Acuerdo de Tratamiento de Datos Personales (DPA) — Conforme CNDP Ley 09-08 y RGPD - EnvoiSMS.ma
Acuerdo oficial de tratamiento de datos personales (DPA) que regula las relaciones entre el Cliente (Responsable del tratamiento) y EnvoiSMS.ma (Encargado del tratamiento), rigurosamente conforme a las resoluciones de la CNDP (Ley marroquí n° 09-08) y al RGPD (Artículo 28). Documento contractual vinculante con el libro blanco de garantías técnicas de arquitectura y marco de ejecución para compras y procurement.
Notification Incidents :Sous 48h à 72h maxNotification documentée au Client
Artículo 1 — Objeto, Funciones y Marco Jurídico (CNDP Ley 09-08 y RGPD Art. 28)
El presente Acuerdo de Tratamiento de Datos («DPA») regula los tratamientos de datos de carácter personal que la sociedad ALLNOACROBÁTICO - CONSULTORIA DE ANÁLISE DADOS, UNIPESSOAL LDA (entidad editora y operadora de EnvoiSMS.ma, NIF 517551624) realiza por cuenta de sus clientes en el marco de la plataforma de mensajería programable (SMS transaccionales, campañas masivas, verificación OTP y notificaciones WhatsApp Business). Para todos estos tratamientos, el Cliente actúa en calidad de Responsable del Tratamiento (Data Controller) y EnvoiSMS.ma actúa exclusivamente en calidad de Encargado Técnico del Tratamiento (Data Processor), conforme a la Ley marroquí n° 09-08 y al artículo 28 del RGPD.
Este DPA constituye el marco contractual vinculante que rige el tratamiento de datos. El documento oficial para completar y firmar por parte del Cliente está disponible en formato PDF.
Artículo 2 — Descripción Contractual del Tratamiento de Datos
Las características y especificaciones técnicas de las actividades de tratamiento subcontratadas se detallan en el siguiente cuadro descriptivo:
Parámetro Contractual
Especificaciones y Compromisos Técnicos
Finalidad Exclusiva
Encaminamiento técnico de SMS, códigos de verificación OTP, mensajería WhatsApp Business, gestión técnica de listas de contactos y entrega de reportes de estado (DLR).
Categorías de Datos
Números de teléfono móvil normalizados (MSISDN), contenido del mensaje, identificadores de remitente (Sender ID), estados de entrega y metadatos técnicos (marcas temporales, IP de llamada API).
Personas Afectadas
Clientes finales, suscriptores, prospectos que hayan consentido, usuarios de aplicaciones móviles y contactos comerciales legítimos del Cliente.
Período de Conservación Activa
30 a 90 días rotativos para registros de encaminamiento y DLR con fines de facturación y auditoría legal, seguido de purga automática o anonimización irreversible.
Destino de los Datos al Término
Supresión definitiva o exportación en un plazo de 30 días tras el cierre de la cuenta, salvo obligaciones de archivo contable legal marroquí.
Artículo 3 — Obligaciones y Garantías del Responsable (El Cliente)
•
Licitud de la Recogida y Consentimiento (Opt-in) : El Cliente garantiza disponer del consentimiento previo, libre, específico e informado de todos los destinatarios para comunicaciones comerciales o de marketing, conforme a la Ley 09-08 y a las resoluciones de la CNDP. Para tráfico transaccional (OTP, alertas), garantiza una base legal o contractual legítima.
•
Trámites Previos ante la CNDP y Transferencias : El Cliente declara haber realizado todas las declaraciones previas o solicitudes de autorización pertinentes ante la CNDP, incluidas las transferencias internacionales de datos.
•
Información a los Destinatarios : El Cliente se compromete a informar claramente a las personas afectadas sobre las finalidades del tratamiento y el ejercicio de sus derechos de privacidad.
