Last updated: July 15, 2026
Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre el negocio que usa los agentes de IA de Commora para comunicarse con sus clientes (el "Cliente", actuando como responsable del tratamiento de datos) y Commora AI LLC ("Commora", actuando como encargado del tratamiento/"proveedor de servicios"). Este DPA forma parte de, y se incorpora por referencia a, los Términos y Condiciones que rigen el uso de la plataforma de Commora por el Cliente (el "Acuerdo"). Al crear una cuenta de Commora o al usar de otro modo el Servicio, el Cliente acepta este DPA.
Entre Commora y el Cliente, el Cliente es el responsable de los Datos Personales enviados a, o recopilados a través de, el Servicio, y determina los fines y medios del procesamiento de esos datos. Commora es un encargado (y, bajo la CCPA, un "proveedor de servicios") que procesa Datos Personales únicamente conforme a las instrucciones documentadas del Cliente, según se establece en el Acuerdo, este DPA y la configuración que el Cliente hace del Servicio (por ejemplo, la base de conocimiento, el horario y las automatizaciones que el Cliente configura en el panel de Commora).
Commora no venderá ni compartirá Datos Personales, y no los procesará para ningún fin distinto de proveer, asegurar y mejorar el Servicio, o según lo requiera la ley.
Objeto: la prestación por Commora de servicios de mensajería, reservas y servicios relacionados mediante agentes de IA a los clientes del Cliente.
Duración: mientras el Acuerdo esté vigente, más los períodos de retención descritos en la Sección 9 de este DPA y la Sección 7 de la Política de Privacidad.
Naturaleza y propósito: recibir, almacenar y responder mensajes entrantes de clientes a través de los canales que el Cliente ha habilitado; calificar clientes potenciales; programar y confirmar citas; enviar recordatorios y seguimientos; y proveer al Cliente un panel de control para revisar conversaciones y uso.
Titulares de los datos: los clientes del Cliente, sus clientes potenciales, y otras personas que le escriben a los agentes de IA del Cliente.
Categorías de Datos Personales: nombre, número de teléfono, dirección de correo electrónico, contenido de mensajes y marcas de tiempo, detalles de citas y — solo cuando el cliente del Cliente lo proporcione voluntariamente en la conversación — información limitada de preferencia de servicio (por ejemplo, el tratamiento o tipo de cita solicitado). Commora no recopila intencionalmente identificaciones gubernamentales, números de tarjetas de pago ni datos de expedientes médicos o de salud a través de sus agentes; cuando la industria de un Cliente involucre categorías sensibles de datos, el Cliente es responsable de no dirigir esos datos a través del Servicio más allá de lo razonablemente necesario para completar la reserva.
Almacenamiento en el navegador, en el sitio web del propio Cliente: cuando el Cliente instala el widget de chat web de Commora, el widget guarda un solo dato en el navegador de cada visitante bajo la clave commora_contact_id. Su valor es un identificador generado al azar cuyo único propósito es mantener a un visitante que regresa vinculado a su conversación existente. No contiene nombre, correo electrónico ni ninguna otra información identificativa, no se usa para publicidad, analítica, elaboración de perfiles ni rastreo entre sitios, y no se comparte con terceros. Como se guarda en el dominio del propio Cliente, el Cliente sigue siendo responsable de describirlo en su propio aviso de cookies o de privacidad. Commora avisará al Cliente con antelación razonable antes de que el widget almacene algo más que este identificador.
Commora:
El Cliente autoriza a Commora a contratar a los siguientes subencargados para prestar el Servicio. Cada uno está obligado por contrato a proteger los Datos Personales de forma consistente con este DPA y a usarlos únicamente para proveer la función correspondiente.
| Subencargado | Función |
|---|---|
| Meta Platforms, Inc. | Entrega de mensajes por WhatsApp, Instagram y Messenger |
| Stripe, Inc. | Facturación y procesamiento de pagos |
| EVERTEC, Inc. (ATH Móvil) | Procesamiento de pagos de depósitos cuando el Cliente habilita ATH Móvil |
| Anthropic, PBC | Modelo de lenguaje de IA que impulsa las respuestas de los agentes |
| Railway Corp. | Alojamiento de la aplicación e infraestructura de base de datos |
| Google LLC | Inicio de sesión (OAuth), calendario e integraciones de reseñas donde estén habilitadas |
Commora dará al Cliente aviso previo razonable antes de agregar o reemplazar un subencargado con acceso a Datos Personales (por ejemplo, publicando una actualización en esta página o notificando al Cliente por correo electrónico). Si el Cliente objeta razonablemente por motivos de protección de datos, Commora trabajará de buena fe con el Cliente para atender la objeción, lo que puede incluir dejar de usar ese subencargado para los datos del Cliente o, si no se llega a una solución, permitir que el Cliente termine la parte afectada del Servicio.
