Contrato de encargado del tratamiento (DPA)

Versión 1.1 · Fecha: 8 de octubre de 2026

1. Partes, objeto y naturaleza

Encargado del tratamiento: Adrián Gallardo Benítez, con NIF 26819901S y domicilio en Avda. Málaga Oloroso 18, 1.º B dcha., 29014 Málaga (España), que presta el servicio con el nombre comercial «Agentclic» (en adelante, «Agentclic»). Contacto de protección de datos: privacidad@agentclic.com.

Responsable del tratamiento: la persona física o jurídica que contrata Agentclic como profesional o agencia y crea una cuenta en agentclic.com (en adelante, «el Cliente»).

1.1. Objeto. Este contrato regula el tratamiento de datos personales que Agentclic realiza por cuenta del Cliente al prestarle el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1.2. Reparto de papeles. El Cliente es responsable de los datos de sus propios clientes y de los usuarios finales que hablan con sus agentes. Agentclic es encargado de esos datos. Los datos de la cuenta del propio Cliente (alta, facturación de la suscripción, comunicaciones de Agentclic) los trata Agentclic como responsable, según su Política de Privacidad, y quedan fuera de este contrato.

1.3. Aceptación. Este contrato forma parte de las Condiciones de uso de Agentclic, a las que se refiere su cláusula 24. Se entiende aceptado al crear la cuenta o al seguir usando el servicio tras su publicación, sin necesidad de firma separada. El Cliente puede pedir una copia firmada a privacidad@agentclic.com.

1.4. Prevalencia. Si algo de las Condiciones de uso o de la Política de Privacidad contradice este contrato en materia de tratamiento por cuenta del Cliente, prevalece este contrato.

2. Definiciones

Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado», «violación de la seguridad» y «autoridad de control» tienen el significado del artículo 4 del RGPD. Además:

• Servicio: la plataforma Agentclic, que permite crear, vender y gestionar agentes de IA que atienden por WhatsApp, Instagram, Telegram, chat web y, en beta privada, voz.
• Datos del Cliente: los datos personales que el Cliente, sus clientes o los usuarios finales introducen o generan en el Servicio y que Agentclic trata por cuenta del Cliente.
• Usuario final: la persona que habla con un agente del Cliente o reserva una cita, deja sus datos o firma un contrato a través del Servicio.
• Subencargado: el tercero al que Agentclic encarga parte del tratamiento para prestar el Servicio.
• Clave propia: la clave de un proveedor de IA que el Cliente configura en su cuenta para que sus agentes la usen en lugar de la de la plataforma.

3. Obligaciones de Agentclic como encargado

Agentclic se compromete a:

1. Seguir las instrucciones del Cliente. Tratar los Datos del Cliente solo para prestar el Servicio y según las instrucciones documentadas del Cliente. Son instrucciones este contrato, las Condiciones de uso y la configuración que el Cliente hace en su cuenta (agentes, canales, integraciones, conservación). Si una instrucción le parece contraria al RGPD, Agentclic avisará al Cliente de inmediato.
2. No usar los datos para fines propios. No venderlos, no cederlos y no usarlos para publicidad ni para entrenar modelos de IA propios o de terceros.
3. Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad, también después de terminar su relación con Agentclic.
4. Seguridad. Aplicar las medidas del Anexo III y revisarlas según el riesgo, conforme al artículo 32 del RGPD.
5. Subencargados. Recurrir solo a los subencargados de la cláusula 5 y del Anexo II, en las condiciones allí previstas.
6. Ayudar al Cliente. Colaborar, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en:
   • atender los derechos de los interesados (cláusula 8);
   • notificar brechas de seguridad (cláusula 7);
   • las evaluaciones de impacto y las consultas previas a la autoridad de control, cuando el Cliente las necesite.
7. Información. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato (cláusula 11).
8. Fin del servicio. Devolver o suprimir los datos según la cláusula 10.
9. Registro. Llevar el registro de las actividades de tratamiento que realiza por cuenta del Cliente, cuando el artículo 30.2 del RGPD lo exija.

Si una ley obliga a Agentclic a tratar los datos de otra forma (por ejemplo, un requerimiento judicial), se lo comunicará al Cliente antes de hacerlo, salvo que la ley lo prohíba.