•
Prohibición de Comunicaciones No Solicitadas y Franjas Horarias : Queda estrictamente prohibido el envío de spam, phishing, smishing o mensajes fuera de los horarios comerciales legales permitidos en Marruecos (prohibido domingos, festivos y noches).
•
Seguridad de Claves API y Sistemas del Cliente : El Cliente se obliga a proteger rigurosamente sus claves API y credenciales de acceso, nunca incorporarlas en código accesible públicamente o del lado cliente, y a securizar adecuadamente sus propios servidores y puntos de recepción de webhooks. Cualquier fuga de datos originada en los sistemas del Cliente es de su exclusiva responsabilidad.
•
Indemnización Absoluta (Hold Harmless) : El Cliente se compromete a indemnizar, defender y mantener indemne a EnvoiSMS.ma, sus directivos y encargados frente a cualquier reclamación, sanción administrativa, multa (especialmente de la CNDP o ANRT), recargos de operadores o costes legales derivados del incumplimiento por el Cliente de la normativa de privacidad, contenidos ilícitos o cualquier fuga de datos originada en sus claves API, credenciales o sistemas.
Artículo 4 — Obligaciones del Encargado (EnvoiSMS.ma)
•
Tratamiento bajo Instrucciones Documentadas : EnvoiSMS.ma trata los datos personales únicamente conforme a las instrucciones escritas del Cliente mediante llamadas a la API o el panel de control.
•
Ausencia de Explotación Comercial : EnvoiSMS.ma nunca vende, alquila, cede, perfila ni explota comercialmente las bases de datos de clientes para fines propios.
•
Confidencialidad del Personal : Todo el personal técnico con acceso a sistemas operativos está sujeto a un estricto deber legal y contractual de confidencialidad.
•
Notificación de Brechas en 72 Horas : Notificación por escrito al Cliente dentro de las 72 horas posteriores a la confirmación de una brecha que afecte directamente a sus datos, a efectos de asistencia regulatoria. Dicha notificación no constituye en ningún caso asunción de culpabilidad, negligencia, incumplimiento contractual o responsabilidad por parte de EnvoiSMS.ma.
•
Asistencia Técnica y Autoservicio : Herramientas de autoservicio para exportación (JSON/CSV) y supresión de contactos. Asistencia técnica personalizada extraordinaria sujeta a presupuesto previo.
•
Solicitudes de Autoridades Públicas : EnvoiSMS.ma tramita cualquier solicitud de una autoridad pública relativa a los datos del Cliente conforme a la sección 7 de su Política de Privacidad (https://envoisms.ma/es/legal/privacy/) — control de legalidad, impugnación de solicitudes infundadas, minimización de datos y notificación al Cliente salvo prohibición legal por razones de interés público (artículo 28, apartado 3, letra a) del RGPD).
Artículo 5 — Medidas Técnicas y Organizativas de Seguridad (TOMs)
Seguridad e Incidentes
EnvoiSMS.ma opera una arquitectura distribuida Edge-Native Serverless en la red de Cloudflare sin servidores físicos expuestos, garantizando defensa en profundidad con las siguientes cinco (5) medidas auditadas:
1. Cifrado en Tránsito (TLS 1.3 estricto, HSTS) : Protocolo TLS 1.3 obligatorio en todos los puntos de acceso de la API (https://api.envoisms.ma) e interfaces web. Cabecera global HSTS activada (Strict-Transport-Security: max-age=31536000; includeSubDomains; preload) con conjuntos de cifrado modernos compatibles con Perfect Forward Secrecy (PFS).
2. Cifrado en Reposo (AES-256) : Todas las bases de datos distribuidas D1 (SQLite Edge), compartimentos de objetos R2 y almacenes de clave-valor (KV) están cifrados en reposo mediante el estándar AES-256 bits.
3. Cero Almacenamiento de OTP en Claro (Purga Automática en Memoria KV tras 5 Minutos): Los códigos de verificación de un solo uso (OTP) nunca se almacenan en texto plano en bases relacionales ni registros de enrutamiento. Se mantienen efímeramente en caché KV distribuida (OTP_CODES) con hash criptográfico y un TTL estricto de 300 segundos (5 minutos), invalidándose de inmediato tras su verificación exitosa o tras 3 intentos fallidos.
