Acuerdo de Tratamiento de Datos (DPA)

Versión 3.2 · Octubre de 2026 · Sustituye a la v3.1, a la v2.0 y a cualquier versión aceptada durante un piloto

Aplica a los contratos firmados desde el 10 de octubre de 2026. Quien firmó una versión anterior la mantiene hasta que le comuniquemos el cambio con 30 días de antelación (cláusula 18).

Este es el texto que se firma en el panel de Wismify. La versión en inglés es una traducción de cortesía: si no coinciden, prevalece el texto en español.

Este DPA v3.2 actualiza y sustituye expresamente al DPA v3.1, al DPA v2.0 firmado al alta de la cuenta y a cualquier versión previa aceptada durante el período de piloto. Forma parte del contrato entre Wismify ("Encargado del Tratamiento") y el Cliente ("Responsable del Tratamiento") y regula el tratamiento de datos personales en relación con el uso de la plataforma Wismify CX y servicios relacionados, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Definiciones

  • "RGPD" significa el Reglamento (UE) 2016/679.
  • "Datos Personales" tiene el significado del artículo 4(1) RGPD.
  • "Tratamiento" tiene el significado del artículo 4(2) RGPD.
  • "Responsable" significa el Cliente, quien determina los fines y medios del Tratamiento.
  • "Encargado" significa Wismify, que Trata los Datos por cuenta del Responsable.
  • "Subencargado" significa cualquier tercero contratado por Wismify para procesar Datos del Responsable.
  • "Interesado" es la persona física a la que se refieren los Datos.
  • "SCC" significa las cláusulas contractuales tipo adoptadas por la Comisión Europea mediante Decisión (UE) 2021/914.
  • "Prometeo" significa el módulo de Wismify CX que detecta incidencias en los pedidos de la tienda del Responsable y gestiona su resolución con el cliente final.

2. Objeto y duración

Wismify trata Datos Personales por cuenta del Cliente exclusivamente para prestar los servicios contratados (plataforma Wismify CX, IA conversacional, voz Alba, chat de la web, Prometeo y demás módulos contratados). El Tratamiento se extiende durante la vigencia del contrato y, posteriormente, solo en la medida exigida por ley.

3. Naturaleza y finalidad del Tratamiento

3.1. Fines generales. Wismify trata Datos para los siguientes fines: gestión de cuentas de usuarios del panel; ingesta y procesamiento de tickets de soporte recibidos por email, voz, WhatsApp, Instagram y el chat de la web del Responsable; generación de respuestas asistidas por IA; análisis y reporting; facturación, incluida la medición del uso incluido en el plan (conversaciones con respuesta, minutos de llamadas y chats), que se calcula con identificadores seudonimizados y sin copiar el contenido de los mensajes; cumplimiento de obligaciones legales. El Tratamiento se realiza conforme a las instrucciones del Responsable contenidas en este DPA, los Términos de Servicio y la configuración de la plataforma.

3.2. Prometeo: incidencias de pedidos y comunicaciones proactivas. Si el Responsable activa Prometeo, Wismify trata además, por su cuenta y según la configuración que el Responsable elija en su panel, los Datos necesarios para:

  • (a) leer los pedidos de la tienda del Responsable y detectar incidencias de entrega, de pago o de preparación (por ejemplo, una dirección incompleta, un email o un teléfono erróneos, un pedido duplicado o un envío detenido);
  • (b) consultar el estado de los envíos en los transportistas, almacenes y agregadores de seguimiento que el Responsable conecte con sus propias credenciales;
  • (c) enviar al cliente final, en nombre del Responsable y desde el buzón de email del Responsable conectado al panel, comunicaciones proactivas sobre su pedido: pedirle que confirme o corrija un dato mediante un enlace personal de un solo uso a un formulario, o informarle de una incidencia;
  • (d) recibir sus respuestas en ese formulario o por email. Por email, según la configuración del Responsable, las respuestas llegan a su propio buzón (y, si Wismify lee ese buzón, las asocia a la incidencia), a otra dirección que el Responsable indique y que Wismify no lee, o a un receptor de correo propio de Wismify alojado en la Unión Europea (Hetzner Online GmbH, Alemania), con una dirección de respuesta distinta para cada envío;
  • (e) escribir el resultado en la tienda del Responsable: corregir la dirección de entrega, el email o el teléfono del pedido; añadir notas y etiquetas; retener la preparación del pedido mientras se resuelve la incidencia y liberarla después; y cancelar con reembolso el pedido que el cliente final pida anular (por ejemplo, un pedido duplicado). La retención se aplica sobre las órdenes de preparación de la tienda, de modo que la respetan el almacén o el operador logístico que trabajen con ellas. Las correcciones y las cancelaciones solo se aplican cuando una persona del equipo del Responsable las acepta en el panel;
  • (f) avisar al equipo del Responsable en el panel y, si así lo configura, por email.

Prometeo no utiliza inteligencia artificial ni envía comunicaciones comerciales: solo mensajes sobre pedidos ya realizados y su entrega. Puede funcionar en modo observación, en el que detecta y registra las incidencias sin escribir al cliente final ni modificar pedidos. El contacto con el cliente final y la retención de pedidos solo se producen si el Responsable los activa.

3.3. Chat de la web. Si el Responsable instala el chat de Wismify en su web, Wismify trata las conversaciones de los visitantes para atender su consulta, verificar la titularidad del pedido antes de mostrar información sobre él, registrar el ticket y proteger el servicio frente a usos abusivos. La IA solo accede a un pedido después de verificarlo, y nunca a importes, direcciones ni datos de pago; las fotografías se guardan sin metadatos (incluida la geolocalización); la dirección IP se usa solo para la seguridad y los límites de uso; y los códigos de verificación se envían desde el buzón de email del Responsable conectado al panel.

