Acuerdo de tratamiento de datos

Entre Feedback Studios LLC, 5006 Southwest 154th Court, Miami, Florida 33185, United States (“Feedback Studios” o “nosotros”), y el cliente indicado en la propuesta o el contrato de servicios que remite a este acuerdo (“el Cliente” o “tú”).

1. Qué cubre

Este acuerdo se aplica cuando firmas con nosotros una propuesta o un contrato de servicios que remite a él. “Los Servicios” son los servicios de esa propuesta o ese contrato de servicios. Este acuerdo cubre la información personal que recopilamos, recibimos, guardamos o enviamos por ti al prestar los Servicios: la de los visitantes de tu sitio web, tus contactos, tus clientes y las personas que te llaman.

Si este acuerdo contradice esa propuesta o ese contrato de servicios, este acuerdo prevalece respecto de la información personal. Un acuerdo de socio comercial (business associate agreement) firmado prevalece sobre ambos respecto de la información de salud protegida.

2. Quién decide

Tú decides para qué se trata esta información. Nosotros la tratamos solo en tu nombre y según tus instrucciones documentadas, que son los Servicios y cualquier cosa que nos pidas por escrito. Según la ley de California, somos tu proveedor de servicios y contratista. Según la ley My Health My Data de Washington y otras leyes similares, somos tu encargado del tratamiento. Según la Ley de Protección de la Información de Florida (Florida Information Protection Act), somos tu agente externo (third-party agent).

3. Qué tratamos y para qué

Personas	Información	Finalidad
Visitantes de tus sitios	Un ID de visitante aleatorio. El anuncio, el enlace o el sitio que los trajo. Las páginas de destino. Los clics en tus enlaces de teléfono y de WhatsApp. Los datos enviados en los formularios de contacto que indiques, que el servidor de tu sitio web nos pasa después de recibirlos.	Saber qué anuncios y qué páginas te traen contactos.
Contactos	Nombre, correo, teléfono, empresa, mensaje. Sus decisiones de consentimiento. El origen del contacto.	Entregarte los contactos y hacer el seguimiento que nos pidas.
Personas que llaman a números con seguimiento	Número que llama, hora, duración, resultado. Grabaciones y transcripciones donde activaste la grabación.	Dirigir las llamadas, responder por mensaje de texto y atribuir la llamada según el número marcado. Obtener el resumen, las etiquetas y la puntuación de calidad de la llamada a partir de su transcripción.
Tus clientes, cuando marcas un contacto como agendado o ganado	El estado y el valor que registras.	Hacer informes y enviar conversiones a tus cuentas de publicidad.

La “propiedad web de una clínica” es el sitio, el formulario o el número de un cliente que presta atención médica. En ella, de los formularios solo recopilamos nombre, correo y teléfono. Allí guardamos la página de destino solo como la página de inicio del sitio, salvo que indiques páginas neutras. Allí no guardamos el texto de las campañas, no grabamos llamadas y no guardamos texto libre sobre la salud de nadie.

4. Lo que prometemos

Solo para tus fines. Usamos la información solo para prestarte los Servicios. No la vendemos, no la compartimos para nuestra propia publicidad, no la combinamos con datos de otros clientes y no la usamos para ningún fin propio. Guardamos tus datos separados de los de otros clientes, y nuestro personal solo los lee para prestar los Servicios.
Solo las cuentas de publicidad que elijas. Las conversiones van solo a las cuentas de publicidad y conjuntos de datos que autorices, solo con el consentimiento que exige la ley. Llevan números de teléfono solo cuando lo pidas por escrito para un sitio y cada contacto haya marcado la casilla propia que lo permite. Van solo a tus propias cuentas de publicidad y nunca con la aceptación de ninguna persona de recibir mensajes de texto. No llevan dirección IP ni datos del navegador. Nunca se envían conversiones de visitantes que usaron la señal Global Privacy Control.
Personas obligadas a la confidencialidad. Solo puede acceder a tus datos nuestro personal que los necesita para los Servicios. Lo hace con deberes de confidencialidad, con acceso según la función de cada persona y con inicio de sesión en dos pasos para cualquier persona con acceso administrativo.
Seguridad. Cifrado en tránsito y de las credenciales que guardamos, control de acceso, un registro de auditoría, copias de seguridad cifradas y las medidas del Anexo B.
Nuestros proveedores. Usamos los proveedores del Anexo A. Te avisamos 30 días antes de agregar uno; puedes oponerte y, si no podemos resolverlo, puedes poner fin al Servicio afectado. Cada proveedor está obligado a protecciones no menos estrictas que estas.
Solicitudes de las personas. Alguien puede pedirte ver, corregir o borrar su información. Te damos la ayuda que necesitas para responder en un plazo de 10 días desde que nos la pides.
Filtraciones. Te avisamos sin demora indebida, y a más tardar 10 días después de que determinemos que ocurrió una filtración de tus datos. El aviso dice lo que pasó, de quién son los datos y lo que estamos haciendo.
Mensajes en tu nombre. Los mensajes de texto y de WhatsApp que enviamos por ti usan tu marca, tu campaña aprobada y tus plantillas. Las solicitudes de baja se respetan de inmediato y quedan en tu lista de exclusión.
Cuando terminamos. En los 30 días siguientes al fin de los Servicios, borramos tus datos o te los devolvemos, según elijas. Solo guardamos los registros que prueban los consentimientos y las solicitudes de baja, y lo que un reclamo legal o una investigación nos exija guardar, hasta que termine. Guardamos los registros de consentimientos y de solicitudes de baja 5 años desde el último mensaje enviado con ellos o desde su revocación, lo que ocurra más tarde. Guardamos una solicitud de baja hasta que la persona vuelva a aceptar, y al menos 5 años. Una vez borrado el resto, esos registros guardan el número o el correo codificados.
Pruebas. Una vez al año, con un aviso previo de 30 días, respondemos tus preguntas escritas sobre cómo cumplimos este acuerdo y te mostramos los registros que lo prueban.
Si no podemos cumplir. Te avisamos si creemos que una instrucción infringe la ley, o si ya no podemos cumplir este acuerdo. En ese caso, puedes detener el tratamiento afectado.

