1. Objeto y Alcance del Acuerdo
El presente Acuerdo de Tratamiento y Procesamiento de Datos (en adelante "el Acuerdo" o "DPA") complementa los Términos y Condiciones y la Política de Privacidad de Firby AI. Regula las condiciones bajo las cuales Firby procesa datos personales derivados de la atención de visitantes y gestión de agendas en nombre de la empresa, consultorio o profesional contratante.
Este instrumento garantiza el cumplimiento de la Ley 1581 de 2012 de Hábeas Data de la República de Colombia, su Decreto 1377 de 2013, y los estándares de seguridad de la información aplicables a servicios digitales y corporativos en Latinoamérica.
2. Roles y Calidades de las Partes
La Empresa, Consultorio o Profesional Contratante (Responsable del Tratamiento): Conserva la titularidad y el control legal sobre las bases de datos de sus clientes y prospectos, determinando las finalidades y medios del tratamiento, y garantizando contar con la debida autorización de los titulares para su contacto a través de canales digitales.
Firby AI / Santiago Rubio Parra (Encargado del Tratamiento): Procesa los datos personales de manera exclusiva por cuenta y en beneficio del Responsable, para la operación técnica de los operadores digitales autónomos en la web, agendamiento de citas en Google Calendar y notificaciones privadas al contratante.
3. Obligaciones y Deberes de Firby como Encargado
En su calidad de Encargado del Tratamiento, Firby se compromete a:
- Procesar los datos únicamente bajo instrucciones del Responsable: Utilizar la información del contratante y sus clientes únicamente para prestar los servicios contratados dentro de la plataforma.
- Cero comercialización de datos: Firby nunca venderá, alquilará, cederá ni transferirá datos de clientes o historiales de conversación a terceras partes ni redes publicitarias.
- No utilización para entrenamiento público de modelos: Las conversaciones entre los visitantes y el operador de IA en la web se ejecutan en entornos aislados con estricta disociación de identidad y no se utilizan para el entrenamiento de modelos de acceso público.
- Garantizar el deber de confidencialidad: Obligar a todo el personal con acceso técnico a suscribir acuerdos vinculantes de reserva, secreto profesional y confidencialidad.
4. Medidas de Seguridad de Grado Empresarial
Cifrado robusto en tránsito y reposo: Todas las comunicaciones entre los usuarios en la web, los sistemas de mensajería ejecutiva y los servidores de Firby están aseguradas mediante protocolos TLS 1.3 con certificados SSL de alta seguridad. Los datos almacenados cuentan con cifrado criptográfico AES-256.
Seguridad financiera con Wompi (Bancolombia): Toda transacción o cobro de suscripción se realiza a través de la pasarela certificada Wompi (Bancolombia S.A.) bajo el estándar internacional PCI-DSS Nivel 1. Firby no almacena números de tarjeta ni códigos de seguridad CVV.
Aislamiento multi-tenant de bases de datos: Los datos de cada cuenta residen en esquemas aislados para garantizar que ninguna otra entidad o empresa tenga acceso a la agenda o clientes de terceros.
5. Subencargados Autorizados
El Responsable autoriza a Firby a contratar los siguientes subencargados estrictamente necesarios para la prestación del servicio:
- Infraestructura y Servidores en la Nube: Servidores en la nube de alta disponibilidad con redundancia y copias de seguridad continuas.
- Integración de Productividad y Agenda: Google Calendar API (Google Workspace) para la consulta de disponibilidad y confirmación de citas en tiempo real.
- Pasarela de Pagos y Recaudo: Wompi (Bancolombia S.A.) bajo certificación PCI-DSS Nivel 1 para cobros de suscripción en Pesos Colombianos (COP).
- Línea Privada de Notificaciones y Control: WhatsApp Cloud API (Meta) para la comunicación ejecutiva, reportes y alertas directas exclusivamente con el dueño o administrador del negocio.
6. Notificación de Incidentes de Seguridad
En el evento fortuito de presentarse una violación de seguridad, acceso no autorizado o incidente que comprometa datos personales de clientes o del contratante, Firby notificará al Responsable en un plazo máximo de 48 horas contadas a partir del momento en que tenga conocimiento confirmado del incidente, detallando la naturaleza del evento, las medidas correctivas adoptadas y los datos potencialmente afectados.
7. Devolución y Supresión de Datos al Terminar el Servicio
A la terminación o cancelación de la suscripción a Firby, el contratante tiene derecho a solicitar la exportación de sus registros de contactos y citas. Tras un período prudencial de gracia de treinta (30) días calendario para respaldos, Firby procederá al borrado seguro y definitivo de los datos de sus servidores de producción, salvo los registros contables que deban conservarse por disposición legal tributaria colombiana.
8. Canal de Atención de Seguridad y DPA
Para cualquier asunto relacionado con la seguridad de la información, auditorías técnicas o ejercicio de derechos en el marco de este acuerdo, el canal oficial es: [email protected].