Contrato de Encargado del Tratamiento (DPA)

Versión 1.1 · Fecha: 8 de octubre de 2026

1. Partes, objeto y naturaleza

• Encargado del tratamiento: Kevin Alberto Pérez Ruiz, con NIF 42223429Y y domicilio en España, que presta el servicio bajo el nombre comercial «Fluxhio IA» (en adelante, «Fluxhio IA»). Contacto de protección de datos: equipo@fluxhioia.com.
• Responsable del tratamiento: La persona física o jurídica que contrata los servicios de Fluxhio IA (agentes de IA, sistemas de prospección B2B o software a medida) y crea una cuenta o firma una propuesta de servicio (en adelante, «el Cliente»).

1.1. Objeto

Este contrato regula el tratamiento de datos personales que Fluxhio IA realiza por cuenta del Cliente al prestarle los servicios de desarrollo e implementación de agentes de IA de respuesta ultrarrápida, prospección B2B automatizada en LinkedIn y WhatsApp, e integraciones o software/SaaS a medida, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1.2. Reparto de papeles

El Cliente es el responsable del tratamiento de los datos de sus prospectos B2B, clientes y usuarios finales que interactúan con sus agentes de IA o herramientas desarrolladas. Fluxhio IA actúa exclusivamente como encargado de dichos datos. Los datos propios del Cliente (alta, facturación de los servicios, comunicaciones comerciales) los trata Fluxhio IA como responsable del tratamiento, según su Política de Privacidad.

1.3. Aceptación

Este contrato forma parte de las Condiciones de Servicio de Fluxhio IA. Se entiende aceptado formalmente al contratar los servicios, crear una cuenta o aceptar una propuesta comercial/propuesta de software, sin necesidad de firma separada. El Cliente puede solicitar una copia firmada en equipo@fluxhioia.com.

1.4. Prevalencia

En caso de conflicto entre las Condiciones de Servicio o Propuestas Comerciales y este contrato en materia de tratamiento de datos por cuenta del Cliente, prevalecerá lo dispuesto en este contrato.

2. Definiciones

• Servicio: Los servicios prestados por Fluxhio IA, que incluyen:
  1. Agentes de IA de respuesta ultrarrápida (< 15 s) para cualificación comercial e interacción en tiempo real en canales web y mensajería.
  2. Sistemas de prospección B2B automatizada en LinkedIn y WhatsApp para la captación y contacto proactivo con el Perfil de Cliente Ideal (ICP).
  3. Software & SaaS a medida, integraciones digitales y herramientas internas desarrolladas para el Cliente.
• Datos del Cliente: Datos personales que el Cliente o sus potenciales clientes/usuarios finales introducen, envían, generan o procesan a través de los agentes de IA, automatizaciones de prospección o software desarrollado por Fluxhio IA.
• Prospecto / Usuario final: La persona física o representante B2B que interactúa con un agente de IA, recibe una comunicación de prospección automatizada o utiliza el software/SaaS desarrollado para el Cliente.
• Subencargado: El tercero contratado por Fluxhio IA para colaborar en la prestación del Servicio (proveedores de infraestructura, API de IA, automatización o mensajería).

3. Obligaciones de Fluxhio IA como encargado

Fluxhio IA se compromete a:

1. Instrucciones documentadas: Tratar los Datos del Cliente únicamente para prestar el Servicio contratado (configuración de agentes, ejecución de flujos de prospección o desarrollo de software) y siguiendo las instrucciones del Cliente.
2. Uso limitado: No utilizar los Datos del Cliente para fines propios, ni comercializarlos, ni emplearlos para el entrenamiento de modelos de IA propios o de terceros.
3. Confidencialidad: Garantizar que todo el personal autorizado para gestionar los datos y código del Cliente mantenga estricta confidencialidad.
4. Seguridad: Aplicar las medidas técnicas y organizativas descritas en el Anexo III conforme al artículo 32 del RGPD.
5. Subencargados: Recurrir únicamente a los subencargados indicados en la cláusula 5 y en el Anexo II.
6. Asistencia: Ayudar al Cliente a responder solicitudes de derechos de los interesados y a cumplir con las obligaciones de notificación de brechas de seguridad.
7. Fin del servicio: Devolver o suprimir de forma segura todos los datos personales una vez finalizada la prestación del servicio o desarrollo, según la cláusula 10.

