Acuerdo de tratamiento de datos, CallMerlin

El presente Acuerdo de tratamiento de datos ("DPA") forma parte integrante de los Términos y Condiciones Generales de CallMerlin y se aplica al tratamiento de datos personales por parte de CallMerlin (el "Encargado") por cuenta del Usuario (el "Responsable"). El presente DPA se ha elaborado de conformidad con el artículo 28, apartado 3, del Reglamento (UE) 2016/679 (RGPD).

En el presente DPA se aplican las siguientes definiciones: a) "Responsable": el Usuario que determina los fines y medios del tratamiento de datos personales. b) "Encargado": Small Guy B.V. (CallMerlin), que trata datos personales por cuenta del Responsable. c) "Interesado": la persona física identificada o identificable a la que se refieren los datos personales. d) "Datos personales": todos los datos contemplados en el artículo 4, punto 1, del RGPD. e) "Tratamiento": cualquier operación contemplada en el artículo 4, punto 2, del RGPD. f) "Subencargado": un tercero contratado por el Encargado para tratar datos personales por cuenta del Responsable. g) "Violación de datos": una violación de la seguridad que ocasione, de forma accidental o ilícita, la destrucción, pérdida, alteración, divulgación no autorizada de datos personales o el acceso no autorizado a ellos.

2.1. El Encargado trata datos personales exclusivamente en el marco de la prestación de la plataforma CallMerlin al Responsable. 2.2. El tratamiento dura mientras el contrato entre las partes esté en vigor. Tras la terminación, los datos personales se eliminan de conformidad con el artículo 10 del presente DPA.

El tratamiento comprende: a) la gestión de llamadas telefónicas entrantes y de conversaciones del widget de voz a través del asistente de voz con IA; b) la transcripción de llamadas y la generación de resúmenes; c) la ejecución de acciones en Servicios Conectados por instrucción del Responsable (como la creación de citas, tickets o registros); d) la verificación de Usuarios PIN, incluida la autenticación de dos factores por SMS; e) el almacenamiento y la visualización de registros de llamadas y estadísticas; f) el envío de notificaciones sobre llamadas y acciones ejecutadas.

Se tratan las siguientes categorías de datos personales: a) Datos de contacto de los Llamantes: nombre, número de teléfono, dirección de correo electrónico, en la medida en que se compartan durante una llamada. b) Datos de llamadas: transcripciones, hora, duración, resultado de la llamada. El audio no se conserva. c) Datos de citas y solicitudes: fecha, hora, asunto y otros detalles compartidos por el Llamante. d) Datos de Usuarios PIN: nombre, configuración PIN, número de teléfono de verificación. e) Datos en Servicios Conectados: datos obtenidos de los Servicios Conectados o escritos en ellos por instrucción del Responsable. En principio, no se tratan categorías especiales de datos personales (art. 9 RGPD). No obstante, los Llamantes pueden compartir espontáneamente dichos datos durante una llamada (por ejemplo, información de salud al concertar una cita). El Responsable es responsable de la licitud de dicho tratamiento y de configurar el asistente de voz en consecuencia.

Los datos personales se refieren a: a) Llamantes que interactúan con el asistente de voz del Responsable, por teléfono o a través del widget de voz. b) Empleados y Usuarios PIN del Responsable. c) Clientes Finales del Responsable (en el caso de las Agencias). d) Personas cuyos datos se obtienen de los Servicios Conectados o se escriben en ellos por instrucción del Responsable.

6.1. El Encargado trata los datos personales únicamente siguiendo instrucciones escritas del Responsable, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro. La configuración del asistente de voz y de los Servicios Conectados por parte del Responsable constituye dicha instrucción. 6.2. El Encargado garantiza que las personas autorizadas a tratar datos personales se hayan comprometido a la confidencialidad. 6.3. El Encargado aplica medidas técnicas y organizativas adecuadas conforme al artículo 32 del RGPD, entre ellas: a) Cifrado: TLS 1.3 (tránsito), AES-256 (reposo), incluidas las credenciales de los Servicios Conectados; b) Control de acceso: RBAC, privilegio mínimo, 2FA; c) Aislamiento de datos: separación multiinquilino por cuenta; d) Supervisión y registro; e) Copias de seguridad diarias cifradas; f) Plan de respuesta a incidentes. 6.4. El Encargado asiste al Responsable en el cumplimiento de sus obligaciones derivadas de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, EIPD, consulta previa). 6.5. El Encargado asiste en las solicitudes de los interesados conforme al capítulo III del RGPD (acceso, rectificación, supresión, portabilidad, oposición). Los costes de una asistencia que exceda razonablemente la cooperación normal podrán facturarse al Responsable.