4. Webhooks Firmados con Clave Secreta (HMAC-SHA256) : Cada notificación de evento y reporte de entrega (DLR) enviado a los sistemas del Cliente se firma criptográficamente en la cabecera HTTP X-EnvoiSMS-Signature (o X-SMSMaroc-Signature) con el algoritmo HMAC-SHA256 y un secreto compartido único, garantizando la autenticidad e integridad del mensaje.
5. Gestión Automatizada del Opt-out STOP Conforme a la CNDP : Motor automático de baja en tiempo real. Detección inmediata de la palabra clave «STOP» (y variantes ARRET, UNSUBSCRIBE) en SMS y WhatsApp entrantes, inclusión instantánea en la tabla global de exclusión y bloqueo previo al envío sin adeudo de saldo, cumpliendo con la Ley 09-08 y los mandatos de la CNDP.
Estas garantías técnicas constituyen el anexo técnico contractual para auditorías de ciberseguridad y cuestionarios de procurement corporativo.
Artículo 6 — Subencargados y Transferencias Internacionales de Datos
•
El Cliente autoriza de manera general el recurso a los subencargados publicados en la lista oficial: https://envoisms.ma/es/legal/subprocessors/.
•
Encaminamiento telecom : operadores de telecomunicaciones y agregadores de mensajería con licencia, seleccionados por destino (en Marruecos: encaminamiento hacia Maroc Telecom, Orange e Inwi).
•
Modelos de IA de los asistentes de WhatsApp : Cloudflare, Inc. (Workers AI) y Google LLC (modelo Gemini, a través de nuestra propia pasarela de IA).
•
Infraestructura Cloud Edge : Cloudflare, Inc. (enrutamiento perimetral mundial, base de datos distribuida D1, mitigación DDoS y WAF).
•
Las transferencias fuera de Marruecos o del EEE se rigen por Cláusulas Contractuales Tipo (SCC) conformes a las directrices de la CNDP.
Artículo 7 — Limitación de Responsabilidad y Exclusión de Redes Telecom Terceras
Responsabilidad
•
Contingencias de Operadores y Estatuto de Simple Intermediario : EnvoiSMS.ma actúa como mero conducto técnico automatizado. La entrega final depende de las redes de los operadores móviles (Maroc Telecom, Orange, Inwi) y cobertura del terminal. No se garantiza el 100% de entrega en mano. Los bloqueos por filtros anti-spam de los operadores no constituyen falta de EnvoiSMS.ma.
•
Límite de Responsabilidad Financiera : En caso de falta probada exclusivamente imputable a EnvoiSMS.ma, la indemnización total está expresamente limitada a los importes netos pagados por el Cliente en los tres (3) meses anteriores al suceso. Se excluyen los daños indirectos o lucro cesante.
Artículo 8 — Auditorías, Documentación y Cuestionarios de Compras
EnvoiSMS.ma facilita documentación justificativa y respuestas a cuestionarios en 30 días hábiles (privacy@envoisms.ma). Las auditorías presenciales se limitan a una (1) por año, con preaviso de 30 días hábiles, realizadas por un auditor independiente bajo estricta confidencialidad, a coste exclusivo del Cliente (incluido el soporte técnico dedicado), con exclusión absoluta del código fuente y datos de otros clientes.
Artículo 9 — Destino de los Datos al Término del Contrato
A la resolución de la cuenta, EnvoiSMS.ma procederá, a elección del Cliente, a la supresión o devolución de los datos en un plazo de 30 días, salvo obligaciones legales contables y fiscales de conservación.
Artículo 10 — Contactos Oficiales y Delegado de Protección de Datos
•
Delegado de Protección de Datos (DPO) : privacy@envoisms.ma