Acuerdo de tratamiento de datos

1Alcance y naturaleza del acuerdo#

Este acuerdo regula el tratamiento de datos personales que la empresa de Nirvai indicada en la Propuesta de cada cliente («Nirvai»: Nirvai LLC o NIRVANA AI SpA) hace por cuenta de ese cliente («el Cliente») al prestar sus servicios. Forma parte de los Términos del servicio y, en materia de datos personales, prevalece sobre ellos.

Este documento es, según el país: en Chile, el contrato de encargo de tratamiento del artículo 15 bis de la Ley 19.628 (modificada por la Ley 21.719) y el mandato por escrito de su artículo 8; en Colombia, el contrato de transmisión de datos de los artículos 24 y 25 del Decreto 1377 de 2013; en Costa Rica, el contrato con el encargado del Reglamento de la Ley 8968 (artículos 29 a 32); y en República Dominicana, el acuerdo con el encargado de la Ley 172-13.

Rige mientras Nirvai trate datos por cuenta del Cliente y hasta que los elimine o devuelva según la sección 12.

2Roles#

El Cliente es el responsable de los datos de sus leads y de las personas que contacta con el servicio: decide para qué y cómo se tratan. Nirvai es el encargado: los trata solo por cuenta del Cliente y según sus instrucciones.

Nirvai es responsable, en cambio, de los datos de las cuentas de usuario, la facturación y la seguridad del servicio, que trata según su Política de privacidad.

3Detalle del tratamiento#

4Instrucciones del Cliente#

Nirvai trata los datos solo según las instrucciones documentadas del Cliente. La Configuración del servicio (instrucciones del asistente, preguntas, reglas de contacto, canales e integraciones activas) y las solicitudes por escrito del Cliente son sus instrucciones. Nirvai aplica la política de privacidad del Cliente y trata los datos solo para las finalidades que los titulares autorizaron.

Si una instrucción parece contraria a la ley, Nirvai avisa al Cliente y puede suspender su ejecución hasta que se aclare.

5Obligaciones de Nirvai#

• No tratar los datos para fines propios ni de terceros, no venderlos y no cederlos ni comunicarlos sin autorización expresa y específica del Cliente, salvo a los subencargados de la sección 7 o cuando la ley lo exija.
• No usar los datos para entrenar, desarrollar ni mejorar sistemas de inteligencia artificial, propios o de terceros, incluidos los datos de WhatsApp, como exigen los términos de Meta.
• Garantizar que las personas con acceso a los datos tengan obligación de confidencialidad, que se mantiene después de terminado el servicio.
• Mantener el registro de consentimiento y de «no contactar» de cada lead, y detener todo contacto por todos los canales cuando un lead lo pide.
• Mantener un manual interno de políticas y procedimientos y designar un área responsable de atender consultas y reclamos de titulares (en Colombia, artículo 18 de la Ley 1581).
• Ayudar al Cliente a cumplir sus obligaciones de seguridad, evaluaciones de impacto, notificación de incidentes y atención de titulares.

6Seguridad#

Nirvai aplica medidas técnicas y organizativas adecuadas al riesgo:

• Conexiones cifradas en tránsito; credenciales e integraciones cifradas en reposo.
• Aislamiento lógico entre los espacios de trabajo de cada cliente y permisos por rol.
• Acceso interno restringido a quien lo necesita para soporte o seguridad.
• Registro de actividad de las acciones hechas desde integraciones externas.
• Copias de respaldo y capacidad de restaurar el servicio después de un incidente.
• Revisión periódica de estas medidas y de los subencargados.
• Para datos sensibles: acceso aún más restringido y revisión de las preguntas del Cliente para que responder siempre sea voluntario.

7Subencargados#

Al aceptar este acuerdo, el Cliente autoriza por escrito y de forma específica a los subencargados publicados en la página de subencargados en esa fecha.

• Nirvai avisa al Cliente por correo con al menos 30 días de anticipación antes de agregar o reemplazar un subencargado.
• El Cliente puede objetar por escrito dentro de ese plazo por motivos razonables de protección de datos. Si no se encuentra una solución, el Cliente puede terminar la parte del servicio afectada sin costo ni plazo mínimo pendiente.
• Nirvai impone a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y sigue siendo responsable, en forma solidaria, por lo que haga.
• Las herramientas que el Cliente conecta por su cuenta (su CRM, su calendario, su correo) o los proveedores de inteligencia artificial con los que el Cliente contrata con su propia clave no son subencargados de Nirvai: el Cliente los elige y contrata directamente.