4. Obligaciones del Cliente como responsable

El Cliente se compromete a:

1. Base legal. Tener una base de legitimación válida (consentimiento, contrato, interés legítimo…) para todos los datos que trate con el Servicio, incluidos los mensajes comerciales que sus agentes envíen.
2. Informar a los interesados. Dar a sus clientes y usuarios finales la información de los artículos 13 y 14 del RGPD, incluido que Agentclic trata sus datos como encargado.
3. Aviso de inteligencia artificial. Informar a los usuarios finales de que hablan con un sistema de IA cuando así lo exija la normativa, en particular el Reglamento (UE) 2024/1689 de Inteligencia Artificial. El Cliente puede incluir ese aviso en las instrucciones de cada agente; incluirlo y redactarlo es responsabilidad suya.
4. Datos que introduce. No introducir datos de categorías especiales (salud, ideología, origen étnico, vida sexual, datos biométricos…), datos penales ni datos de menores de 14 años, salvo que tenga base legal suficiente y haya adoptado las medidas necesarias. Agentclic no está diseñado específicamente para esos datos.
5. Instrucciones lícitas. Dar instrucciones conformes con el RGPD y configurar el Servicio de forma coherente con ellas.
6. Claves propias. Si usa una clave propia de un proveedor de IA, de correo o de otra integración, la relación con ese proveedor es directa entre el Cliente y él. Ese proveedor no es subencargado de Agentclic y el Cliente debe tener firmado su propio contrato de encargado con él.
7. Accesos de su equipo. Gestionar los usuarios de su cuenta (comerciales, panel de sus clientes) y retirar los accesos que ya no necesiten.
8. Aviso a sus clientes. Informar a sus clientes con acceso al panel cuando vaya a terminar el Servicio, porque sus accesos y datos se suprimen con la cuenta del Cliente (cláusula 10).

5. Subencargados

5.1. Autorización general. El Cliente autoriza a Agentclic a recurrir a los subencargados del Anexo II. La lista vigente es el Anexo II de este contrato.

5.2. Cambios. Agentclic avisará al Cliente con al menos 15 días de antelación antes de añadir o sustituir un subencargado, por email o con un aviso en el panel. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo escribiendo a privacidad@agentclic.com. Si no se encuentra una solución, el Cliente puede cancelar el Servicio sin penalización antes de que el cambio se aplique.

5.3. Mismas obligaciones. Agentclic impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato. Agentclic responde ante el Cliente del cumplimiento de sus subencargados.

5.4. Integraciones que activa el Cliente. Algunos subencargados solo reciben datos si el Cliente activa la integración correspondiente (por ejemplo, conectar WhatsApp, Instagram, Telegram, Google Calendar u Outlook). Al activarla, el Cliente instruye a Agentclic para enviar a ese proveedor los datos necesarios. Esos proveedores tratan además los datos según sus propias condiciones, que el Cliente acepta al conectar su cuenta.

6. Transferencias internacionales

6.1. Varios subencargados están en Estados Unidos o tratan datos fuera del Espacio Económico Europeo (EEE). El Anexo II indica, para cada uno, dónde trata los datos y con qué garantía.

6.2. Agentclic solo permitirá transferencias fuera del EEE si se cumple una de estas condiciones:

• el país o la empresa están cubiertos por una decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas;
• se han firmado las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), con las medidas complementarias que resulten necesarias;
• otra garantía adecuada del artículo 46 del RGPD.

6.3. A petición del Cliente, Agentclic le facilitará la información disponible sobre la garantía aplicable a cada transferencia.

7. Brechas de seguridad

7.1. Agentclic notificará al Cliente cualquier violación de la seguridad que afecte a los Datos del Cliente sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella. La notificación se enviará al email de la cuenta del Cliente.

7.2. La notificación incluirá, en la medida en que se conozca:

• la naturaleza de la brecha, las categorías y el número aproximado de interesados y de registros afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos;
• un punto de contacto para ampliar la información.

Si no se dispone de toda la información a la vez, se facilitará de forma gradual.

