Contrato de encargo del tratamiento

1. Partes

Responsable del tratamiento: el negocio o profesional que tiene una cuenta en KuriBot y acepta este contrato al registrarse («el Cliente»).

Encargado del tratamiento: Eduardo Manuel Leon Cuya, NIF Z1493215Z, Calle Arenal, 20, 1º derecha, 28013 Madrid, que presta el servicio con el nombre comercial KuriBot («KuriBot»). Contacto: contacto@kullqi.com, +34 618 95 96 44.

Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Complementa las Condiciones de uso y prevalece sobre ellas en lo relativo a datos personales.

2. Objeto

KuriBot trata, por cuenta del Cliente, los datos personales de las personas que hablan con los asistentes del Cliente (sus clientes o posibles clientes) y los que el Cliente introduce en su ficha, para prestarle el servicio de asistente de inteligencia artificial: contestar consultas, gestionar citas cuando el Cliente lo configura y avisar al Cliente cuando hace falta una persona.

No se refiere a los datos del propio Cliente como usuario de KuriBot (cuenta, email), que KuriBot trata como responsable según la Política de privacidad.

3. Duración

Mientras la cuenta del Cliente esté activa. Al borrarse la cuenta o el asistente se aplica el apartado 11.

4. Naturaleza, finalidad y fuentes

Operaciones: recogida de los mensajes que el cliente final escribe o, cuando se activen, dice por teléfono; registro y conservación de la conversación; consulta de la ficha y de la web del Cliente para responder; generación de respuestas con un modelo de inteligencia artificial; creación, consulta y cancelación de citas; mantenimiento de una agenda de contactos con los datos que dan quienes reservan o piden que les atienda una persona; comunicación al Cliente de los avisos (nombre, contacto y motivo); y supresión.

Canales: el chat de prueba del panel y, cuando el Cliente los active, el chat en su web, WhatsApp, Telegram, Instagram/Messenger y las llamadas de teléfono. En las llamadas, si se graban, se informará al cliente final al inicio de la llamada.

KuriBot no usa estos datos para fines propios, no los vende ni los cede y no los usa para entrenar modelos de inteligencia artificial.

5. Tipos de datos y categorías de interesados

• Interesados: clientes y posibles clientes del Cliente que hablan con su asistente; profesionales del Cliente que figuran en su agenda.
• Datos: contenido de los mensajes; nombre y apellidos, teléfono y email que dé la persona al reservar o al pedir que le atienda una persona (por teléfono no se pide el email), que forman su ficha en la agenda de contactos del Cliente; número de teléfono o identificador del canal (WhatsApp, Telegram) cuando se usen; citas (servicio, fecha, hora, profesional); en las llamadas, la transcripción y, si se graba, el audio.
• Datos de salud y otras categorías especiales (art. 9 RGPD): el asistente está configurado para no pedirlos (en clínicas pregunta qué servicio se quiere, no síntomas) y para no repetirlos. Aun así, una persona puede escribirlos por iniciativa propia. El Cliente, como responsable, debe valorar si su actividad lo requiere y contar con la base legal correspondiente.

6. Obligaciones del Cliente

• Tener base legal para el tratamiento e informar a sus clientes (arts. 13 y 14 RGPD), por ejemplo enlazando su política de privacidad en el chat de su web.
• Revisar la ficha del asistente y dar instrucciones lícitas. Las instrucciones son este contrato y la configuración que el Cliente elige en el panel.
• Atender los avisos que le pasa el asistente y custodiar el acceso a su cuenta.

7. Obligaciones de KuriBot

• Instrucciones: tratar los datos solo según las instrucciones documentadas del Cliente, salvo obligación legal, e informarle si una instrucción le parece contraria a la normativa.
• Confidencialidad: KuriBot presta el servicio personalmente y guarda secreto sobre los datos, también al terminar el contrato. Si otras personas llegaran a acceder a ellos, se comprometerán por escrito a la confidencialidad. Solo se accede a las conversaciones de un Cliente para prestarle el servicio, atender una petición suya o resolver una incidencia.
• Registro de actividades (art. 30.2 RGPD) y asistencia al Cliente en seguridad, brechas, evaluaciones de impacto y derechos de los interesados (arts. 32 a 36 RGPD).

8. Subencargados

El Cliente autoriza a KuriBot a recurrir a estos subencargados:

• Amazon Web Services EMEA SARL (Luxemburgo), grupo Amazon Web Services, Inc.: servidores (Amazon EC2), almacenamiento (Amazon S3), base de datos (Amazon DynamoDB), gestión de cuentas (Amazon Cognito) e inteligencia artificial: modelos Claude de Anthropic (actualmente Claude Haiku 4.5 para las conversaciones y Claude Sonnet 4.6 para analizar la web) servidos por Amazon Bedrock con perfil de inferencia de la UE, de modo que las peticiones se procesan en regiones de AWS de la Unión Europea. Región principal: Irlanda (eu-west-1). Garantías: adenda de tratamiento de datos de AWS con cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU.
• Maileroo Group Pty Ltd (Australia), cuando KuriBot envíe avisos por email al Cliente. Según su documentación, procesa y almacena los datos en Alemania. Garantías: adenda de tratamiento de datos con cláusulas contractuales tipo.
• Cuando el Cliente active WhatsApp, Instagram o Messenger, los mensajes pasan por Meta Platforms Ireland Limited; con Telegram, por Telegram; y con las llamadas, por el proveedor de telefonía y voz que se indique en el panel antes de activarlas. En el caso de WhatsApp, la cuenta y el número son del Cliente, que mantiene su propia relación con Meta.