3.4. Sin usos secundarios. Más allá del tratamiento con IA inherente a la prestación de los Servicios, Wismify no usa los Datos para entrenar modelos de IA, para publicidad, para sus propios análisis o comparativas ni para ningún otro fin distinto de prestar los Servicios. Los Subencargados de IA tratan los Datos por API, sin usarlos para entrenar sus modelos. Las copias de respuestas de la IA que Wismify guarde para diagnosticar y corregir errores del servicio forman parte de su prestación, tienen acceso restringido y se suprimen en un máximo de treinta (30) días.

4. Categorías de Datos y de Interesados

Categorías de Interesados: clientes finales del Responsable que contactan a través de los canales conectados (email, teléfono, WhatsApp, Instagram y chat de la web); compradores de la tienda del Responsable, aunque no hayan contactado, cuando el Responsable activa Prometeo; empleados, administradores y agentes del Responsable que usan el panel; potencialmente terceros mencionados en el contenido de los tickets.

Categorías de Datos: datos de identificación (nombre, email, teléfono y, en WhatsApp e Instagram, el número, el nombre de perfil y el identificador de la cuenta); datos de pedido (número, productos, estado) y, con Prometeo, la dirección de entrega, el estado de pago, de preparación y de riesgo del pedido, las disputas y los eventos de seguimiento del envío, nunca datos de tarjeta; contenido de las comunicaciones (texto de tickets, mensajes de WhatsApp, Instagram y del chat, fotografías adjuntadas, grabaciones de voz, transcripciones, comunicaciones de Prometeo, respuestas y datos aportados en formularios); metadatos técnicos (IP, user-agent, hora de contacto); en algunos casos, datos sensibles aportados voluntariamente por el Interesado al describir su consulta.

4 bis. Conservación durante el servicio

Mientras dure el contrato, los Datos se conservan según la configuración del Responsable y con estos plazos máximos:

  • (a) Prometeo: el contenido de los emails enviados, de las respuestas recibidas y de los formularios, con sus direcciones de email, se suprime a los treinta (30) días del cierre de la incidencia. A los noventa (90) días del cierre se suprimen además sus comunicaciones y su historial, y la incidencia se anonimiza de forma irreversible: se borran los datos del cliente final y del pedido, y solo quedan datos estadísticos, como el tipo, el estado y las fechas. Si el Responsable desinstala la app de Wismify de su tienda o la tienda se elimina de su cuenta, las incidencias de esa tienda se suprimen en un plazo máximo de siete (7) días.
  • (b) Chat de la web: las fotografías adjuntadas se suprimen a los treinta (30) días, y las conversaciones, en el plazo que el Responsable configure en el panel (por defecto, sin borrado automático).
  • (c) WhatsApp: el historial de la app WhatsApp Business que el Responsable autorice importar al conectar su número (contactos y hasta seis meses de chats) se suprime al desconectar el número.
  • (d) Las copias de diagnóstico de la cláusula 3.4 se suprimen a los treinta (30) días.

El resto de los Datos, incluidas las grabaciones de las llamadas, se conserva mientras dure el contrato, salvo que el Responsable los elimine antes desde el panel. A la terminación se aplica la cláusula 14.

5. Obligaciones del Encargado (Wismify)

Wismify se compromete a: (a) Tratar Datos exclusivamente conforme a las instrucciones documentadas del Responsable, incluyendo transferencias internacionales; (b) garantizar que el personal autorizado está sujeto a obligaciones de confidencialidad; (c) implementar las medidas técnicas y organizativas apropiadas del artículo 32 RGPD; (d) no contratar Subencargados sin autorización previa general o específica, conforme a la cláusula 8; (e) asistir al Responsable a responder solicitudes de Interesados; (f) asistir al Responsable en sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa, conforme a los artículos 32-36 RGPD; (g) eliminar o devolver todos los Datos a la terminación, salvo retenciones legales; (h) poner a disposición la información necesaria para demostrar el cumplimiento.

6. Obligaciones del Responsable (Cliente)

El Cliente se compromete a: (a) asegurar la legitimación adecuada para el Tratamiento de los Datos Personales de sus clientes finales; (b) informar correctamente a los Interesados conforme a los artículos 13 y 14 RGPD; (c) proporcionar instrucciones lícitas; (d) cumplir sus obligaciones bajo la normativa aplicable; (e) gestionar las solicitudes de Interesados que reciba directamente, recurriendo a Wismify para los aspectos técnicos.

7. Medidas técnicas y organizativas de seguridad

Wismify implementa las medidas detalladas en el Anexo III — Medidas Técnicas y Organizativas, incluyendo: cifrado en tránsito (TLS 1.3) y en reposo (AES-256-GCM para tokens, secretos y campos PII sensibles); MFA obligatorio para todo personal interno con acceso a datos del Responsable, principio de mínimo privilegio y revisiones trimestrales de accesos; aislamiento multi-tenant arquitectónico por owner_id con Row Level Security a nivel de base de datos; alojamiento primario en la UE (Supabase eu-central-1 Frankfurt; Hetzner Online GmbH Alemania); backups cifrados con retención de 30 días y recuperación geográficamente redundante; auditoría centralizada con 90 días de retención y detección de anomalías; procedimientos documentados de respuesta a incidentes con cadena de escalado definida; acuerdos de confidencialidad y formación RGPD anual para todo el personal.

Wismify tiene la intención de obtener la certificación ISO 27001 como parte de su roadmap de seguridad de la información, sin compromiso contractual de fecha vinculante en este momento. La documentación de seguridad (Anexo III, SIG Lite, respuestas a cuestionarios) está disponible para el Responsable bajo solicitud por escrito.

