TalksAcuerdo de Tratamiento de Datos Personales (DPA)
Versión 1.1 · 30 de octubre de 2026 · Anexo a los Términos de Uso · Descargar PDF
Este Acuerdo forma parte de los Términos de Uso de Haaify Talks y rige entre la empresa contratante ("Controladora" o "Empresa Cliente") y HAAIFY SOLUCOES E TECNOLOGIA LTDA, CNPJ 45.890.870/0001-11, con sede en Belo Horizonte/MG, Brasil ("Operadora" o "Haaify"). Se acepta al instalar o contratar el servicio y regula el tratamiento de datos personales que Haaify realiza en nombre de la Empresa Cliente, conforme a la Ley 13.709/2018 (LGPD).
1. Objeto y roles
- La Empresa Cliente es la controladora de los datos personales ingresados o consultados en Haaify Talks, incluidos los datos de los clientes finales obtenidos de Blip.
- Haaify es la operadora y trata esos datos solo para prestar el servicio descrito en los Términos de Uso, según las instrucciones documentadas de la Controladora.
- Para los datos de registro y cobro de la propia Empresa Cliente, para los comentarios enviados a Haaify y para los registros de acceso exigidos por el Marco Civil de Internet, Haaify actúa como controladora, según la Política de Privacidad.
2. Detalles del tratamiento
| Punto | Descripción |
|---|---|
| Titulares | Usuarios de la Empresa Cliente (colaboradores y terceros autorizados) y clientes finales atendidos por la Empresa Cliente en Blip |
| Datos | Registro de los usuarios (incluida la foto de perfil); contenido de los mensajes y archivos; registros de uso y seguridad; agenda, cuando el usuario la conecta; datos de atención provenientes de Blip (nombre, teléfono, campos del contacto, tickets, etiquetas, comentarios, resumen de la conversación, campañas) |
| Finalidades | Comunicación interna, apoyo a la atención en Blip, agenda y reuniones, notificaciones, informes de uso, seguridad y soporte |
| Operaciones | Recolección por la aplicación y la API de Blip, almacenamiento, consulta, visualización, envío de notificaciones y correos, copia de seguridad y eliminación |
| Duración | Mientras dure el contrato, más el plazo de devolución y eliminación de la cláusula 9 |
3. Obligaciones de Haaify
- Tratar los datos solo según las instrucciones de la Controladora y para las finalidades anteriores; avisar si considera que una instrucción viola la ley.
- Garantizar que las personas con acceso a los datos tengan deber de confidencialidad. El equipo de Haaify no lee el contenido de las conversaciones; los accesos excepcionales para soporte solo ocurren a pedido o con autorización de la Controladora y quedan registrados.
- Mantener las medidas de seguridad del Anexo II.
- Ayudar a la Controladora a atender los pedidos de los titulares (acceso, corrección, portabilidad, eliminación, etc.) en hasta 15 días.
- Apoyar a la Controladora en evaluaciones de impacto y en consultas de la ANPD, en lo que corresponda al servicio.
- No vender, alquilar ni usar los datos para fines propios, publicidad o entrenamiento de modelos de inteligencia artificial.
4. Obligaciones de la Empresa Cliente
- Tener base legal para los datos que ingresa o consulta en Haaify Talks, incluidos los de los clientes finales de Blip.
- Dar instrucciones lícitas, configurar los perfiles de acceso de su equipo y mantener seguras las claves (Keys) de Blip que informe.
- Informar a los titulares sobre el tratamiento, según sus propias políticas.
- Mantener actualizados los correos de los administradores, que reciben los avisos de incidente.
5. Suboperadores
La Controladora autoriza el uso de los suboperadores del Anexo I. Haaify les exigirá obligaciones de protección de datos equivalentes a las de este Acuerdo y responde por sus actos ante la Controladora. Los nuevos suboperadores se avisarán con 30 días de anticipación; si la Controladora tiene una objeción fundada y no hay alternativa, podrá cancelar sin penalidad.
6. Transferencia internacional
Parte de los suboperadores está fuera de Brasil (principalmente en Estados Unidos). Haaify garantiza que esas transferencias sigan el art. 33 de la LGPD y la Resolución CD/ANPD n.º 19/2024, adoptando las cláusulas contractuales estándar aprobadas por la ANPD u otra salvaguarda válida.
7. Incidentes
- Indisponibilidad: si Haaify Talks queda fuera de servicio o inestable para la Controladora, Haaify avisa a los administradores por correo en hasta 30 minutos después de identificar el problema, con actualizaciones hasta la normalización y un aviso final cuando todo vuelva a la normalidad.
