Este Contrato de Encargo de Tratamiento desarrolla las obligaciones del artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y forma parte de los Términos y Condiciones de AMAI Voice.
1. Partes
- Responsable: el cliente que contrata AMAI Voice y decide los fines y medios del tratamiento de los datos que introduce en el servicio.
- Encargado: AMAI Solutions LLC, que trata esos datos únicamente por cuenta e instrucciones documentadas del Responsable para prestar el servicio.
2. Objeto, duración y finalidad
El Encargado tratará los datos necesarios para prestar telefonía cloud, agentes de voz, transcripciones, grabaciones e integraciones configuradas por el Responsable. El tratamiento se mantiene mientras esté vigente la relación de servicio y su finalidad es exclusivamente la ejecución contratada.
3. Tipo de datos y personas interesadas
Pueden tratarse datos identificativos, de contacto, profesionales y datos contenidos en las conversaciones, según el flujo configurado por el Responsable. El Responsable no debe introducir categorías especiales salvo que tenga una base jurídica suficiente y haya configurado el servicio para ello.
4. Obligaciones del Encargado
- Tratar los datos solo siguiendo instrucciones documentadas del Responsable.
- Garantizar la confidencialidad de las personas autorizadas para acceder a los datos.
- Aplicar medidas técnicas y organizativas apropiadas conforme al artículo 32 RGPD.
- Asistir al Responsable en las solicitudes de derechos y en la gestión de incidentes.
- Suprimir o devolver los datos al finalizar el servicio, salvo obligación legal de conservación.
- Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
5. Seguridad y custodia
AMAI aplica cifrado en tránsito y en reposo, control de acceso basado en roles, aislamiento por cuenta, minimización cuando es posible y registro de accesos. Las credenciales, claves y certificados que el cliente configure se gestionan conforme a los controles disponibles para su cuenta y al alcance contratado.
6. Subencargados autorizados
El Responsable autoriza el uso de proveedores necesarios para operar la plataforma. AMAI informará de cambios relevantes y exigirá a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA.
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase | Autenticación y base de datos | Según configuración del servicio |
| MinIO / almacenamiento S3 | Ficheros y grabaciones | Según configuración del servicio |
| Proveedores de IA y telefonía | Procesamiento de voz bajo el flujo elegido | Según proveedor y contrato |
7. Transferencias internacionales
Cuando un proveedor o el acceso del Encargado implique una transferencia internacional, las partes aplicarán el mecanismo exigible conforme al RGPD y las garantías suplementarias que correspondan. El Responsable debe revisar los proveedores activados para su caso de uso.
8. Conservación, devolución y supresión
Al terminar la relación, el Encargado devolverá o suprimirá los datos conforme a las instrucciones del Responsable, excepto cuando una norma exija conservarlos. Las copias de seguridad se eliminarán dentro del ciclo operativo aplicable.
9. Vigencia y ley aplicable
Este DPA entra en vigor con la contratación del servicio y permanece vigente mientras AMAI trate datos por cuenta del Responsable. Se rige por la normativa española y europea aplicable en materia de protección de datos.