Contrato de encargado del tratamiento

Partes

• El Responsable: el Cliente que acepta este contrato, identificado con la razón social, el NIF y el domicilio de su cuenta de NexareIA, mediante la persona con permiso de escritura que lo acepta en su nombre y declara tener poder para hacerlo.
• El Encargado: ENE UVE Corp SL, con nombre comercial NexareIA, NIF B19849959 y domicilio en Polígono Industrial Su Eminencia, calle A, nave 3, 41006 Sevilla, representada por D. Juan Ignacio Vázquez Lara, administrador.

Ambas partes acuerdan este contrato de encargo del tratamiento, que forma parte del contrato del servicio NexareIA firmado entre ellas («el Contrato principal»).

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio de asistente de voz con inteligencia artificial descrito en el Contrato principal («el Servicio»).

2. Duración

Este contrato dura lo mismo que el Contrato principal. Las obligaciones de confidencialidad, devolución y borrado siguen vigentes después, el tiempo necesario para cumplirlas.

3. Naturaleza y finalidad del tratamiento

El tratamiento consiste en: recibir y hacer llamadas en nombre del Responsable; procesar la voz de la conversación con modelos de inteligencia artificial que la entienden y generan las respuestas habladas, directamente o convirtiéndola antes en texto; consultar y anotar citas en la agenda del Responsable; transferir llamadas; generar resúmenes y transcripciones; conservarlos en el panel del Servicio; enviarlos al Responsable; llevar en el panel la agenda de contactos y las oportunidades (leads) del Responsable, con los datos que dejan las llamadas o que él aporta; y hacer las campañas de llamadas salientes que el Responsable configure, con sus listas de contactos, el resultado de cada llamada y su lista de exclusión («No llamar»).

Las operaciones son: recogida, registro, estructuración, conservación, consulta, comunicación al Responsable, supresión y destrucción.

4. Datos e interesados

Interesados: clientes, potenciales clientes, proveedores, colaboradores y otros contactos del Responsable que llaman o reciben llamadas del Asistente o están en su agenda, sus listas o sus campañas, y personas de su equipo a las que se transfieren llamadas.

Tipos de datos:

• Identificativos y de contacto: nombre, número de teléfono, correo electrónico y dirección.
• Contenido de la llamada: transcripción, resumen y, si el Responsable lo activa, grabación de audio.
• Datos de la gestión solicitada: motivo de la llamada, cita, servicio o pedido.
• Metadatos: fecha, hora, duración y resultado de la llamada.
• Agenda y oportunidades: contactos (nombre, teléfono, correo, empresa y los datos que el Responsable decida guardar), si el interesado ha dado su permiso para recibir llamadas y cómo, y las oportunidades (leads) con su estado y su resumen.
• Campañas salientes: listas de contactos, base legal de cada contacto, resultado de cada llamada y lista de exclusión («No llamar»).

Categorías especiales: no se tratan. El Asistente se configura para no pedir datos de salud ni otras categorías especiales. Solo se tratarán datos de salud si las partes firman el Apéndice D.

5. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos solo para prestar el Servicio y siguiendo las instrucciones documentadas del Responsable, que son las de este contrato, el Contrato principal y la configuración del Asistente aprobada por el Responsable. Si considera que una instrucción infringe la normativa, avisará de inmediato al Responsable.
2. No usar los datos para fines propios ni para entrenar modelos de inteligencia artificial, y exigir a sus subencargados que tampoco los usen para entrenar modelos de inteligencia artificial.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
4. Aplicar las medidas de seguridad del Apéndice B, adecuadas al riesgo conforme al artículo 32 del RGPD.
5. Configurar el Asistente para que diga a cada interesado, al inicio de la llamada, que habla con un asistente de inteligencia artificial, con el texto que facilite o apruebe el Responsable.
6. Ayudar al Responsable a atender los derechos de los interesados. Si un interesado ejerce sus derechos ante el Encargado, este se lo trasladará al Responsable en un plazo máximo de 5 días laborables.
7. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa, con la información de que disponga.
8. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, con un preaviso de al menos 30 días hábiles y sin afectar a la seguridad de otros clientes.

6. Brechas de seguridad

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento. La notificación incluirá, en la medida en que la conozca: qué ha pasado, qué datos e interesados aproximados afecta, las consecuencias probables, las medidas tomadas o propuestas y un contacto.

Notificar a la autoridad de control y a los interesados corresponde al Responsable.

7. Subencargados

El Responsable autoriza al Encargado a recurrir a los subencargados del Apéndice A. El Encargado avisará por email con al menos 15 días de antelación de cualquier alta o sustitución. El Responsable puede oponerse por motivos razonables de protección de datos en ese plazo; si no hay solución, puede resolver el Contrato principal sin penalización.

El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este contrato, y responderá ante el Responsable de su cumplimiento.

