Acuerdo de Procesamiento de Datos (DPA)

Última actualización: 14 de octubre de 2026

1. Introducción

Este Acuerdo de Procesamiento de Datos ("DPA") forma parte del contrato entre el negocio que contrata Yave, como una agencia inmobiliaria o una clínica (el "Controlador de Datos"), y Yavelabs LLC ("Yave", el "Procesador de Datos") para el uso del asistente con inteligencia artificial que atiende a sus clientes por WhatsApp.

2. Definiciones

  • Datos Personales: Cualquier información relacionada con una persona física identificada o identificable (el "interesado"), incluyendo nombre, número de teléfono, contenido de los mensajes y la información que el interesado comparta para recibir el servicio (por ejemplo, el inmueble que busca o el motivo de su cita).
  • Categorías especiales de datos: Datos de salud que un paciente comparta con un Controlador de Datos del ámbito sanitario (por ejemplo, el tratamiento que solicita). Se tratan únicamente para atender su consulta y gestionar su cita.
  • Procesamiento: Cualquier operación realizada sobre Datos Personales, incluyendo recopilación, almacenamiento, análisis, transmisión y eliminación.
  • Subprocesador: Cualquier tercero contratado por el Procesador de Datos para procesar Datos Personales en nombre del Controlador de Datos.

3. Alcance y Propósito del Procesamiento

El Procesador de Datos procesará Datos Personales únicamente para los siguientes propósitos:

  • Facilitar la comunicación entre el Controlador de Datos y sus contactos (clientes potenciales, compradores, pacientes) a través de WhatsApp
  • Responder consultas sobre los productos y servicios del Controlador de Datos mediante inteligencia artificial
  • Gestionar citas y visitas en el calendario del Controlador de Datos
  • Extraer y almacenar preferencias para personalizar la atención
  • Proporcionar análisis y métricas al Controlador de Datos

4. Obligaciones del Procesador de Datos

El Procesador de Datos se compromete a:

  • Procesar Datos Personales únicamente según las instrucciones documentadas del Controlador de Datos
  • Garantizar que las personas autorizadas para procesar Datos Personales estén sujetas a obligaciones de confidencialidad
  • Implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo
  • Asistir al Controlador de Datos en el cumplimiento de las solicitudes de derechos de los interesados (acceso, rectificación, supresión, portabilidad)
  • Notificar al Controlador de Datos sin demora indebida tras tener conocimiento de una violación de Datos Personales
  • Eliminar o devolver todos los Datos Personales al Controlador de Datos tras la finalización del contrato, a menos que la legislación de la UE o de los Estados miembros requiera el almacenamiento

5. Subprocesadores

El Controlador de Datos autoriza al Procesador de Datos a contratar los siguientes subprocesadores:

  • Anthropic PBC: Procesamiento de lenguaje natural mediante Claude API (Estados Unidos)
  • Supabase Inc: Alojamiento de base de datos PostgreSQL (región EU)
  • Vercel Inc: Alojamiento de aplicación web (región EU)
  • Zernio Software SL: Integración de mensajería WhatsApp (España, UE)
  • Mapbox Inc: Servicios de geolocalización y mapas (Estados Unidos)

El Procesador de Datos notificará al Controlador de Datos de cualquier cambio previsto en los subprocesadores con al menos 30 días de antelación.

6. Transferencias Internacionales de Datos

El Procesador de Datos, Yavelabs LLC, está establecido en Estados Unidos, por lo que el propio encargo implica una transferencia internacional. Además, los Datos Personales pueden ser transferidos a Estados Unidos para procesamiento por Anthropic (Claude API) y Mapbox (geolocalización). Todas estas transferencias se basan en:

  • Cláusulas Contractuales Estándar de la UE (SCC) aprobadas por la Comisión Europea
  • Medidas de seguridad técnicas adicionales (cifrado en tránsito y en reposo)
  • Evaluación de impacto de transferencia (TIA) documentada

7. Medidas de Seguridad

El Procesador de Datos implementa las siguientes medidas de seguridad:

  • Cifrado de datos en tránsito (TLS 1.3) y en reposo (AES-256)
  • Control de acceso basado en roles (RBAC) con autenticación multifactor
  • Aislamiento de datos multi-tenant mediante filtrado por inquilino (tenant)
  • Registro de auditoría inmutable de todas las operaciones de datos
  • Copias de seguridad automáticas con retención de 30 días
  • Filtrado de datos sensibles antes del almacenamiento
  • Políticas de retención de datos automatizadas

8. Auditoría y Cumplimiento

El Controlador de Datos tiene derecho a auditar el cumplimiento del Procesador de Datos con este DPA mediante:

  • Cuestionarios de cumplimiento anuales
  • Auditorías in situ con previo aviso de 30 días (máximo una vez al año)

9. Responsabilidad y Limitación de Responsabilidad

La responsabilidad total del Procesador de Datos bajo este DPA estará limitada según lo establecido en el contrato principal. El Procesador de Datos no será responsable de violaciones causadas por:

  • Instrucciones del Controlador de Datos que violen el RGPD
  • Fuerza mayor o eventos fuera del control razonable del Procesador de Datos