7.1. El Responsable concede al Encargado una autorización general por escrito para contratar subencargados. 7.2. El Encargado utiliza las siguientes categorías de subencargados: a) Google Cloud Platform (UE), alojamiento y almacenamiento b) Cloudflare, Inc. (configuración UE), CDN y protección DDoS c) Stripe, Inc. / Stripe Payments Europe, Ltd., procesamiento de pagos d) Operadores de telecomunicaciones, números de teléfono, enrutamiento de llamadas y entrega de SMS e) xAI, Inc. (Grok), reconocimiento de voz y ejecución de servicios de IA f) Proveedores de correo electrónico, entrega de correos electrónicos transaccionales 7.3. El Encargado informará al Responsable con al menos 30 días de antelación de su intención de contratar un nuevo subencargado o sustituir uno existente. 7.4. El Responsable puede oponerse de forma motivada a un nuevo subencargado en un plazo de 14 días desde la notificación. Si la oposición está fundada y el Encargado no puede ofrecer una alternativa razonable, el Responsable tendrá derecho a resolver el contrato sin coste alguno. 7.5. El Encargado impone contractualmente a cada subencargado las mismas obligaciones establecidas en el presente DPA.

8.1. El Encargado notificará al Responsable sin dilación indebida, y a más tardar 48 horas después de su descubrimiento, cualquier Violación de datos. 8.2. La notificación incluirá como mínimo: a) la naturaleza de la violación, incluidas (aproximadamente) las categorías y el número de interesados y de registros de datos personales afectados; b) el nombre y los datos de contacto del punto de contacto del Encargado; c) las consecuencias probables de la violación; d) las medidas adoptadas o propuestas para subsanar la violación y mitigar sus efectos adversos. 8.3. El Encargado prestará asistencia razonable al Responsable en el cumplimiento de sus obligaciones de notificación ante la autoridad de control (art. 33 RGPD) y los interesados (art. 34 RGPD).

9.1. El Encargado pondrá a disposición toda la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del artículo 28 del RGPD. 9.2. El Responsable tiene derecho a realizar (o encargar) una auditoría como máximo una vez al año. La auditoría se anunciará con al menos 30 días de antelación y se realizará en horario laboral. 9.3. Los costes de la auditoría correrán a cargo del Responsable, salvo que la auditoría revele una deficiencia material imputable al Encargado. 9.4. Si varios Responsables solicitan la misma auditoría, el Encargado podrá proponer la contratación de un auditor externo independiente cuyo informe se compartirá con todos los Responsables pertinentes.

10.1. Tras la terminación del contrato, el Encargado ofrece al Responsable 30 días para exportar los datos personales (incluidas las transcripciones de llamadas) a través de la funcionalidad de exportación de la Plataforma. 10.2. Tras el período de exportación, el Encargado elimina irrevocablemente todos los datos personales, incluidas todas las copias, salvo que la conservación sea exigida por el Derecho de la Unión o de un Estado miembro. 10.3. El Encargado confirmará la eliminación por escrito previa solicitud.

11.1. El Encargado trata los datos personales, en principio, exclusivamente dentro del Espacio Económico Europeo (EEE). 11.2. Si es necesaria una transferencia a un tercer país (por ejemplo, para servicios de IA o enrutamiento de telefonía), esta se realizará exclusivamente sobre la base de una decisión de adecuación, de Cláusulas Contractuales Tipo o del Marco de Privacidad de Datos UE-EE. UU., complementados con medidas técnicas adecuadas. 11.3. El Encargado informará previamente al Responsable de las transferencias previstas a terceros países.

12.1. El presente DPA se rige por el derecho neerlandés. 12.2. Las controversias se someterán al tribunal competente del distrito de Zeeland-West-Brabant. 12.3. En caso de conflicto entre el presente DPA y los Términos Generales, prevalecerá el presente DPA en lo relativo al tratamiento de datos personales.