7.3. Corresponde al Cliente, como responsable, decidir si notifica la brecha a la Agencia Española de Protección de Datos (en 72 horas) y a los interesados. Agentclic colaborará con él en lo que necesite.

7.4. Notificar una brecha no supone que Agentclic reconozca culpa ni responsabilidad.

8. Derechos de los interesados

8.1. El Cliente atiende los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus clientes y usuarios finales. Desde su panel puede consultar, editar y borrar contactos y su información asociada.

8.2. Si un interesado se dirige directamente a Agentclic por datos que trata como encargado, Agentclic le remitirá al Cliente y se lo comunicará a este en un plazo máximo de 5 días hábiles. Agentclic no responderá por su cuenta al interesado, salvo instrucción del Cliente.

8.3. Cuando el Cliente no pueda atender un derecho con las herramientas del panel, Agentclic le ayudará en un plazo razonable para que pueda responder dentro del mes que fija el RGPD.

9. Uso de inteligencia artificial

9.1. Qué datos se envían. Para que un agente responda, Agentclic envía al proveedor de IA las instrucciones del agente, su base de conocimiento y el historial reciente de la conversación, incluidas las transcripciones de las notas de voz. Las notas de voz se transcriben con otro proveedor de IA antes de enviarse.

9.2. Proveedor según la clave. Con la clave de la plataforma, el proveedor es subencargado de Agentclic (Anexo II). Con una clave propia, se aplica la cláusula 4.6.

9.3. Sin entrenamiento. Agentclic no usa los Datos del Cliente para entrenar modelos propios. Con la clave de la plataforma, Agentclic usa los servicios de API de sus proveedores en condiciones que no permiten usar esos datos para entrenar sus modelos.

9.4. Decisiones automatizadas. El Servicio no toma decisiones con efectos jurídicos sobre los usuarios finales. Si el Cliente configura sus agentes para algo así, le corresponde cumplir el artículo 22 del RGPD.

9.5. Supervisión. El Cliente y sus clientes pueden revisar todas las conversaciones desde su panel y tomar el control de cualquiera de ellas, lo que pausa al agente en esa conversación.

10. Conservación, devolución y supresión

10.1. Mientras dure el Servicio. Los Datos del Cliente se conservan mientras su cuenta esté activa y el Cliente no los borre. El Cliente decide cuánto tiempo guarda sus contactos, conversaciones, citas y contratos, y puede borrarlos desde su panel.

10.2. Al terminar. Cuando el Servicio termine por cancelación, impago o cualquier otra causa:

1. El Cliente mantiene el acceso a su panel y a sus datos hasta la fecha de fin de su periodo pagado.
2. Durante los 30 días siguientes, el Cliente puede pedir por escrito a privacidad@agentclic.com la devolución de sus datos en un formato estructurado de uso común.
3. Pasado ese plazo, Agentclic suprimirá los Datos del Cliente de sus sistemas, incluidos los archivos adjuntos, la base de conocimiento y las firmas, y lo comunicará al Cliente si este lo solicita.

10.3. Copias de seguridad. Los datos que estén en copias de seguridad se eliminarán cuando esas copias se renueven según su ciclo técnico, sin superar 14 días. Mientras tanto, quedan aislados y no se usan.

10.4. Conservación obligatoria. Agentclic podrá conservar, bloqueados, los datos que una ley le obligue a guardar, solo durante el plazo legal y solo para ese fin.

11. Auditorías, responsabilidad, duración y ley aplicable

11.1. Información y auditorías. Agentclic pondrá a disposición del Cliente la información razonable para demostrar el cumplimiento de este contrato: la lista de subencargados, la descripción de las medidas de seguridad y los certificados o informes de sus proveedores que estén disponibles. Si eso no basta, el Cliente podrá realizar una auditoría, directamente o mediante un auditor sujeto a confidencialidad, con estas condiciones:

• aviso previo de al menos 30 días;
• como máximo una vez al año, salvo tras una brecha de seguridad o un requerimiento de una autoridad de control;
• en horario laboral y sin afectar al servicio de otros clientes ni a la seguridad de la plataforma;
• a cargo del Cliente.

11.2. Responsabilidad. Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD. Si Agentclic trata los datos para fines propios o contra las instrucciones del Cliente, será considerado responsable de ese tratamiento. Fuera de lo que impone el RGPD, se aplican los límites de responsabilidad de las Condiciones de uso.