Wismify mantiene Data Processing Agreements vigentes con cada Subencargado listado en la cláusula 8.2, aceptados a través de los Terms of Service del proveedor o como contratos separados. Las URLs públicas oficiales están disponibles bajo solicitud.

8. Subencargados

8.1. Autorización general. El Responsable concede autorización general por escrito para la contratación de los Subencargados listados en la cláusula 8.2, conforme al art. 28(2) RGPD. Wismify notificará al Responsable con al menos 30 días naturales de antelación cualquier adición o sustitución de Subencargados; el Responsable podrá objetar por motivos razonables de protección de datos en ese plazo. Si las partes no alcanzan un acuerdo, el Responsable podrá rescindir los Servicios afectados sin penalización como remedio único y exclusivo.

8.2. Lista actual de Subencargados autorizados.

  • Supabase Inc. (alojado en AWS eu-central-1, Frankfurt) — base de datos PostgreSQL y autenticación. Localización: UE (Alemania). Sin transferencia internacional.
  • Hetzner Online GmbH — infraestructura cloud / hosting de aplicación, incluido el receptor de correo de Prometeo. Localización: UE (Alemania). Sin transferencia internacional.
  • Anthropic, PBC — inferencia de IA (Claude) para procesamiento de tickets, del chat de la web y de voz. Localización: EE.UU. Mecanismo: SCCs Decisión (UE) 2021/914, Módulo 3.
  • ElevenLabs Inc. — agente de voz conversacional "Alba" (servicio ElevenLabs Conversational AI, que incluye el modelo de lenguaje propio de ElevenLabs para el diálogo) y síntesis de voz (texto a voz). Localización: EE.UU. Mecanismo: SCCs Decisión (UE) 2021/914, Módulo 3.
  • OpenAI, L.L.C. — transcripción automática (speech-to-text, modelo Whisper) de las grabaciones de llamadas de voz para generar el histórico de la conversación en el ticket. Tratamiento vía API, sin uso de los datos para entrenamiento conforme a las condiciones de la API de OpenAI. Localización: EE.UU. Mecanismo: SCCs Decisión (UE) 2021/914, Módulo 3.
  • Twilio Inc. / Twilio Ireland Limited — telefonía de voz (números de teléfono que Wismify contrata para el Responsable, llamadas entrantes y salientes y grabación de las llamadas, que quedan alojadas en Twilio) e infraestructura SMS. Localización: EE.UU. / Irlanda. Mecanismo: SCCs Decisión (UE) 2021/914 + EU-US Data Privacy Framework.
  • Meta Platforms Ireland Ltd. — WhatsApp Business Platform (Cloud API) e Instagram Messaging: recepción y envío de los mensajes de los canales WhatsApp e Instagram del Responsable y, si el Responsable lo autoriza al conectar su número, importación del historial de la app WhatsApp Business. Solo trata Datos del Responsable cuando este conecta esos canales desde su panel. Las cuentas de WhatsApp Business e Instagram son del Responsable, que acepta directamente las condiciones de Meta para ellas. Localización: Irlanda (UE), con tratamiento por Meta Platforms, Inc. (EE.UU.). Mecanismo: EU-US Data Privacy Framework + SCCs Decisión (UE) 2021/914.
  • Google Ireland Limited — Google Workspace: envío, desde la cuenta de email de Wismify, de los emails de servicio de la plataforma al equipo del Responsable y a los destinatarios que este autorice (avisos de tickets, de Prometeo y del uso del plan, informes y alertas programados, invitaciones y emails de la cuenta), que pueden incluir datos de clientes finales, como el nombre o el email del cliente y el asunto de su ticket. Las comunicaciones con los clientes finales no salen de esta cuenta, sino del buzón del Responsable (cláusula 8.5). Localización: Irlanda (UE), con tratamiento por Google LLC (EE.UU.). Mecanismo: EU-US Data Privacy Framework + SCCs Decisión (UE) 2021/914.
  • Stripe Payments Europe, Ltd. — procesamiento de pagos y domiciliación SEPA (datos de facturación del Responsable). Localización: Irlanda (UE); tratamiento accesorio por Stripe, Inc. (EE.UU.). Mecanismo: EU-US Data Privacy Framework + SCCs Decisión (UE) 2021/914 para tratamientos accesorios.

8.3. Responsabilidad del Encargado por Subencargados (art. 28(4) RGPD). Si cualquier Subencargado incumple sus obligaciones de protección de datos, Wismify permanecerá plenamente responsable frente al Responsable por el cumplimiento de las obligaciones de dicho Subencargado.

8.4. Obligaciones contractuales. Wismify impone a sus Subencargados, por contrato, obligaciones equivalentes en materia de protección de datos a las que asume bajo este DPA, incluyendo cláusulas de seguridad, confidencialidad y subencargo en cascada. Cuando el Subencargado esté ubicado fuera del EEE, se aplicará el mecanismo de transferencia indicado en la cláusula 8.2.

8.5. Entidades no consideradas Subencargados. Las siguientes entidades NO procesan datos del Responsable en el marco de los Servicios efectivamente activados y por tanto NO son Subencargados a efectos de este DPA: (i) Vercel, Inc. — Next.js es framework open-source y el hosting de producción se ejecuta en Hetzner; (ii) ByteDance/TikTok — cualquier pixel TikTok existe únicamente en la web corporativa de marketing de Wismify y no procesa datos del Responsable. Las comunicaciones email con los clientes finales salen desde la infraestructura de email que conecta el propio Responsable (p. ej., Google Workspace o Microsoft 365), que es proveedor del Responsable conforme a la cláusula 8.6, aunque la misma empresa preste además a Wismify otros servicios como Subencargado (cláusula 8.2).

