Contrato de encargado del tratamiento

Partes

• El Responsable: el Cliente que acepta este contrato, identificado con la razón social, el NIF y el domicilio de su cuenta de NexareIA, mediante la persona con permiso de escritura que lo acepta en su nombre y declara tener poder para hacerlo.
• El Encargado: ENE UVE Corp SL, con nombre comercial NexareIA, NIF B19849959 y domicilio en Pasaje Terracota, Edificio GYESA Isla 2, n.º 8, 41703 Dos Hermanas (Sevilla), representada por D. Juan Ignacio Vázquez Lara, administrador.

Ambas partes acuerdan este contrato de encargo del tratamiento, que forma parte del contrato del servicio NexareIA firmado entre ellas («el Contrato principal»).

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio de asistente de voz con inteligencia artificial descrito en el Contrato principal («el Servicio»).

2. Duración

Este contrato dura lo mismo que el Contrato principal. Las obligaciones de confidencialidad, devolución y borrado siguen vigentes después, el tiempo necesario para cumplirlas.

3. Naturaleza y finalidad del tratamiento

El tratamiento consiste en: recibir y hacer llamadas en nombre del Responsable; convertir la voz en texto; generar respuestas con modelos de lenguaje y convertirlas en voz; consultar y anotar citas en la agenda del Responsable; transferir llamadas; generar resúmenes y transcripciones; conservarlos en el panel del Servicio; y enviarlos al Responsable.

Las operaciones son: recogida, registro, estructuración, conservación, consulta, comunicación al Responsable, supresión y destrucción.

4. Datos e interesados

Interesados: clientes y potenciales clientes del Responsable que llaman o reciben llamadas del Asistente, y personas de su equipo a las que se transfieren llamadas.

Tipos de datos:

• Identificativos y de contacto: nombre y número de teléfono.
• Contenido de la llamada: transcripción, resumen y, si el Responsable lo activa, grabación de audio.
• Datos de la gestión solicitada: motivo de la llamada, cita, servicio o pedido.
• Metadatos: fecha, hora, duración y resultado de la llamada.

Categorías especiales: no se tratan. El Asistente se configura para no pedir datos de salud ni otras categorías especiales. Solo se tratarán datos de salud si las partes firman el Anexo IV.

5. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos solo para prestar el Servicio y siguiendo las instrucciones documentadas del Responsable, que son las de este contrato, el Contrato principal y la configuración del Asistente aprobada por el Responsable. Si considera que una instrucción infringe la normativa, avisará de inmediato al Responsable.
2. No usar los datos para fines propios ni para entrenar modelos de inteligencia artificial, y exigir lo mismo a sus subencargados.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
4. Aplicar las medidas de seguridad del Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD.
5. Configurar el Asistente para que diga a cada interesado, al inicio de la llamada, que habla con un asistente de inteligencia artificial, con el texto que facilite o apruebe el Responsable.
6. Ayudar al Responsable a atender los derechos de los interesados. Si un interesado ejerce sus derechos ante el Encargado, este se lo trasladará al Responsable en un plazo máximo de 5 días laborables.
7. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa, con la información de que disponga.
8. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, con un preaviso de al menos 15 días y sin afectar a la seguridad de otros clientes.

6. Brechas de seguridad

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento. La notificación incluirá, en la medida en que la conozca: qué ha pasado, qué datos e interesados aproximados afecta, las consecuencias probables, las medidas tomadas o propuestas y un contacto.

Notificar a la autoridad de control y a los interesados corresponde al Responsable.

7. Subencargados

El Responsable autoriza al Encargado a recurrir a los subencargados del Anexo I. El Encargado avisará por email con al menos 15 días de antelación de cualquier alta o sustitución. El Responsable puede oponerse por motivos razonables de protección de datos en ese plazo; si no hay solución, puede resolver el Contrato principal sin penalización.

El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este contrato, y responderá ante el Responsable de su cumplimiento.

8. Transferencias internacionales

El Encargado solo transferirá datos fuera del Espacio Económico Europeo a los subencargados del Anexo I y con una garantía válida del capítulo V del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o cláusulas contractuales tipo de la Comisión Europea. Siempre que el proveedor lo permita, elegirá el tratamiento en la UE.

