Acuerdo de Tratamiento de Datos (DPA)

Anexo al contrato de servicios · Plantilla base

Última actualización: 2 de julio de 2026

Este documento es la plantilla base del Acuerdo de Tratamiento de Datos (DPA) que YabaCom S.R.L. firma como anexo al contrato de servicios con cada cliente empresarial cuando la prestación implica el tratamiento de datos personales de terceros (usuarios finales, leads, clientes, empleados o audiencias del cliente).

La versión aplicable, personalizada con los datos del cliente y el alcance específico de los servicios contratados, se firma por ambas partes al momento de la contratación. Para solicitar la plantilla editable, escríbenos a info@yabacom.do.

1. Partes

Encargado del tratamiento: YabaCom S.R.L., sociedad de responsabilidad limitada constituida bajo las leyes de la República Dominicana, RNC 132790537, con domicilio en Av. 9, Residencial Yinet I, El Dorado I, Santiago, República Dominicana (en adelante, "YabaCom" o el "Encargado").

Responsable del tratamiento: [Razón social del cliente], con RNC/identificación fiscal [•], domicilio [•], representada por [•] (en adelante, el "Cliente" o el "Responsable").

2. Objeto

Este Acuerdo regula el tratamiento de datos personales que YabaCom realiza por cuenta y por instrucciones documentadas del Cliente en el marco de los servicios contratados mediante contrato principal (en adelante, el "Contrato"). Este DPA forma parte integral del Contrato; en caso de conflicto respecto al tratamiento de datos personales, prevalece este DPA.

3. Definiciones

Datos personales: cualquier información concerniente a personas físicas identificadas o identificables tratada en virtud del Contrato.
Tratamiento: cualquier operación aplicada a datos personales (recolección, almacenamiento, uso, envío a plataformas, borrado, etc.).
Responsable del tratamiento: el Cliente, quien determina los fines y medios del tratamiento.
Encargado del tratamiento: YabaCom, quien trata los datos por cuenta del Responsable.
Sub-encargado: tercero contratado por YabaCom para prestar parte del servicio y que trata datos personales por cuenta de YabaCom (ej. Meta, Google, OpenAI, proveedores cloud).
Interesado: la persona física a la que se refieren los datos personales.
Brecha de seguridad: cualquier violación de seguridad que resulte en destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.
Normativa aplicable: Ley 172-13 sobre Protección de Datos de Carácter Personal de la República Dominicana y su reglamento; cuando aplique, Reglamento (UE) 2016/679 (GDPR) o normas equivalentes de la jurisdicción del Interesado.

4. Descripción del tratamiento

Aspecto	Detalle
Naturaleza del tratamiento	Configuración y operación de: chatbot conversacional (YabaBOT), bot de voz (YabaVOICE), campañas publicitarias en plataformas de terceros (Meta, Google, TikTok, LinkedIn), tracking de conversiones (Pixel, CAPI, GA4), gestión de audiencias personalizadas, envío de mensajes vía WhatsApp Business Platform, y servicios TI relacionados según el Contrato.
Finalidad del tratamiento	Prestar los servicios contratados por el Cliente conforme al Contrato principal.
Categorías de datos personales	Datos de identificación (nombre, email, teléfono), datos de contacto profesional, datos de interacción (mensajes, historial de conversación, comportamiento en la web/canales), datos de dispositivo (IP, cookies, user agent), datos de campaña (audiencias hasheadas), y otros que el Cliente determine expresamente en el Contrato o instrucciones documentadas.
Categorías de interesados	Usuarios finales del Cliente, leads, clientes actuales o potenciales del Cliente, visitantes del sitio web del Cliente, y audiencias comerciales identificadas por el Cliente.
Duración del tratamiento	Mientras dure la relación contractual, más los plazos de retención legalmente exigibles (típicamente 10 años por obligaciones fiscales RD respecto a datos contractuales del Cliente; datos operativos según lo pactado).
Categorías especiales de datos	Salvo pacto expreso y por escrito, YabaCom no trata categorías especiales (salud, orientación política, creencias religiosas, biometría, etc.). Si el servicio contratado las involucra, se firma un anexo específico con medidas reforzadas.

5. Obligaciones del Encargado (YabaCom)

YabaCom se obliga a:

Tratar los datos personales únicamente conforme a las instrucciones documentadas del Cliente, incluidas las contenidas en el Contrato y este DPA;
Garantizar que su personal que accede a los datos personales está sujeto a obligaciones de confidencialidad;
Adoptar las medidas técnicas y organizativas apropiadas descritas en el Anexo A de este DPA;
Asistir al Cliente, en la medida de lo posible, mediante medidas técnicas y organizativas apropiadas para responder a solicitudes de los Interesados (acceso, rectificación, supresión, oposición, portabilidad);
Notificar al Cliente cualquier brecha de seguridad que afecte datos personales tratados en virtud del Contrato en un plazo máximo de 72 horas tras haber tenido conocimiento de la misma, con la información razonablemente disponible;
Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir auditorías conforme a la Sección 12;
A elección del Cliente, devolver o suprimir los datos personales tras el fin de la prestación de los servicios, salvo obligación legal de conservación.

