Acuerdo de Encargo de Tratamiento

Alcance y roles

Este acuerdo forma parte de los Términos del Servicio y se aplica automáticamente a todos los espacios. Tú (el cliente) eres el responsable del tratamiento de los datos personales de las conversaciones que traes a Miross. Miross, es decir, MIROSS LABS, S.L. (NIF B05706981), Calle Isabel Colbrand 6, Piso 2, 28050 Madrid, España, es tu encargado del tratamiento.

Qué se trata

• Objeto y duración: prestar el servicio de helpdesk, mientras exista tu espacio.
• Naturaleza y finalidad: importar, guardar, mostrar, buscar, traducir y enviar mensajes de atención al cliente, y ejecutar las acciones que pidas.
• Interesados: tus clientes y otras personas que te escriben, incluidos los visitantes que usan el widget de chat de tu tienda, y los miembros de tu equipo.
• Tipos de datos: nombres, correos electrónicos, teléfonos e identificadores, direcciones postales cuando aparecen en los mensajes, datos de pedidos (número de pedido, artículos, precios, estado, ciudad y país de entrega, seguimiento), contenido de los mensajes y adjuntos; de los visitantes del chat, además, un token del navegador y la dirección IP, ambos solo como hash, y la hora de su última visita.
• Categorías especiales: Miross no está pensado para ellas; no lo uses para recogerlas.

Nuestras obligaciones

• Tratamos los datos solo siguiendo tus instrucciones documentadas, que son estos términos y lo que haces en el producto, salvo que la ley exija otra cosa; en ese caso te avisamos antes cuando nos esté permitido.
• Toda persona con acceso a los datos está sujeta a confidencialidad.
• Aplicamos las medidas de seguridad descritas abajo.
• Te ayudamos a atender las solicitudes de los interesados, y con evaluaciones de impacto y consultas a las autoridades, en lo que nuestro papel permite.
• Te avisamos si creemos que una instrucción infringe la normativa de protección de datos.

Medidas de seguridad

• Separación estricta entre espacios, aplicada en cada petición y verificada con pruebas automáticas antes de cada publicación.
• Cifrado en tránsito (TLS) y cifrado en reposo de las credenciales de conexión (AES-256-GCM). Contraseñas guardadas como hash Argon2id; tokens de sesión guardados como hash.
• Verificación en dos pasos (TOTP, con códigos de recuperación de un solo uso) en todas las cuentas; los espacios Scale pueden exigirla a todos sus miembros.
• Acceso por roles dentro de cada espacio y registro de auditoría de solo escritura.
• Protección contra la falsificación de peticiones y contra el uso del servicio para alcanzar redes internas.
• Copias nocturnas de la base de datos conservadas 30 días, una imagen diaria del servidor conservada 7 días, y restauraciones probadas.
• Monitorización del estado de la aplicación, del proceso en segundo plano y de cada conexión.

Subencargados

Das tu autorización general a los subencargados siguientes. Anunciaremos uno nuevo con al menos 30 días de antelación en esta página y por correo a los administradores; puedes oponerte por motivos razonables de protección de datos y, si no lo resolvemos, puedes dar de baja el servicio. Imponemos a cada uno las mismas obligaciones de protección de datos y respondemos de ellos.

Esta lista cambió por última vez el 29 de septiembre de 2026: Microsoft Azure (UE) se suma a los proveedores de modelos a los que enruta OpenRouter, para los resúmenes de casos. El cambio anterior, el 28 de septiembre de 2026, hizo que Resend llevara también el correo de los canales de bol.com y TikTok Shop y los correos a los visitantes del chat.

