Acuerdo de Procesamiento de Datos (DPA)

Objeto, ámbito y entrada en vigor

Este Acuerdo de Procesamiento de Datos (en adelante, el «DPA») regula el tratamiento de datos personales que Tramoa realiza por cuenta de tu agencia cuando usas el servicio. Complementa los Términos de Servicio y se entiende aceptado al darte de alta o, si ya tenías cuenta, al seguir usando el servicio desde la fecha de su publicación.

Si tu legislación exige una versión firmada del DPA, escríbenos a contact@tramoa.com y te la facilitamos.

Definiciones

Los términos de este DPA tienen el significado que les da el RGPD. En particular:

• Responsable: tu agencia, que decide qué datos personales se tratan y para qué.
• Encargado: Tramoa, que trata datos personales por cuenta de tu agencia.
• Subencargado: un tercero al que Tramoa recurre para prestar el servicio y que trata datos personales por cuenta de tu agencia.
• Interesado: la persona cuyos datos se tratan; por ejemplo, alguien que escribe al WhatsApp de tu agencia o un viajero de una reserva.
• Asistente: el asistente de inteligencia artificial que Tramoa pone a disposición de tu agencia para contestar a sus clientes por WhatsApp.
• Brecha de seguridad: una violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados.
• RGPD: Reglamento (UE) 2016/679. EEE: Espacio Económico Europeo.

El papel de cada parte

Con los datos de las personas que escriben al WhatsApp de tu agencia y de los viajeros de sus reservas, tu agencia es la Responsable y Tramoa la Encargada del tratamiento. Cada parte cumple las obligaciones que el RGPD le impone en su papel.

Los datos de tu agencia como cliente de Tramoa (tu cuenta, tu equipo, la facturación, la conexión con WhatsApp y el uso del panel) los trata Tramoa como Responsable, y se rigen por nuestra Política de Privacidad, no por este DPA.

WhatsApp. Tu agencia contrata la plataforma de WhatsApp Business directamente con Meta: acepta sus condiciones al conectar su número, y Meta trata los mensajes como encargado de tu agencia según esas condiciones. Por eso, para esos mensajes, Meta no es un subencargado de Tramoa. Tramoa accede a la cuenta de WhatsApp de tu agencia con su autorización, como proveedor tecnológico de Meta, y solo para prestarle este servicio. Sí lo es para los avisos que Tramoa manda desde su propio número a las personas de tu agencia (apartado 9).

Cobros con tarjeta. Si tu agencia cobra a sus clientes con tarjeta, lo hace con su propia cuenta de Stripe, que contrata directamente. Los datos de las tarjetas no pasan por Tramoa.

Qué tratamiento hace Tramoa y durante cuánto tiempo

Tramoa trata los datos para prestar el servicio contratado:

• Recibir los mensajes que llegan al WhatsApp de tu agencia y enviar las respuestas del asistente en su nombre.
• Entender los mensajes y redactar las respuestas con inteligencia artificial, a partir de la información y las instrucciones que tu agencia le da. Los precios los calcula el sistema con las tarifas de tu agencia.
• Preparar presupuestos y reservas, guardar los datos que hacen falta para ellas y, si tu agencia lo activa, recordatorios y avisos a sus clientes.
• Pasar la conversación a una persona de tu agencia cuando el cliente lo pide o cuando tu agencia lo tiene previsto, y avisarla: en el panel, por correo y, a las personas que tu agencia elija y verifique, por WhatsApp desde el número de Tramoa, con el nombre del cliente, su viaje y el motivo, nunca la conversación entera.
• Enseñar las conversaciones en el panel de tu agencia y darle cifras de conjunto sobre ellas.
• Si tu agencia forma parte de un grupo y acepta compartir sus cifras con la central, darle a la central solo cifras de conjunto: nunca conversaciones, nombres, teléfonos ni documentos.

El tratamiento dura mientras tu agencia use Tramoa y 30 días más desde que su asistente deje de contestar. Después, los datos se suprimen como dice el apartado 15.

Interesados y datos

Los interesados son:

• Las personas que escriben al WhatsApp de tu agencia, sean ya clientes o no.
• Los viajeros incluidos en un presupuesto o una reserva, menores incluidos.

Los datos que se tratan son:

• Identificativos y de contacto: el nombre de perfil de WhatsApp y el número de teléfono o, si el cliente usa un nombre de usuario de WhatsApp, el identificador que WhatsApp da a la agencia en su lugar; y el correo, si el cliente lo da.
• Contenido de los mensajes: texto, notas de voz, fotos y documentos.
• Datos del viaje: fechas, destino, número y edades de los viajeros, preferencias y presupuesto.
• Datos para reservar, si tu agencia lo activa: nombres de los viajeros, documento de identidad o pasaporte, fecha de nacimiento y nacionalidad.
• Estado de los pagos, sin datos de tarjeta.
• Datos de entrega que da WhatsApp: si un mensaje se envió, se entregó o se leyó.

