Esta traducción se ofrece a título informativo. La versión en inglés es el texto vinculante.
Vocito.ai · Plataforma de recepcionista de voz con IA
El presente Acuerdo de tratamiento de datos ("DPA") se celebra entre el cliente identificado en la cuenta de Vocito.ai ("Responsable", "Cliente", "usted") y Vocito.ai B.V. ("Encargado", "Vocito", "nosotros"), y forma parte integrante de las Condiciones del servicio y del acuerdo entre las partes para la prestación del Servicio de Vocito.
Este DPA refleja el acuerdo de las partes respecto al tratamiento de datos personales por parte del Encargado en nombre del Responsable, de conformidad con los requisitos del artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 ("RGPD").
Adenda del periodo beta (mayo de 2026, GA): Mientras Vocito esté en fase beta, el plazo de conservación del Anexo A se aplica como 90 días para las grabaciones de llamadas, transcripciones y metadatos de conversación de IA (los plazos por defecto de la GA se aplican una vez finalizada la beta). Los subencargados y las MTO de los Anexos B/C se aplican sin cambios durante la beta. El Responsable (Cliente) reconoce que el tratamiento durante el periodo beta puede incluir breves interrupciones, regresiones de funciones o reinicios de datos, tal como se describe en el §2 de nuestras Condiciones del servicio (Programa beta). Vocito seguirá respetando sin modificación los derechos de los interesados, la notificación de violaciones de seguridad y las obligaciones de auditoría previstas en este DPA durante la beta.
Salvo que se definan de otro modo en el presente documento, los términos en mayúscula tienen el significado que les atribuye el RGPD o las Condiciones del servicio. Se aplican las siguientes definiciones adicionales:
El Cliente es el Responsable y Vocito es el Encargado con respecto a los Datos Personales tratados a través del Servicio. El Encargado tratará los Datos Personales únicamente en nombre del Responsable y de conformidad con sus instrucciones documentadas.
Este DPA se aplica a todos los Datos Personales que el Encargado trata en nombre del Responsable en relación con la prestación del Servicio, según se describe con más detalle en el Anexo A.
Este DPA complementa las Condiciones del servicio y forma parte de ellas. En caso de conflicto entre este DPA y las Condiciones del servicio en materia de protección de datos, prevalecerá este DPA.
Los detalles de las actividades de tratamiento se establecen en el Anexo A e incluyen:
El Encargado deberá:
El Encargado garantizará que todas las personas autorizadas para tratar Datos Personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria adecuada.
El Encargado implementará medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo, según se describe en el Anexo B y de conformidad con el artículo 32 del RGPD.
El Encargado cumplirá las condiciones establecidas en la Sección 6 para la contratación de subencargados.
El Encargado asistirá al Responsable en el cumplimiento de su obligación de responder a las solicitudes de los interesados, según se establece en la Sección 9.
Teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado, este ayudará al Responsable a garantizar el cumplimiento de los artículos 32 a 36 del RGPD, incluidas las obligaciones relativas a la seguridad del tratamiento, la notificación de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a las autoridades de control.
El Encargado, a elección del Responsable, suprimirá o devolverá todos los Datos Personales una vez finalizada la prestación de los servicios, según se establece en la Sección 13.
El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitirá y contribuirá a la realización de auditorías, según se establece en la Sección 12.
El Responsable deberá:
El Responsable otorga una autorización general por escrito para que el Encargado contrate subencargados que le ayuden a prestar el Servicio, con sujeción a las condiciones establecidas en esta sección. La lista actual de subencargados autorizados figura en el Anexo C.
Cuando el Encargado contrate a un subencargado:
El Encargado notificará al Responsable con al menos 30 días de antelación cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Responsable la oportunidad de oponerse a dichos cambios.
Si el Responsable tiene motivos razonables para oponerse a la contratación de un nuevo subencargado, lo notificará al Encargado en un plazo de 14 días desde la recepción de la notificación. Las partes tratarán de buena fe las inquietudes del Responsable. Si las partes no logran una solución, el Responsable podrá resolver los servicios afectados sin penalización mediante notificación por escrito.
El Encargado implementará y mantendrá las medidas de seguridad técnicas y organizativas descritas en el Anexo B, que incluyen como mínimo:
El Encargado evaluará y actualizará periódicamente las medidas de seguridad para garantizar que sigan siendo adecuadas a los riesgos asociados al tratamiento. El Encargado no reducirá sustancialmente el nivel general de seguridad durante la vigencia de este DPA.