• Hetzner Online (Alemania): servidores, base de datos y copias de seguridad, en Núremberg. Aquí se guarda la copia de tus datos que tiene Miross.
• Resend (EE. UU.): correo de los canales por reenvío (Amazon, bol.com y TikTok Shop), correos a los visitantes del chat (respuestas que no vieron, transcripciones) y correos de cuenta (invitaciones, restablecimiento de contraseña, avisos), con las Cláusulas Contractuales Tipo y el Marco de Privacidad de Datos UE-EE. UU. Resend conserva en EE. UU. el contenido de los mensajes, los registros y los datos de los webhooks hasta 30 días.
• Unipile (Francia, alojado en Scaleway): mantiene la conexión con los buzones y cuentas de chat que enlaces. Los mensajes y archivos de WhatsApp y LinkedIn, notas de voz incluidas, se guardan en Unipile hasta que se elimina la cuenta conectada; de los buzones IMAP y Microsoft, solo metadatos; de Gmail, nada. La lista de subencargados de Unipile incluye proveedores de proxy opcionales en EE. UU. y Singapur. Al eliminar una conexión o el espacio, también se elimina la cuenta en Unipile.
• OpenRouter, Inc. (Nueva York, EE. UU.), con tratamiento en la UE: enruta las peticiones de IA (traducción, resúmenes, borradores, sugerencias, Formalizar, transcripción de notas de voz, lectura de imágenes y documentos, y Mike, el asistente) por su punto de acceso europeo, eu.openrouter.ai, donde se descifran y procesan solo dentro de la UE. Solo recibe el texto depurado de los mensajes implicados (en notas de voz e imágenes, el archivo; en un PDF o un documento de Word, solo el texto que extraemos en nuestro propio servidor), y solo con la IA activada: viene activada por defecto y un interruptor por espacio la apaga. Para Mike recibe la pregunta, el texto de los archivos adjuntos al chat y lo que él consulta en el espacio para responder, y solo mientras Mike está activado. Mecanismo de transferencia: Cláusulas Contractuales Tipo (Módulo 2) según el DPA público de OpenRouter. Los registros de facturación, los datos de cuenta y autenticación, los registros de seguridad y los metadatos de control de abusos de OpenRouter pueden quedar fuera de la UE; se refieren a la cuenta de Miross en OpenRouter, no al contenido de los mensajes.
• Proveedores de modelos a los que enruta OpenRouter, todos operando en la UE: Mistral AI (Francia), Amazon Web Services (Irlanda), Google Cloud (UE) y Microsoft Azure (UE, para los resúmenes de casos y Mike). Están obligados a no conservar ningún dato (retención cero, salvo la caché en memoria) y nunca entrenan con los prompts.
• Stripe (Irlanda / EE. UU.): suscripciones y facturas. Los datos de tarjeta van a Stripe y nunca llegan a Miross.

Transferencias internacionales

Los datos se guardan en Alemania, y las peticiones de IA se descifran y procesan solo dentro de la UE. Cuando un subencargado recibe datos personales fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en las Cláusulas Contractuales Tipo: Resend, que gestiona en EE. UU. el correo de los canales por reenvío (Amazon, bol.com y TikTok Shop), los correos a los visitantes del chat y los correos de cuenta, en ambos; OpenRouter, para los registros de la cuenta de Miross, en las Cláusulas Contractuales Tipo (Módulo 2) de su DPA público.

Brechas de datos personales

Si tenemos conocimiento de una brecha que afecte a tus datos, avisamos a los administradores del espacio sin dilación indebida y, en todo caso, en un máximo de 72 horas, con lo que sepamos sobre su naturaleza, los datos y personas afectados, las consecuencias probables y lo que estamos haciendo.

Devolución y supresión

Puedes exportar tu espacio en cualquier momento. Cuando lo eliminas, o termina el acuerdo, borramos sus datos tras un periodo de gracia de 7 días. Las copias de seguridad que los contengan se eliminan en los 30 días siguientes, y en 37 días en el peor caso.

A partir de ahí solo conservamos lo que la ley nos obliga a conservar, además de nuestro registro de auditoría de seguridad: anota quién hizo qué y cuándo, con direcciones IP pero nunca contenido de mensajes, y sus entradas se conservan 25 meses, ya sin vínculo con el espacio, y después se borran.

Algunos registros se borran antes, mientras el espacio existe: el registro de cada correo reenviado por el canal de Amazon, bol.com o TikTok Shop (remitente, asunto y estado de entrega) se borra 90 días después de su llegada, una vez procesado; el registro de un visitante del chat, 90 días después de su última visita, mientras sus conversaciones siguen la conservación habitual de los casos; y los recuentos de uso de la IA (tokens, nunca contenido), a los 25 meses.

Auditorías

Si lo pides, te facilitamos la información necesaria para demostrar que cumplimos este acuerdo. Si no basta, puedes realizar una auditoría una vez al año, con 30 días de preaviso, en horario laboral, a tu cargo y sin acceso a datos de otros clientes. Solicitudes: privacy@miross.io.

Responsabilidad y prevalencia

A este acuerdo se le aplican las condiciones de responsabilidad de los Términos del Servicio. Si este acuerdo y los Términos entran en conflicto en materia de protección de datos, prevalece este acuerdo.