Categorías especiales. El servicio no necesita datos de salud, religión ni otras categorías especiales del artículo 9 del RGPD, y el asistente no los pide. Si un cliente los cuenta por su cuenta, se tratan solo para atenderle y con las mismas medidas. Tu agencia no configurará el asistente para recogerlos sin acordarlo antes por escrito con Tramoa.

Instrucciones de tu agencia

Tramoa trata los datos solo siguiendo las instrucciones documentadas de tu agencia, que son:

• Los Términos de Servicio y este DPA.
• Lo que tu agencia configura en el panel: la información de sus viajes, las instrucciones al asistente, cuándo pasa a una persona, los avisos y los plazos de conservación.
• Las instrucciones que nos envíe por escrito a contact@tramoa.com.

Si una instrucción nos parece contraria al RGPD o a otra norma de protección de datos, te lo diremos sin demora.

Tramoa no usa los datos para fines propios: no los vende, no los usa para publicidad y no entrena con ellos modelos de inteligencia artificial, ni deja que sus subencargados lo hagan. Lo exigen también las condiciones de Meta.

Obligaciones de Tramoa

Como dice el artículo 28 del RGPD, Tramoa se compromete a:

• Tratar los datos solo siguiendo las instrucciones de tu agencia y para prestar el servicio.
• Que las personas autorizadas a tratarlos estén obligadas a guardar confidencialidad.
• Aplicar las medidas de seguridad del apartado 11.
• Cumplir las condiciones para recurrir a subencargados (apartado 9).
• Ayudar a tu agencia a cumplir sus obligaciones (apartado 13).
• Avisarte de cualquier brecha de seguridad (apartado 12).
• Devolver o suprimir los datos al terminar (apartado 15).
• Darte la información necesaria para demostrar que cumplimos (apartado 14).

Alguien de Tramoa solo entra en el panel de tu agencia cuando tu agencia lo pide o para resolver una incidencia de seguridad, y queda registrado.

El asistente de IA

• Avisa de que es una IA en su primer mensaje de cada conversación, como exige el artículo 50 del Reglamento europeo de Inteligencia Artificial.
• Pasa a una persona cuando el cliente lo pide y cuando tu agencia lo tiene previsto. Cuando alguien de tu agencia toma la conversación, el asistente se calla hasta que tu agencia decide devolvérsela.
• No toma decisiones con efectos jurídicos sobre los clientes ni les hace perfiles con ese fin (artículo 22 del RGPD). Aceptar una reserva, cobrar o cancelar siguen siendo decisiones de tu agencia y de sus condiciones.
• Usa Claude, de Anthropic. Anthropic trata los datos como subencargado, no los usa para entrenar sus modelos y los borra como mucho a los 30 días, salvo que sus sistemas marquen una conversación por un posible uso prohibido (hasta 2 años) o que una ley se lo exija.
• Entiende las notas de voz y los audios: las notas de voz de los clientes y los audios con los que la agencia explica sus viajes los pasa a texto Speechmatics como subencargado, que no los usa para entrenar.
• Puede contestar con notas de voz (si tu agencia lo activa en Instrucciones): las genera ElevenLabs como subencargado a partir del texto de la respuesta, que también se envía escrito. No los usa para entrenar, borramos el audio y el texto de sus servidores en cuanto termina, y el audio lleva su marca de agua de contenido generado por IA.
• El asistente puede equivocarse. Tu agencia es responsable de la información que le da (viajes, precios y condiciones) y de revisar lo que le preocupe.

Subencargados

Tu agencia autoriza a Tramoa a recurrir a estos subencargados:

Cada subencargado está obligado por contrato a proteger los datos con garantías equivalentes a las de este DPA.

Cambios. Si añadimos o sustituimos un subencargado, te avisamos con al menos 30 días de antelación por correo y en el panel. En ese plazo puedes oponerte por motivos razonables de protección de datos; si no lo resolvemos, puedes cancelar tu plan sin penalización.

Transferencias fuera del EEE

La aplicación y la base de datos están en Irlanda. Cuando un subencargado trata datos fuera del EEE, la transferencia se ampara en:

• El Marco de Privacidad de Datos UE-EE. UU., para los subencargados adheridos a él (Vercel, Cloudflare, Resend, Sentry, Upstash, GitHub y ElevenLabs).
• Las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incluidas en el contrato: es la garantía de Anthropic y de Supabase, y la de respaldo de los demás si el Marco dejara de valer.
• La decisión de adecuación del Reino Unido (Decisión de Ejecución (UE) 2025/2574): Speechmatics es una empresa británica, aunque transcribe en sus servidores de la UE.

Además, Tramoa envía a cada subencargado solo los datos que necesita, cifra todo lo que viaja y cifra las copias de seguridad antes de que salgan de nuestra base.

