Contrato de encargado del tratamiento

HookReply · Última actualización: 6 de octubre de 2026

Este contrato forma parte de los términos del servicio: lo aceptas al crear tu cuenta y dura lo mismo que ella. Regula cómo tratamos, por tu cuenta, los datos personales de las personas que escriben o comentan en las cuentas de Instagram que conectas, conforme al art. 28.3 del Reglamento (UE) 2016/679 (RGPD) y al art. 33 de la Ley Orgánica 3/2018 (LOPDGDD). Si algo de los términos contradice este contrato en materia de protección de datos, manda este contrato.

1. Objeto, naturaleza y finalidad

Prestar el servicio HookReply: recibir por la API oficial de Instagram los comentarios y mensajes dirigidos a tus cuentas, enviar las respuestas automáticas que configuras, mostrarte las conversaciones y las estadísticas en el panel, generar respuestas con IA si las activas y enviar los datos de un contacto a las integraciones (webhooks) que tú configures.

2. Datos e interesados

Interesados: las personas que comentan, responden a historias, te mencionan o te escriben por mensaje directo en tus cuentas conectadas. Datos: el identificador de Instagram de esa persona para tu cuenta, su nombre de usuario y nombre público, el texto de comentarios y mensajes y lo que ella misma envía en la conversación (por ejemplo, un email o un teléfono), más las etiquetas y los campos que tú le asignes. No están previstas categorías especiales y los términos prohíben pedirlas o guardarlas. Si un contacto escribe por iniciativa propia un dato de salud, se trata como el resto de la conversación: se guarda para mostrártelo y se borra a los 180 días o al desconectar la cuenta; con la IA activada, se procesa en el momento.

3. Duración y fin del encargo

Mientras tengas la cuenta. Al desconectar una cuenta de Instagram, al borrar tu cuenta de HookReply o si Meta nos comunica que has retirado el acceso, suprimimos al momento su token, automatizaciones, contactos y mensajes. Solo queda el registro del aviso «Primer mensaje» que te mandamos por email, con el nombre de usuario del contacto que activó tu primera automatización: se borra con el resto de tus emails a los 24 meses o al borrar tu cuenta. Antes de desconectar puedes descargar todos tus contactos desde el panel (Contactos › Exportar CSV); las conversaciones siguen en tu bandeja de Instagram. Las copias de seguridad automáticas de la base de datos se sobrescriben solas en un máximo de 30 días. Los mensajes se borran en cualquier caso a los 180 días.

4. Lo que nos comprometemos a hacer (art. 28.3 RGPD)

1. Instrucciones documentadas. Tratamos los datos solo según tus instrucciones documentadas, que son la configuración que eliges en el panel y estos términos, también en lo relativo a transferencias internacionales. Si una instrucción nos parece contraria al RGPD, te avisamos.
2. Confidencialidad. Solo acceden las personas de DAMMUS EUROGROUP SL que lo necesitan para prestar o mantener el servicio, con deber de confidencialidad.
3. Seguridad (art. 32 RGPD). Conexión cifrada (HTTPS), tokens de acceso cifrados (AES-GCM), contraseñas con hash (PBKDF2), acceso al panel restringido a su titular y registros técnicos mínimos.
4. Subencargados. Nos autorizas de forma general a usar subencargados. Hoy son Cloudflare, Inc. (alojamiento, base de datos y, si activas la IA, el modelo que genera las respuestas; red global) y Resend (Plus Five Five, Inc.), que envía los emails de tu cuenta; el aviso «Primer mensaje» incluye el nombre de usuario del contacto que activó tu automatización. Resend los envía desde Irlanda y guarda los registros de envío en EE. UU. Las transferencias a EE. UU. se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo. Te avisaremos por email con 30 días de antelación antes de añadir o cambiar un subencargado; si no estás de acuerdo, puedes oponerte y darte de baja sin coste. Le imponemos por contrato las mismas obligaciones que este contrato. Meta Platforms Ireland Ltd. no es subencargado nuestro: Instagram es el canal por el que tú recibes y envías los mensajes, con tus propias condiciones con Meta. Las integraciones que tú conectes (Make, Zapier u otras) reciben los datos por tu cuenta y bajo tu responsabilidad.
5. Derechos de los interesados. Te ayudamos a atenderlos: desde el panel puedes ver las conversaciones, corregir las etiquetas y los campos de cada contacto y exportar todos tus contactos (Contactos › Exportar CSV). Para borrar un contacto concreto y su conversación, escríbenos a hola@hookreply.com indicando solo su nombre de usuario (sin adjuntar la conversación) y lo hacemos en un plazo máximo de 30 días. No enviamos por email archivos con tus datos: lo que puedes descargar está en el panel. Si una persona nos escribe a nosotros, te pasamos la petición sin contestarla por ti, salvo que nos pidas otra cosa.
6. Brechas de seguridad. Si sufrimos una brecha que afecte a tus datos, te avisamos sin dilación indebida y como máximo en 48 horas desde que la conozcamos, con lo que sepamos, para que puedas notificarla a la autoridad en 72 horas si corresponde. También te ayudamos con las evaluaciones de impacto y las consultas previas si las necesitas.
7. Al terminar. Suprimimos los datos como se explica en el punto 3, salvo que la ley nos obligue a conservar algo.
8. Demostrar el cumplimiento. Te damos la información necesaria para demostrar que cumplimos este contrato y permitimos auditorías, también de un auditor que elijas con deber de confidencialidad, con 30 días de aviso, como mucho una vez al año salvo brecha o requerimiento de una autoridad, y a tu cargo.

