Anexo de Tratamiento de Datos

1. Detalles del tratamiento

Objeto y duración

Tratamos los datos personales de quienes llaman para prestar el Servicio durante la vigencia de tu suscripción y el periodo posterior a la resolución que se indica más abajo.

Naturaleza y finalidad

Recibir y atender llamadas entrantes con un agente de voz con IA; convertir el habla en texto y generar respuestas habladas; grabar llamadas opcionalmente cuando lo actives; almacenar transcripciones y metadatos de llamadas; realizar las acciones que configures (como crear reservas o enviar correos a través de tus integraciones conectadas); y poner estos datos a tu disposición en el panel y mediante búsqueda, webhooks y descargas.

Tipos de datos personales

• Números de teléfono de quienes llaman y el número marcado.
• Grabaciones de audio de las llamadas (solo cuando actives la grabación).
• Transcripciones y texto derivado de las conversaciones.
• Cualquier dato personal que la persona facilite durante una llamada (por ejemplo, nombre, detalles de la cita o motivo de la llamada), y metadatos como hora, duración y resultado.

Eres responsable de lo que tus agentes solicitan. No debes configurar agentes para recabar categorías especiales de datos (como información de salud) salvo que dispongas de una base jurídica conforme al artículo 9 y de garantías adecuadas.

Categorías de interesados

Las personas que llaman a los números que conectas con el Servicio (quienes te llaman) y cualquier tercero al que mencionen.

2. Nuestras obligaciones como encargado

• Tratar los datos personales de quienes llaman únicamente según tus instrucciones documentadas, incluidas las instrucciones implícitas en tu uso del Servicio y su configuración, salvo que lo exija la ley (en cuyo caso te informaremos, salvo prohibición).
• Garantizar que las personas autorizadas a tratar los datos se comprometan a la confidencialidad.
• Aplicar medidas técnicas y organizativas de seguridad adecuadas (véase Seguridad más abajo).
• Respetar las condiciones para recurrir a subencargados que se establecen más abajo.
• Asistirte, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados y en el cumplimiento de tus obligaciones en materia de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa.
• A tu elección, suprimir o devolver los datos personales de quienes llaman al finalizar la prestación del Servicio, y suprimir las copias existentes salvo que la ley exija su conservación.
• Poner a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28 y permitir y contribuir a auditorías según se describe más abajo.

Te informaremos si, en nuestra opinión, una instrucción infringe el RGPD u otra norma de protección de datos.

3. Subencargados

Nos autorizas a recurrir a los siguientes subencargados para tratar los datos personales de quienes llaman al prestar el Servicio:

• Twilio — telefonía, enrutamiento de llamadas y grabación opcional.
• OpenAI — modelos de voz con IA que tratan el audio y el texto de las llamadas en tiempo real.
• Cloudflare — alojamiento, almacenamiento de grabaciones y transcripciones e infraestructura.
• Stripe — procesamiento de pagos (metadatos de facturación y uso; no el contenido de las llamadas).
• Clerk — autenticación (usuarios de la cuenta; no el contenido de las llamadas).
• Resend — envío de correos transaccionales (notificaciones; no el contenido de las llamadas).

Imponemos a cada subencargado obligaciones de protección de datos no menos protectoras que las de este Anexo y seguimos siendo responsables de su cumplimiento. Te avisaremos con antelación razonable de cualquier adición o sustitución prevista de un subencargado y te daremos la oportunidad de oponerte por motivos razonables de protección de datos.

4. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo o del Reino Unido, incluido Estados Unidos. Cuando se producen tales transferencias, se realizan con garantías adecuadas como las Cláusulas Contractuales Tipo de la Comisión Europea o una decisión de adecuación aplicable.

5. Conservación de los datos de quienes llaman

Los plazos de conservación de los datos de quienes llaman son configurables por organización para que puedas alinearlos con tu propia política de conservación y tu base jurídica:

• Grabaciones de llamadas: la grabación está desactivada por defecto; cuando se activa, las grabaciones se conservan durante un periodo configurable por organización, que por defecto es de 30 días, tras el cual se eliminan automáticamente.
• Transcripciones y registros de llamadas: se conservan durante un periodo configurable por organización, que por defecto es de 365 días, tras el cual se eliminan automáticamente.

Eres responsable de elegir plazos de conservación acordes con tus obligaciones. Al resolverse el Servicio, o siguiendo tus instrucciones, suprimiremos o devolveremos los datos personales de quienes llaman según nuestras obligaciones anteriores, con sujeción a un breve retraso técnico por copias de seguridad y a cualquier conservación exigida por ley.

6. Solicitudes de los interesados

El Servicio te ofrece herramientas para acceder, buscar, exportar y suprimir los datos de quienes llaman. Si un interesado nos contacta directamente con una solicitud relativa a datos que tratamos por cuenta tuya, lo remitiremos a ti y, cuando proceda, te lo notificaremos, y te asistiremos en la respuesta.

7. Violaciones de la seguridad de los datos

Te notificaremos sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales de quienes llaman que tratamos por cuenta tuya, y te facilitaremos la información razonablemente disponible para ayudarte a cumplir tus obligaciones de notificación.

8. Seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas: cifrado de los secretos y credenciales de integración; controles de acceso y administración con privilegios mínimos; separación de las organizaciones de los clientes; tokens de acceso firmados y de duración limitada para el contenido multimedia almacenado; registro de auditoría de las acciones administrativas; y uso de proveedores de infraestructura de reconocido prestigio. Las grabaciones se almacenan con control de acceso y solo se sirven mediante enlaces firmados y con caducidad.

9. Auditorías

Pondremos a disposición la información razonablemente necesaria para demostrar el cumplimiento de este Anexo. Cuando razonablemente requieras una auditoría, podremos satisfacerla mediante documentación y, cuando sea realmente necesario, una revisión supervisada, con sujeción a un preaviso razonable, confidencialidad y acuerdos de costes, y sin comprometer los datos de otros clientes ni nuestra seguridad.

10. Responsabilidad y ley aplicable

La responsabilidad de cada parte en virtud de este Anexo está sujeta a las limitaciones de responsabilidad de los Términos. Este Anexo se rige por la ley y jurisdicción indicadas en los Términos ([[GOVERNING_LAW]]; tribunales de [[JURISDICTION_VENUE]]), salvo que la normativa imperativa de protección de datos exija otra cosa. Para consultas sobre el Anexo, escríbenos a [[PRIVACY_CONTACT_EMAIL]].