Fecha de entrada en vigor: 24 de septiembre de 2026 para las cuentas abiertas en esa fecha o después; 25 de octubre de 2026 para las cuentas abiertas antes de esa fecha. Última actualización: 24 de septiembre de 2026. Versión: 2026-09-24.
GoUltra Systems LLC, sociedad de responsabilidad limitada de Wyoming. Dirección postal: 312 W 2nd St #2692, Casper, WY 82601, USA. Soporte: support@goultra.ai. Privacidad: privacy@goultra.ai.
1. Ámbito, funciones e instrucciones
Este Acuerdo de Tratamiento de Datos forma parte del acuerdo entre GoUltra Systems LLC y el Cliente respecto de los datos personales tratados por cuenta del Cliente. El Cliente actúa como responsable del tratamiento o como encargado autorizado por su responsable, y GoUltra actúa como encargado o subencargado para ese tratamiento. Las actividades propias de GoUltra como responsable se describen en la Política de Privacidad. Este Acuerdo prevalece sobre las condiciones generales incompatibles relativas a los Datos Personales del Cliente. GoUltra actúa únicamente conforme a las instrucciones documentadas contenidas en el acuerdo, las funciones configuradas y las acciones autorizadas del Cliente, incluidas las instrucciones sobre transferencias internacionales, salvo que la ley exija otra cosa. Informa al Cliente de cualquier instrucción de tratamiento impuesta legalmente cuando esté permitido y le advierte si considera ilícita una instrucción.
2. Descripción del tratamiento
El objeto es la prestación del servicio de comunicación y procesos de trabajo de GoUltra. Las operaciones incluyen recepción, transmisión, alojamiento, organización, recuperación, visualización, análisis por instrucciones del Cliente y eliminación. Las finalidades incluyen conversaciones de WhatsApp, citas, contactos, presupuestos, documentos y campañas. Las personas interesadas incluyen contactos y destinatarios del Cliente, usuarios autorizados y personas que se comunican con el Cliente. Los datos pueden incluir nombres, números de teléfono, perfiles, mensajes y metadatos, imágenes, grabaciones, documentos, notas, citas, presupuestos, registros de firma e identificadores del servicio. El tratamiento dura mientras se utiliza el servicio y, posteriormente, solo durante la devolución, eliminación y conservación limitada lícitas. El Cliente facilita lícitamente la información y las instrucciones. El servicio estándar no requiere datos sensibles; un proceso compatible que trate datos sensibles necesita las condiciones legales y garantías exigidas. La información sujeta a HIPAA solo se acepta en el marco de un acuerdo expreso para una configuración compatible.
3. Limitaciones de finalidad y confidencialidad
GoUltra no vende datos personales. No utiliza los Datos Personales del Cliente para publicidad entre distintos clientes ni para entrenar sus propios modelos de inteligencia artificial de propósito general. Cuando se apliquen las restricciones para proveedores de servicios o contratistas de la legislación estatal estadounidense pertinente, GoUltra no vende ni comunica los datos en los sentidos prohibidos por dicha legislación, no los conserva ni utiliza fuera de las finalidades empresariales especificadas o de la relación comercial directa, ni los combina de forma prohibida. Proporciona el nivel de protección exigido, notifica al Cliente si deja de poder cumplir esas obligaciones y permite medidas razonables para detener y subsanar usos no autorizados. El personal autorizado está sujeto a deberes continuados de confidencialidad y recibe acceso únicamente cuando sea necesario. Las instrucciones del Cliente no pueden autorizar un uso prohibido por la legislación imperativa o por restricciones vinculantes de la plataforma.
4. Seguridad e incidentes
GoUltra mantiene las medidas técnicas y organizativas adecuadas descritas más adelante, teniendo en cuenta la naturaleza, el riesgo y el contexto del tratamiento. Los cambios no deben reducir el nivel de protección acordado. GoUltra notifica al Cliente sin demora indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente, facilita la información disponible sobre su alcance, consecuencias, medidas de mitigación y contacto, y proporciona actualizaciones a medida que se conocen los hechos. No espera a que finalice una investigación completa para emitir la notificación inicial exigida. Las partes cooperan en las notificaciones legalmente obligatorias; GoUltra no impone un período de espera genérico de 72 horas a su deber de notificación como encargado.
5. Subencargados
El Cliente concede una autorización general para los subencargados identificados en la versión vigente del registro de destinatarios. GoUltra avisa con antelación de las incorporaciones o sustituciones antes de que comience el tratamiento, incluido un correo electrónico para cambios sustanciales, de modo que el Cliente disponga de una oportunidad razonable para oponerse por motivos de protección de datos. Las partes procuran una solución razonable; si no se resuelve la cuestión, el Cliente puede poner fin al servicio afectado. GoUltra impone a sus subencargados las obligaciones escritas adecuadas y sigue siendo responsable de su cumplimiento. Las tiendas que actúan como responsables independientes y los proveedores contratados directamente por el Cliente se identifican por separado y no se califican incorrectamente como subencargados de GoUltra.