6. Obligaciones del Responsable (Cliente)

El Cliente declara, garantiza y se obliga a:

Ser el responsable único de determinar los fines y medios del tratamiento;
Haber obtenido y mantener bases legales válidas (consentimiento, ejecución contractual, interés legítimo u otra) para el tratamiento de los datos personales que aporta a YabaCom o autoriza a tratar;
Informar adecuadamente a los Interesados sobre el tratamiento de sus datos, incluyendo la existencia de encargados (YabaCom) y sub-encargados;
Cumplir con las políticas y términos de las plataformas de terceros en cuyos activos YabaCom presta servicios (incluidas, entre otras, Meta Business Tools Terms, políticas publicitarias, WhatsApp Business Policy, Términos de Google Ads);
Instruir a YabaCom por escrito respecto a cualquier tratamiento distinto de lo estipulado en el Contrato;
Colaborar con YabaCom en la atención de solicitudes de Interesados, autoridades de control, y en investigaciones de incidentes.

7. Sub-encargados

El Cliente autoriza expresamente a YabaCom para contratar los sub-encargados listados en el Anexo B de este DPA, incluidos, entre otros: Meta Platforms Inc., Google LLC, OpenAI L.L.C., Anthropic PBC, TikTok Ltd., proveedores de infraestructura cloud (AWS, GCP, Azure, Hetzner, DigitalOcean), pasarelas de pago, y proveedores de comunicaciones.

YabaCom garantiza que cualquier sub-encargado que trate datos personales por cuenta del Cliente está vinculado por obligaciones contractuales equivalentes a las de este DPA. YabaCom notificará al Cliente con al menos 30 días de antelación la incorporación o sustitución de sub-encargados; el Cliente podrá oponerse por motivos razonables, en cuyo caso las partes negociarán de buena fe. Ante imposibilidad de acuerdo, cualquiera podrá terminar el Contrato sin penalidad respecto al servicio afectado.

8. Confidencialidad

YabaCom y su personal se obligan a guardar estricta confidencialidad sobre los datos personales tratados por cuenta del Cliente, obligación que persiste tras la terminación del Contrato.

9. Seguridad de los datos

YabaCom aplica las medidas técnicas y organizativas descritas en el Anexo A, que incluyen, entre otras: cifrado en tránsito y en reposo, autenticación multifactor para accesos administrativos, control de accesos por rol, registro de actividades (audit logs), respaldos cifrados, segregación de entornos, pruebas periódicas de seguridad, capacitación del personal, y política de gestión de incidentes.

10. Transferencias internacionales

El Cliente reconoce que la prestación de los servicios implica transferencia de datos personales fuera del territorio dominicano hacia los Estados Unidos y otras jurisdicciones donde operan los sub-encargados (principalmente EE.UU., Unión Europea, Irlanda, Reino Unido). YabaCom garantiza que dichas transferencias se realizan bajo garantías adecuadas: cláusulas contractuales tipo aprobadas por autoridades de control, adhesión al marco Data Privacy Framework (donde aplique), y demás mecanismos previstos en la normativa aplicable.

11. Notificación de brechas de seguridad

YabaCom notificará al Cliente sin demoras indebidas — y en cualquier caso dentro de 72 horas tras el conocimiento del incidente — cualquier brecha de seguridad que afecte datos personales tratados por cuenta del Cliente, incluyendo:

Descripción de la naturaleza de la brecha y categorías/número aproximado de Interesados y registros afectados;
Consecuencias probables;
Medidas adoptadas o propuestas para hacer frente a la brecha y mitigar los efectos;
Datos de contacto para más información.

La obligación de notificar a la autoridad de control (DGIC en RD, autoridades equivalentes en otras jurisdicciones) y a los Interesados corresponde al Cliente como Responsable del tratamiento, con la asistencia razonable de YabaCom.

12. Auditoría

El Cliente podrá solicitar auditorías del cumplimiento de este DPA con un preaviso mínimo de 30 días, en horario laboral, hasta una vez por año calendario, salvo requerimiento de autoridad o incidente que la justifique. La auditoría se realizará por el Cliente o un auditor independiente sujeto a confidencialidad, con costos a cargo del Cliente salvo hallazgo de incumplimiento material atribuible a YabaCom.

