones, sus citas y los envíos a destinos que llevan sus datos, e intenta borrar sus trazas técnicas en el proveedor de trazas; la pantalla indica cuántas se han borrado. El registro de auditoría solo guarda recuentos, nunca a quién se borró. Las preguntas sin respuesta, que ya se guardan redactadas, no se borran con esta operación.
  • Exportación de los contactos y las conversaciones en ficheros CSV, cuando el Responsable la pide.
  • Página pública de datos del negocio, enlazada desde el asistente, que explica qué se guarda, durante cuánto tiempo, con qué proveedores y cómo pedir la supresión.

13.2. Las copias que ya salieron hacia los destinos del Anexo IV (filas de la hoja de cálculo, emails recibidos, eventos del calendario, envíos al webhook) no las borra papaia: el panel las indica como paso manual del Responsable.

13.3. Si una persona se dirige directamente a papaia para ejercer sus derechos sobre datos tratados por cuenta del Responsable, papaia no la atenderá por sí mismo: remitirá la solicitud al Responsable sin dilación indebida.

14. Conservación y supresión durante el servicio

14.1. Plazo de conservación. Las conversaciones, con todo lo que depende de ellas (mensajes, fichas de contacto, derivaciones, citas, estados de entrega de WhatsApp, envíos y eventos de la conversación), se suprimen cuando superan el plazo que el Responsable configura en el panel (12 meses por defecto), contado desde el inicio de cada conversación. La supresión se ejecuta una vez al mes, así que un dato puede permanecer hasta un mes más que el plazo configurado.

14.2. Lo que se conserva más allá de ese plazo.

  • El consumo y el coste agregados por negocio, sin datos de contacto.
  • Las preguntas que el asistente no supo responder, guardadas tras la redacción automática del Anexo III, con su recuento y sus fechas, para que el Responsable pueda completar su material. Pueden contener nombres u otros datos que la redacción automática no elimina. Se conservan mientras exista el negocio.
  • Los informes mensuales del Responsable, con cifras y preguntas redactadas, mientras exista el negocio.
  • Las trazas técnicas guardadas en el proveedor de trazas (Langfuse): mensaje y respuesta tras la redacción automática, que no elimina los nombres ni todo el texto libre, por lo que pueden contener datos personales. La supresión por plazo no las borra. Se conservan el tiempo que las guarda ese proveedor según la configuración de la cuenta de papaia, y solo se intenta borrarlas al suprimir los datos de una persona (apartado 13.1).

14.3. Demostraciones y altas desde la web. Las demostraciones creadas desde el panel y las altas hechas desde la web de papaia que no se activan caducan y, al caducar, se suprimen con sus datos, salvo las trazas técnicas de sus conversaciones de prueba o de demostración, que siguen el apartado 14.2, y las cuentas de las personas usuarias del panel (Anexo I, apartado 1). Los demás negocios que aún no se han activado no caducan: se suprimen si se dan de baja (apartado 15).

14.4. Copias de seguridad. Si el proveedor de base de datos conserva copias de seguridad, los datos suprimidos pueden permanecer en ellas hasta que esas copias se renuevan.

15. Fin del servicio: devolución y supresión

15.1. Baja. La baja la tramitan papaia o la Agencia en el panel, el día en que el servicio termina: al registrarla, el asistente deja de atender en todos los canales en ese momento. Durante los 30 días siguientes, el Responsable puede descargar desde el panel la exportación de sus contactos y sus conversaciones, que es la devolución de los datos, y la baja se puede deshacer. La configuración y el material del Responsable no se exportan desde el panel.

15.2. Supresión. Pasados esos 30 días, papaia suprime de forma automática todos los datos del negocio: configuración, material, conversaciones, fichas, citas, credenciales, preguntas sin respuesta, informes y los accesos de las personas usuarias a ese negocio. Las cuentas de las personas usuarias del panel no se suprimen con el negocio, porque pueden dar acceso a otros negocios (Anexo I, apartado 1). papaia confirmará la supresión por escrito si el Responsable lo pide.