8.6. Sistemas y proveedores del propio Responsable. No son Subencargados de Wismify los sistemas y proveedores que el Responsable contrata por su cuenta y conecta al panel con sus propias credenciales o autorizaciones, como su tienda online (p. ej., Shopify), su buzón de email, su almacén u operador logístico, sus transportistas y agregadores de seguimiento, y sus herramientas de devoluciones, de email marketing o de atención al cliente. Al conectarlos, el Responsable instruye a Wismify para leer de ellos y escribir en ellos los Datos necesarios para los Servicios que configure, y esa comunicación constituye una instrucción documentada del Responsable conforme a la cláusula 5(a). Dichos proveedores tratan los Datos en virtud de su propia relación con el Responsable, y Wismify no responde del tratamiento que realicen. Wismify protege esas conexiones con las medidas de la cláusula 7.

9. Transferencias internacionales

Cuando el Tratamiento requiera transferencias de Datos fuera del Espacio Económico Europeo (EEE), Wismify se asegura de implementar garantías adecuadas conforme al Capítulo V del RGPD, en este orden de preferencia: (i) decisiones de adecuación de la Comisión Europea (Reino Unido, Suiza, etc.); (ii) EU-US Data Privacy Framework para Subencargados certificados; (iii) Cláusulas Contractuales Tipo (SCC) Decisión (UE) 2021/914 con medidas adicionales según las Recomendaciones EDPB 01/2020 cuando aplique. Wismify pone a disposición del Responsable, bajo petición, las copias firmadas de las SCC con cada Subencargado afectado.

10. Notificación de brechas de seguridad

En caso de brecha de seguridad que afecte a Datos Personales del Responsable, Wismify notificará al Responsable sin demora indebida y, en cualquier caso, en un plazo máximo de cuarenta y ocho (48) horas desde que tenga constancia de la misma. La notificación se dirigirá al correo de protección de datos del Responsable indicado en el Order Form (por defecto, gdpr@{dominio-del-Responsable}) e incluirá la información del artículo 33(3) RGPD: descripción de la naturaleza de la brecha, categorías y número aproximado de Interesados y de registros afectados, datos de contacto del responsable de privacidad de Wismify (privacy@wismify.com), consecuencias probables y medidas adoptadas o propuestas. Cuando la información completa no pueda facilitarse en el plazo inicial, Wismify la aportará por fases sin demora indebida adicional.

11. Derechos de los Interesados

Wismify asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, a responder solicitudes de Interesados dentro de los plazos del RGPD. Cuando Wismify reciba directamente solicitudes de Interesados, las remitirá al Responsable junto con la información relevante en un plazo máximo de tres (3) días laborables desde su recepción, a la dirección de protección de datos indicada por el Responsable. La asistencia incluye facilitar mecanismos de exportación, rectificación y eliminación de Datos; soportar solicitudes de portabilidad en formato CSV/JSON; soportar oposición y restricción del Tratamiento cuando proceda.

12. Delegado de Protección de Datos

Wismify designa como contacto para asuntos de privacidad a privacy@wismify.com. Por el volumen de operaciones, no existe obligación legal de designar formalmente un DPO conforme al artículo 37 RGPD, pero el contacto cumple las mismas funciones de coordinación de protección de datos.

13. Derechos de auditoría

El Responsable podrá auditar las actividades de Tratamiento de Wismify una vez al año natural como máximo, con un preaviso razonable de al menos 30 días, durante horario laborable habitual y a costa del Responsable. Wismify podrá cumplir su obligación de auditoría aportando certificaciones independientes (ISO 27001 cuando aplique), informes de auditoría de terceros o documentación equivalente.

14. Devolución y eliminación de Datos

A la terminación del servicio, Wismify, a elección del Responsable: (a) devolverá todos los Datos en formato CSV/JSON estándar e interoperable, sin coste, en un plazo de 15 días; y/o (b) eliminará todos los Datos y confirmará por escrito en un plazo máximo de 30 días. Wismify podrá conservar Datos cuando lo exija la ley aplicable, en cuyo caso informará al Responsable y mantendrá las medidas de seguridad y confidencialidad mientras dure la retención.

15. Responsabilidad e indemnización

Las partes acuerdan la siguiente estructura de responsabilidad, que prevalece sobre cualquier disposición de responsabilidad del MSA en lo relativo a obligaciones derivadas del presente DPA:

15.1. Indemnización. El Encargado mantendrá indemne al Responsable frente a cualesquiera multas administrativas, sanciones, reclamaciones de terceros, indemnizaciones, daños, costes y gastos atribuibles al incumplimiento por parte del Encargado de sus obligaciones bajo el presente DPA o de la normativa aplicable en materia de protección de datos. Esta indemnización incluye, entre otros conceptos, honorarios legales razonables, costes de investigación y respuesta a incidentes, gastos de notificación de brechas de seguridad e indemnizaciones reconocidas a los Interesados. Será condición de la indemnización que el Responsable (a) notifique por escrito de inmediato cualquier reclamación; (b) otorgue al Encargado el control exclusivo de la defensa y la transacción; y (c) coopere de buena fe.

15.2. Tope de responsabilidad. La responsabilidad agregada del Encargado derivada de cualquier incumplimiento de sus obligaciones bajo el presente DPA o de la normativa aplicable en materia de protección de datos personales se limita a un importe máximo equivalente a CINCO (5) VECES las cuotas pagadas o pagaderas por el Responsable durante los doce (12) meses anteriores al hecho que origina la reclamación (o el importe equivalente anual del contrato si éste ha tenido una duración inferior a doce meses). A efectos aclaratorios, dicho límite tiene carácter global para todas las reclamaciones derivadas de hechos relacionados. Esta limitación NO será aplicable en caso de dolo o negligencia grave del Encargado.