5. Lo que tú prometes

Tus avisos. Tu política de privacidad informa sobre nuestra herramienta de seguimiento y las plataformas de publicidad que usas, con el párrafo que te damos o uno mejor. Cuando se graban las llamadas a tus números con seguimiento, también dice que tú las grabas con tus proveedores de servicios, que somos nosotros y los nuestros del Anexo A. Lo dice porque el aviso breve que oyen quienes llaman no dice quién graba. Tus páginas muestran nuestro aviso de pie de página. Tus formularios de contacto nos pasan sus datos desde el servidor de tu sitio web. Lo hacen con el reenvío de nuestro plugin de WordPress o con el webhook de tu herramienta de formularios. Cuando tu sitio no puede hacer ninguna de las dos cosas, tus formularios muestran nuestro aviso de formulario, que nombra a Feedback Studios, justo encima del botón de envío. Entiendes que un aviso no es consentimiento según las leyes de California y de Florida sobre interceptación de comunicaciones. En una propiedad web que recibe visitantes de California, eliges por escrito entre la solicitud de consentimiento previo y aceptar ese riesgo.
Tus casillas de consentimiento. Los mensajes de texto y de WhatsApp van solo a personas que marcaron tu casilla, con el texto que te damos, y confirmaron con SÍ. Nunca nos das una lista de números o direcciones a los que enviar mensajes sin ese consentimiento. Nunca haces que una oferta, una cotización o una cita dependan de marcar una casilla, y nunca editas un texto de consentimiento ni un aviso; nosotros los cambiamos por ti.
Tu registro. Los datos de tu negocio que das para tu marca y tu campaña de A2P 10DLC son verdaderos.
Tu personal. Le informas a tu personal que las llamadas a tus números con seguimiento que tienen la grabación activada se graban, se transcriben y se analizan con IA. Le dices que lo hacen tú y tus proveedores de servicios (nosotros y los nuestros del Anexo A) para atender cada llamada y revisar su calidad. También le dices que quienes llaman oyen primero un aviso breve, en el idioma del número.
Atención médica. En el Anexo C nos dices si facturas a alguna aseguradora de salud o plan de salud, en papel o de forma electrónica. También nos dices allí si tus anuncios u ofertas llegan a personas en Washington, Nevada o Connecticut, y si eres un profesional de la salud con licencia en Florida. Puede que factures a alguna aseguradora de salud o a algún plan de salud, o que dejes esa pregunta sin responder. En ese caso no nos llega ningún contacto ni ninguna llamada tuya en forma identificable: van directamente a tus propios sistemas, y nuestros informes se basan en recuentos; eso solo cambia si antes se firma un acuerdo de socio comercial.
Listas de pacientes. No nos das listas de pacientes para públicos, campañas o mensajes, salvo que cada paciente haya firmado un consentimiento por escrito que permita ese uso. Si eres una entidad cubierta, cada paciente también debe haber firmado una autorización HIPAA que mencione ese uso.
Tu contenido. Eres responsable de las ofertas y afirmaciones que apruebas en anuncios y mensajes.
Washington, Nevada y Connecticut. Si tus servicios de salud llegan a esos estados, publicas la política de datos de salud del consumidor que exigen sus leyes. La enlazas desde tu página de inicio. Nosotros te decimos lo que nuestro tratamiento le añade.