Commora mantiene una plataforma multiusuario en la que los datos de cada Cliente están lógicamente delimitados al espacio de trabajo de ese Cliente en la capa de aplicación, y el acceso al panel de control y a los datos de conversación requiere autenticación. Los datos en tránsito están encriptados (HTTPS/TLS). El acceso a los sistemas de producción está limitado al personal que lo necesita para operar y dar soporte al Servicio, y la infraestructura subyacente de Commora corre sobre Railway, un proveedor de alojamiento auditado bajo SOC 2.
Commora es una empresa pequeña y en crecimiento y aún no cuenta con una certificación de seguridad de terceros propia (como SOC 2 o ISO 27001), y la seguridad a nivel de fila en la base de datos está en la hoja de ruta de Commora pero aún no está completamente implementada; los controles de acceso a nivel de aplicación sí están vigentes hoy. Commora notificará al Cliente sobre cambios materiales a su postura de seguridad que afecten este párrafo, a solicitud razonable. Ningún método de almacenamiento o transmisión es 100% seguro, y Commora no puede garantizar seguridad absoluta.
Si Commora toma conocimiento de un acceso no autorizado confirmado a, o divulgación de, Datos Personales procesados en nombre del Cliente (una "Violación"), Commora notificará al Cliente sin demora indebida, y en todo caso a más tardar 5 días hábiles después de que Commora confirme la Violación, para que el Cliente tenga tiempo de cumplir con sus propios plazos legales de notificación, incluyendo el plazo de 10 días bajo la Ley Núm. 111-2005 de Puerto Rico. El aviso describirá, en la medida entonces conocida, la naturaleza de la Violación, las categorías y el número aproximado de titulares de datos y registros afectados, y las medidas que Commora está tomando para investigarla y contenerla. Commora cooperará con las solicitudes razonables de información del Cliente que este necesite para cumplir con sus propias obligaciones de notificación.
Al finalizar el Acuerdo, y sujeto al calendario de retención de la Sección 7 de la Política de Privacidad, Commora eliminará o, a solicitud escrita del Cliente hecha dentro de los 30 días posteriores a la terminación, pondrá a disposición para exportar, los Datos Personales procesados en nombre del Cliente. Los datos de conversación y de contacto vinculados a una cuenta cerrada se eliminan dentro de 90 días del cierre de la cuenta, y los registros financieros y de facturación se conservan por separado hasta por 7 años para cumplir con requisitos fiscales y contables, de forma consistente con la Política de Privacidad. Commora puede conservar Datos Personales más allá de estos plazos cuando la ley lo requiera o para establecer, ejercer o defender reclamos legales.
Cuando un titular de datos contacte directamente a Commora para ejercer un derecho de protección de datos (como acceso, corrección o eliminación), Commora dirigirá a la persona al Cliente correspondiente o, cuando la ley lo requiera, asistirá al Cliente en responder, tomando en cuenta la naturaleza del procesamiento. El Cliente sigue siendo responsable de determinar cómo responder a las solicitudes de sus clientes.
Con aviso previo razonable por escrito, y no más de una vez por año calendario salvo que haya una sospecha de Violación, Commora proveerá al Cliente un resumen escrito de sus medidas técnicas y organizativas relevantes, suficiente para demostrar cumplimiento con este DPA. Commora cooperará razonablemente con una auditoría o cuestionario realizado por el Cliente sobre el Servicio, siempre que no interrumpa las operaciones de Commora ni exponga los datos de otros clientes.
Commora y los subencargados listados en la Sección 6 almacenan y procesan datos principalmente en los Estados Unidos. Commora actualmente no transfiere Datos Personales del Cliente fuera de los Estados Unidos, salvo según sea necesario para la propia infraestructura de un subencargado (por ejemplo, una plataforma global como Meta, Google o Anthropic). Si esto cambia de una forma que requiera salvaguardas adicionales bajo la ley aplicable, Commora implementará los mecanismos de transferencia apropiados.
Cada parte indemnizará, defenderá y eximirá de responsabilidad a la otra parte frente a reclamos de terceros, daños y costos razonables que surjan de su propio incumplimiento de este DPA. Sin limitar lo anterior: el Cliente indemnizará a Commora por reclamos que surjan del incumplimiento del Cliente de obtener cualquier consentimiento requerido para enviar Datos Personales al Servicio, o de la propia violación del Cliente de la ley de protección de datos o de telemercadeo/mensajería aplicable (como los requisitos de consentimiento del TCPA) en la forma en que usa el Servicio; y Commora indemnizará al Cliente por reclamos que surjan directamente de un incumplimiento material de Commora de este DPA. Esta Sección no crea una responsabilidad más amplia que, y está sujeta a, cualquier limitación de responsabilidad establecida en el Acuerdo.
Este DPA entra en vigor cuando el Cliente comienza a usar el Servicio y permanece vigente mientras Commora procese Datos Personales en nombre del Cliente bajo el Acuerdo. Este DPA se rige por la misma disposición de ley aplicable que los Términos y Condiciones.
Commora