11.3. Duración. Este contrato dura lo mismo que el Servicio y, después, hasta que se completen la devolución y la supresión de la cláusula 10. Las obligaciones de confidencialidad siguen vigentes sin límite de tiempo.

11.4. Cambios. Agentclic podrá actualizar este contrato por cambios legales o del Servicio, avisando al Cliente con 30 días de antelación. Nunca podrá rebajar la protección de los Datos del Cliente. Si el Cliente no está de acuerdo, puede cancelar el Servicio antes de que el cambio se aplique.

11.5. Ley y jurisdicción. Este contrato se rige por la ley española y el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Málaga, salvo que el Cliente sea consumidor y la ley le reconozca otro fuero.

Anexo I · Descripción del tratamiento

Finalidad: prestar el Servicio al Cliente. Incluye crear y ejecutar agentes de IA que atienden a usuarios finales, gestionar sus conversaciones y contactos, agendar citas y enviar recordatorios, emitir y firmar contratos y propuestas, y gestionar el panel de los clientes del Cliente.

Operaciones: recogida, registro, conservación, consulta, estructuración, modificación, transmisión a los canales e integraciones activados, transcripción de audio, generación de respuestas con IA y supresión.

Categorías especiales: el Servicio no está pensado para tratarlas. Pueden aparecer si un usuario final las escribe en un mensaje; en ese caso se aplica la cláusula 4.4.

Duración: la del Servicio más los plazos de la cláusula 10.

Anexo II · Subencargados

Lista vigente a la fecha de este contrato. Solo incluye a quienes tratan Datos del Cliente; los proveedores que usa Agentclic para sus propios fines (facturación de la suscripción, analítica de la web, emails de marketing a profesionales) se recogen en la Política de Privacidad.

Los proveedores marcados «si el Cliente los conecta» solo reciben datos cuando el Cliente activa esa integración (cláusula 5.4).

Anexo III · Medidas técnicas y organizativas

Control de acceso

• Autenticación de usuarios con contraseña gestionada por el proveedor de autenticación; nunca se guarda en texto plano.
• Roles separados (administrador, profesional, cliente, comercial): cada usuario solo ve los datos de su cuenta.
• Seguridad a nivel de fila activada en todas las tablas de la base de datos: el aislamiento entre cuentas lo aplica la propia base de datos.
• Comprobación de identidad y validación de datos en todas las funciones del servidor.

Cifrado y secretos

• Todas las comunicaciones viajan cifradas por HTTPS (TLS).
• Los tokens de los canales (WhatsApp, Instagram, Telegram), las claves de IA, las contraseñas de correo y las credenciales de integraciones se guardan cifrados con AES-256-GCM.
• Las claves de los proveedores solo se usan en el servidor; nunca llegan al navegador.

Archivos

• Los adjuntos, la base de conocimiento y demás archivos se guardan en almacenamiento privado.
• Se accede a ellos con enlaces firmados que caducan (1 hora para verlos y 24 horas para enviarlos por un canal).

Integridad y trazabilidad

• Los avisos de pago se verifican con firma criptográfica y se procesan una sola vez.
• Los servicios internos y el canal de voz se autentican con secretos compartidos.
• Se registran los pagos, los envíos de avisos y las ejecuciones de los agentes.
• Cada firma de contrato queda registrada con fecha, hora, dirección IP y navegador, junto a una copia del texto firmado.

Organización

• Acceso a los datos de producción limitado al titular de Agentclic y a las personas autorizadas, con deber de confidencialidad.
• Las funciones nuevas o en pruebas se activan primero solo para cuentas de prueba.
• La analítica de la web solo se carga con consentimiento y nunca en el panel de la aplicación.

Disponibilidad

• Copias de seguridad diarias de la base de datos, gestionadas por el proveedor de infraestructura. Cada copia se elimina a los 14 días.
• Servidor de voz con cortafuegos y bloqueo automático de intentos de acceso.

Agentclic revisará estas medidas periódicamente y las actualizará según la evolución técnica y los riesgos, sin rebajar nunca el nivel de protección.