6. Responsabilidad

Cada parte responde de sus propios incumplimientos de este acuerdo y de las leyes que se le aplican. Cada parte defiende e indemniza a la otra frente a reclamos de terceros, incluidos los reclamos de autoridades reguladoras y las demandas colectivas, en la medida en que surjan de: en el caso de Feedback Studios, el comportamiento de su herramienta de seguimiento y de su capa de envío, los textos de consentimiento y avisos que redacta, y su incumplimiento de la sección 4; en tu caso, tus formularios, ofertas y contenido, cualquier cambio que hagas a nuestros textos o avisos, tu elección según la sección 5.1, y tu incumplimiento de la sección 5. La responsabilidad total de cada parte en virtud de este acuerdo, incluidas estas obligaciones de defensa e indemnización, tiene como límite los honorarios que nos pagaste en los 12 meses anteriores al hecho que dio origen a la responsabilidad. Este límite no se aplica al fraude, la negligencia grave o la conducta dolosa, ni a la responsabilidad que la ley no permite limitar. Cada parte mantiene un seguro que cubre estos reclamos, o le informa a la otra por escrito que no lo tiene.

7. Disposiciones generales

Este acuerdo dura lo mismo que los Servicios, y las secciones 4.9, 5 y 6 siguen vigentes después de que termine. Lo rige la ley de Florida; las disputas las resuelven los tribunales del Condado de Miami-Dade, Florida. Este acuerdo se publica en inglés y en español; si las dos versiones difieren, prevalece la versión en inglés.

Anexo A: nuestros proveedores

Proveedor	Qué hace con tus datos	Dónde
IONOS	Aloja Feedback OS, que transcribe las llamadas grabadas, y nuestro correo.	Estados Unidos; Feedback OS y sus bases de datos, en el área de Kansas City
Twilio	Números con seguimiento, llamadas, grabaciones, mensajes de texto.	Estados Unidos
Meta	Mensajes de WhatsApp en tu nombre, a través de la plataforma WhatsApp Business de Meta. Conversiones a tus conjuntos de datos de Meta, cuando las activas.	Estados Unidos
Google	Conversiones a tu cuenta de Google Ads, cuando las activas. Disponibilidad del calendario si agendas a través de nosotros.	Estados Unidos
Anthropic	IA que ayuda a nuestro personal a redactar mensajes, auditorías y planes. El resumen, las etiquetas y la puntuación de calidad de cada llamada grabada a tus números con seguimiento, a partir de su transcripción. Nada que provenga de la propiedad web de una clínica.	Estados Unidos

Las copias de seguridad están cifradas y se guardan en equipos que son propiedad de Feedback Studios.

Anexo B: medidas de seguridad

Cifrado en tránsito (TLS) en todas las conexiones.
Tokens de los proveedores y contraseñas de los buzones de correo cifrados en reposo, en un almacén de credenciales vinculado a su registro.
Inicio de sesión en dos pasos obligatorio para cualquier persona con permisos administrativos.
Acceso según la función de cada persona, con alcance por departamento.
Un registro de auditoría de las acciones sobre permisos, configuración y exportación de datos, al que solo se pueden añadir entradas.
Registros de consentimiento y de puntos de contacto a los que solo se pueden añadir entradas. Los de consentimiento guardan cifrados la dirección IP y los datos del navegador como prueba.
Copias de seguridad cifradas cada noche, con una prueba de restauración mensual; los datos borrados salen de ellas en un plazo de 30 días.
Sin dirección IP ni datos del navegador en los registros de visitas, y sin registro de ninguno de los dos en el servidor web para la herramienta de seguimiento.
Datos de los clientes separados de nuestros propios contactos.

Anexo C: las declaraciones del Cliente

Respondes estas preguntas al firmar la propuesta o el contrato de servicios que remite a este acuerdo.

¿Facturas a alguna aseguradora de salud o plan de salud, en papel o de forma electrónica, directamente o a través de alguien, como una empresa de facturación o un clearinghouse? Si la respuesta es sí, o si la dejas en blanco, no nos llega ningún contacto ni ninguna llamada tuya en forma identificable (sección 5.5).
¿Tus anuncios u ofertas llegan a personas en Washington, Nevada o Connecticut?
¿Tú o los profesionales de tu equipo tienen licencia de profesional de la salud en Florida?
¿Eres un “negocio” (“business”) según la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act)?
¿Deben grabarse las llamadas a tus números con seguimiento? Una llamada grabada también se transcribe y se analiza con IA para obtener su resumen, sus etiquetas y su puntuación de calidad. Su transcripción se guarda con el contacto y nunca se usa para la atribución. Quien llama oye primero un aviso breve en el idioma del número, que eliges para cada número. (Nunca para clínicas.)
¿Qué formularios de tus sitios son formularios de contacto? (Solo capturamos esos.)
¿Algún formulario pide una contraseña, una tarjeta o los datos de acceso a una cuenta, o solo se puede usar después de iniciar sesión? Si es así, ¿cuáles?
¿A qué estados de Estados Unidos llegan tus anuncios u ofertas?
¿Alguna página o algún anuncio tuyo está dirigido a menores de 13 años? (COPPA, 16 CFR parte 312)
Si tus sitios reciben visitantes de California: ¿eliges la solicitud de consentimiento previo, o aceptas el riesgo de un aviso sin más? (sección 5.1)