El Encargado notificará al Responsable toda Violación de la Seguridad de los Datos Personales sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento de ella. La notificación se enviará a la dirección de correo electrónico asociada a la cuenta del Responsable e incluirá, en la medida en que esté disponible:
Al tener conocimiento de una Violación de la Seguridad de los Datos Personales, el Encargado deberá:
El Responsable es quien determina si la Violación de la Seguridad de los Datos Personales debe comunicarse a una autoridad de control y/o a los Interesados en virtud de los artículos 33 y 34 del RGPD. El Encargado prestará al Responsable toda la cooperación y asistencia razonables para adoptar tales decisiones y cumplir dichas obligaciones.
El Encargado, teniendo en cuenta la naturaleza del tratamiento, asistirá al Responsable mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de la obligación del Responsable de responder a las solicitudes de los Interesados que ejerzan sus derechos en virtud del capítulo III del RGPD, incluidos:
Si el Encargado recibe una solicitud directamente de un Interesado, remitirá sin demora (y, en cualquier caso, en un plazo de 5 días laborables) al Interesado al Responsable y notificará la solicitud al Responsable. El Encargado no responderá directamente a dicha solicitud salvo autorización del Responsable o exigencia legal.
El Encargado ofrece, a través del panel de control del Servicio, una funcionalidad para que el Responsable exporte los Datos del Cliente en formatos de uso común y lectura mecánica (JSON, CSV). El Responsable puede utilizar estas herramientas para atender las solicitudes de portabilidad de datos.
El Encargado prestará asistencia razonable al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos ("EIPD") y consultas previas a las autoridades de control en virtud de los artículos 35 y 36 del RGPD, cuando sean necesarias en relación con el tratamiento de Datos Personales a través del Servicio. Dicha asistencia incluirá el suministro de información sobre las actividades de tratamiento del Encargado, las medidas técnicas y organizativas y los acuerdos con subencargados.
El Encargado almacena los Datos del Cliente, incluidos los Datos Personales, principalmente dentro del Espacio Económico Europeo (EEE), concretamente en infraestructura de Supabase ubicada en la región de Irlanda (eu-west-1).
Algunos subencargados contratados por el Encargado están ubicados en Estados Unidos. Cuando se transfieren Datos Personales a un país fuera del EEE que no cuenta con una decisión de adecuación de la Comisión Europea, se aplican las siguientes garantías:
El Encargado realizará y mantendrá evaluaciones de impacto de las transferencias para cada transferencia internacional, valorando el marco jurídico del país destinatario y la eficacia de las garantías establecidas. Estas evaluaciones se pondrán a disposición del Responsable previa solicitud.
El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y en este DPA.
El Encargado permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por el Responsable, con sujeción a las siguientes condiciones:
Cuando estén disponibles, el Encargado podrá proporcionar certificaciones pertinentes, informes de auditoría (p. ej., informes SOC 2 Tipo II) o resúmenes de auditorías independientes de terceros para satisfacer los requisitos de auditoría del Responsable. El Responsable acepta considerar dicha documentación en lugar de una auditoría presencial cuando responda razonablemente a sus inquietudes.
Tras la resolución o el vencimiento del acuerdo entre el Responsable y el Encargado:
El Encargado podrá conservar Datos Personales tras la resolución únicamente cuando:
En cada caso, el Encargado seguirá protegiendo dichos datos conservados de conformidad con este DPA y limitará el tratamiento a los fines exigidos por la ley.
Durante la vigencia del acuerdo, el Responsable podrá solicitar la supresión de Datos del Cliente concretos a través del panel de control del Servicio o mediante solicitud por escrito al Encargado. El Encargado atenderá dichas solicitudes en un plazo de 30 días, con sujeción a la viabilidad técnica y a las obligaciones legales de conservación.
Cada parte será responsable de los daños causados por un tratamiento que infrinja el RGPD, de conformidad con el artículo 82 del RGPD:
La responsabilidad total acumulada de cualquiera de las partes en virtud de este DPA estará sujeta a las limitaciones de responsabilidad establecidas en las Condiciones del servicio, salvo que dichas limitaciones no se aplicarán a:
Cada parte indemnizará a la otra por los costes, reclamaciones, daños o gastos en que incurra como consecuencia del incumplimiento de este DPA o de sus obligaciones en virtud del RGPD por parte de la parte que indemniza, siempre que la parte que solicite la indemnización lo notifique sin demora a la otra parte y preste una cooperación razonable.
