cleo
Empezar

Acuerdo de Tratamiento de Datos de Cleo

Fecha de entrada en vigor: 26 de octubre de 2026

Este Acuerdo de Tratamiento de Datos (el "Acuerdo") forma parte de los Términos y Condiciones de Servicio de Cleo (los "Términos") entre Ova Performance LLC, una sociedad de responsabilidad limitada de Wyoming, Estados Unidos, con domicilio en 30 N Gould St, Sheridan, WY 82801, que opera bajo el nombre "Cleo" ("Cleo"), y el cliente que acepta los Términos (el "Cliente").

Se aplica automáticamente cuando el Cliente acepta los Términos. Si el Cliente lo necesita firmado, puede pedirlo a hello@cleodesk.com.

La versión en inglés es la oficial. Esta versión en español es una traducción.

1. Definiciones

Las palabras con mayúscula que no se definen aquí tienen el significado de los Términos.

  • Datos Personales del Cliente: cualquier información sobre una persona identificada o identificable que Cleo trata en nombre del Cliente al dar el Servicio. Por ejemplo, el nombre, número o mensajes de quien llama o escribe al negocio del Cliente.
  • Leyes de Protección de Datos: todas las leyes de privacidad y protección de datos que se aplican al tratamiento de los Datos Personales del Cliente, incluidas, cuando correspondan, el Reglamento General de Protección de Datos de la UE (RGPD), su versión del Reino Unido, la ley suiza de protección de datos, la Ley de Privacidad del Consumidor de California (CCPA) con sus reformas (CPRA) y leyes estatales similares de EE. UU.
  • Responsable: quien decide para qué y cómo se tratan los datos. Aquí, el Cliente.
  • Encargado: quien trata los datos en nombre del responsable. Aquí, Cleo. Bajo la ley de California, Cleo es un "proveedor de servicios" (service provider).
  • Subencargado: un proveedor que Cleo contrata y que trata Datos Personales del Cliente.
  • Incidente de Seguridad: una violación de la seguridad que causa la destrucción, pérdida, alteración, revelación o acceso no autorizado, accidental o ilegal, a Datos Personales del Cliente.
  • Cláusulas Contractuales Tipo (CCT): las cláusulas aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, de 4 de junio de 2021.

2. Alcance y papeles

2.1. Este Acuerdo se aplica solo a los Datos Personales del Cliente. No se aplica a los datos que Cleo trata como responsable, como los datos de la cuenta del Cliente, los cobros o la seguridad del Servicio; esos se rigen por la Política de Privacidad de Cleo.

2.2. El Cliente es el responsable y Cleo es el encargado. Si el Cliente actúa a su vez como encargado de otro responsable, Cleo es su subencargado, y el Cliente garantiza que tiene la autorización de ese responsable.

2.3. Los detalles del tratamiento (qué datos, de quién, para qué y por cuánto tiempo) están en el Anexo 1.

3. Obligaciones del Cliente

3.1. El Cliente es responsable de tener una base legal para que Cleo trate los Datos Personales del Cliente, y de dar a las personas los avisos y obtener los consentimientos que exija la ley. Esto incluye el aviso de que habla una IA, el aviso y consentimiento de grabación de llamadas y el consentimiento para recibir mensajes de texto, como explica la sección 12 de los Términos.

3.2. Las instrucciones del Cliente deben cumplir la ley. El Cliente no debe enviar a Cleo categorías especiales de datos ni información de salud protegida por HIPAA, salvo lo que las personas digan por su cuenta durante una conversación.

4. Obligaciones de Cleo

4.1. Solo con instrucciones. Cleo trata los Datos Personales del Cliente solo según las instrucciones documentadas del Cliente. Los Términos, este Acuerdo, la configuración que el Cliente elige en el Servicio y sus solicitudes escritas razonables son esas instrucciones. Si la ley obliga a Cleo a tratar datos de otra forma, avisará al Cliente antes, salvo que la ley lo prohíba.

4.2. Aviso de instrucciones ilegales. Si Cleo cree que una instrucción viola las Leyes de Protección de Datos, se lo dirá al Cliente y podrá no seguirla hasta que el Cliente la confirme o la cambie.

