Acuerdo de Tratamiento de Datos (DPA)
1. Roles
El Cliente es el «Responsable del Tratamiento» (controller). CALLIVOZ actúa como «Encargado del Tratamiento» (processor) respecto de los datos personales que el Cliente ingresa al Servicio. Los terceros que CALLIVOZ contrata para tratar esos datos actúan como «Subencargados» (sub-processors).
2. Objeto y duración
CALLIVOZ trata datos personales exclusivamente para prestar el Servicio contratado, durante la vigencia del contrato principal y por los plazos de conservación legalmente exigibles.
3. Naturaleza del tratamiento
| Categoría | Datos típicos |
|---|---|
| Usuarios finales del Cliente | Números telefónicos en formato E.164, CDR, grabaciones (si el Cliente las activa), metadatos de SMS |
| Empleados del Cliente | Correo electrónico, nombre, rol en el portal, registros de acceso |
| Técnicos | Direcciones IP de SIP, agentes de usuario (user-agent), registros de alta SIP |
4. Obligaciones de CALLIVOZ como Encargado
- Tratar los datos únicamente según las instrucciones documentadas del Cliente.
- Confidencialidad obligatoria del personal autorizado (cláusulas contractuales).
- Medidas técnicas y organizativas: TLS 1.2 o superior, SRTP en los medios cuando se negocia, cifrado AES-256 en reposo, hashes bcrypt, autenticación multifactor (MFA), segregación de entornos y registro de auditoría de las acciones sobre cada cuenta.
- Asistir al Cliente en el cumplimiento de derechos de titulares (acceso, supresión, portabilidad), a través del soporte (support@callivoz.com).
- Notificar las brechas de seguridad sin dilación indebida y en un plazo máximo de 72 horas, con los elementos que exige el artículo 33 del GDPR.
- Al terminar el contrato, devolver o eliminar los datos personales salvo obligación legal de conservación.
- Mantener un registro de las actividades de tratamiento conforme al artículo 30 del GDPR.
5. Subencargados (sub-processors)
El Cliente autoriza a CALLIVOZ a usar subencargados (alojamiento, correo transaccional, procesador de pagos, operadores SIP mayoristas). La lista actualizada de subencargados se entrega a pedido escribiendo a support@callivoz.com, y los cambios se notifican con 30 días de antelación. El Cliente puede objetar dentro de ese plazo; de persistir la objeción, puede terminar el contrato.
6. Transferencias internacionales
Las transferencias fuera del EEE se realizan bajo Cláusulas Contractuales Tipo (SCC) aprobadas por la Decisión 2021/914/UE y, para el Reino Unido, el UK IDTA o el UK Addendum. Se realizan evaluaciones de impacto de las transferencias (TIA) cuando el país receptor no tenga decisión de adecuación.
7. Auditoría
El Cliente puede solicitar, con preaviso razonable (mínimo 30 días), evidencia del cumplimiento mediante:
- Cuestionarios de seguridad (CAIQ, SIG).
- Informes SOC 2 Type II o ISO 27001, cuando estén disponibles.
- Auditorías presenciales (coordinadas, a cargo del Cliente, como máximo una por año salvo incidente).
8. Responsabilidad
Sujeta a la limitación del contrato principal, cada parte asume las sanciones administrativas derivadas de su propio incumplimiento del GDPR (artículo 83).
9. Duración y terminación
Este DPA es parte integrante del contrato principal y rige mientras CALLIVOZ procese datos personales por cuenta del Cliente. Las obligaciones de confidencialidad y seguridad sobreviven a la terminación.
10. Contacto
Protección de datos y privacidad: support@callivoz.com