Este DPA entrará en vigor en la fecha en que el Responsable utilice el Servicio por primera vez y permanecerá vigente mientras el Encargado trate Datos Personales en nombre del Responsable.
Las obligaciones del Encargado en virtud de este DPA subsistirán tras la resolución del acuerdo en la medida necesaria para cumplir sus obligaciones relativas a la devolución o supresión de los Datos Personales y cualquier obligación de confidencialidad vigente.
Este DPA se regirá e interpretará de conformidad con la legislación de los Países Bajos, sin tener en cuenta sus normas sobre conflictos de leyes. Cualquier controversia derivada de este DPA se someterá a la jurisdicción exclusiva de los tribunales competentes de Ámsterdam, Países Bajos.
Si alguna disposición de este DPA se considera inválida o inaplicable, las restantes disposiciones mantendrán su plena vigencia y efecto. La disposición inválida se sustituirá por una disposición válida que refleje lo más fielmente posible la intención original.
El Encargado podrá modificar este DPA para reflejar cambios en la legislación aplicable o en sus prácticas de tratamiento de datos. Los cambios sustanciales se notificarán al Responsable con al menos 30 días de antelación. El uso continuado del Servicio tras dicha notificación constituye la aceptación del DPA modificado.
Este DPA, junto con las Condiciones del servicio, la Política de privacidad y cualquier formulario de pedido aplicable, constituye el acuerdo completo entre las partes respecto a su objeto.
Las preguntas sobre este DPA deben dirigirse a: privacy@vocito.ai
| Objeto | Tratamiento de Datos Personales a través de la plataforma de recepcionista de voz con IA de Vocito |
|---|---|
| Duración | Durante la vigencia del acuerdo entre el Responsable y el Encargado, más los plazos de conservación aplicables |
| Actividad de tratamiento | Finalidad |
|---|---|
| Recepción de llamadas telefónicas entrantes | Atención de llamadas en nombre de la empresa del Responsable mediante un agente de voz con IA |
| Grabación de llamadas | Grabación de conversaciones para su revisión por el Responsable, control de calidad y archivo |
| Transcripción de llamadas | Conversión de grabaciones de voz a texto para revisión, búsqueda y extracción de leads |
| Procesamiento de conversaciones con IA | Uso de LLM para comprender la intención de quien llama, generar respuestas y extraer información estructurada |
| Mensajería SMS | Envío de mensajes de texto de seguimiento a las personas que llaman en nombre del Responsable |
| Gestión de leads | Captura, almacenamiento y organización de la información de leads procedente de las llamadas |
| Reservas y programación | Creación de citas y entradas de calendario en nombre del Responsable |
| Integración de correo electrónico | Envío de notificaciones y gestión de comunicaciones por correo electrónico a través de Gmail/Microsoft 365 |
| Gestión de datos de CRM | Almacenamiento y organización de datos de relaciones con clientes |
| Analítica e informes | Generación de estadísticas de uso, analítica de llamadas e informes de rendimiento |
| Almacenamiento de datos | Almacenamiento de los Datos del Cliente en infraestructura ubicada en la UE |
El Encargado implementa las siguientes medidas técnicas y organizativas en virtud del artículo 32 del RGPD:
| Medida | Implementación |
|---|---|
| Cifrado en tránsito | TLS 1.2+ para todas las transmisiones de datos, incluidas las llamadas a la API, el acceso al panel de control y las comunicaciones con subencargados |
| Cifrado en reposo | Cifrado AES-256 de todos los Datos Personales almacenados, incluidas las grabaciones de llamadas, los registros de la base de datos y el almacenamiento de archivos |
| Gestión de claves | Claves de cifrado gestionadas mediante servicios seguros de gestión de claves con separación de funciones |
| Medida | Implementación |
|---|---|
| Autenticación | Políticas de contraseñas robustas; MFA para todo acceso administrativo y a producción |
| Autorización | Control de acceso basado en roles (RBAC) con el principio de mínimo privilegio; aislamiento de los datos de los clientes |
| Revisiones de acceso | Revisión trimestral de todos los permisos de acceso; revocación inmediata en caso de cambio de función o cese |
| Aislamiento de los datos de los clientes | Separación lógica de los Datos del Cliente mediante seguridad a nivel de fila (RLS) en Supabase PostgreSQL |