9. Obligaciones del Responsable

El Responsable se compromete a:

1. Tener una base legal para el tratamiento y para cada llamada saliente.
2. Informar a los interesados conforme a los artículos 13 y 14 del RGPD, en su política de privacidad y en el mensaje inicial del Asistente.
3. Facilitar al Encargado solo los datos necesarios y dar instrucciones conformes a la ley.
4. Hacer, cuando proceda, la evaluación de impacto y supervisar el tratamiento.

10. Fin del encargo

Al terminar el Contrato principal, el Encargado pondrá los datos a disposición del Responsable para su descarga durante 30 días. Después los suprimirá, también en sus subencargados, y lo certificará por escrito si se le pide. Las copias de seguridad se borrarán en su ciclo ordinario, como máximo en 90 días. Solo conservará datos bloqueados si una ley lo obliga.

11. Responsabilidad

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. Si el Encargado trata los datos para fines propios o incumple las instrucciones, será considerado responsable de ese tratamiento (art. 28.10 RGPD). En lo demás, se aplica el régimen de responsabilidad del Contrato principal.

12. Ley aplicable

Este contrato se rige por el RGPD, la LOPDGDD y la demás ley española, y por las cláusulas de resolución de conflictos del Contrato principal.

Aceptación

Este contrato se acepta electrónicamente desde el panel de NexareIA. El Encargado conserva el registro de la aceptación: versión y huella del texto, cliente, persona que lo acepta, fecha y hora, dirección IP y navegador. A petición del Responsable, el Encargado le enviará una copia firmada.

Anexo I. Subencargados autorizados

Los proveedores de telefonía, voz y modelos de lenguaje son subencargados de la plataforma de agente de voz, que les impone las mismas obligaciones de protección de datos. El Encargado facilitará al Responsable, a petición, la lista actualizada con el nombre, la ubicación y la garantía de cada uno, y le avisará de cualquier cambio conforme al apartado 7.

Anexo II. Medidas de seguridad

• Cifrado: conexiones cifradas (TLS) en todos los servicios y cifrado de los datos almacenados.
• Accesos: acceso solo para el personal que lo necesita, con usuario personal, doble factor de autenticación y registro de accesos.
• Separación: los datos de cada cliente están separados lógicamente y solo son visibles en su panel.
• Minimización: el Asistente solo pide los datos necesarios para la gestión y no pide categorías especiales salvo que se firme el Anexo IV.
• Conservación: borrado automático según los plazos del Anexo III.
• Proveedores: solo proveedores con contrato de encargo, medidas de seguridad acreditadas y la opción de usar datos para entrenar desactivada.
• Copias y continuidad: copias de seguridad cifradas y procedimiento de recuperación.
• Incidentes: procedimiento de gestión y notificación de brechas.
• Revisión: revisión de las medidas al menos una vez al año y cuando cambie el Servicio.

Anexo III. Plazos de conservación por defecto

El Responsable puede pedir plazos más cortos. Los plazos más largos requieren su instrucción por escrito.

Anexo IV. Datos de salud (solo para clínicas y centros sanitarios)

Este anexo solo se aplica si ambas partes lo firman.

1. El Responsable autoriza al Encargado a tratar los datos de salud imprescindibles para gestionar citas: el tipo de consulta o tratamiento que pide el paciente, expresado en términos generales. El Asistente no pide síntomas, diagnósticos, historial clínico ni medicación.
2. El Responsable declara que tiene una base legal para ese tratamiento (art. 9.2.h RGPD), que ha evaluado el riesgo y, si procede, ha hecho la evaluación de impacto y cuenta con delegado de protección de datos.
3. Medidas adicionales: la grabación de audio queda desactivada; las transcripciones se borran a los 30 días; el acceso al panel se limita a las personas que designe el Responsable; y los datos se tratan en la UE siempre que los proveedores lo permitan.
4. Si en una llamada el interesado da más información de salud de la necesaria, el resumen solo recogerá lo imprescindible para la cita.

El Anexo IV no se acepta desde el panel: requiere la firma de ambas partes por separado.