4. Obligaciones del Cliente como responsable

El Cliente se compromete a:

1. Base legal y legitimación B2B: Contar con una base legal válida (interés legítimo B2B, relación precontractual o consentimiento) para la prospección automatizada en LinkedIn/WhatsApp y para el envío de mensajes comerciales o cualificación con IA.
2. Informar a los interesados: Cumplir con los artículos 13 y 14 del RGPD, informando a los prospectos y usuarios finales sobre el tratamiento de sus datos y el uso de automatizaciones.
3. Aviso de Inteligencia Artificial: Informar de manera clara a los usuarios de que están interactuando con un sistema automatizado o agente de IA cuando corresponda, cumpliendo con la normativa aplicable (Reglamento UE 2024/1689 de IA).
4. Datos no autorizados: No introducir datos de categorías especiales (salud, ideología, datos biométricos, etc.) o datos de menores a través de las herramientas o flujos de prospección.
5. Claves de API y licencias propias: Si el Cliente aporta sus propias claves de API (OpenAI, Anthropic, LinkedIn, WhatsApp Business API) o credenciales para el software a medida, la relación con dichos proveedores será directa entre el Cliente y el tercero.

5. Subencargados

5.1. Autorización

El Cliente autoriza a Fluxhio IA a utilizar los subencargados listados en el Anexo II para la prestación de la infraestructura cloud, motores de IA y conectores de automatización.

5.2. Cambios

Fluxhio IA notificará con al menos 15 días de antelación cualquier sustitución o incorporación de subencargados.

5.3. Garantías equivalentes

Fluxhio IA exigirá a sus subencargados mediante contrato las mismas obligaciones de protección de datos establecidas en este DPA.

6. Transferencias internacionales

Las transferencias fuera del Espacio Económico Europeo (EEE) realizadas a través de los proveedores de IA o infraestructura (ej. OpenAI, Anthropic, Supabase) se realizarán bajo las garantías del RGPD (Decisiones de Adecuación, Marcos de Privacidad UE-EE. UU. o Cláusulas Contractuales Tipo).

7. Brechas de seguridad

Fluxhio IA notificará al Cliente cualquier incidencia o brecha de seguridad que afecte a los Datos del Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de la misma.

8. Derechos de los interesados

El Cliente atenderá el ejercicio de derechos (acceso, rectificación, supresión, oposición, etc.) de sus prospectos y usuarios. Si un interesado escribe a Fluxhio IA, este reenviará la solicitud al Cliente en un plazo máximo de 5 días hábiles.

9. Uso de Inteligencia Artificial y Automatización B2B

1. Procesamiento en tiempo real: Para la cualificación e interacción en menos de 15 segundos, los mensajes del usuario se procesan de forma inmediata a través de las API de los modelos de IA integrados.
2. Prospección B2B: Los datos extraídos en los procesos de prospección automatizada (LinkedIn/WhatsApp) se procesan con la única finalidad de filtrar según el Perfil de Cliente Ideal (ICP) indicado por el Cliente.
3. Modelos de IA: Fluxhio IA utiliza API de IA bajo condiciones comerciales que impiden expresamente que los proveedores utilicen los datos del Cliente para entrenar sus modelos.

10. Conservación, devolución y supresión

• Durante el servicio: Los datos se conservan mientras la suscripción o contrato de desarrollo/mantenimiento esté vigente.
• Al finalizar el servicio: En un plazo máximo de 30 días tras la finalización del contrato, el Cliente podrá solicitar la entrega de sus bases de datos, código a medida o historiales en formato ejecutable o estándar (CSV, JSON, SQL). Pasado dicho plazo, Fluxhio IA eliminará los datos de sus servidores y bases de datos de trabajo (salvo copias de seguridad aisladas con rotación máxima de 14 días).

11. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y el Reglamento (UE) 2016/679 (RGPD). Para la resolución de disputas, las partes se someten a los Juzgados y Tribunales competentes.

Anexo I · Descripción del tratamiento

• Finalidad:
  1. Ejecución de agentes de IA para cualificación comercial e interacción rápida (< 15 s).
  2. Ejecución de campañas de prospección automatizada B2B en LinkedIn y WhatsApp dirigidas al ICP del Cliente.
  3. Desarrollo, alojamiento e integración de software y SaaS a medida.
• Interesados: Prospectos B2B, clientes del Cliente, leads calificados y usuarios finales del software desarrollado.
• Categorías de datos: Nombre, apellidos, empresa, cargo, teléfono, email profesional, perfil de LinkedIn, historial de mensajes/conversaciones, datos de cualificación e interacciones comerciales.
• Duración: La duración del contrato de servicio más el período de supresión fijado en la cláusula 10.

Anexo II · Lista de Subencargados

Anexo III · Medidas técnicas y organizativas de seguridad

1. Control de acceso y autenticación: Acceso restringido por roles, autenticación segura y políticas de contraseñas/API keys cifradas.
2. Cifrado de comunicaciones y secretos: Transmisión mediante cifrado seguro HTTPS/TLS y cifrado AES-256 en reposo para claves de API de LinkedIn, WhatsApp y servicios de IA.
3. Aislamiento de entornos: Separación lógica de las bases de datos de cada cliente en los desarrollos SaaS a medida.
4. Seguridad del código: Revisiones de seguridad en el software entregado y uso de almacenamiento privado para archivos e integraciones.
5. Copias de seguridad: Copias de seguridad automáticas de las bases de datos del sistema con política de retención y borrado seguro tras 14 días.