15.3. Registro de cierre. papaia conserva un registro de cierre sin datos de las personas interesadas: nombre e identificador del negocio, su plan, su agencia y su modo de facturación, fechas de alta, baja y supresión, los contratos aceptados (documento, versión, fecha y cómo se aceptaron, sin dirección IP ni navegador) y recuentos de supresiones por plazo, supresiones por persona y exportaciones. Solo lo puede leer papaia. Hoy este registro no tiene fecha de supresión.

15.4. Excepciones. La baja no borra las trazas técnicas del apartado 14.2, que siguen el plazo del proveedor de trazas. Las copias de seguridad siguen el apartado 14.4. Los datos que papaia deba conservar por una obligación legal se bloquean y solo se usan para cumplirla.

15.5. Los datos que ya están en los sistemas del Responsable (Anexo IV) quedan bajo su control.

16. Información y auditorías

16.1. papaia facilita al Responsable, desde el panel y sin coste, el kit de cumplimiento de su negocio: estado y fechas, aviso de inteligencia artificial vigente y sus cambios, plazo de conservación configurado y supresiones hechas, supresiones por persona y exportaciones (solo fechas y recuentos), contratos aceptados con su versión y cómo se aceptaron, proveedores y región, y medidas del sistema. El kit es evidencia del sistema, no asesoramiento jurídico.

16.2. papaia responderá en un plazo razonable a los cuestionarios de seguridad y protección de datos que el Responsable le envíe, y le facilitará este contrato, con su Anexo III y su Anexo II vigentes.

16.3. Si lo anterior no basta, el Responsable, o un auditor independiente que designe y que esté obligado a guardar confidencialidad, puede auditar el tratamiento que papaia hace por su cuenta, con un preaviso razonable y como máximo una vez al año, salvo violación de seguridad o requerimiento de una autoridad, sin acceder a datos de otros negocios ni comprometer su seguridad. El coste de la auditoría lo asume el Responsable, salvo que revele un incumplimiento grave de papaia.

17. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o el RGPD, conforme al artículo 82 del RGPD. Cuando el Responsable ha aceptado las Condiciones del servicio de papaia, se aplican también las reglas de responsabilidad de esas condiciones, en la medida en que la ley lo permita.

18. Versiones y modificaciones

18.1. Este contrato se identifica con su versión y se publica en una dirección web propia. Una versión publicada no se modifica: cualquier cambio da lugar a una versión nueva.

18.2. Cuando se publica una versión nueva, el panel indica al titular que hay una versión pendiente de aceptar. Para volver a activar el asistente después de deshacer una baja o de una suspensión hay que aceptar antes la versión vigente de este contrato. Los cambios del Anexo II siguen el apartado 9.

19. Ley aplicable

Este contrato se rige por el RGPD, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y el resto de la legislación española.

Anexo I. Descripción del tratamiento

1. Categorías de interesados

  • Clientes y potenciales clientes del Responsable que escriben a su asistente por la web o por WhatsApp.
  • Personas que reservan, cambian o anulan una cita a través del asistente.
  • Personal del Responsable que recibe avisos o controla el asistente: email y WhatsApp de derivación, y número del titular para el control por WhatsApp.
  • Personas mencionadas en el material que aporta el Responsable (web, documentos, respuestas aprobadas).

Quedan fuera de este contrato los datos de las personas usuarias del panel (titular, personal del Responsable y administradores de la Agencia): email, nombre, accesos y registro de las aceptaciones con su dirección IP y su navegador. papaia los trata como responsable para gestionar las cuentas, la seguridad y la prueba de las aceptaciones.