- Incidente de seguridad con datos personales: Haaify comunica a la Controladora en hasta 24 horas después de confirmar el incidente, con lo que se sabe hasta ese momento: naturaleza, datos y titulares afectados, riesgos, medidas tomadas y contacto para seguimiento, completando la información lo antes posible.
- Haaify ayudará a la Controladora a cumplir el plazo de comunicación a la ANPD y a los titulares (Resolución CD/ANPD n.º 15/2024) y mantendrá registro del incidente durante al menos 5 años.
8. Auditoría
A pedido por escrito, con 15 días de anticipación y como máximo una vez al año (salvo incidente o exigencia de autoridad), Haaify proporcionará la información necesaria para demostrar el cumplimiento de este Acuerdo, como cuestionarios de seguridad, la descripción de los controles y el historial de verificaciones de copias de seguridad.
9. Devolución y eliminación
Terminado el contrato, el usuario Master de la Controladora puede descargar los datos en Administración → Exportar conversaciones, o pedir la exportación a soporte, durante hasta 30 días. Haaify eliminará los datos en hasta 90 días después de la terminación, incluso de las copias de seguridad al final del ciclo de rotación, salvo obligación legal de conservación (como los registros de acceso, guardados durante 6 meses), y confirmará la eliminación por escrito cuando se le pida.
10. Disposiciones generales
En caso de conflicto, este Acuerdo prevalece sobre los Términos de Uso en lo que se refiere a la protección de datos. Las limitaciones de responsabilidad de los Términos se aplican, salvo que la ley disponga otra cosa. Jurisdicción: comarca de Belo Horizonte/MG, Brasil. En caso de diferencia, prevalece la versión en portugués.
ANEXO I
Suboperadores autorizados
| Suboperador | Servicio | Lugar |
|---|---|---|
| DigitalOcean, LLC | Hosting de la aplicación, base de datos, archivos y copias de seguridad | Estados Unidos |
| Resend, Inc. | Envío de correos: códigos de acceso, avisos de la prueba gratis y de la cuenta, alertas y avisos de incidente | Estados Unidos |
| Google LLC | Inicio de sesión, foto de perfil, Google Calendar y Google Meet (cuando el usuario los usa) | Global |
| Microsoft Corporation | Agenda de Outlook / Microsoft 365 y Teams (cuando el usuario los conecta; no se usa para iniciar sesión) | Global |
| Take Blip (Blip) | Integración de atención, resumen de la conversación (Copilot), suscripción por la Blip Store y código por WhatsApp (cuando está activo) | Brasil |
| Servicios de notificación de los navegadores (Apple, Google, Mozilla, Microsoft) | Entrega de las notificaciones, con contenido cifrado | Global |
| GIPHY, Inc. | Búsqueda de GIF (recibe solo el término buscado) | Estados Unidos |
ANEXO II
Medidas de seguridad
- Cifrado en tránsito (HTTPS/TLS) en todas las conexiones.
- Separación lógica de los datos por empresa: cada Empresa Cliente solo accede a sus propios usuarios, conversaciones, archivos e informes.
- Enlaces de archivo firmados y temporales; límite de 25 MB por archivo.
- Claves de integración (Blip, correo, Google, Microsoft) guardadas solo en el servidor.
- Sesión en cookie protegida (httpOnly, solo por conexión segura) y protección contra pedidos falsificados (CSRF).
- Perfiles de acceso (administrador, supervisor y usuario) y registro de las acciones hechas en la atención.
- Monitoreo las 24 horas (salud del servidor, base de datos, disco y errores) con alarmas automáticas por correo para el equipo de Haaify.
- Registros técnicos sin contenido de mensajes, correos, teléfonos ni claves, guardados durante 30 días; registros de acceso (fecha, hora e IP) durante 6 meses.
- Copias de seguridad diarias de la base de datos, guardadas durante 30 días, con verificación automática de restauración de cada copia y alarma si falla.
- Actualizaciones de seguridad del servidor y de las dependencias de la aplicación.
- Plan de respuesta a incidentes con responsable, plazos (aviso de indisponibilidad en hasta 30 minutos; incidente de seguridad en hasta 24 horas) y herramienta para avisar a todos los administradores por correo.
- Encargado de datos (DPO): Daniel Batista Ferreira, daniel.ferreira@haaify.com.
Documentos: Términos de UsoPolítica de PrivacidadSoporte