15.3. Daños excluidos. En la máxima medida permitida por la ley aplicable, ninguna parte será responsable frente a la otra por daños indirectos, lucro cesante, pérdida de negocio o de fondo de comercio, pérdida o corrupción de datos imputable a la otra parte, ni por daños consecuenciales, especiales o punitivos, incluso si se advirtió de su posibilidad.

15.4. Indemnización por propiedad intelectual (acción única y con tope). El Encargado mantendrá indemne al Responsable frente a reclamaciones de terceros que aleguen que la plataforma Wismify CX, utilizada conforme al contrato, infringe derechos de propiedad intelectual válidos de un tercero, siempre que el Responsable (a) notifique de inmediato por escrito; (b) otorgue al Encargado el control exclusivo de la defensa y la transacción; y (c) coopere de buena fe. Ante una reclamación, el Encargado podrá, a su elección, modificar la plataforma para evitar la infracción, obtener una licencia que permita continuar el uso, o resolver el servicio afectado reembolsando la parte proporcional de cuotas no devengadas. Quedan excluidas las reclamaciones derivadas de: (i) modificaciones de la plataforma no realizadas por el Encargado; (ii) la combinación de la plataforma con productos, contenidos o datos no suministrados por el Encargado; o (iii) un uso contrario a la documentación o al contrato. La responsabilidad del Encargado bajo esta cláusula se limita a UNA (1) VEZ las cuotas pagadas o pagaderas por el Responsable durante los doce (12) meses anteriores y constituye la acción única y exclusiva del Responsable en materia de propiedad intelectual.

16. Cesión

Wismify podrá ceder este Acuerdo, en todo o en parte, a (i) una entidad filial, (ii) una entidad sucesora resultante de una reorganización societaria, fusión, consolidación o venta de todos o sustancialmente todos sus activos, o (iii) una entidad española de nueva constitución controlada por el mismo titular efectivo, previa notificación por escrito al Responsable. Cualquier cesionario autorizado quedará vinculado por los términos del presente DPA. El Responsable podrá objetar por motivos razonables de protección de datos en los treinta (30) días naturales siguientes a la notificación.

17. Ley aplicable y jurisdicción

Este DPA se rige por la ley española y de la Unión Europea. Las controversias se resolverán conforme a la cláusula correspondiente del MSA.

18. Modificaciones al DPA

Wismify podrá actualizar este DPA para reflejar cambios legales o de práctica de Tratamiento. Los cambios materiales se comunicarán al Responsable con al menos 30 días de antelación. El uso continuado del servicio constituye aceptación del DPA actualizado.

19. Versión anterior

Este DPA v3.2 sustituye expresamente al DPA v3.1, al DPA v2.0 firmado al alta de la cuenta y a cualquier versión previa aceptada durante el período de piloto. Las versiones anteriores quedan como registro histórico, pero no generan obligaciones nuevas a partir de la firma de la v3.2.

20. Contacto

This DPA v3.2 expressly updates and supersedes DPA v3.1, the DPA v2.0 accepted at account signup and any prior version accepted during a pilot period. It forms part of the contract between Wismify (the "Processor") and the Customer (the "Controller") and governs the processing of personal data in connection with the use of the Wismify CX platform and related services, pursuant to Article 28 of Regulation (EU) 2016/679 (GDPR) and Spanish Organic Law 3/2018 (LOPDGDD).

1. Definitions

  • "GDPR" means Regulation (EU) 2016/679.
  • "Personal Data" has the meaning given in Article 4(1) GDPR.
  • "Processing" has the meaning given in Article 4(2) GDPR.
  • "Controller" means the Customer, who determines the purposes and means of the Processing.
  • "Processor" means Wismify, which Processes the Data on behalf of the Controller.
  • "Sub-processor" means any third party engaged by Wismify to process the Controller's Data.
  • "Data Subject" means the natural person to whom the Data relates.
  • "SCCs" means the standard contractual clauses adopted by the European Commission by Decision (EU) 2021/914.
  • "Prometeo" means the Wismify CX module that detects issues in the orders of the Controller's store and manages their resolution with the end customer.

2. Subject matter and duration

Wismify processes Personal Data on behalf of the Customer exclusively to provide the contracted services (the Wismify CX platform, conversational AI, the Alba voice agent, the website chat, Prometeo and any other contracted modules). Processing lasts for the term of the contract and, thereafter, only to the extent required by law.

3. Nature and purpose of the Processing

3.1. General purposes. Wismify processes Data for the following purposes: management of panel user accounts; ingestion and processing of support tickets received by email, voice, WhatsApp, Instagram and the Controller's website chat; generation of AI-assisted replies; analytics and reporting; billing, including the measurement of the usage included in the plan (conversations with a reply, call minutes and chats), which is calculated with pseudonymised identifiers and without copying the content of the messages; and compliance with legal obligations. Processing is carried out in accordance with the Controller's instructions set out in this DPA, the Terms of Service and the platform configuration.