2. Categorías de datos

  • Identificativos y de contacto: nombre, teléfono, email y número de WhatsApp de quien escribe. Se guardan en la conversación, la ficha del contacto y la cita.
  • Contenido de la conversación: mensajes de la persona, del asistente y del equipo del Responsable; transcripción de notas de voz; descripción de imágenes; resumen de la conversación; idioma.
  • Ficha del contacto: resumen, intención, urgencia, siguiente paso y fecha en que la persona dejó sus datos, después de que el asistente le mostrara el enlace a la política de privacidad del Responsable.
  • Citas: servicio, sede, fecha y hora, estado, recordatorio enviado y respuesta de la persona.
  • Derivaciones: motivo, tema (tras la redacción automática) y estado.
  • Origen: página de entrada, parámetros de campaña, página de referencia y canal.
  • Técnicos: identificadores y estado de entrega de los mensajes de WhatsApp. La dirección IP de quien escribe se usa en memoria para aplicar los límites de uso y el servicio no la guarda; los registros de peticiones del proveedor de alojamiento pueden contenerla.
  • Preguntas sin respuesta: la pregunta tras la redacción automática, con su recuento y sus fechas.
  • Material del Responsable: textos de su web y de sus documentos, que pueden contener nombres de su personal.
  • Trazas técnicas: mensaje y respuesta tras la redacción automática (pueden contener nombres y otros datos escritos en la conversación); modelo, coste y tiempos.

3. Categorías especiales

No previstas (apartado 5.2).

4. Frecuencia y volumen

Continuo mientras el servicio está activo. El volumen depende del tráfico del Responsable y de las conversaciones de su plan.

5. Plazos

Los de los apartados 14 y 15: el plazo que configura el Responsable (12 meses por defecto) y la supresión total 30 días después de la baja, con las excepciones que esos apartados indican.

6. Acceso de la Agencia, si la hay

Los administradores de la Agencia pueden, en el panel del negocio: leer y responder las conversaciones y tomar su control; ver contactos, citas y derivaciones; configurar el asistente y el plan; suprimir los datos de una persona; exportar contactos y conversaciones; descargar el kit de cumplimiento; invitar al titular; y dar de baja el negocio o deshacer la baja, lo que conduce a la supresión del apartado 15. No pueden aceptar este contrato ni las Condiciones del servicio en nombre del Responsable.

Anexo II. Subencargados autorizados

Lista de subencargados autorizados con esta versión. Los modelos de lenguaje los prestan Scaleway y Mistral AI (apartados 3 y 4 de esta lista).

A. Siempre que el asistente está activo

1. Vercel

  • Para qué: aloja la aplicación: la web, el chat, el panel y la recepción de los mensajes de WhatsApp.
  • Datos: todos los del Anexo I, en tránsito, y los registros de peticiones.
  • Ubicación: las funciones del servicio se ejecutan en Fráncfort (Alemania); la red de entrega de contenidos del proveedor es global.
  • Transferencias: las que resulten del contrato de papaia con el proveedor, con las garantías del apartado 10.

2. Supabase

  • Para qué: base de datos.
  • Datos: todos los del Anexo I.
  • Ubicación: Fráncfort (Alemania).
  • Transferencias: las que resulten del contrato de papaia con el proveedor, con las garantías del apartado 10.

3. Scaleway

  • Para qué: modelos de lenguaje del asistente (principal y capaz), transcripción de notas de voz y descripción de imágenes.
  • Datos: mensajes, resúmenes, material recuperado, y audio e imágenes en memoria.
  • Ubicación: París (Francia).

4. Mistral AI

  • Para qué: representación vectorial de cada mensaje, del material del Responsable y de las preguntas sin respuesta, para buscar y clasificar la intención; modelo de respaldo si falla el principal.
  • Datos: mensajes, preguntas sin respuesta y material.
  • Ubicación y transferencias: las que resulten del contrato de papaia con el proveedor, con las garantías del apartado 10.

5. Langfuse

  • Para qué: trazas de calidad y coste de cada respuesta del asistente.
  • Datos: mensaje y respuesta tras la redacción automática (pueden contener nombres y otros datos escritos en la conversación), identificadores, modelo, coste y tiempos.
  • Ubicación: Unión Europea (región europea del proveedor).
  • Conservación: la de la cuenta de papaia en el proveedor. Las trazas no se borran con la supresión por plazo ni con la baja del negocio (apartados 14.2 y 15.4).