Medidas de seguridad

• Cifrado de todo lo que viaja (TLS) y de lo que se guarda en la base de datos y en las copias. Los permisos de WhatsApp y las claves, además, cifrados en la aplicación.
• Cada agencia, aislada: la base de datos separa los datos de cada agencia y el código lo comprueba en cada acceso.
• Accesos protegidos: contraseña, código de seguridad opcional, papeles por persona (administrador, editor, lector), aviso de acceso desde un dispositivo nuevo, sesiones atadas al dispositivo y límite de sesiones abiertas.
• Registro: los accesos, los cambios de configuración y las operaciones sensibles quedan registrados, también cuando entra alguien de Tramoa.
• Protección perimetral: mitigación de ataques de denegación de servicio de Vercel y control anti-bots de Cloudflare Turnstile en los accesos.
• Aplicación endurecida: política de seguridad de contenidos, protección CSRF, límites de peticiones, validación de las entradas y limpieza del HTML.
• Copias de seguridad diarias y cifradas, que se borran solas a los 90 días.
• Vigilancia: monitorización de la disponibilidad, registro de errores, revisión de dependencias y rotación periódica de claves.

Brechas de seguridad

Si Tramoa conoce una brecha de seguridad que afecte a datos tratados por cuenta de tu agencia, te avisa sin dilación indebida y, como máximo, en 48 horas desde que la conozca, para que tu agencia pueda avisar a la autoridad dentro de su propio plazo de 72 horas. El aviso incluye, en la medida en que se conozca:

• Qué ha pasado y, si se sabe, las categorías y el número aproximado de interesados y de registros afectados.
• Sus posibles consecuencias.
• Las medidas tomadas o propuestas para reducirlas.
• Con quién hablar para saber más.

Ayuda a tu agencia

Teniendo en cuenta la naturaleza del tratamiento, Tramoa ayuda a tu agencia a:

• Atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Desde el panel se puede ver, exportar y borrar a un cliente. Si un cliente pide en el chat que borren sus datos, el asistente pasa la petición a una persona de tu agencia. Y si nos escribe a nosotros, se la pasamos a tu agencia el mismo día.
• Hacer una evaluación de impacto cuando haga falta, con la descripción técnica del tratamiento.
• Hacer una consulta previa a la autoridad de control, si procede.
• Mantener la seguridad y gestionar las brechas, como dicen los apartados 11 y 12.

Si una autoridad u otro tercero nos pide acceso a datos tratados por cuenta de tu agencia, te lo diremos antes de atender la petición, salvo que la ley lo prohíba.

Demostrar que cumplimos

Tramoa pone a disposición de tu agencia la información necesaria para comprobar que cumple este DPA y el artículo 28 del RGPD:

• Esta documentación pública: el DPA, la Política de Privacidad y la lista de subencargados.
• Respuestas por escrito a tus preguntas razonables.
• Cuando las tengamos, certificaciones o informes de terceros sobre nuestros subencargados principales.

Como el servicio comparte infraestructura entre agencias, una auditoría presencial pondría en riesgo los datos de las demás. Si una norma o tu autoridad de control la exigen, la haremos a través de un auditor independiente, con preaviso razonable, bajo confidencialidad y a cargo de tu agencia, salvo que la auditoría revele un incumplimiento importante de Tramoa.

Plazos, devolución y supresión

• Mientras usas Tramoa, las conversaciones se borran 24 meses después del último mensaje y los pasaportes y documentos de viaje, 30 días después de la vuelta del viaje. Tu agencia puede acortar los dos plazos en el panel y borrar a un cliente cuando quiera.
• Puedes exportar tus datos en cualquier momento desde el panel, en un formato estructurado y de uso común.
• Al desconectar WhatsApp, Tramoa borra al momento el permiso que Meta le dio y el asistente deja de contestar.
• Al terminar el servicio, Tramoa conserva los datos 30 días desde que el asistente deja de contestar, por si tu agencia vuelve, y después los suprime de forma irreversible, salvo los que una ley obligue a guardar.
• Las copias de seguridad que los contengan se borran solas a los 90 días.

La copia de los mensajes que guarda Meta se rige por el contrato de tu agencia con Meta.

Lo que corresponde a tu agencia

• Tener una base legal para tratar los datos de sus clientes e informarles, en su propia política de privacidad, de que usa a Tramoa como encargado.
• Tener el permiso de sus clientes antes de escribirles por su cuenta (recordatorios y promociones), como exigen la ley y la política de WhatsApp, y respetar las bajas.
• Que la información y las instrucciones que da al asistente sean correctas y lícitas.
• No configurar el asistente para recoger categorías especiales de datos sin acordarlo antes con Tramoa (apartado 5).

Cambios en este DPA

Podemos actualizar este DPA cuando cambien la ley, nuestros subencargados o el servicio. La versión vigente es siempre la de esta página, con su fecha. Si el cambio es importante, te avisamos con al menos 30 días de antelación por correo y en el panel; seguir usando el servicio después de esa fecha supone aceptar la nueva versión.

Idioma, prevalencia y ley aplicable

La versión vinculante de este DPA es la española. Las traducciones son informativas y, si hay diferencias, prevalece el texto en español.

Si este DPA y los Términos de Servicio dicen cosas distintas sobre protección de datos, prevalece este DPA. En lo demás, prevalecen los Términos.

Este DPA se rige por la ley española y el RGPD. Las partes intentarán resolver cualquier desacuerdo de forma amistosa y, si no, serán competentes los juzgados y tribunales de Madrid capital, salvo que una norma imperativa diga otra cosa.