4.3. Compromisos de California. Cleo no:

  • vende ni "comparte" (para publicidad conductual entre contextos) los Datos Personales del Cliente;
  • los guarda, usa o revela para ningún fin distinto al de dar el Servicio al Cliente, ni fuera de su relación directa con el Cliente;
  • los combina con datos personales que recibe de otras personas o que recopila por su cuenta, salvo lo que la ley permita a un proveedor de servicios.

Cleo cumplirá las obligaciones que la CCPA impone a los proveedores de servicios, avisará al Cliente si ya no puede cumplirlas y permite al Cliente tomar medidas razonables para detener un uso no autorizado.

4.4. Mejora de modelos. Cleo solo usa Datos Personales del Cliente para entrenar sus propios modelos si un dueño de la cuenta enciende la opción "Ayudar a mejorar los modelos de Cleo", que viene apagada, y siempre después de quitar los datos personales. Cleo no permite que sus proveedores de IA entrenen sus modelos con los Datos Personales del Cliente.

4.5. Confidencialidad. Cleo se asegura de que las personas que pueden acceder a los Datos Personales del Cliente tengan una obligación de confidencialidad y accedan solo cuando sea necesario para dar el Servicio, dar soporte que el Cliente pidió, investigar seguridad o abuso, o cumplir la ley.

5. Seguridad

5.1. Cleo aplica medidas técnicas y organizativas adecuadas al riesgo para proteger los Datos Personales del Cliente. Las medidas actuales están en el Anexo 2.

5.2. Cleo puede actualizar esas medidas, siempre que no reduzcan de forma importante el nivel general de protección.

6. Subencargados

6.1. Autorización general. El Cliente autoriza a Cleo a contratar subencargados. Los tipos de subencargados están en la Política de Privacidad de Cleo, y la lista con nombres está en el Anexo 3, que Cleo entrega al Cliente que la pida.

6.2. Contratos. Cleo firma con cada subencargado un contrato con obligaciones de protección de datos que no son menos protectoras que las de este Acuerdo, en lo que aplique a su servicio.

6.3. Cambios. Cleo avisará al Cliente por correo o dentro del Servicio al menos 30 días antes de agregar o cambiar un subencargado. En una emergencia (por ejemplo, para mantener el Servicio funcionando si un proveedor falla), Cleo puede hacer el cambio antes y avisará lo antes posible.

6.4. Oposición. El Cliente puede oponerse a un nuevo subencargado por escrito, con motivos razonables de protección de datos, dentro de esos 30 días. Las partes buscarán de buena fe una solución. Si no la hay, el Cliente puede cancelar la parte del Servicio afectada, y Cleo le devolverá lo pagado por adelantado por esa parte y no usado.

6.5. Responsabilidad. Cleo responde ante el Cliente por el cumplimiento de sus subencargados, dentro de los límites de los Términos.

6.6. Servicios que conecta el Cliente. Google, Microsoft, Meta y otros servicios que el Cliente decide conectar no son subencargados de Cleo. Son servicios del Cliente, que se rigen por sus propios términos.

7. Derechos de las personas

7.1. Teniendo en cuenta el tipo de tratamiento, Cleo ayudará al Cliente, con medidas técnicas y organizativas razonables, a responder solicitudes de las personas para acceder, corregir, borrar, limitar, oponerse o llevarse sus datos. El Servicio ya permite al Cliente buscar, exportar, corregir y borrar datos por su cuenta.

7.2. Si una persona contacta directamente a Cleo sobre datos que trata para el Cliente, Cleo le dirá que contacte al Cliente o pasará la solicitud al Cliente. Cleo no contestará la solicitud por su cuenta salvo que el Cliente lo autorice o la ley lo exija.

8. Incidentes de seguridad

8.1. Cleo avisará al Cliente sin demora indebida, y en lo posible dentro de las 72 horas, después de confirmar un Incidente de Seguridad que afecte Datos Personales del Cliente.

8.2. El aviso incluirá, en la medida en que Cleo lo sepa: qué pasó, qué tipos y cantidad aproximada de datos y personas se afectaron, las consecuencias probables, lo que Cleo hizo o hará para corregirlo y un contacto. Si no tiene toda la información de inmediato, Cleo la dará por partes.

