Acuerdo de encargo del tratamiento

Partes

• Responsable del tratamiento: el Cliente que contrata el servicio conforme a las Condiciones del servicio.
• Encargado del tratamiento: Atiempo.Me SL (nombre comercial: CallSmarter), NIF B56542111, con domicilio en Calle Timón 58, Centro Comercial Torrequebrada, Oficina 17, 29631 Torrequebrada, España («CallSmarter»).

El acuerdo se aplica a los datos personales que CallSmarter trata por cuenta del Cliente al prestar el servicio. No se aplica a los datos que CallSmarter trata como responsable (por ejemplo, para la facturación o la gestión de la relación contractual), regulados en la Política de privacidad.

Objeto, naturaleza, finalidad y duración

CallSmarter trata los datos con la única finalidad de prestar el servicio al Cliente, lo que comprende:

• la realización de llamadas salientes en nombre del Cliente mediante agentes de voz de inteligencia artificial;
• la grabación de las conversaciones y su transcripción;
• la evaluación automática de la calidad de cada llamada y la elaboración de un breve resumen mediante inteligencia artificial;
• el registro de los resultados de las llamadas;
• las funciones de CRM (contactos, operaciones y tareas);
• la gestión de campañas y listas de contactos.

El tratamiento durará lo que dure el contrato, más el periodo necesario para la supresión o devolución de los datos previsto en este acuerdo.

Categorías de datos

• Datos identificativos y de contacto de los contactos del Cliente: nombre, teléfono, correo electrónico y demás campos incluidos en los archivos CSV que cargue el Cliente.
• Voz y contenido de las conversaciones: grabaciones de audio y transcripciones.
• Resultados de las llamadas, resúmenes, evaluaciones y notas.
• Metadatos de las llamadas: fecha y hora, duración y estado.
• Datos de los usuarios del panel del Cliente: nombre, correo electrónico, rol y registro de actividad.

El Cliente no cargará categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales (art. 10 RGPD) sin una base jurídica específica y sin acordarlo previamente por escrito con CallSmarter.

Categorías de interesados

• Contactos, clientes potenciales (leads) y clientes del Cliente.
• Representantes y empleados del Cliente.
• Usuarios del panel del Cliente.

Instrucciones del Responsable

CallSmarter tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará previamente al Cliente, salvo que tal Derecho lo prohíba. Se consideran instrucciones documentadas estas condiciones, la configuración que el Cliente establezca en el panel y los agentes, prompts y campañas que defina.

CallSmarter informará inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos.

Confidencialidad

CallSmarter garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a los datos en la medida necesaria para prestar el servicio.

Medidas de seguridad

Conforme al artículo 32 del RGPD, CallSmarter aplica, entre otras, las siguientes medidas técnicas y organizativas:

• cifrado del tráfico mediante HTTPS/TLS; el acceso web al servidor solo está abierto a través de la red de Cloudflare;
• cifrado de los secretos de las integraciones y de las claves de autenticación en dos pasos con el algoritmo AES-256-GCM;
• almacenamiento de contraseñas mediante función de derivación de claves (scrypt);
• aislamiento lógico de los datos de cada organización a nivel de base de datos (PostgreSQL Row-Level Security);
• autenticación en dos pasos (TOTP), obligatoria por defecto;
• modelo de permisos basado en roles, incluido el enmascaramiento de los números de teléfono para los roles sin el permiso correspondiente;
• registro de actividad (auditoría) inalterable, protegido mediante una cadena de hashes;
• cierre automático de las sesiones inactivas;
• lista opcional de direcciones IP autorizadas por organización;
• restricciones de red: el puerto SIP solo es accesible para las direcciones IP del operador de telecomunicaciones, el acceso SSH solo es posible mediante claves y existe protección frente a ataques de fuerza bruta.

Estas medidas pueden actualizarse con la evolución técnica, sin reducir el nivel global de seguridad.

