Anexo de Encargo de Tratamiento de Datos

El presente anexo regula el tratamiento de datos personales que el prestador del servicio Vozcita (el «Encargado») realiza por cuenta del cliente titular del negocio (el «Responsable») como consecuencia de la prestación del servicio de asistente telefónico con inteligencia artificial contratado (el «Servicio»). Forma parte de las Condiciones del Servicio y se acepta junto a ellas.

Tratamiento: atención automatizada de llamadas entrantes del negocio del Responsable, incluyendo transcripción de voz a texto, procesamiento del contenido para gestionar reservas, citas y recados, grabación de llamadas si el Responsable la activa, envío de SMS transaccionales a los interesados, y almacenamiento de los datos resultantes en el panel del Responsable. Finalidad: exclusivamente la prestación del Servicio. Duración: la vigencia de la relación contractual, más los plazos de conservación del apartado 7.

Interesados: personas que llaman al número del negocio del Responsable y destinatarios de confirmaciones. Categorías de datos: voz (audio y su transcripción), identificativos y de contacto (nombre declarado, número de teléfono), y datos de la gestión (fecha, hora, personas, mesa o servicio solicitado, mensajes dejados). El Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD); el Responsable se obliga a no utilizarlo para actividades que impliquen su tratamiento sistemático (en particular, ámbito sanitario) sin acuerdo previo y por escrito con el Encargado.

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, plasmadas en la configuración del Servicio, y no utilizarlos para fines propios distintos de la prestación y mejora del propio Servicio en los términos informados.
• Garantizar la confidencialidad: las personas autorizadas a tratar los datos se comprometen a la confidencialidad; el acceso del personal del Encargado a transcripciones queda registrado en un log de auditoría.
• Aplicar las medidas de seguridad del art. 32 RGPD descritas en la página de seguridad del Servicio: cifrado en tránsito y en reposo, control de accesos por roles, registro de accesos, verificación de firmas en integraciones (HMAC), y entorno de infraestructura con proveedores certificados.
• Asistir al Responsable en la respuesta al ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), facilitando herramientas de consulta, exportación y borrado desde el panel.
• Notificar al Responsable sin dilación indebida las violaciones de seguridad de las que tenga conocimiento y que afecten a datos tratados por su cuenta, con la información disponible sobre su alcance.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este anexo y permitir auditorías razonables, previa solicitud con antelación mínima de 15 días y sin acceso a datos de terceros clientes.
• A la finalización del Servicio, suprimir los datos personales tratados por cuenta del Responsable en un plazo máximo de 30 días, salvo obligación legal de conservación, ofreciendo previamente su exportación.

Determinados subencargados tratan datos fuera del EEE (EE. UU.). Dichas transferencias se amparan en Cláusulas Contractuales Tipo de la Comisión Europea y, cuando procede, en certificaciones del Marco de Privacidad de Datos UE-EE. UU. de los proveedores, con medidas suplementarias de cifrado y minimización.

Grabaciones de voz: 6 meses desde la llamada. Transcripciones y datos de gestión: durante la vigencia del Servicio, con herramientas de borrado a disposición del Responsable. Tras la finalización: supresión conforme al apartado 4, último punto.

El Responsable garantiza que es responsable del tratamiento de los datos de sus clientes llamantes, que la base jurídica del tratamiento le corresponde determinarla, y que informará a los interesados de la existencia del asistente y del tratamiento conforme a los arts. 13-14 RGPD — a cuyo efecto el Servicio incorpora de fábrica el aviso locutado al inicio de cada llamada. El Responsable se obliga a no desactivar ni eludir dicho aviso y a mantener actualizada su propia información de privacidad.