8.3. Cleo tomará medidas razonables para contener el incidente y reducir sus efectos.

8.4. El aviso de Cleo no significa que Cleo admita culpa.

8.5. El Cliente es responsable de avisar a las autoridades y a las personas cuando la ley lo exija. Cleo le dará la información razonable que tenga para hacerlo.

9. Evaluaciones de impacto y consultas

Cleo dará al Cliente la información razonable que tenga sobre el Servicio para que el Cliente haga evaluaciones de impacto de protección de datos o consultas previas con una autoridad, cuando la ley lo exija.

10. Borrado y devolución de datos

10.1. Mientras la cuenta esté activa, el Cliente puede exportar y borrar sus datos desde el Servicio.

10.2. Cuando un dueño elimina la cuenta, el negocio se puede restaurar durante 30 días. Después, Cleo borra definitivamente los Datos Personales del Cliente de sus sistemas activos.

10.3. Las copias en el historial de restauración de la base de datos se borran cuando ese historial expira, en un máximo de 30 días. Las copias que guardan los subencargados se borran según sus propios plazos, descritos en la Política de Privacidad. Mientras tanto siguen protegidas por este Acuerdo y no se usan para nada más.

10.4. Cleo puede conservar datos que la ley le obligue a guardar, como registros de cobros o fiscales, y solo para ese fin.

11. Auditorías e información

11.1. Cleo dará al Cliente, si lo pide, la información razonable necesaria para demostrar que cumple este Acuerdo.

11.2. Una vez al año, a pedido del Cliente, Cleo contestará un cuestionario de seguridad razonable y dará un resumen escrito de sus medidas de seguridad. La información que Cleo dé es confidencial.

11.3. No se hacen auditorías presenciales ni accesos a los sistemas de Cleo, salvo que una autoridad de protección de datos lo exija o que las CCT lo exijan y la información anterior no sea suficiente. En ese caso: (a) el Cliente avisa con al menos 30 días; (b) se acuerda el alcance antes; (c) se hace en horario laboral, sin afectar el Servicio ni los datos de otros clientes; (d) lo hace el Cliente o un auditor independiente con obligación de confidencialidad; (e) no más de una vez al año, salvo después de un Incidente de Seguridad; y (f) el costo lo paga el Cliente.

12. Transferencias internacionales

12.1. Cleo y la mayoría de sus subencargados están en Estados Unidos. El Cliente autoriza que los Datos Personales del Cliente se traten en Estados Unidos y en los países donde operan los subencargados.

12.2. Datos del EEE. Cuando la transferencia de Datos Personales del Cliente desde el Espacio Económico Europeo a Cleo requiera un mecanismo de transferencia, se aplican las CCT, que se incorporan a este Acuerdo así: el Módulo 2 (de responsable a encargado) cuando el Cliente es responsable, y el Módulo 3 (de encargado a encargado) cuando el Cliente es encargado. Para las CCT:

  • se aplica la opción de la cláusula 7 (cláusula de adhesión);
  • en la cláusula 9, se aplica la opción 2 (autorización general), con el aviso de 30 días de la sección 6.3;
  • no se aplica la opción de la cláusula 11;
  • en la cláusula 13, la autoridad de control es la del Estado miembro donde está el Cliente o su representante;
  • en las cláusulas 17 y 18, se aplica la ley de Irlanda y son competentes los tribunales de Irlanda;
  • los anexos de las CCT se completan con los Anexos 1, 2 y 3 de este Acuerdo.

12.3. Datos del Reino Unido. Se aplica la Adenda de Transferencia Internacional de Datos a las CCT emitida por la Oficina del Comisionado de Información del Reino Unido (ICO), con la información de este Acuerdo.

12.4. Datos de Suiza. Se aplican las CCT con los cambios necesarios para la ley suiza: la autoridad es el Comisionado Federal de Protección de Datos e Información, y las referencias a "Estado miembro" incluyen Suiza.

12.5. Si Cleo se certifica en el Marco de Privacidad de Datos UE-EE. UU. o en otro mecanismo válido, podrá usarlo en lugar de las CCT.

12.6. Si hay contradicción entre las CCT y este Acuerdo, prevalecen las CCT.

13. Responsabilidad

La responsabilidad de cada parte bajo este Acuerdo está sujeta a los límites de la sección 20 de los Términos, salvo lo que las Leyes de Protección de Datos o las CCT no permitan limitar.