| Medida | Implementación |
|---|---|
| Alojamiento | Alojamiento en la región UE en Railway y Supabase con infraestructura alojada en la UE, cifrado en reposo |
| Seguridad de la red | Protección mediante cortafuegos, segmentación de red, mitigación de DDoS |
| Gestión de vulnerabilidades | Análisis periódicos de vulnerabilidades; corrección rápida de las vulnerabilidades críticas |
| Pruebas de penetración | Pruebas de penetración anuales realizadas por terceros |
| Medida | Implementación |
|---|---|
| Supervisión de la seguridad | Supervisión continua de eventos de seguridad, anomalías e intentos de acceso no autorizado |
| Registro de auditoría | Registro de los accesos a Datos Personales, acciones administrativas y eventos de seguridad; registros conservados durante un mínimo de 12 meses |
| Respuesta a incidentes | Plan documentado de respuesta a incidentes con funciones, vías de escalado y procedimientos de comunicación definidos; notificación de violaciones de seguridad en 72 horas |
| Medida | Implementación |
|---|---|
| Minimización de datos | Tratamiento limitado a los Datos Personales necesarios para los fines especificados; transmisión en tiempo real a los proveedores de IA en lugar de transferencias masivas de datos |
| Gestión de la conservación | Políticas automatizadas de conservación de datos con plazos configurables; eliminación automatizada de los datos caducados |
| Procedimientos de supresión | Supresión segura de los Datos Personales previa solicitud o al vencer el plazo de conservación, incluidas las copias de seguridad en un plazo de 90 días |
| Medida | Implementación |
|---|---|
| Copias de seguridad | Copias de seguridad automatizadas y periódicas de los Datos del Cliente; almacenamiento cifrado de las copias; procedimientos de restauración probados |
| Redundancia | Infraestructura redundante para los servicios críticos; capacidades de conmutación por error |
| Objetivos de recuperación | Objetivo de tiempo de recuperación (RTO) y objetivo de punto de recuperación (RPO) definidos para los sistemas críticos |
| Medida | Implementación |
|---|---|
| Confidencialidad | Todo el personal firma acuerdos de confidencialidad que cubren los Datos Personales |
| Formación | Formación en concienciación sobre seguridad y protección de datos para todo el personal al incorporarse y anualmente a partir de entonces |
| Comprobación de antecedentes | Comprobación de antecedentes del personal con acceso a los sistemas de producción (cuando la ley lo permita) |
A fecha de mayo de 2026, el Encargado contrata a los siguientes subencargados:
| Subencargado | Entidad jurídica | Finalidad | Datos tratados | Ubicación | Mecanismo de transferencia |
|---|---|---|---|---|---|
| Twilio | Twilio Inc. | Infraestructura de telefonía, enrutamiento de llamadas de voz, entrega de SMS | Números de teléfono, audio de llamadas (en tiempo real), metadatos de llamadas, contenido de SMS | EE. UU. | CCT + DPF |
| ElevenLabs | ElevenLabs Inc. | Síntesis de voz con IA, generación de voz en tiempo real | Audio de llamadas (transmisión en tiempo real) | EE. UU. | CCT |
| Anthropic | Anthropic PBC | Gran modelo de lenguaje (Claude) para la comprensión de la conversación y la generación de respuestas | Transcripciones de llamadas (en tiempo real), contexto de la conversación | EE. UU. | CCT |
| Google LLC | Gran modelo de lenguaje (Gemini) para el procesamiento de conversaciones | Transcripciones de llamadas (en tiempo real), contexto de la conversación | EE. UU. / UE | CCT + DPF | |
| OpenAI | OpenAI Inc. | Gran modelo de lenguaje (GPT) para el procesamiento de conversaciones | Transcripciones de llamadas (en tiempo real), contexto de la conversación | EE. UU. | CCT + DPF |
| Supabase | Supabase Inc. | Alojamiento de bases de datos PostgreSQL, almacenamiento de archivos (grabaciones de llamadas), autenticación | Todos los Datos del Cliente (datos de cuenta, grabaciones de llamadas, transcripciones, leads, datos de CRM) | UE (Irlanda) | Datos almacenados en el EEE; CCT con la entidad matriz |
| Railway | Railway Corp. | Alojamiento y ejecución de la aplicación backend | Datos de la aplicación en tránsito y durante el procesamiento | Región UE | Datos tratados en el EEE; CCT con la entidad matriz |
Esta lista es mantenida y actualizada por el Encargado. El Responsable será notificado con al menos 30 días de antelación de cualquier incorporación o cambio en esta lista.