Este Acuerdo de encargo de tratamiento («DPA») desarrolla el artículo 28 del Reglamento (UE) 2016/679 («RGPD») y forma parte de los Términos del servicio de AMAI Voice siempre que AMAI trate datos personales por cuenta del Cliente.
1. Partes y roles
- Responsable: el Cliente, respecto de los tratamientos cuyos fines y medios esenciales determina (sus contactos, personas llamadas, usuarios y empleados).
- Encargado: AMAI SOLUTIONS LLC, 1209 MOUNTAIN ROAD PL NE STE R, ALBUQUERQUE, NM 87110, USA, EIN 42-1910767(«AMAI»).
AMAI actúa como responsable independiente, y no como encargado, en los tratamientos propios de facturación, seguridad de la cuenta, prevención del fraude, cumplimiento legal y relación comercial con el Cliente.
2. Objeto, duración, naturaleza y finalidad
El tratamiento se limita a prestar, alojar, proteger, mantener y soportar AMAI Voice y a ejecutar las instrucciones documentadas del Cliente: telefonía entrante y saliente, agentes de voz con IA, reconocimiento de voz, síntesis de voz, grabación, transcripción, resúmenes, campañas, mensajería e integraciones que el Cliente configure. Dura mientras esté vigente el contrato y los periodos posteriores estrictamente necesarios para la devolución, la supresión, la seguridad o la defensa de reclamaciones. Incluye operaciones de recogida, almacenamiento, consulta, transmisión, análisis, transcripción, generación, conversión y supresión.
3. Interesados y categorías de datos
Interesados: personas que llaman o son llamadas, clientes y potenciales clientes del Cliente, sus usuarios y empleados, y personas mencionadas en las conversaciones.
Datos: identificación y contacto (nombre, teléfono, correo), voz y grabaciones de audio, transcripciones y resúmenes, datos que la persona facilite durante la llamada, metadatos de la llamada (números, fechas, duración, resultado), datos de campañas y listas de exclusión, y datos de uso de la cuenta.
No se autoriza el tratamiento de categorías especiales de datos salvo que el Cliente cuente con una base jurídica suficiente y el caso de uso se haya acordado por escrito. El Cliente no configurará los agentes para solicitar esos datos sin ese acuerdo.
4. Instrucciones
AMAI tratará los datos solo conforme a las instrucciones documentadas del Cliente, que incluyen estos Términos, el DPA y la configuración que el Cliente realiza en la plataforma. AMAI informará al Cliente si considera que una instrucción infringe el RGPD u otra norma aplicable, salvo prohibición legal. AMAI no vende los datos personales del Cliente, no los usa para fines incompatibles con el servicio y no los usa para entrenar modelos generales propios o de terceros.
5. Confidencialidad
El personal autorizado para tratar los datos está sujeto a obligaciones de confidencialidad adecuadas.
6. Seguridad
AMAI aplica medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 RGPD, entre ellas:
- cifrado de las comunicaciones en tránsito (TLS) hacia la plataforma y sus proveedores;
- autenticación de usuarios, control de acceso por roles y separación de datos por cliente (tenant);
- gestión centralizada de secretos y separación entre entornos;
- copias de seguridad de la base de datos con rotación automática y acceso restringido;
- registro de eventos de seguridad y acciones administrativas;
- exportación de datos de la cuenta y procedimiento de supresión a petición del Cliente;
- procedimiento de respuesta a incidentes y de notificación al Cliente.
7. Subencargados
El Cliente otorga autorización general para que AMAI recurra a los subencargados que figuran en la lista de subencargados de AMAI Voice, que identifica a cada proveedor, su función, la ubicación del tratamiento y el mecanismo de transferencia. AMAI impondrá a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este DPA y seguirá respondiendo ante el Cliente de su cumplimiento. AMAI publicará en esa página, con una nueva versión fechada, cualquier alta o sustitución antes de que se aplique, y el Cliente podrá oponerse por motivos razonables escribiendo a legal@amai.run en los 15 días siguientes. Si la objeción no se resuelve, el Cliente podrá resolver el servicio afectado.
8. Transferencias internacionales
AMAI está constituida en Estados Unidos y varios subencargados tratan datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en el EU-U.S. Data Privacy Framework y/o Cláusulas Contractuales Tipo, según el proveedor, conforme al Capítulo V del RGPD. En la medida en que se requieran Cláusulas Contractuales Tipo entre el Cliente y AMAI, se incorporan por referencia las de la Decisión de Ejecución (UE) 2021/914 en el módulo que corresponda (responsable a encargado o encargado a encargado).
9. Derechos de los interesados
AMAI asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, para atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige directamente a AMAI por datos que controla el Cliente, AMAI remitirá la solicitud al Cliente sin demora salvo obligación legal distinta.
10. Evaluaciones de impacto y consultas
AMAI prestará asistencia razonable en evaluaciones de impacto y consultas previas relacionadas con el servicio, con la información que esté bajo su control.
11. Violaciones de seguridad
AMAI notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de seguridad que afecte a datos tratados por su cuenta, con la información disponible sobre su naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas y un punto de contacto, y la completará a medida que disponga de más datos. La notificación no supone reconocimiento de responsabilidad.
12. Conservación, devolución y supresión
Durante la vigencia, el Cliente puede consultar y exportar sus datos desde la plataforma y solicitar a AMAI la supresión de grabaciones, transcripciones u otros datos concretos en legal@amai.run; la conservación se rige por sus instrucciones. Salvo que el Cliente indique plazos más cortos (mínimo 7 días), AMAI aplica: grabaciones de audio, con su transcripción, según el plan contratado (por defecto, 90 días); transcripciones, resúmenes y datos de herramientas del registro de la llamada, 180 días o el plazo de grabación del plan si es mayor; número, análisis y sentimiento del registro de la llamada, 24 meses; y registros de auditoría, 24 meses. Los registros de facturación de cada llamada (fecha, duración, importe y números) se conservan el plazo legal fiscal. El Cliente puede solicitar la congelación del borrado cuando deba conservar pruebas. Si el Cliente cierra su cuenta, tras un periodo de gracia de 30 días se suprimen sus grabaciones y transcripciones y se eliminan el contenido y el número de sus registros de llamadas; los registros de facturación se conservan el plazo legal fiscal. Al terminar el servicio, a elección del Cliente, AMAI devolverá o permitirá exportar los datos y los suprimirá de sus sistemas activos, salvo que una norma exija conservarlos o sean necesarios, de forma limitada, para la seguridad o la defensa de reclamaciones. Las copias de seguridad se eliminan por rotación, no se reintroducen en el uso ordinario y permanecen protegidas hasta entonces. El detalle de los plazos se describe en el Aviso de grabación y transcripción.
13. Auditoría
AMAI pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA mediante informes, evidencias, cuestionarios o auditoría remota y, cuando no basten, permitirá auditorías proporcionadas con preaviso razonable. La auditoría no dará acceso a datos de otros clientes, secretos empresariales ni vulnerabilidades explotables.
14. Responsabilidad y prevalencia
La responsabilidad se rige por los Términos, sin limitar obligaciones que la ley no permite limitar. En materia de tratamiento por cuenta del Cliente prevalecen, por este orden: las Cláusulas Contractuales Tipo cuando apliquen, este DPA, los Términos y la documentación general.