Integraciones que activa el Cliente (webhooks y claves de API). Si el Cliente configura en su panel una dirección para recibir avisos (por ejemplo de Zapier, Make, n8n o su CRM), o crea una clave de API para que otro programa los consulte, KuriBot enviará a esa dirección o entregará al programa que presente la clave, por instrucción documentada del Cliente (art. 28.3.a RGPD), los datos de los eventos que haya elegido: datos de la cita (servicio, fecha, profesional), nombre, teléfono y email del cliente final, su ficha de la agenda de contactos y el motivo por el que pide hablar con una persona. Nunca se envía el contenido de las conversaciones. El destinatario es elegido por el Cliente y no es subencargado de KuriBot: la relación con él, incluidas las transferencias internacionales que suponga, es responsabilidad del Cliente. KuriBot firma cada envío, solo lo hace por https y deja de enviar en cuanto el Cliente lo pausa o lo borra. Las claves de API solo dan acceso a los datos de los asistentes del Cliente, se guardan cifradas de forma irreversible y dejan de funcionar en cuanto el Cliente las revoca o borra su cuenta.

KuriBot avisará al Cliente por email, con al menos 30 días de antelación, de cualquier nuevo subencargado o sustitución. El Cliente podrá oponerse de forma motivada; si no se resuelve, podrá dar de baja el servicio sin penalización. KuriBot impone a sus subencargados obligaciones equivalentes a las de este contrato y responde de ellos ante el Cliente.

9. Medidas de seguridad (art. 32 RGPD)

• Cifrado en tránsito (HTTPS/TLS) y en reposo (almacenamiento, base de datos y discos cifrados).
• Separación estricta de los datos de cada Cliente: cada cuenta solo accede a sus asistentes y conversaciones.
• Cuentas gestionadas con Amazon Cognito; sesiones con cookie firmada, solo por HTTPS y no accesible desde el navegador; contraseñas nunca visibles para KuriBot.
• Servidor sin acceso remoto por SSH, administrado con AWS Systems Manager; secretos en AWS Systems Manager Parameter Store cifrados con AWS KMS; permisos mínimos.
• El asistente solo actúa mediante funciones controladas por el programa: no puede ver ni cancelar citas de otra persona, solo reserva con la confirmación del cliente y el contenido de las webs se trata como información, nunca como instrucciones.
• Copias de seguridad diarias del servidor (7 días) y recuperación a un momento anterior de la base de datos.
• Límites de uso para evitar abusos.

10. Derechos de los interesados

Si una persona se dirige a KuriBot para ejercer sus derechos sobre datos tratados por cuenta del Cliente, KuriBot trasladará la solicitud al Cliente en un máximo de 5 días hábiles y le ayudará a responderla (por ejemplo, localizando o borrando conversaciones).

11. Conservación, devolución y supresión

• Las conversaciones y los avisos se borran automáticamente a los 90 días; el audio de las llamadas, cuando exista, a los 30 días.
• Los contactos de la agenda se borran automáticamente a los 2 años de su última interacción con el asistente. El Cliente puede borrar cualquiera antes desde su panel; al hacerlo se quitan también su nombre, teléfono y email de sus citas y avisos.
• Cuando el Cliente borra un asistente o su cuenta, se suprimen su ficha, la información leída de su web y sus conversaciones. Antes, el Cliente puede pedir una copia a contacto@kullqi.com.
• Las copias de seguridad se renuevan en un máximo de 35 días, por lo que los datos suprimidos desaparecen también de ellas en ese plazo.

12. Violaciones de seguridad

KuriBot notificará al Cliente cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas, por email, con la información disponible: naturaleza, interesados y registros afectados, consecuencias probables, medidas adoptadas y contacto. Corresponde al Cliente notificarla a la AEPD y, en su caso, a los interesados.

13. Auditorías

KuriBot pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías razonables con un preaviso de 30 días, como máximo una vez al año salvo incidente o requerimiento de una autoridad, a cargo del Cliente.

14. Responsabilidad

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. Si KuriBot usara los datos para otra finalidad, se le considerará responsable de ese tratamiento (art. 28.10 RGPD).

15. Aceptación, cambios y ley aplicable

El Cliente acepta este contrato al registrarse, marcando la casilla correspondiente. KuriBot guarda la fecha, la hora y la versión aceptada. Cada versión tiene un número y una fecha; los cambios se comunicarán con al menos 30 días de antelación salvo que los imponga una norma con un plazo menor. Este contrato se rige por la legislación española.