Este Acuerdo de Tratamiento de Datos («DPA», por sus siglas en inglés) regula el tratamiento de datos personales que Datametrics Technology S.A.C. realiza por cuenta de sus clientes empresariales al prestar servicios profesionales y operar las Aplicaciones Datametrics — incluido Chato (chato.lat). Se incorpora por referencia a toda propuesta, orden o contrato de servicios entre Datametrics y el Cliente y forma parte de nuestros Términos.
1. Partes y roles
- Cliente («Responsable»): la empresa o profesional que contrata los servicios de Datametrics o conecta sus cuentas de plataforma a una Aplicación Datametrics. El Cliente determina los fines y medios del tratamiento de los datos personales de sus usuarios finales y de su personal.
- Datametrics («Encargado»): Datametrics Technology S.A.C., RUC 20611645971, Cal. Enrique Palacios 360, Int. 608, Miraflores, Lima 15074, Perú, que trata los datos personales únicamente por cuenta del Cliente y conforme a sus instrucciones documentadas.
2. Definiciones
«Datos personales», «tratamiento», «titular de los datos», «responsable», «encargado» y «violación de la seguridad de los datos» tienen el significado que les dan la Ley N.º 29733 de Perú y, cuando aplique, el RGPD, la LGPD o la ley local de protección de datos que rija al Cliente. «Aplicaciones Datametrics» significa el software que Datametrics conecta, con autorización del Cliente, a plataformas de terceros (Meta, TikTok, Google, LinkedIn, Twilio y similares) a través de sus API oficiales. «Subencargado» significa un tercero contratado por Datametrics para tratar datos personales del Cliente. «Plataforma» significa la plataforma de mensajería o red social cuya API utiliza una Aplicación Datametrics.
3. Objeto, duración, naturaleza y finalidad
| Elemento | Descripción |
|---|---|
| Objeto | Operación de las Aplicaciones Datametrics (Chato) y prestación de servicios profesionales (implementación de Odoo ERP, auditoría, ingeniería de datos, integraciones) para el Cliente. |
| Duración | Mientras el Cliente utilice los servicios o mantenga una aplicación conectada, más el plazo de eliminación de la sección 9. |
| Naturaleza | Recepción, almacenamiento, transmisión, análisis automatizado (incluidas respuestas y resúmenes generados por IA), revisión humana por personal autorizado y sincronización de los mensajes de usuarios finales recibidos en las cuentas de empresa del Cliente en las Plataformas de mensajería; sincronización de contactos con el CRM del Cliente; acceso a los sistemas del Cliente para los servicios profesionales contratados. |
| Finalidad | Permitir al Cliente responder, derivar y registrar las conversaciones con sus usuarios finales, y recibir los servicios profesionales contratados. Ninguna otra finalidad. |
4. Categorías de titulares y de datos
Titulares de los datos: (a) los usuarios finales y clientes del Cliente que escriben a sus cuentas de empresa en WhatsApp, Instagram, Facebook Messenger, TikTok u otros canales; (b) el personal y colaboradores del Cliente que usan las aplicaciones o interactúan con Datametrics; (c) cuando se contratan servicios profesionales, los contactos, clientes, proveedores y empleados registrados en los sistemas del Cliente.
Categorías de datos: identificadores (nombre, nombre de perfil, número de teléfono, identificadores de usuario y conversación de la plataforma, correo electrónico); contenido de mensajes (texto, comentarios); metadatos de mensajes (marcas de tiempo, estado de entrega y lectura, canal); adjuntos (imágenes, audio, documentos) y sus transcripciones; registros de CRM creados a partir de conversaciones; datos de negocio de los sistemas del Cliente para servicios profesionales. Datametrics no trata intencionadamente categorías especiales de datos; si los usuarios finales las incluyen en sus mensajes, se tratan únicamente como parte del contenido del mensaje y bajo las mismas salvaguardas.