14. Duración

Este Acuerdo dura mientras Cleo trate Datos Personales del Cliente y termina cuando Cleo los haya borrado como explica la sección 10.

15. Ley aplicable

Salvo lo que digan las CCT, este Acuerdo se rige por las mismas leyes y se resuelve con el mismo procedimiento que los Términos (ley de Wyoming y arbitraje de la AAA).

16. Orden de prioridad

Si hay contradicción, se aplica primero las CCT (cuando correspondan), luego este Acuerdo y luego los Términos.

Anexo 1. Detalles del tratamiento

Partes: el Cliente (responsable o encargado) y Cleo (encargado o subencargado), con los datos de contacto de los Términos y de la cuenta del Cliente.

Personas cuyos datos se tratan:

  • clientes y posibles clientes del negocio del Cliente que llaman, envían textos, correos o mensajes por WhatsApp, Messenger o Instagram;
  • personas que llenan formularios de anuncios del Cliente;
  • miembros del equipo del Cliente que reciben llamadas transferidas.

Tipos de datos:

  • números de teléfono, nombres, correos, usuarios o identificadores de Meta;
  • contenido de llamadas (audio en el momento y transcripción), textos, correos, mensajes y archivos;
  • citas, solicitudes, direcciones y notas que resultan de la conversación;
  • datos técnicos de entrega (fechas, estados, identificadores de mensajes).

Datos sensibles: no se buscan. Pueden aparecer si una persona los dice por su cuenta.

Grabaciones: el proveedor de voz guarda el audio y la transcripción de las llamadas que contesta Cleo hasta 2 años. Las grabaciones de llamadas transferidas se borran del proveedor de telefonía en cuanto se transcriben.

Para qué se tratan: contestar llamadas y mensajes en nombre del Cliente, agendar citas, registrar contactos y clientes potenciales, resumir conversaciones, avisar al equipo del Cliente, enviar las respuestas que el Cliente o su agente de Cleo aprueban y las demás funciones del Servicio que el Cliente active.

Cómo se tratan: se reciben, guardan, organizan, transcriben, analizan con IA para producir respuestas, se muestran al equipo del Cliente y se borran.

Frecuencia: continua, mientras el Cliente use el Servicio.

Cuánto tiempo: mientras la cuenta esté activa, más los plazos de la sección 10 y de la Política de Privacidad.

Anexo 2. Medidas de seguridad

  • Cifrado en tránsito: todo el tráfico viaja por HTTPS y TLS, incluida la conexión IMAP con Gmail.
  • Cifrado en reposo: la base de datos cifra los datos guardados. Además, las credenciales de cuentas conectadas, las contraseñas de aplicación y los secretos de la verificación en dos pasos se cifran a nivel de aplicación.
  • Contraseñas: se guardan solo como códigos cifrados de un solo sentido.
  • Aislamiento: los datos de cada cliente están separados de los de otros clientes.
  • Acceso del personal: limitado a quien lo necesita, con registro de accesos. El panel interno de operación solo se abre desde dispositivos autorizados, detrás de un control de acceso con código por correo y llave de acceso (passkey) o app de autenticación, y pide una verificación adicional para las acciones delicadas.
  • Autenticación de clientes: verificación en dos pasos disponible, límites de intentos y registro de inicios de sesión.
  • Protección contra abuso: límites de velocidad y verificación de firmas en las conexiones que reciben datos de proveedores (por ejemplo, Meta y el proveedor de telefonía).
  • Minimización: grabaciones de transferencias borradas después de transcribirse; datos personales quitados antes de cualquier entrenamiento de modelos propios.
  • Proveedores: todos los subencargados están bajo contrato con obligaciones de protección de datos.
  • Monitoreo: informes de errores y revisiones automáticas del estado de los proveedores.
  • Respuesta a incidentes: proceso para investigar, contener y avisar, según la sección 8.

Anexo 3. Subencargados

La Política de Privacidad describe los tipos de subencargados. La lista con nombres no es pública: se entrega al Cliente que la pida a hello@cleodesk.com.

Firmas (solo si el Cliente pide una versión firmada)

Ova Performance LLC (Cleo)
Nombre: ______________________
Cargo: ______________________
Fecha: ______________________

Cliente: ______________________
Nombre: ______________________
Cargo: ______________________
Fecha: ______________________