Contrato de Encargo del Tratamiento

El Encargado tratará los datos personales que el Responsable le encomiende exclusivamente para prestar los servicios de asistente de voz telefónico con inteligencia artificial contemplados en el contrato de servicios suscrito entre ambas partes.

Los tipos de datos tratados incluyen: grabaciones de voz y sus transcripciones, números de teléfono de llamantes, resúmenes de conversaciones y cualquier información personal que el llamante proporcione durante la atención telefónica (nombre, motivo de consulta, datos de contacto).

Cuando el Responsable opera en sectores donde las llamadas pueden revelar datos de categoría especial en el sentido del art. 9 RGPD (en particular, datos relativos a la salud), el tratamiento se realiza al amparo de las excepciones del art. 9.2 del RGPD, principalmente: (a) el consentimiento explícito del interesado (art. 9.2.a), recabado mediante el mecanismo de confirmación verbal al inicio de la llamada cuando el Modo Clínica está activo, y/o (b) la prestación de asistencia sanitaria (art. 9.2.h), cuando el Responsable sea un profesional sanitario o establimiento de salud sujeto al secreto profesional. El Responsable es el único que puede determinar qué excepción aplica a su actividad concreta; Asístelo facilita la recogida y el registro del consentimiento verbal como herramienta, pero la base jurídica la selecciona y justifica el Responsable.

Las categorías de interesados son los clientes, usuarios o terceros que contacten telefónicamente con el Responsable a través de la plataforma Asístelo.

El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable. El tratamiento no se realizará con fines distintos a los encomendados.

Si el Encargado considera que una instrucción vulnera el RGPD u otra normativa aplicable, informará inmediatamente al Responsable. Mientras se resuelve la discrepancia, el Encargado podrá suspender la ejecución de la instrucción cuestionada.

• Configuración de los plazos de retención: en la configuración estándar, hasta 90 días para grabaciones y hasta 365 días para transcripciones. Para sectores regulados con necesidad de conservación superior, puede valorarse una retención específica previa solicitud (ver la cláusula "Sectores regulados y sujetos obligados").
• Activación o desactivación del aviso de grabación al llamante.
• Borrado inmediato de conversaciones individuales bajo solicitud del Responsable.
• Exportación de datos para ejercicio de derechos por parte de los interesados.

Determinados Responsables están sujetos a normativa sectorial que les impone obligaciones propias de identificación y conservación de datos más allá del RGPD. Es el caso, entre otros, de las agencias inmobiliarias cuando intermedian en la compraventa de inmuebles (y en el arrendamiento cuando la renta mensual iguala o supera los 10.000 euros, conforme al art. 4 del Reglamento de la Ley 10/2010): son sujetos obligados de la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo, y deben conservar el expediente de identificación y diligencia debida de sus clientes durante 10 años desde el fin de la relación de negocios (art. 25 de dicha Ley). Cada Responsable debe valorar si su actividad concreta lo convierte en sujeto obligado.

En estos supuestos, el Encargado (Asístelo) presta un servicio de atención telefónica: atiende, cualifica y agenda las llamadas en nombre del Responsable. El Encargado NO realiza, ni asume, las obligaciones sectoriales del Responsable: la identificación formal de clientes, el expediente de diligencia debida (KYC/AML) y el registro de prevención de blanqueo son responsabilidad exclusiva del Responsable y residen en sus propios sistemas.

El historial de llamadas, grabaciones y transcripciones que conserva Asístelo NO constituye ni sustituye el expediente de diligencia debida ni el registro que la normativa sectorial exige al Responsable, ni satisface por sí mismo el plazo de conservación aplicable a dicho registro (por ejemplo, los 10 años de la Ley 10/2010). Los plazos de retención de Asístelo se rigen por el principio de limitación del plazo de conservación (art. 5.1.e RGPD).

Para Responsables con necesidades de conservación superiores al plazo estándar, el Encargado puede valorar, previa solicitud y sujeta a viabilidad técnica, una retención específica de grabaciones y transcripciones. En todo caso, esta conservación es una comodidad operativa: no transforma el servicio de Asístelo en el registro legal sectorial del Responsable, que sigue siendo responsabilidad de este. El Responsable determina el plazo aplicable a su actividad y su base jurídica (art. 5.1.e RGPD). Ver también la cláusula 12 quinquies de los Términos y Condiciones.

El Encargado garantiza que las personas autorizadas para tratar los datos personales se han comprometido a guardar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

El Encargado no revelará los datos del Responsable a terceros salvo autorización expresa o exigencia legal. En caso de solicitud de una autoridad competente, el Encargado notificará al Responsable en el plazo máximo legalmente permitido.

El Encargado aplica las siguientes medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo:

• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3) de todas las grabaciones y transcripciones.
• Control de acceso basado en roles: solo el personal del Responsable autorizado ve sus datos.
• Servidores ubicados exclusivamente en la Unión Europea (región europe-west1).
• Auditorías de seguridad periódicas y pruebas de penetración anuales.
• Plan de continuidad de negocio y recuperación ante desastres (RTO < 4 h, RPO < 1 h).
• Gestión de incidentes con notificación al Responsable en un plazo máximo de 72 horas tras su detección.

El Encargado podrá recurrir a otros encargados del tratamiento (subencargados) previa autorización general del Responsable. El Responsable, al aceptar este contrato, autoriza el uso de los subencargados listados en el apartado "Subencargados autorizados".

El Encargado informará al Responsable con al menos 30 días de antelación de cualquier cambio en los subencargados (altas o bajas), dando oportunidad al Responsable de oponerse.

El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos que las establecidas en este contrato, mediante un contrato escrito.

El Encargado asistirá al Responsable en la medida de lo posible con las medidas técnicas y organizativas apropiadas para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, limitación y oposición).

Asimismo, el Encargado asistirá al Responsable en el cumplimiento de las obligaciones relativas a la seguridad del tratamiento, la notificación de violaciones de datos a la autoridad de control y a los interesados, y la realización de evaluaciones de impacto (EIPD).

El Encargado notificará al Responsable sin dilación indebida, y en todo caso antes de que hayan transcurrido 72 horas desde que haya tenido constancia de ella, cualquier violación de la seguridad de los datos personales a su cargo.

La notificación incluirá como mínimo: descripción de la naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables de la violación y medidas adoptadas o propuestas.

A elección del Responsable, el Encargado suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios, y suprimirá las copias existentes salvo que alguna normativa aplicable exija la conservación de los datos.

Asístelo ofrece la eliminación automática de grabaciones y transcripciones según los plazos de retención configurados (por defecto, hasta 90 días para grabaciones y hasta 365 días para transcripciones; para sectores regulados puede valorarse una retención específica previa solicitud). Cualquier solicitud de supresión inmediata puede gestionarse desde el panel o contactando a soporte.

El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este contrato, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por él.

Las auditorías se realizarán previo aviso razonable (mínimo 30 días), en horario laboral y sin interferir en la actividad del Encargado. Los costes corren por cuenta del Responsable salvo que la auditoría revele incumplimientos relevantes.

Este contrato tendrá la misma vigencia que el contrato de servicios entre las partes. Las obligaciones de confidencialidad y las derivadas del tratamiento de datos subsistirán tras la terminación del contrato hasta la supresión completa de los datos.

Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y europea de protección de datos. Para cualquier controversia, las partes se someten a los tribunales competentes de España.