6. Asistencia y responsabilidad demostrable
Teniendo en cuenta el tratamiento y la información disponible, GoUltra presta asistencia en las solicitudes de las personas interesadas, las obligaciones de seguridad, las evaluaciones de impacto, las consultas previas y la respuesta a incidentes. Proporciona herramientas de exportación, rectificación y eliminación, así como asistencia razonable cuando esas herramientas sean insuficientes. Facilita información de cumplimiento, incluidos el registro, las medidas de seguridad y cuestionarios de seguridad razonables, normalmente una vez cada doce meses salvo que un incidente, una autoridad o una obligación legal exijan más. Los derechos imperativos de auditoría se preservan mediante un procedimiento proporcionado que proteja a otros clientes y la seguridad del sistema. GoUltra no afirma poseer certificaciones SOC 2 o ISO que no tenga ni condiciona la investigación de una autoridad a un límite comercial de cuestionarios. GoUltra pone a disposición la información necesaria para demostrar el cumplimiento y permite y contribuye a las auditorías legalmente exigidas, incluidas las inspecciones, realizadas por el Cliente o por el auditor que este designe. Las condiciones razonables de programación y confidencialidad no deben impedir una auditoría legalmente obligatoria.
7. Devolución, eliminación y recuperación
A elección del Cliente y con sujeción a la legislación aplicable, GoUltra devuelve o elimina los Datos Personales del Cliente al finalizar el servicio y elimina las copias existentes salvo que su conservación sea legalmente necesaria. El Cliente puede exportar antes del cierre y, cuando correspondan, prevalecen los períodos imperativos de cambio de proveedor y recuperación. La eliminación activa normalmente se completa en 30 días, o antes cuando sea obligatorio. Las copias conservadas lícitamente se restringen a la finalidad justificada. Los plazos máximos de las copias de seguridad cifradas y la demora de limpieza no son una excepción general a la supresión: cuando la legislación aplicable exija una destrucción anterior, prevalecerá esa exigencia. Los controles de eliminación vuelven a aplicarse antes de devolver los datos recuperados al uso, y las instrucciones de eliminación se transmiten a los encargados cuando sea obligatorio.
8. Transferencias internacionales
El cuadro verificado de transferencias forma parte de las condiciones de tratamiento e identifica las partes, funciones, ubicaciones y mecanismos aplicables reales. Las partes formalizan el instrumento válido y los anexos, evaluaciones y garantías complementarias necesarios antes de que se produzca una transferencia restringida. Una referencia a cláusulas tipo o a la certificación de otro proveedor no establece por sí sola un mecanismo de transferencia para GoUltra. Cuando se utilicen cláusulas tipo obligatorias, este Acuerdo no modifica sus términos imperativos y estas prevalecen en caso de conflicto. Toda solicitud lícita de comunicación se evalúa y se impugna cuando corresponda, y se informa al Cliente cuando esté permitido. Se mantienen las autorizaciones o restricciones locales obligatorias.
9. Medidas técnicas y organizativas
Los datos se transmiten mediante HTTPS/TLS. Cloudflare cifra el contenido almacenado en D1 y R2. GoUltra cifra las credenciales y los tokens de acceso mediante AES-256-GCM con una clave por instalación protegida por una clave versionada, y rechaza almacenar o transmitir sin cifrar una credencial designada. Los identificadores empresariales y las consultas de alcance restringido separan los datos de los distintos clientes; los permisos del equipo limitan el acceso a los números y funciones autorizados, y los puntos de acceso administrativos se controlan por separado. La autenticación utiliza los mecanismos implementados de inicio de sesión y verificación, códigos temporales opcionales cuando se ofrezcan y tokens de sesión almacenados mediante hash. El acceso administrativo es atribuible y los eventos de seguridad se registran sin credenciales ni contenido de mensajes. Los controles por cuenta y por clave limitan los abusos. El código fuente está sometido a control de versiones, los cambios se comprueban antes del despliegue y las versiones anteriores etiquetadas permiten revertir cambios. Estas afirmaciones describen controles concretos y no implican certificación ni protección frente a toda amenaza.
10. Calendario de copias de seguridad
Las copias diarias cifradas de recuperación de bases de datos se conservan hasta 45 días; las semanales, 183 días; las mensuales, 366 días; y las copias fuera de la cuenta principal de la nube, 30 días, con una demora adicional máxima de limpieza de 7 días. El acceso se limita a operaciones autorizadas de recuperación y seguridad. Los destinos reales y las condiciones de tratamiento figuran en el registro de destinatarios. Se revisa la necesidad del calendario, que no prevalece sobre una obligación legal de eliminación más breve. Los procedimientos de restauración incluyen la comprobación de que los registros suprimidos no reaparezcan en el uso ordinario.