Subencargados del tratamiento

El Cliente otorga a CallSmarter una autorización general para recurrir a los siguientes subencargados:

CallSmarter informará al Cliente de cualquier cambio previsto (incorporación o sustitución de subencargados) con una antelación de [plazo — p. ej. 30 días, pendiente de confirmar]. El Cliente podrá oponerse por motivos razonables y justificados relativos a la protección de datos; si las partes no alcanzan una solución, el Cliente podrá resolver el contrato respecto del servicio afectado.

CallSmarter impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este acuerdo y seguirá siendo responsable ante el Cliente del cumplimiento de dichas obligaciones.

Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE, la transferencia se realizará con arreglo al capítulo V del RGPD: sobre la base de una decisión de adecuación de la Comisión Europea, cuando resulte aplicable, o, en su defecto, de las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD), junto con las medidas complementarias que procedan. El Cliente puede solicitar información sobre las garantías aplicables en [email protected].

Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, CallSmarter asistirá al Cliente:

• en la respuesta a las solicitudes de ejercicio de derechos de los interesados, principalmente mediante las herramientas del panel, que permiten consultar, rectificar, suprimir y exportar los datos de los contactos; si un interesado se dirige directamente a CallSmarter, esta trasladará la solicitud al Cliente sin demora;
• en la realización de evaluaciones de impacto relativas a la protección de datos y, en su caso, de consultas previas a la autoridad de control;
• en el cumplimiento de las obligaciones de seguridad del artículo 32 del RGPD.

Violaciones de seguridad

CallSmarter notificará al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, siempre que sea posible, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, facilitando la información prevista en el artículo 33.3 del RGPD de que disponga (naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, punto de contacto, consecuencias probables y medidas adoptadas o propuestas), para que el Cliente pueda cumplir, en su caso, el plazo de 72 horas de notificación a la autoridad de control. La información que no esté disponible inicialmente se facilitará de forma gradual.

Conservación, supresión y devolución

Las grabaciones de las conversaciones se conservan en la plataforma, por defecto, durante 90 días; transcurrido ese plazo, se suprimen o se anonimizan. El Cliente puede solicitar su supresión anticipada. Corresponde al Cliente, como responsable, determinar los plazos de conservación de los demás datos que trate en la plataforma y suprimirlos cuando dejen de ser necesarios, para lo cual dispone de las herramientas del panel.

A la terminación del servicio, CallSmarter suprimirá o devolverá al Cliente, a elección de este, los datos personales tratados por su cuenta en un plazo de [plazo — p. ej. 30 días, pendiente de confirmar], y suprimirá las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación, en cuyo caso los mantendrá bloqueados durante el plazo legal.

Información y auditorías

CallSmarter pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD. Además, permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por el Cliente o por un auditor autorizado por él, previa solicitud razonable con antelación suficiente, a cargo del Cliente, sin afectar a la seguridad ni a la confidencialidad de otros clientes y no más de una vez al año, salvo en caso de violación de la seguridad o por requerimiento de una autoridad de control.

Obligaciones del Responsable

El Cliente garantiza que:

• dispone de una base jurídica válida para realizar las llamadas, grabarlas y tratar los datos de sus contactos;
• informa a los interesados conforme a los artículos 13 y 14 del RGPD, incluido que la llamada la realiza un sistema de inteligencia artificial y, cuando proceda, que la conversación se graba y con qué finalidades;
• contrasta sus listas con los sistemas de exclusión publicitaria (como la Lista Robinson) y con sus propias listas de exclusión, y atiende las solicitudes de no ser llamado;
• sus instrucciones a CallSmarter son conformes con la normativa aplicable.

Responsabilidad y prelación

La responsabilidad de las partes derivada de este acuerdo se rige por las Condiciones del servicio, sin perjuicio de lo dispuesto en el artículo 82 del RGPD. En caso de contradicción entre este acuerdo y las Condiciones del servicio en materia de protección de datos, prevalecerá este acuerdo.

Contacto

Para cualquier cuestión relativa a este acuerdo o a la protección de datos, el Cliente puede dirigirse a [email protected].