3.2. Prometeo: order issues and proactive communications. If the Controller activates Prometeo, Wismify additionally processes, on its behalf and according to the settings the Controller chooses in its panel, the Data needed to:

  • (a) read the orders of the Controller's store and detect delivery, payment or fulfilment issues (for example, an incomplete address, a wrong email or phone number, a duplicate order or a stalled shipment);
  • (b) check the status of shipments with the carriers, warehouses and tracking aggregators that the Controller connects with its own credentials;
  • (c) send the end customer, on behalf of the Controller and from the Controller's email mailbox connected to the panel, proactive communications about their order: asking them to confirm or correct a detail through a personal, single-use link to a form, or informing them of an issue;
  • (d) receive their replies in that form or by email. By email, depending on the Controller's settings, replies reach the Controller's own mailbox (and, if Wismify reads that mailbox, it links them to the issue), another address indicated by the Controller that Wismify does not read, or Wismify's own mail receiver hosted in the European Union (Hetzner Online GmbH, Germany), with a different reply address for each message sent;
  • (e) write the outcome to the Controller's store: correct the order's shipping address, email or phone number; add notes and tags; hold the order's fulfilment while the issue is being resolved and release it afterwards; and cancel with a refund an order that the end customer asks to cancel (for example, a duplicate order). The hold is placed on the store's fulfilment orders, so it is honoured by any warehouse or logistics provider that works with them. Corrections and cancellations are only applied when a member of the Controller's team accepts them in the panel;
  • (f) notify the Controller's team in the panel and, if so configured, by email.

Prometeo does not use artificial intelligence and does not send commercial communications: only messages about orders already placed and their delivery. It can run in observation mode, in which it detects and records issues without writing to the end customer or modifying orders. Contact with the end customer and order holds only take place if the Controller activates them.

3.3. Website chat. If the Controller installs the Wismify chat on its website, Wismify processes visitors' conversations in order to handle their enquiry, verify ownership of an order before showing information about it, log the ticket and protect the service against abusive use. The AI only accesses an order after verifying it, and never accesses amounts, addresses or payment data; photographs are stored without metadata (including geolocation); the IP address is used only for security and rate limits; and verification codes are sent from the Controller's email mailbox connected to the panel.

3.4. No secondary use. Beyond the AI processing inherent to providing the Services, Wismify does not use the Data to train AI models, for advertising, for its own analytics or benchmarking, or for any purpose other than providing the Services. AI Sub-processors process the Data via API, without using it to train their models. Copies of AI replies that Wismify keeps to diagnose and fix service errors are part of providing the Services, have restricted access and are deleted within thirty (30) days at most.

4. Categories of Data and Data Subjects

Categories of Data Subjects: end customers of the Controller who make contact through the connected channels (email, phone, WhatsApp, Instagram and website chat); buyers in the Controller's store, even if they have not made contact, when the Controller activates Prometeo; employees, administrators and agents of the Controller who use the panel; potentially, third parties mentioned in the content of tickets.

Categories of Data: identification data (name, email, phone number and, on WhatsApp and Instagram, the number, profile name and account identifier); order data (number, products, status) and, with Prometeo, the shipping address, the order's payment, fulfilment and risk status, disputes and shipment tracking events, never card data; content of communications (ticket text, WhatsApp, Instagram and chat messages, attached photographs, voice recordings, transcripts, Prometeo communications, replies and data provided in forms); technical metadata (IP, user agent, time of contact); in some cases, sensitive data voluntarily provided by the Data Subject when describing their enquiry.

4 bis. Retention during the service

While the contract is in force, the Data is kept according to the Controller's settings and with these maximum periods:

  • (a) Prometeo: the content of the emails sent, of the replies received and of the forms, with their email addresses, is deleted thirty (30) days after the issue is closed. Ninety (90) days after closure, its communications and history are also deleted, and the issue is irreversibly anonymised: the end customer's and the order's data are erased, and only statistical data remains, such as the type, the status and the dates. If the Controller uninstalls the Wismify app from its store or the store is removed from its account, that store's issues are deleted within seven (7) days at most.
  • (b) Website chat: attached photographs are deleted after thirty (30) days, and conversations after the period the Controller sets in the panel (by default, no automatic deletion).
  • (c) WhatsApp: the WhatsApp Business app history that the Controller authorises to import when connecting its number (contacts and up to six months of chats) is deleted when the number is disconnected.
  • (d) The diagnostic copies referred to in clause 3.4 are deleted after thirty (30) days.

All other Data, including call recordings, is kept for the term of the contract, unless the Controller deletes it earlier from the panel. On termination, clause 14 applies.

5. Obligations of the Processor (Wismify)

Wismify undertakes to: (a) Process Data solely on the documented instructions of the Controller, including with regard to international transfers; (b) ensure that authorised personnel are bound by confidentiality obligations; (c) implement the appropriate technical and organisational measures under Article 32 GDPR; (d) not engage Sub-processors without prior general or specific authorisation, in accordance with clause 8; (e) assist the Controller in responding to Data Subject requests; (f) assist the Controller with its obligations regarding security, breach notification, impact assessments and prior consultation, in accordance with Articles 32-36 GDPR; (g) delete or return all Data on termination, subject to legal retention obligations; (h) make available the information necessary to demonstrate compliance.

6. Obligations of the Controller (Customer)

The Customer undertakes to: (a) ensure an appropriate legal basis for the Processing of its end customers' Personal Data; (b) properly inform Data Subjects in accordance with Articles 13 and 14 GDPR; (c) provide lawful instructions; (d) comply with its obligations under applicable law; (e) handle the Data Subject requests it receives directly, relying on Wismify for the technical aspects.

7. Technical and organisational security measures

Wismify implements the measures detailed in Annex III — Technical and Organisational Measures, including: encryption in transit (TLS 1.3) and at rest (AES-256-GCM for tokens, secrets and sensitive PII fields); mandatory MFA for all internal staff with access to the Controller's data, the principle of least privilege and quarterly access reviews; architectural multi-tenant isolation by owner_id with Row Level Security at database level; primary hosting in the EU (Supabase eu-central-1 Frankfurt; Hetzner Online GmbH Germany); encrypted backups with 30-day retention and geographically redundant recovery; centralised audit logging with 90-day retention and anomaly detection; documented incident response procedures with a defined escalation chain; confidentiality agreements and annual GDPR training for all staff.