6. Resend

  • Para qué: envío de emails: avisos de contactos, derivaciones y citas al equipo del Responsable, recordatorios de cita a la persona, informe mensual, enlaces de acceso al panel y justificantes.
  • Datos: nombre, email, teléfono, resumen, datos de la cita y, en los avisos de derivación al equipo del Responsable, los últimos mensajes de la conversación.
  • Ubicación y transferencias: las que resulten del contrato de papaia con el proveedor, con las garantías del apartado 10.

7. GitHub Actions

  • Para qué: ejecuta las tareas programadas del servicio: envíos pendientes a los destinos y avisos, recordatorios de derivaciones y de citas, resúmenes diarios, cierre de conversaciones inactivas, propuestas de respuesta a las preguntas sin respuesta, ingesta de material, comprobaciones diarias de la política de privacidad y de los dominios, supresión por plazo, supresión de demostraciones caducadas y de negocios dados de baja, e informes mensuales.
  • Datos: los del Anexo I que cada tarea lee o envía, en memoria durante la ejecución. Los registros de ejecución pasan antes por la redacción automática del Anexo III.
  • Ubicación: Estados Unidos.
  • Transferencias: sí, con las garantías del apartado 10.

B. Solo si el Responsable activa el canal o la integración

8. Meta (WhatsApp)

  • Para qué: canal de WhatsApp del Responsable (WhatsApp Cloud API): recibir y enviar mensajes, notas de voz e imágenes, y enviar avisos y el resumen diario al equipo del Responsable.
  • Datos: número de WhatsApp, mensajes, audio e imágenes.
  • Cuenta: la cuenta de WhatsApp Business y el número son del Responsable, que acepta con Meta sus propias condiciones.
  • Ubicación y transferencias: las que resulten de las condiciones de Meta, con las garantías del apartado 10.

9. Google Calendar

  • Para qué: consultar la disponibilidad y escribir las citas en los calendarios de Google que el Responsable comparte con la cuenta de servicio de papaia.
  • Datos: servicio, fecha y hora de la cita, y nombre, teléfono y email de la persona; de la disponibilidad, solo si cada franja está libre u ocupada.
  • Ubicación y transferencias: las que resulten del contrato de papaia con el proveedor, con las garantías del apartado 10.

C. Lo que no se usa con esta versión

  • papaia no usa proveedores de modelos de lenguaje distintos de Scaleway y Mistral AI. Incorporar otro sigue el apartado 9.2.
  • El cobro de las cuotas no forma parte de este encargo: los datos de facturación del Responsable como cliente de papaia no se tratan por cuenta del Responsable.

Anexo III. Medidas técnicas y organizativas

Descripción de las medidas que el servicio aplica con esta versión.

1. Aislamiento entre negocios

  • Cada dato lleva el identificador de su negocio, y la base de datos aplica seguridad a nivel de fila, forzada, en las tablas con datos de negocios: una consulta solo ve las filas de los negocios a los que tiene acceso la persona que consulta.
  • La aplicación se conecta con un rol sin privilegios de superusuario y sin permiso para saltarse esa seguridad; una comprobación automática lo verifica.
  • Las funciones de la base de datos con privilegios elevados están cerradas a cualquier otro rol y listadas una a una; una prueba automática falla si una función nueva no lo está.
  • La interfaz pública de datos del proveedor de base de datos no publica ninguna tabla.

2. Acceso al panel

  • Acceso con un enlace de un solo uso enviado al email, válido 15 minutos; la base de datos solo guarda su huella criptográfica (SHA-256). Las invitaciones valen una vez y durante 72 horas.
  • Sesión firmada en una cookie inaccesible desde el código de la página, enviada solo por conexión segura fuera del entorno de desarrollo.
  • Permisos por rol: el titular y el personal del negocio, los administradores de la Agencia y los administradores de papaia. El personal del negocio lee las conversaciones, las responde y toma su control, pero no cambia la configuración ni suprime ni exporta datos. Suprimir y exportar datos queda para el titular, la Agencia y papaia.
  • La exportación de datos exige la sesión de una persona con permiso para exportar y se rechaza cuando el navegador indica que la petición llega desde otro sitio web. Si el navegador no envía esa indicación ni el origen de la petición (navegadores antiguos), no se puede comprobar de dónde llega.