5. Obligaciones del Encargado
Datametrics se obliga a:
- Solo instrucciones. Tratar los datos personales únicamente conforme a las instrucciones documentadas del Cliente — este DPA, la propuesta o contrato de servicios, la configuración que el Cliente establezca en la aplicación y las autorizaciones concedidas a través de las Plataformas — salvo que la ley lo exija, en cuyo caso Datametrics informará previamente al Cliente cuando esté legalmente permitido. Datametrics informará al Cliente si, a su juicio, una instrucción infringe la normativa de protección de datos aplicable.
- Confidencialidad. Garantizar que toda persona autorizada a tratar los datos esté sujeta a un acuerdo de confidencialidad y haya recibido la formación adecuada.
- Seguridad. Implementar y mantener las medidas técnicas y organizativas descritas en nuestra página de Seguridad — cifrado en tránsito y en reposo, almacenamiento cifrado de tokens, acceso basado en roles con MFA, aislamiento por cliente, registro de accesos, copias de seguridad diarias cifradas, gestión de vulnerabilidades y respuesta a incidentes — y no reducir su nivel general durante la vigencia.
- Solicitudes de titulares. Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento, en la atención de solicitudes de ejercicio de derechos (acceso, rectificación, eliminación, oposición, portabilidad). Datametrics remitirá al Cliente toda solicitud que reciba directamente y actuará conforme a las instrucciones del Cliente en un plazo de 10 días hábiles.
- Notificación de brechas. Notificar al Cliente sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a la confirmación de una violación de seguridad que afecte a datos del Cliente, indicando la naturaleza de la brecha, las categorías y número aproximado de titulares y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Datametrics cooperará con el Cliente en la notificación a autoridades, titulares y Plataformas cuando sea exigible.
- Asistencia. Asistir al Cliente en las evaluaciones de impacto y consultas previas a las autoridades de control, cuando sean exigibles, en relación con el tratamiento realizado por Datametrics.
- Registros. Mantener un registro de las actividades de tratamiento realizadas por cuenta del Cliente, incluidos los subencargados involucrados, y ponerlo a disposición a solicitud.
- Auditorías. Poner a disposición toda la información necesaria para demostrar el cumplimiento de este DPA y permitir auditorías por parte del Cliente o de un auditor independiente sujeto a confidencialidad, una vez por año calendario con al menos 30 días de aviso por escrito, en horario laboral y sin interrumpir las operaciones — o con mayor frecuencia cuando lo exija una Plataforma, una autoridad de control o tras una violación de seguridad. Datametrics podrá atender primero la solicitud con su informe más reciente de evaluación independiente de vulnerabilidades, disponible bajo NDA.
- Términos de plataforma. Cumplir los Términos de la Plataforma de Meta, los Términos de desarrollador y las políticas de Business Messaging de TikTok y la Política de datos de usuario de los servicios API de Google en relación con los datos de Plataforma, y no usar datos de Plataforma ni datos del Cliente para publicidad, elaboración de perfiles, reventa o entrenamiento de modelos de inteligencia artificial.
6. Subencargados
El Cliente otorga a Datametrics una autorización general para contratar subencargados para el tratamiento descrito en este DPA. La lista vigente, con la finalidad, los datos y la ubicación de cada uno, se publica en nuestra página de Subencargados. Datametrics:
- impondrá a cada subencargado, mediante contrato escrito, obligaciones de protección de datos al menos equivalentes a las de este DPA;
- seguirá siendo plenamente responsable ante el Cliente por el desempeño de cada subencargado;
- notificará al Cliente por correo electrónico con al menos 15 días de antelación antes de añadir o sustituir un subencargado. El Cliente podrá oponerse dentro de ese plazo por motivos razonables y documentados de protección de datos; si las partes no resuelven la oposición de buena fe, el Cliente podrá terminar el servicio afectado sin penalidad y Datametrics devolverá o eliminará los datos conforme a la sección 9.
7. Transferencias internacionales
Los datos del Cliente se almacenan en servidores de Londres, Reino Unido, y son tratados por subencargados ubicados en Estados Unidos, la Unión Europea y Singapur, según se indica en la página de Subencargados. Datametrics garantiza que toda transferencia fuera del país del Cliente cuenta con salvaguardas adecuadas: acuerdos de tratamiento con cada proveedor con cláusulas contractuales de protección de datos y, para Clientes sujetos al RGPD o al UK GDPR, las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea (o el Addendum internacional de transferencia del Reino Unido), que se consideran incorporadas a este DPA con el Cliente como exportador y Datametrics como importador de datos. Para Clientes en Perú, las transferencias se comunican y realizan conforme a la Ley N.º 29733 y su Reglamento; para Brasil, conforme a la LGPD.