8. Transferencias internacionales

El Encargado solo transferirá datos fuera del Espacio Económico Europeo a los subencargados del Apéndice A y con una garantía válida del capítulo V del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o cláusulas contractuales tipo de la Comisión Europea. Siempre que el proveedor lo permita, elegirá el tratamiento en la UE.

9. Obligaciones del Responsable

El Responsable se compromete a:

1. Tener una base legal para el tratamiento y para cada llamada saliente.
2. Informar a los interesados conforme a los artículos 13 y 14 del RGPD, en su política de privacidad y en el mensaje inicial del Asistente.
3. Facilitar al Encargado solo los datos necesarios y dar instrucciones conformes a la ley.
4. Hacer, cuando proceda, la evaluación de impacto y supervisar el tratamiento.

10. Fin del encargo

Al terminar el Contrato principal, el Encargado pondrá los datos a disposición del Responsable para su descarga durante 30 días. Después los suprimirá, también en sus subencargados, y lo certificará por escrito si se le pide. Las copias de seguridad se borrarán en su ciclo ordinario, como máximo en 90 días. Solo conservará datos bloqueados si una ley lo obliga.

11. Responsabilidad

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. Si el Encargado trata los datos para fines propios o incumple las instrucciones, será considerado responsable de ese tratamiento (art. 28.10 RGPD). En lo demás, se aplica el régimen de responsabilidad del Contrato principal.

12. Ley aplicable

Este contrato se rige por el RGPD, la LOPDGDD y la demás ley española, y por las cláusulas de resolución de conflictos del Contrato principal.

Aceptación

Este contrato se acepta electrónicamente desde el panel de NexareIA. El Encargado conserva el registro de la aceptación: versión y huella del texto, cliente, persona que lo acepta, fecha y hora, dirección IP y navegador. A petición del Responsable, el Encargado le enviará una copia firmada.

Apéndice A. Subencargados autorizados

Netelip, Deepgram, ElevenLabs, OpenAI y Google son subencargados de la plataforma de agente de voz, que aloja los datos en Amazon Web Services (región de Madrid, España), les impone por contrato las mismas obligaciones de protección de datos y responde de su cumplimiento. El Encargado facilitará al Responsable, a petición, la lista completa y actualizada de subencargados de la plataforma, y le avisará de cualquier cambio conforme al apartado 7.

Apéndice B. Medidas de seguridad

• Cifrado: conexiones cifradas (TLS) en todos los servicios y cifrado de los datos almacenados.
• Accesos: acceso solo para el personal que lo necesita, con usuario personal, doble factor de autenticación y registro de accesos.
• Separación: los datos de cada cliente están separados lógicamente y solo son visibles en su panel.
• Minimización: el Asistente solo pide los datos necesarios para la gestión y no pide categorías especiales salvo que se firme el Apéndice D.
• Conservación: borrado automático según los plazos del Apéndice C.
• Proveedores: solo proveedores con contrato de encargo, medidas de seguridad documentadas y el compromiso de no usar los datos para entrenar modelos de inteligencia artificial.
• Copias y continuidad: copias de seguridad cifradas y procedimiento de recuperación.
• Incidentes: procedimiento de gestión y notificación de brechas.
• Revisión: revisión de las medidas al menos una vez al año y cuando cambie el Servicio.

Apéndice C. Plazos de conservación por defecto

El Responsable puede pedir plazos más cortos. Los plazos más largos requieren su instrucción por escrito.

La plataforma de voz guarda juntos la grabación, la transcripción y el resumen de cada llamada, y se borran a la vez. El borrado se hace en los días siguientes a cumplirse el plazo, una vez cerrado el consumo del mes de la llamada.

Apéndice D. Datos de salud (solo para clínicas y centros sanitarios)

Este apéndice solo se aplica si ambas partes lo firman.

1. El Responsable autoriza al Encargado a tratar los datos de salud imprescindibles para gestionar citas: el tipo de consulta o tratamiento que pide el paciente, expresado en términos generales. El Asistente no pide síntomas, diagnósticos, historial clínico ni medicación.
2. El Responsable declara que tiene una base legal para ese tratamiento (art. 9.2.h RGPD), que ha evaluado el riesgo y, si procede, ha hecho la evaluación de impacto y cuenta con delegado de protección de datos.
3. Medidas adicionales: la grabación de audio queda desactivada; las llamadas (transcripción y resumen) se borran a los 30 días; el acceso al panel se limita a las personas que designe el Responsable; y los datos se tratan en la UE siempre que los proveedores lo permitan.
4. Si en una llamada el interesado da más información de salud de la necesaria, el resumen solo recogerá lo imprescindible para la cita.
5. En la agenda y en las oportunidades solo se guardan el nombre, el teléfono y el correo del paciente; la oportunidad se registra como «Solicitud de cita», sin datos ni resumen.

El Apéndice D no se acepta desde el panel: requiere la firma de ambas partes por separado.