10. Duración y Terminación

Este DPA permanecerá en vigor durante la vigencia del contrato principal. Tras la terminación:

  • El Procesador de Datos eliminará o devolverá todos los Datos Personales dentro de 30 días
  • El Controlador de Datos puede solicitar una certificación de eliminación
  • Los registros de auditoría se conservarán durante 7 años según los requisitos legales

11. Contacto

Para consultas relacionadas con este DPA, contacte con:

Yavelabs LLC · Protección de datos
Email: hello@yavelabs.com
Dirección: 7901 4th St N #28474, St. Petersburg, FL 33702, Estados Unidos

Representante en la Unión Europea (art. 27 RGPD)
Jose Rosario · hello@yavelabs.com

Data Processing Agreement (DPA)

Last updated: October 14, 2026

1. Introduction

This Data Processing Agreement ("DPA") forms part of the contract between the business that uses Yave, such as a real estate agency or a clinic (the "Data Controller"), and Yavelabs LLC ("Yave", the "Data Processor") for the use of the AI assistant that answers its customers on WhatsApp.

2. Definitions

  • Personal Data: Any information relating to an identified or identifiable natural person (the "data subject"), including name, phone number, message content, and the information the data subject shares to receive the service (for example, the property they are looking for or the reason for their appointment).
  • Special categories of data: Health data that a patient shares with a Data Controller in the healthcare sector (for example, the treatment they ask about). It is processed only to answer their enquiry and manage their appointment.
  • Processing: Any operation performed on Personal Data, including collection, storage, analysis, transmission, and deletion.
  • Sub-processor: Any third party engaged by the Data Processor to process Personal Data on behalf of the Data Controller.

3. Scope and Purpose of Processing

The Data Processor shall process Personal Data only for the following purposes:

  • Facilitate communication between the Data Controller and its contacts (prospects, buyers, patients) via WhatsApp
  • Answer questions about the Data Controller's products and services using artificial intelligence
  • Manage appointments and viewings in the Data Controller's calendar
  • Extract and store preferences to personalize the service
  • Provide analytics and metrics to the Data Controller

4. Data Processor Obligations

The Data Processor commits to:

  • Process Personal Data only on documented instructions from the Data Controller
  • Ensure that persons authorized to process Personal Data are subject to confidentiality obligations
  • Implement appropriate technical and organizational measures to ensure a level of security appropriate to the risk
  • Assist the Data Controller in complying with data subject rights requests (access, rectification, erasure, portability)
  • Notify the Data Controller without undue delay after becoming aware of a Personal Data breach
  • Delete or return all Personal Data to the Data Controller after termination of the contract, unless EU or Member State law requires storage

5. Sub-processors

The Data Controller authorizes the Data Processor to engage the following sub-processors:

  • Anthropic PBC: Natural language processing via Claude API (United States)
  • Supabase Inc: PostgreSQL database hosting (EU region)
  • Vercel Inc: Web application hosting (EU region)
  • Zernio Software SL: WhatsApp messaging integration (Spain, EU)
  • Mapbox Inc: Geolocation and mapping services (United States)

The Data Processor shall notify the Data Controller of any intended changes to sub-processors at least 30 days in advance.

6. International Data Transfers

The Data Processor, Yavelabs LLC, is established in the United States, so the processing itself involves an international transfer. In addition, Personal Data may be transferred to the United States for processing by Anthropic (Claude API) and Mapbox (geolocation). All these transfers are based on:

  • EU Standard Contractual Clauses (SCCs) approved by the European Commission
  • Additional technical security measures (encryption in transit and at rest)
  • Documented Transfer Impact Assessment (TIA)

7. Security Measures

The Data Processor implements the following security measures:

  • Data encryption in transit (TLS 1.3) and at rest (AES-256)
  • Role-based access control (RBAC) with multi-factor authentication
  • Multi-tenant data isolation via per-tenant filtering
  • Immutable audit logging of all data operations
  • Automated backups with 30-day retention
  • Sensitive data filtering before storage
  • Automated data retention policies

8. Audit and Compliance

The Data Controller has the right to audit the Data Processor's compliance with this DPA through:

  • Annual compliance questionnaires
  • On-site audits with 30 days' notice (maximum once per year)

9. Liability and Limitation of Liability

The Data Processor's total liability under this DPA shall be limited as set forth in the main contract. The Data Processor shall not be liable for breaches caused by:

  • Data Controller instructions that violate GDPR
  • Force majeure or events beyond the Data Processor's reasonable control

10. Duration and Termination

This DPA shall remain in effect for the duration of the main contract. Upon termination:

  • The Data Processor shall delete or return all Personal Data within 30 days
  • The Data Controller may request a certificate of deletion
  • Audit logs shall be retained for 7 years per legal requirements

11. Contact

For inquiries related to this DPA, contact:

Yavelabs LLC · Data protection
Email: hello@yavelabs.com
Address: 7901 4th St N #28474, St. Petersburg, FL 33702, United States

EU representative (Art. 27 GDPR)
Jose Rosario · hello@yavelabs.com

← Volver a Política de Privacidad / Back to Privacy Policy