Acuerdo de tratamiento de datos (DPA)

1. Objeto y duración

El Responsable encarga al Encargado el tratamiento de datos personales con el fin de prestar el servicio de asistente telefónico con IA Telofia, durante la vigencia del contrato de prestación del servicio y durante el periodo necesario para suprimir o devolver los datos tras su finalización.

2. Naturaleza y finalidad del tratamiento

Atención y gestión de llamadas telefónicas y por internet, reconocimiento y síntesis de voz, generación de respuestas mediante modelos de lenguaje, reserva de citas y transferencia de llamadas, envío de SMS y emails relacionados con la llamada, realización de grabaciones (si el Responsable las ha activado), transcripciones, resúmenes y valoraciones de calidad de las llamadas, almacenamiento del historial de llamadas y sincronización con las integraciones conectadas por el Responsable.

3. Categorías de datos y de interesados

Interesados: personas que llaman al Responsable o hablan con su asistente, clientes y contactos del Responsable y su personal.

Categorías de datos: números de teléfono, nombres y apellidos, direcciones de email, grabaciones de voz, transcripciones y resúmenes de llamadas, detalles de citas y solicitudes y demás información facilitada por los interlocutores. El Responsable no debe configurar el asistente de forma que dé lugar a la recogida de categorías especiales de datos (art. 9 del RGPD), salvo que sea necesario y exista una base jurídica para ello.

4. Instrucciones del Responsable

El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable, que son, en particular, las Condiciones, el presente DPA y los ajustes elegidos por el Responsable en el panel (p. ej., activación de la grabación, plazo de conservación, integraciones). Si, a juicio del Encargado, una instrucción infringe la normativa de protección de datos, el Encargado informará de ello inmediatamente al Responsable.

5. Obligaciones del Encargado

El Encargado: garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad; aplica medidas técnicas y organizativas apropiadas (art. 32 del RGPD); asiste al Responsable en la atención de las solicitudes de los interesados y en el cumplimiento de las obligaciones establecidas en los arts. 32 a 36 del RGPD; no utiliza los datos confiados para fines propios, incluido el entrenamiento de modelos de inteligencia artificial.

6. Subencargados

El Responsable otorga una autorización general para recurrir a los subencargados enumerados en la página de subencargados. El Encargado impone a los subencargados obligaciones de protección de datos no menos estrictas que las derivadas del presente DPA y responde de sus actuaciones como de las propias. El Encargado informa de los cambios previstos en la lista con al menos 14 días de antelación; en ese plazo, el Responsable puede formular una oposición motivada y, si no se alcanza un acuerdo, resolver el contrato.

7. Transferencias de datos a terceros países

Los datos se almacenan principalmente en la UE (Fráncfort). Las transferencias de datos fuera del Espacio Económico Europeo solo se realizan al amparo de una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o de cláusulas contractuales tipo junto con medidas complementarias.

8. Medidas de seguridad

Cifrado de las transmisiones y de los datos en reposo, cifrado de los tokens de integración, control de acceso y principio de privilegios mínimos, separación lógica de los datos de los clientes, almacenamiento privado de grabaciones con acceso mediante enlaces firmados de corta duración, registro de eventos, copias de seguridad, gestión de vulnerabilidades y procedimientos de respuesta a incidentes.

9. Violaciones de la seguridad de los datos personales

El Encargado notifica al Responsable sin dilación indebida —en la medida de lo posible, en un plazo de 48 horas— desde que tenga conocimiento de una violación de la seguridad de los datos personales, y le facilita la información necesaria para que el Responsable pueda notificarla a la autoridad de control y comunicarla a los interesados.

10. Conservación, supresión y devolución de los datos

Las grabaciones y transcripciones se conservan durante el plazo configurado por el Responsable en el panel (Modo de privacidad) o hasta que el Responsable las elimine. Tras la finalización del contrato, el Encargado —a elección del Responsable, comunicada a la dirección support@aiagenthub.pl— devuelve o suprime los datos confiados en un plazo de 30 días, salvo que la ley exija su conservación.

11. Auditorías y responsabilidad

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD y permite la realización de auditorías, incluidas inspecciones, previa notificación con al menos 14 días de antelación y como máximo una vez al año (salvo que se haya producido una violación de la seguridad de los datos). La responsabilidad de las partes se rige por las Condiciones, sin perjuicio del art. 82 del RGPD.