Wismify intends to obtain ISO 27001 certification as part of its information security roadmap, with no binding contractual date at this time. Security documentation (Annex III, SIG Lite, questionnaire responses) is available to the Controller upon written request.

Wismify maintains Data Processing Agreements in force with each Sub-processor listed in clause 8.2, accepted through the provider's Terms of Service or as separate contracts. The official public URLs are available upon request.

8. Sub-processors

8.1. General authorisation. The Controller grants general written authorisation for the engagement of the Sub-processors listed in clause 8.2, in accordance with Article 28(2) GDPR. Wismify will notify the Controller at least 30 calendar days in advance of any addition or replacement of Sub-processors; the Controller may object on reasonable data protection grounds within that period. If the parties do not reach an agreement, the Controller may terminate the affected Services without penalty as its sole and exclusive remedy.

8.2. Current list of authorised Sub-processors.

  • Supabase Inc. (hosted on AWS eu-central-1, Frankfurt) — PostgreSQL database and authentication. Location: EU (Germany). No international transfer.
  • Hetzner Online GmbH — cloud infrastructure / application hosting, including Prometeo's mail receiver. Location: EU (Germany). No international transfer.
  • Anthropic, PBC — AI inference (Claude) for processing tickets, the website chat and voice. Location: USA. Mechanism: SCCs Decision (EU) 2021/914, Module 3.
  • ElevenLabs Inc. — conversational voice agent "Alba" (ElevenLabs Conversational AI service, which includes ElevenLabs' own language model for the dialogue) and speech synthesis (text-to-speech). Location: USA. Mechanism: SCCs Decision (EU) 2021/914, Module 3.
  • OpenAI, L.L.C. — automatic transcription (speech-to-text, Whisper model) of voice call recordings to build the conversation history in the ticket. Processing via API, without use of the data for training under the OpenAI API terms. Location: USA. Mechanism: SCCs Decision (EU) 2021/914, Module 3.
  • Twilio Inc. / Twilio Ireland Limited — voice telephony (phone numbers that Wismify contracts for the Controller, inbound and outbound calls and call recording, with the recordings hosted by Twilio) and SMS infrastructure. Location: USA / Ireland. Mechanism: SCCs Decision (EU) 2021/914 + EU-US Data Privacy Framework.
  • Meta Platforms Ireland Ltd. — WhatsApp Business Platform (Cloud API) and Instagram Messaging: receiving and sending the messages of the Controller's WhatsApp and Instagram channels and, if the Controller authorises it when connecting its number, importing the WhatsApp Business app history. It only processes the Controller's Data when the Controller connects those channels from its panel. The WhatsApp Business and Instagram accounts belong to the Controller, which accepts Meta's terms for them directly. Location: Ireland (EU), with processing by Meta Platforms, Inc. (USA). Mechanism: EU-US Data Privacy Framework + SCCs Decision (EU) 2021/914.
  • Google Ireland Limited — Google Workspace: sending, from Wismify's email account, the platform's service emails to the Controller's team and to the recipients it authorises (ticket, Prometeo and plan usage notices, scheduled reports and alerts, invitations and account emails), which may include end-customer data, such as the customer's name or email and the subject of their ticket. Communications with end customers are not sent from this account, but from the Controller's mailbox (clause 8.5). Location: Ireland (EU), with processing by Google LLC (USA). Mechanism: EU-US Data Privacy Framework + SCCs Decision (EU) 2021/914.
  • Stripe Payments Europe, Ltd. — payment processing and SEPA direct debit (the Controller's billing data). Location: Ireland (EU); ancillary processing by Stripe, Inc. (USA). Mechanism: EU-US Data Privacy Framework + SCCs Decision (EU) 2021/914 for ancillary processing.

8.3. Processor's liability for Sub-processors (Art. 28(4) GDPR). If any Sub-processor fails to fulfil its data protection obligations, Wismify shall remain fully liable to the Controller for the performance of that Sub-processor's obligations.

8.4. Contractual obligations. Wismify imposes on its Sub-processors, by contract, data protection obligations equivalent to those it assumes under this DPA, including clauses on security, confidentiality and onward sub-processing. Where the Sub-processor is located outside the EEA, the transfer mechanism indicated in clause 8.2 applies.

8.5. Entities not considered Sub-processors. The following entities do NOT process the Controller's data within the Services actually activated and are therefore NOT Sub-processors for the purposes of this DPA: (i) Vercel, Inc. — Next.js is an open-source framework and production hosting runs on Hetzner; (ii) ByteDance/TikTok — any TikTok pixel exists only on Wismify's corporate marketing website and does not process the Controller's data. Email communications with end customers are sent from the email infrastructure connected by the Controller itself (e.g., Google Workspace or Microsoft 365), which is a provider of the Controller under clause 8.6, even if the same company also provides other services to Wismify as a Sub-processor (clause 8.2).

8.6. The Controller's own systems and providers. The systems and providers that the Controller contracts on its own account and connects to the panel with its own credentials or authorisations are not Sub-processors of Wismify, such as its online store (e.g., Shopify), its email mailbox, its warehouse or logistics provider, its carriers and tracking aggregators, and its returns, email marketing or customer service tools. By connecting them, the Controller instructs Wismify to read from and write to them the Data needed for the Services it configures, and that communication constitutes a documented instruction of the Controller under clause 5(a). Those providers process the Data under their own relationship with the Controller, and Wismify is not liable for the processing they carry out. Wismify protects those connections with the measures in clause 7.