5. Lo que te corresponde a ti

Como responsable, tienes base legal para tratar los datos de tus contactos y les informas de ello; no nos das instrucciones contrarias al RGPD; y no usas HookReply para categorías especiales de datos.

6. Contacto

Para cualquier cuestión de este contrato: hola@hookreply.com.

Data Processing Agreement

This agreement is part of our Terms of Service and governs how DAMMUS EUROGROUP SL (Tax ID B97921761, Calle Aulaga 6, 14012 Córdoba), as processor, processes on your behalf, as controller, the personal data of the people who comment on or message your connected Instagram accounts (GDPR art. 28.3). Purpose: providing HookReply (receiving comments and messages through Meta's official API, sending the automated replies you configure, the inbox, statistics, optional AI replies and the webhooks you set up). Data: Instagram-scoped ID, username, public name, message and comment text and whatever people send in the conversation, plus your tags and fields. Special categories are not expected and the terms forbid asking for or storing them; if a contact writes health information on their own initiative, it is handled like the rest of the conversation: stored to show it to you and deleted after 180 days or when the account is disconnected; with AI replies enabled, it is processed at that moment. Duration: while your account exists; data is deleted when you disconnect an account or delete yours (export all your contacts as CSV from the dashboard first; conversations stay in your Instagram inbox); only the record of the «Primer mensaje» notice email, with the username of the contact who triggered your first automation, remains until your emails are deleted (24 months, or when you delete your account); backups are overwritten within 30 days and messages are deleted after 180 days anyway. We process only on your documented instructions (your dashboard settings and these terms), keep staff bound by confidentiality, apply the security measures of art. 32 (HTTPS, AES-GCM encrypted tokens, PBKDF2 hashed passwords, restricted access), use Cloudflare, Inc. (hosting, database and the optional AI model) and Resend (Plus Five Five, Inc.; account emails, one of which includes the Instagram username of the contact who triggered your automation, sent from Ireland with sending records stored in the USA) as sub-processors (EU-US Data Privacy Framework and standard contractual clauses) with 30 days' notice and a right to object before any change, help you with data subject requests (to delete a specific contact, email us just their username, without attaching the conversation, and we do it within 30 days; we never email you files with your data), notify you of any personal data breach without undue delay and within 48 hours of becoming aware of it, and allow audits on 30 days' notice, at most once a year except after a breach. Contact: hola@hookreply.com.

Aviso legal · Privacidad / Privacy · Términos / Terms · Reembolsos / Refunds · Eliminación de datos / Data deletion · Encargo del tratamiento / DPA · Cookies