8Transferencias internacionales#

Los datos se alojan en Estados Unidos (Amazon Web Services, región de Oregón) y algunos subencargados los procesan en Estados Unidos. Nirvai protege estas transferencias con cláusulas contractuales que obligan a cada destinatario a tratar los datos solo para prestar el servicio, con confidencialidad, seguridad y la posibilidad de que los titulares ejerzan sus derechos.

Cuando la Agencia de Protección de Datos Personales de Chile apruebe cláusulas modelo o publique su lista de países adecuados, Nirvai adaptará este acuerdo. Para leads de Costa Rica y República Dominicana, el Cliente informa en su texto de consentimiento que sus datos se almacenan en el extranjero a través de proveedores.

9Solicitudes de los titulares#

• Si un titular le escribe a Nirvai, Nirvai le reenvía la solicitud al Cliente dentro de 2 días hábiles y no la responde por su cuenta, salvo para confirmar la recepción.
• Si la solicitud es de bloqueo u oposición al contacto, Nirvai detiene el contacto de inmediato, sin esperar al Cliente.
• El servicio permite al Cliente exportar, corregir y eliminar los datos de un lead para responder dentro de los plazos legales: en Chile, 30 días corridos (bloqueo en 2 días hábiles); en Colombia, 10 días hábiles para consultas y 15 para reclamos, con la marca «reclamo en trámite»; en Costa Rica, 5 días hábiles; en República Dominicana, 5 a 10 días hábiles.

10Incidentes de seguridad#

Si Nirvai confirma un incidente que afecta datos del Cliente, le avisa sin demora indebida y como máximo dentro de 48 horas. El aviso incluye, en la medida en que se conozca: qué ocurrió, qué datos y cuántas personas pueden estar afectadas, sus posibles consecuencias, las medidas tomadas y un contacto. Nirvai completa la información a medida que la obtiene.

Nirvai colabora con el Cliente para notificar, cuando corresponda, a la Agencia de Protección de Datos Personales en Chile, a la Superintendencia de Industria y Comercio en Colombia, y a los titulares afectados, en los plazos que fija cada ley.

11Evaluaciones de impacto y autoridades#

Si el Cliente debe hacer una evaluación de impacto (por ejemplo, por tratar datos a gran escala), Nirvai le entrega la información sobre el servicio que necesite. Nirvai colabora con las autoridades de protección de datos cuando el Cliente lo pide o la ley lo exige, avisando al Cliente salvo que la ley lo impida.

12Devolución y eliminación#

Al terminar el servicio, el Cliente tiene 30 días para exportar sus datos. Después, Nirvai los elimina de sus sistemas activos dentro de otros 30 días; las copias de respaldo se sobrescriben en su ciclo normal y, mientras existen, no se usan. Si el Cliente lo pide, Nirvai entrega un certificado de eliminación.

Nirvai conserva solo lo que la ley le obliga a guardar (por ejemplo, la facturación) y un registro mínimo de los leads que pidieron no ser contactados, para respetar ese pedido.

13Información y auditoría#

Una vez al año, o después de un incidente, el Cliente puede pedir información para verificar el cumplimiento de este acuerdo: Nirvai responde cuestionarios de seguridad y entrega la documentación disponible. Una revisión en terreno procede solo si la documentación no basta, con 30 días de aviso, en horario hábil, con un auditor sujeto a confidencialidad y a costo del Cliente.

14Responsabilidad#

Cada parte responde por sus propios incumplimientos de la ley y de este acuerdo. Si Nirvai trata datos fuera de las instrucciones del Cliente, responde por ese tratamiento como responsable. Los límites de responsabilidad de los Términos no se aplican a los incumplimientos de este acuerdo causados por Nirvai.

Este acuerdo se actualizará cuando las autoridades publiquen contratos o cláusulas modelo.

15Contactos#

Privacidad, incidentes y solicitudes de titulares: nirvai@nirvana-ai.com. Nirvai LLC, constituida en el estado de Delaware, Estados Unidos. NIRVANA AI SpA · RUT 77.917.325-9 · Av. Badajoz 100, oficina 523, Las Condes, Santiago, Chile.