9. International transfers

Where the Processing requires transfers of Data outside the European Economic Area (EEA), Wismify ensures that appropriate safeguards are in place in accordance with Chapter V GDPR, in this order of preference: (i) adequacy decisions of the European Commission (United Kingdom, Switzerland, etc.); (ii) the EU-US Data Privacy Framework for certified Sub-processors; (iii) Standard Contractual Clauses (SCCs) Decision (EU) 2021/914 with supplementary measures in line with EDPB Recommendations 01/2020 where applicable. Wismify makes available to the Controller, upon request, the signed copies of the SCCs with each affected Sub-processor.

10. Personal data breach notification

In the event of a security breach affecting the Controller's Personal Data, Wismify will notify the Controller without undue delay and, in any event, within forty-eight (48) hours of becoming aware of it. The notification will be sent to the Controller's data protection email address indicated in the Order Form (by default, gdpr@{controller-domain}) and will include the information in Article 33(3) GDPR: a description of the nature of the breach, the categories and approximate number of Data Subjects and records concerned, the contact details of Wismify's privacy contact (privacy@wismify.com), the likely consequences and the measures taken or proposed. Where the full information cannot be provided within the initial period, Wismify will provide it in phases without further undue delay.

11. Data Subject rights

Wismify will assist the Controller, through appropriate technical and organisational measures, in responding to Data Subject requests within the GDPR deadlines. Where Wismify receives requests directly from Data Subjects, it will forward them to the Controller with the relevant information within three (3) business days of receipt, to the data protection address indicated by the Controller. Assistance includes providing mechanisms to export, rectify and delete Data; supporting portability requests in CSV/JSON format; and supporting objection to and restriction of the Processing where applicable.

12. Data Protection Officer

Wismify designates privacy@wismify.com as its contact for privacy matters. Given the volume of operations, there is no legal obligation to formally appoint a DPO under Article 37 GDPR, but the contact performs the same data protection coordination functions.

13. Audit rights

The Controller may audit Wismify's Processing activities at most once per calendar year, with reasonable prior notice of at least 30 days, during normal business hours and at the Controller's expense. Wismify may meet its audit obligation by providing independent certifications (ISO 27001 where applicable), third-party audit reports or equivalent documentation.

14. Return and deletion of Data

On termination of the service, Wismify will, at the Controller's choice: (a) return all Data in a standard, interoperable CSV/JSON format, free of charge, within 15 days; and/or (b) delete all Data and confirm it in writing within 30 days at most. Wismify may retain Data where required by applicable law, in which case it will inform the Controller and maintain the security and confidentiality measures for as long as the retention lasts.

15. Liability and indemnification

The parties agree on the following liability structure, which prevails over any liability provision of the MSA as regards obligations arising from this DPA:

15.1. Indemnity. The Processor will hold the Controller harmless against any administrative fines, penalties, third-party claims, compensation, damages, costs and expenses attributable to the Processor's breach of its obligations under this DPA or applicable data protection law. This indemnity includes, among other items, reasonable legal fees, investigation and incident response costs, breach notification expenses and compensation awarded to Data Subjects. The indemnity is conditional on the Controller (a) promptly notifying any claim in writing; (b) granting the Processor sole control of the defence and settlement; and (c) cooperating in good faith.

15.2. Liability cap. The Processor's aggregate liability arising from any breach of its obligations under this DPA or applicable personal data protection law is limited to a maximum amount equal to FIVE (5) TIMES the fees paid or payable by the Controller in the twelve (12) months preceding the event giving rise to the claim (or the equivalent annual amount of the contract if it has lasted less than twelve months). For the avoidance of doubt, this limit applies globally to all claims arising from related events. This limitation does NOT apply in the event of wilful misconduct or gross negligence of the Processor.

15.3. Excluded damages. To the maximum extent permitted by applicable law, neither party shall be liable to the other for indirect damages, loss of profits, loss of business or goodwill, loss or corruption of data attributable to the other party, or for consequential, special or punitive damages, even if advised of their possibility.

15.4. Intellectual property indemnity (sole remedy, capped). The Processor will hold the Controller harmless against third-party claims alleging that the Wismify CX platform, used in accordance with the contract, infringes a third party's valid intellectual property rights, provided that the Controller (a) promptly notifies it in writing; (b) grants the Processor sole control of the defence and settlement; and (c) cooperates in good faith. In the event of a claim, the Processor may, at its option, modify the platform to avoid the infringement, obtain a licence allowing continued use, or terminate the affected service and refund the pro rata portion of unearned fees. Claims arising from (i) modifications of the platform not made by the Processor; (ii) the combination of the platform with products, content or data not supplied by the Processor; or (iii) use contrary to the documentation or the contract are excluded. The Processor's liability under this clause is limited to ONE (1) TIME the fees paid or payable by the Controller in the preceding twelve (12) months and constitutes the Controller's sole and exclusive remedy regarding intellectual property.

16. Assignment

Wismify may assign this Agreement, in whole or in part, to (i) an affiliate, (ii) a successor entity resulting from a corporate reorganisation, merger, consolidation or sale of all or substantially all of its assets, or (iii) a newly incorporated Spanish entity controlled by the same beneficial owner, upon written notice to the Controller. Any authorised assignee shall be bound by the terms of this DPA. The Controller may object on reasonable data protection grounds within thirty (30) calendar days of the notice.

17. Governing law and jurisdiction

This DPA is governed by Spanish and European Union law. Disputes shall be resolved in accordance with the relevant clause of the MSA.

18. Amendments to the DPA

Wismify may update this DPA to reflect legal changes or changes in Processing practice. Material changes will be communicated to the Controller at least 30 days in advance. Continued use of the service constitutes acceptance of the updated DPA.

19. Previous version

This DPA v3.2 expressly supersedes DPA v3.1, the DPA v2.0 accepted at account signup and any prior version accepted during a pilot period. Previous versions remain as a historical record, but create no new obligations from the signature of v3.2.

20. Contact