8. Obligaciones del Cliente
El Cliente garantiza que dispone de base legal para el tratamiento, que ha informado a sus usuarios finales según lo exigido (incluido que las conversaciones pueden ser gestionadas por sistemas automatizados y por Datametrics como encargado), que ha obtenido los consentimientos u opt-ins que exijan las políticas de mensajería de las Plataformas, y que sus instrucciones cumplen la ley aplicable. El Cliente es responsable de la exactitud de los datos y de la configuración que establezca en las aplicaciones.
9. Devolución y eliminación al finalizar el servicio
- A solicitud, y antes de la eliminación, Datametrics entregará al Cliente una exportación de sus datos de conversaciones y contactos en un formato común legible por máquina (JSON o CSV).
- Los tokens de acceso y actualización de las Plataformas se eliminan de inmediato cuando el Cliente desconecta una aplicación o revoca la autorización.
- Todos los demás datos personales del Cliente se eliminan en un plazo de 30 días desde la terminación o desconexión, incluidas las copias de seguridad dentro de su período de rotación (30 días), salvo que la ley exija conservar registros concretos durante más tiempo (por ejemplo, facturas).
- Datametrics emite una certificación escrita de eliminación a solicitud.
Los usuarios finales y los Clientes también pueden solicitar la eliminación en cualquier momento según se describe en la página de Eliminación de datos.
10. Responsabilidad
La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones y exclusiones establecidas en los Términos o en el contrato de servicios entre las partes, salvo cuando dicha limitación no esté permitida por la normativa de protección de datos aplicable. Nada en este DPA limita la responsabilidad de una parte frente a los titulares de los datos o las autoridades de control cuando la ley la establezca.
11. Ley aplicable y compatibilidad
Este DPA se rige por las leyes de la República del Perú, en particular la Ley N.º 29733 de Protección de Datos Personales y su Reglamento, y toda controversia se somete a los tribunales de Lima, Perú, salvo que el contrato de servicios disponga otra cosa. Cuando el Cliente esté sujeto al RGPD (UE/EEE), al UK GDPR, a la LGPD de Brasil u otra ley local de protección de datos, este DPA pretende cumplir los requisitos de contrato de encargado de dicha ley (incluido el artículo 28 del RGPD) y sus disposiciones se interpretarán de forma que la cumplan; en caso de conflicto, se aplicará el requisito más estricto.
12. Vigencia y cambios
Este DPA entra en vigor cuando el Cliente acepta una propuesta, orden o Términos que lo referencien, o conecta una Aplicación Datametrics, y permanece vigente hasta que todos los datos personales del Cliente hayan sido devueltos o eliminados. Datametrics podrá actualizar este DPA para reflejar cambios en la ley, en los requisitos de las Plataformas o en sus servicios; los cambios materiales se notifican a los Clientes por correo electrónico con al menos 15 días de antelación, y la versión vigente se publica siempre en esta página con su fecha de entrada en vigor.
13. Cómo formalizar este DPA
Este DPA se incorpora por referencia a toda propuesta, orden y contrato de servicios y aplica automáticamente. Los Clientes que necesiten una copia firmada — para sus propios registros de cumplimiento, una revisión de Plataforma o una autoridad de control — deben escribir a privacy@data-metrics.pro indicando razón social, identificación tributaria y firmante; Datametrics devolverá un PDF contrafirmado en un plazo de 5 días hábiles. Los Clientes sujetos al RGPD pueden solicitar que las Cláusulas Contractuales Tipo se firmen junto con este DPA.
14. Contacto
Datametrics Technology S.A.C. · RUC 20611645971 · Cal. Enrique Palacios 360, Int. 608, Miraflores, Lima 15074, Perú · Privacidad: privacy@data-metrics.pro · Seguridad: security@data-metrics.pro · General: sergio@data-metrics.pro · +51 933 363 169