Vigente desde
6 de noviembre de 2026
Anexo I del DPA · Plataforma CRM
Esta lista forma parte del Acuerdo de Encargo de Tratamiento de Datos (DPA) de la plataforma CRM de ABISAL como su Anexo I. Indica qué proveedores tratan datos personales del Servicio, para qué, dónde y con qué garantías. Las altas y los reemplazos de Sub-encargados se avisan según la cláusula 7 del DPA. ABISAL conserva las versiones anteriores de esta lista, con su fecha, y las entrega a pedido de la Organización.
Parte A — Sub-encargados de ABISAL
Hostinger International Ltd. (61 Lordou Vironos Street, Larnaca 6023, Chipre; VAT CY10301365E)
- Finalidad
- Servidor privado virtual donde corren la aplicación y la base de datos
- Datos involucrados
- Todos los datos del Servicio
- Ubicación del tratamiento
- Brasil (Campinas)
- Mecanismo de transferencia
- DPA de Hostinger (https://www.hostinger.com/legal/dpa, revisión del 2026-09-29), parte de sus Términos de Servicio: cláusulas tipo de la UE, módulos 2 y 3, con ley y tribunales de Chipre + cláusula 10.3
- Cuándo interviene
- Siempre
Cloudflare, Inc. (EE. UU.)
- Finalidad
- Almacenamiento de archivos en Cloudflare R2 (fotos, documentos, adjuntos, archivos de chats) y entrega de los archivos públicos; DNS del dominio
- Datos involucrados
- Archivos que suben la Organización y sus contactos. El tráfico de la aplicación no pasa por Cloudflare (DNS sin proxy)
- Ubicación del tratamiento
- Estados Unidos (región «Eastern North America» indicada al crear los buckets; para Cloudflare es una preferencia, no una garantía)
- Mecanismo de transferencia
- DPA de Cloudflare con cláusulas contractuales tipo de la UE (https://www.cloudflare.com/cloudflare-customer-dpa/) + cláusula 10.3
- Cuándo interviene
- Siempre. Los archivos anteriores al corte del 2026-09-22 que todavía no se migraron siguen en el servidor de Hostinger hasta completar la última fase de la migración
Zoho Corporation (Pleasanton, California, EE. UU.), con sus entidades del grupo, contraparte del acuerdo de tratamiento de datos que firmó ABISAL
- Finalidad
- Correo saliente (Zoho Mail): correos del sistema (invitaciones, recuperación de contraseña, recordatorios, avisos) y campañas que la Organización envía con el correo de la plataforma. Según su acuerdo, Zoho trata además los datos para prevenir el fraude, filtrar el correo no deseado y mejorar su servicio
- Datos involucrados
- Direcciones de correo y contenido de los mensajes
- Ubicación del tratamiento
- Estados Unidos (cuenta en el dominio zoho.com, que corresponde al centro de datos de EE. UU.)
- Mecanismo de transferencia
- Acuerdo de tratamiento de datos de Zoho («Privacy Terms»), firmado en noviembre de 2026: obligaciones de encargado y medidas de seguridad según ISO 27001, sin cláusulas contractuales tipo (DPA, cláusula 10.3)
- Cuándo interviene
- Siempre, salvo que la Organización configure su propio servidor SMTP (parte B)
Anthropic, PBC (EE. UU.)
- Finalidad
- Funciones del Paquete IA: resumen IA del cliente, asistente (ayuda y consultas y acciones sobre los datos del CRM), lectura de planos, texto del aviso de una propiedad y automatizaciones con IA
- Datos involucrados
- Lo que describe el Anexo de Funciones con IA: lo que el usuario escribe en el asistente; nombres de contactos y propiedades, etapa, empresa, notas, interacciones recientes, tareas y citas; contratos de alquiler y planes de pago con sus cuotas y cobros; números de la gestión comercial y el resultado por usuario; nombre, asunto y resultados de las campañas de email (sin las direcciones de los destinatarios); tasaciones (inmueble, valores y, si el usuario puede ver contactos, el nombre del propietario); nombres de carpetas y archivos (también los de la ficha de un contacto o una propiedad) y de quien los subió; nombre y resultado de las automatizaciones; nombre, rol y equipo de los usuarios; siempre limitado a lo que el usuario que pide puede ver; el nombre y el tipo de los archivos que el usuario adjunta al asistente y, de una planilla que pide importar, los nombres de sus columnas, el tipo de dato y algunos valores de ejemplo (sin correos ni teléfonos; el contenido completo no se envía); las imágenes que el usuario adjunta y le pide al asistente que mire; imágenes de planos; los datos públicos de una propiedad para su aviso (sin dirección ni propietario); el catálogo de la organización y los nombres de los usuarios para armar una automatización. No se envían el correo ni el teléfono de los contactos que el CRM tiene guardados
- Ubicación del tratamiento
- Estados Unidos: el CRM pide inferencia solo en infraestructura de EE. UU. (
inference_geo: "us") y el espacio de trabajo de Anthropic guarda los datos en EE. UU. - Mecanismo de transferencia
- DPA de Anthropic con cláusulas contractuales tipo de la UE (módulos 2 y 3), incorporado a sus Commercial Terms + cláusula 10.3
- Cuándo interviene
- Solo si la Organización activó el Paquete IA
Condiciones de Anthropic relevantes (fuentes oficiales consultadas el 2026-10-17):
- Para la API comercial, Anthropic actúa como encargado y su cliente (ABISAL) como responsable frente a Anthropic: https://privacy.claude.com/en/articles/9267385-does-anthropic-act-as-a-data-processor-or-controller
- Su acuerdo de tratamiento de datos, con cláusulas contractuales tipo, se incorpora a sus Commercial Terms, que identifican a Anthropic, PBC como contraparte para clientes fuera del EEE, Suiza y el Reino Unido: https://www.anthropic.com/legal/commercial-terms · https://www.anthropic.com/legal/data-processing-addendum · https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa
- No usa los datos de sus clientes comerciales para entrenar modelos, salvo que el cliente se sume a su programa de partners. ABISAL no participa de ese programa.