3. Canales

  • Web: cada conversación empieza con un token de sesión firmado, ligado al negocio y a un dominio autorizado del negocio; límites de uso por sesión y por dirección IP, sin registrar esas claves en eventos ni en registros; filtros contra la inyección de instrucciones y contra la revelación de las instrucciones internas.
  • WhatsApp: cada notificación de Meta se acepta solo con su firma verificada; los audios y las imágenes se procesan en memoria y no se guardan.
  • Webhook saliente: firmado con un secreto propio de cada negocio, solo a direcciones públicas por https, y con reintentos si el destino no responde.

4. Credenciales de integraciones

  • Las credenciales que conecta el Responsable (WhatsApp, hoja de cálculo, cuenta de reservas, webhook) se guardan cifradas con AES-256-GCM, con una clave que no está en la base de datos, y ligadas al negocio.
  • Nunca están en la configuración, en el contexto de un modelo, en los registros ni en las trazas; el panel solo muestra su estado.

5. Minimización en registros y trazas

  • Todo texto que va a un registro o a una traza pasa antes por una redacción automática que elimina emails, teléfonos, DNI y NIE, IBAN, tarjetas, direcciones postales y credenciales en los formatos que reconoce. La redacción no elimina todo dato personal: pueden quedar datos de contacto escritos de otra forma (por ejemplo, una dirección sin número o un teléfono con los dígitos separados), y no elimina los nombres propios.
  • El código del servicio no escribe en la consola; una prueba automática lo comprueba.
  • Los eventos de auditoría guardan identificadores, recuentos y códigos, nunca datos de contacto.

6. Cifrado en tránsito

  • Conexiones cifradas (https) con las personas que usan el asistente y el panel, y con las interfaces de los proveedores.

7. Disponibilidad y resiliencia

  • Modelo de respaldo de otro proveedor si falla el principal, y corte automático de un proveedor ante fallos repetidos; si todo falla, el asistente responde con textos fijos y toma los datos de contacto.
  • Tope de gasto mensual por negocio, con respuesta fija al alcanzarlo.

8. Ciclo de vida del dato

  • Supresión mensual automática por el plazo que configura el Responsable, supresión por persona y supresión total 30 días después de la baja, con un registro de cierre sin datos de las personas interesadas (apartados 13 a 15).

9. Desarrollo

  • Las credenciales de administración de la base de datos solo están en el equipo del titular de papaia y en los secretos de las tareas programadas.
  • El servicio tiene pruebas automáticas del aislamiento entre negocios, de la redacción de datos y de que el kit de cumplimiento no contiene datos personales.

10. Organizativas

  • El acceso a los datos de los negocios se limita a las personas de papaia que lo necesitan para prestar el servicio, sujetas a confidencialidad.

Anexo IV. Destinos que elige y contrata el Responsable

No son subencargados de papaia: el Responsable los contrata, es titular de la cuenta y decide activarlos. papaia solo les envía los datos que el Responsable configura.

  • Buzones de email del Responsable y de su equipo: avisos de contactos, derivaciones y citas, e informe mensual.
  • WhatsApp del titular y del equipo: avisos y resumen diario, a través del canal de Meta (Anexo II).
  • Hoja de cálculo de Google del Responsable, con la cuenta de servicio que el Responsable conecta en el panel: una fila por contacto.
  • Calendario de Google del Responsable: un evento por cita reservada.
  • Cuenta de Cal.com del Responsable, con su propia clave: las reservas, con el email de la persona.
  • Webhook del Responsable (por ejemplo, n8n, Make o Zapier): los eventos que el Responsable marca: contacto captado o actualizado, derivación, y cita reservada, cambiada o anulada.