Acuerdo de procesamiento de datos para negocios

1. Roles

El Negocio decide para qué y cómo se usan los Datos de Clientes y es responsable de ellos (el “responsable del tratamiento”). Odanexus procesa los Datos de Clientes a nombre del Negocio (el “encargado del tratamiento”).

2. Qué procesa Odanexus

• Personas: los clientes del Negocio, los posibles clientes que usan su página de reservas o su asistente de IA, y sus empleados.
• Datos: nombres, información de contacto, historial y notas de citas, respuestas y fotos de formularios, récords de pago (montos, estado y referencias; nunca números completos de tarjeta) y mensajes al asistente de IA.
• Propósito: dar el Servicio según se describe en los Términos: citas, recordatorios, pagos, informes, la página de reservas y el asistente de IA.
• Duración: mientras el Negocio use el Servicio, más el periodo posterior a la terminación que se indica abajo.

3. Compromisos de Odanexus

Odanexus se compromete a:

• Procesar los Datos de Clientes solo para dar el Servicio y según las instrucciones del Negocio (dadas a través de su configuración y su uso del Servicio), salvo que la ley exija otra cosa, en cuyo caso se lo diremos al Negocio a menos que la ley lo prohíba.
• No vender los Datos de Clientes ni usarlos para publicidad ni para ningún fin propio.
• Asegurar que las personas de Odanexus con acceso a los Datos de Clientes estén obligadas a mantener la confidencialidad.
• Mantener las medidas de seguridad de la sección 4.
• Ayudar al Negocio a contestar las peticiones de sus clientes para ver, descargar o borrar sus datos (ver la sección 6).
• Poner a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo.

4. Medidas de seguridad

• Conexiones cifradas (HTTPS) para todo el tráfico, con encabezados de seguridad en cada página.
• Los datos de cada Negocio se mantienen separados; cada petición se verifica contra el Negocio al que pertenece.
• Permisos de empleados por rol (administrador, gerente, miembro) que fija el Negocio.
• Los archivos subidos se guardan en almacenamiento privado y solo se muestran mediante enlaces firmados temporales.
• Las cuentas de clientes requieren verificar el correo; los códigos de verificación se guardan solo como hash y vencen a los 10 minutos.
• Límites a intentos repetidos en el inicio de sesión, el registro, las reservas, los pagos y el asistente de IA.
• Los datos de tarjetas los manejan los proveedores de pago; Odanexus nunca los guarda.
• [Confirmar los respaldos de la base de datos y el cifrado en reposo con MongoDB Atlas y Supabase, y listarlos aquí.]

5. Subencargados

El Negocio autoriza a Odanexus a usar estos subencargados: Vercel (alojamiento), MongoDB Atlas (base de datos), Supabase (inicio de sesión y almacenamiento de archivos), Resend (correo), Twilio (mensajes de texto, donde estén activados), OpenAI (asistente de IA), y Stripe y ATH Móvil (pagos). Odanexus le exige a cada subencargado proteger los datos al menos tan bien como este Acuerdo, y sigue siendo responsable por ellos. Avisaremos con al menos [30] días de anticipación antes de añadir o reemplazar un subencargado; un Negocio que se oponga por razones válidas puede cancelar sin penalidad.

6. Peticiones de clientes

El Negocio es responsable de contestar las peticiones de privacidad de sus clientes. El Servicio le da las herramientas para hacerlo: los clientes pueden descargar o borrar sus propios datos desde su cuenta en la página de reservas, y los empleados pueden exportar o borrar los datos de un cliente desde el panel. Si Odanexus recibe una petición directamente, se la pasaremos al Negocio. El borrado elimina o sobrescribe los datos personales, pero conserva los montos y fechas de pagos pasados, para que los récords financieros del Negocio sigan siendo correctos.

7. Incidentes de seguridad

Si Odanexus se entera de una brecha que afecte los Datos de Clientes, se lo notificará al Negocio sin demora indebida y dentro de [72 horas], con lo que se sepa de la brecha, los datos afectados y las medidas tomadas, y lo mantendrá informado. Las partes cooperarán en cualquier aviso a las personas afectadas y a las autoridades que requiera la ley de Puerto Rico (Ley 111 de 2005) u otra ley aplicable. [Abogado: confirmar los plazos de aviso y si cada aviso lo da Odanexus o el Negocio.]

8. Responsabilidades del Negocio

El Negocio confirma que tiene derecho a darle los Datos de Clientes a Odanexus para el Servicio, que les informa a sus clientes cómo se usa su información (puede enlazar a nuestra Política de privacidad) y que obtiene el consentimiento que exija la ley, incluido el consentimiento antes de enviar mensajes de texto. Cuando el personal registra que un cliente aceptó recibir mensajes de texto, el Negocio confirma que el cliente de verdad aceptó; ese récord lleva el nombre del empleado. Odanexus solo envía mensajes sobre citas (no de mercadeo), solo a clientes con un consentimiento registrado, y respeta las respuestas STOP y otras solicitudes de no recibir mensajes para todos los Negocios del número compartido; el Negocio no puede pasar por alto esas solicitudes. El Negocio no usará el Servicio para recopilar información de salud regulada por ley (como la protegida por HIPAA), números de tarjetas de pago ni números de identificación gubernamental.

9. Fin del servicio

Si el Negocio cancela su plan pagado, pasa al plan gratuito y este Acuerdo sigue aplicando; los Datos de Clientes se mantienen. El Negocio puede descargar o borrar sus datos en cualquier momento desde Configuración → Privacidad y datos; el borrado es inmediato. Si la cuenta se cierra o se termina, el Negocio puede descargar sus datos durante el periodo que indican los Términos, y luego Odanexus borrará o anonimizará los Datos de Clientes dentro de [60] días. En todos los casos, Odanexus conserva los récords financieros que la ley exige, y las copias en respaldos se sobrescriben en su ciclo normal.

10. Responsabilidad y orden de los documentos

La responsabilidad de cada parte bajo este Acuerdo está sujeta a los límites de los Términos de servicio. Si este Acuerdo y los Términos están en conflicto sobre el manejo de los Datos de Clientes, prevalece este Acuerdo.

11. Contacto

Odanexus Development Inc, B79 Calle Gladiola, Loíza Valley, Canóvanas, Puerto Rico 00796. Correo: hello@odanexus.com. Teléfono: (787) 482-9919.

[Abogado: decidir qué versión prevalece si la versión en inglés y la versión en español difieren.]