YabaCom podrá cumplir esta obligación proporcionando reportes de auditorías realizadas por terceros de reconocido prestigio (SOC 2, ISO 27001) sobre sub-encargados relevantes.

13. Retorno y supresión de datos al término

A la terminación del Contrato por cualquier causa, YabaCom, a elección del Cliente:

Devolverá al Cliente los datos personales en formato electrónico estándar; o
Suprimirá los datos personales y cualquier copia existente en sus sistemas y los de sus sub-encargados;

salvo obligación legal de conservación, en cuyo caso YabaCom notificará el hecho y limitará el tratamiento a lo estrictamente necesario para dicho fin. La supresión será certificada por escrito a solicitud del Cliente.

14. Responsabilidad e indemnización

Cada parte responderá por los incumplimientos de este DPA que le sean directamente atribuibles conforme a la normativa aplicable. La responsabilidad respecto a sanciones impuestas por autoridades de control se distribuirá según la parte cuya conducta haya generado la infracción.

El Cliente indemnizará a YabaCom por reclamos, sanciones o pérdidas derivadas de: (a) datos aportados por el Cliente sin base legal válida o con violación a los términos de plataformas de terceros; (b) uso de los servicios para fines distintos de los pactados; (c) incumplimiento por el Cliente de sus obligaciones bajo este DPA. La responsabilidad de YabaCom respecto al Contrato principal se rige por los límites allí pactados.

15. Duración y terminación

Este DPA entra en vigor con la firma del Contrato principal y permanece vigente mientras YabaCom trate datos personales por cuenta del Cliente. Las obligaciones que por su naturaleza deban subsistir tras la terminación (confidencialidad, retorno/supresión, notificación de brechas relativas al período de vigencia) permanecerán vigentes.

16. Ley aplicable y jurisdicción

Este DPA se rige por las leyes de la República Dominicana, en particular la Ley 172-13. Las controversias se someterán a los tribunales competentes de Santiago de los Caballeros, República Dominicana, salvo pacto en contrario en el Contrato principal.

Anexo A — Medidas técnicas y organizativas

Control de acceso: autenticación multifactor obligatoria para todo acceso administrativo, gestión centralizada de identidades, principio de mínimo privilegio, revocación inmediata de accesos al cese laboral.
Cifrado: TLS 1.2+ en tránsito, AES-256 en reposo para bases de datos y respaldos, gestión de llaves con rotación periódica.
Segregación: entornos separados para desarrollo, staging y producción; segmentación de red por función.
Registros y monitoreo: logs de acceso y actividad conservados con integridad, alertas automatizadas ante patrones anómalos.
Respaldos: respaldos automáticos cifrados con retención definida, pruebas periódicas de restauración.
Gestión de incidentes: plan documentado, procedimiento de notificación en 72 h, escalamiento a asesor legal cuando aplique.
Capacitación: formación anual del personal en protección de datos, cláusulas de confidencialidad en contratos laborales.
Continuidad: infraestructura con alta disponibilidad, RPO y RTO definidos por servicio.
Evaluación: revisión anual de medidas de seguridad y proveedores.

Anexo B — Lista de sub-encargados

Sub-encargado	Servicio	Ubicación
Meta Platforms Inc.	Ads (Facebook/Instagram), Pixel, CAPI, WhatsApp Business Platform, Custom Audiences	EE.UU. · Irlanda
Google LLC	Ads, Analytics (GA4), Tag Manager, Merchant Center, Workspace	EE.UU.
OpenAI L.L.C.	Modelos de lenguaje para YabaBOT y YabaVOICE	EE.UU.
Anthropic PBC	Modelos de lenguaje (Claude) para procesamiento	EE.UU.
TikTok Ltd.	Ads en TikTok, Pixel	EE.UU. · Irlanda · Singapur
Chatwoot Inc.	Plataforma de gestión omnicanal (autoalojado en infraestructura Yabacom)	Infraestructura RD/EU
n8n GmbH	Orquestación de flujos (autoalojado en infraestructura Yabacom)	Infraestructura RD/EU
Proveedores de infraestructura cloud	Hospedaje y cómputo (Hetzner, AWS, GCP, Azure según servicio)	EU · EE.UU.
Pasarelas de pago	Cuando aplique al servicio contratado (Stripe, Azul, u otros)	EE.UU. · RD

Esta lista se mantiene actualizada. Las modificaciones se notifican al Cliente conforme a la Sección 7.

Firma

Las partes suscriben este DPA en dos ejemplares originales de igual valor legal, en la fecha indicada al pie:

Por YabaCom S.R.L.

Nombre · Cargo · Fecha

Por el Cliente

Nombre · Cargo · Fecha

Solicitar la plantilla editable