- Retención: borra entradas y salidas de la API dentro de los 30 días; el contenido que sus sistemas marcan por violar su política de uso puede conservarse hasta 2 años; conserva más tiempo lo que exija la ley. La retención cero existe por acuerdo con su equipo de ventas; ABISAL no la tiene contratada: https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data · https://platform.claude.com/docs/en/manage-claude/api-and-data-retention
- Ubicación: https://platform.claude.com/docs/en/manage-claude/data-residency
- Sus propios sub-encargados: https://www.anthropic.com/subprocessors
Parte B — Integraciones que activa la Organización (no son Sub-encargados de ABISAL)
Google (Calendar, Sheets, Gmail en solo lectura)
- Para qué se usa en el Servicio
- Sincronizar la agenda, importar o exportar planillas, registrar los correos recibidos de contactos existentes
- Datos que se intercambian
- Eventos, filas de planillas, correos de remitentes que ya son contactos
Meta (WhatsApp Business, Instagram, Messenger)
- Para qué se usa en el Servicio
- Enviar y recibir mensajes con los contactos
- Datos que se intercambian
- Números o identificadores de los contactos y contenido de los mensajes
Microsoft 365 (SharePoint y OneDrive de empresa)
- Para qué se usa en el Servicio
- Sincronizar las carpetas del CRM
- Datos que se intercambian
- Archivos de las carpetas sincronizadas
Tokko Broker
- Para qué se usa en el Servicio
- Traer propiedades, contactos y agentes desde la cuenta de la inmobiliaria
- Datos que se intercambian
- Propiedades, propietarios y contactos que la cuenta de Tokko envía
Abisal Prop (portal de ABISAL)
- Para qué se usa en el Servicio
- Publicar propiedades y recibir consultas y visitas del público
- Datos que se intercambian
- Propiedades publicadas, datos de quien consulta y del agente asignado
Servidor SMTP de la Organización
- Para qué se usa en el Servicio
- Enviar correos con la casilla propia de la Organización
- Datos que se intercambian
- Direcciones y contenido de los correos
Webhooks y API que configura la Organización (incluidos el webhook entrante y la acción «Llamar a una URL» de las reglas automáticas)
- Para qué se usa en el Servicio
- Conectar el CRM con sistemas de la Organización
- Datos que se intercambian
- Los datos que la Organización elige enviar o consultar
Parte C — Terceros que no reciben datos de personas identificadas
OpenStreetMap Foundation (Nominatim)
- Qué recibe
- La dirección de un inmueble (calle, ciudad, provincia, país), sin nombre ni datos de contacto, para ubicarlo en el mapa al guardarlo
Have I Been Pwned (Pwned Passwords)
- Qué recibe
- Los primeros 5 caracteres del hash de una contraseña nueva, para avisar si figura en filtraciones conocidas. No recibe la contraseña ni el usuario
Servicios de notificaciones push del navegador del usuario
- Qué recibe
- Avisos del CRM cifrados de extremo a extremo según el estándar Web Push; el servicio no ve el contenido
Fuentes de datos públicos (BCRA, INDEC, datos.gob.ar)
- Qué recibe
- Nada: el CRM solo descarga índices públicos
Google (Maps), YouTube y Vimeo, en las fichas públicas de propiedades
- Qué recibe
- La ficha pública que comparte la Organización puede mostrar un mapa de Google y un video de YouTube o Vimeo que carga la Organización. Esos servicios reciben la dirección IP y los datos técnicos del navegador de quien abre la ficha y pueden usar sus propias cookies