Acuerdo de Encargo de Tratamiento (DPA)

1. Objeto y roles

Este Acuerdo regula el tratamiento de datos personales que Vondia (Encargado) realiza por cuenta del Cliente (Responsable) para prestarle la plataforma. El Cliente decide las finalidades y medios esenciales; Vondia trata los datos únicamente siguiendo sus instrucciones documentadas, incluidas las contenidas en los Términos y en la configuración que el Cliente realiza en la plataforma. Encargado: TECH BRAIN SOLUTION SAS, NIT 901458534-6, con domicilio en CR 11 B BIS 124 A 15 AP 1002, Bogotá D.C., Colombia. Contacto de privacidad: [email protected].

2. Descripción del tratamiento

Categorías de interesados: clientes finales del Cliente (quienes interactúan con sus agentes de IA). Categorías de datos: datos de contacto (teléfono, nombre si se aporta); contenido de las conversaciones (transcripción y resumen de voz, mensajes de WhatsApp y chat) y datos derivados (intención, resultado, citas). Vondia no almacena el audio de la voz como grabación: se transcribe y se resume, y lo que se conserva es la transcripción y el resumen. El audio SÍ se transmite en tiempo real a los subencargados de reconocimiento y síntesis de voz del Anexo, que lo tratan para prestar ese servicio conforme a sus propios compromisos contractuales de conservación. Naturaleza y finalidad: atención al cliente automatizada mediante sistemas de inteligencia artificial, CRM, agenda de citas y campañas configuradas por el Cliente. Duración: mientras dure la relación, más los plazos de la cláusula de conservación.

3. Obligaciones de Vondia (Encargado)

• a) Tratar los datos solo según las instrucciones documentadas del Cliente; si una instrucción infringe la ley, informarle sin dilación.
• b) Garantizar la confidencialidad y que el personal autorizado esté sujeto a deber de secreto.
• c) Aplicar medidas de seguridad apropiadas (cláusula de medidas de seguridad).
• d) Respetar las condiciones para recurrir a subencargados.
• e) Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
• f) Asistir al Cliente en el cumplimiento de sus obligaciones de seguridad del tratamiento, de notificación de violaciones de seguridad a la autoridad de control y a los interesados, y de realización de evaluaciones de impacto relativas a la protección de datos y consultas previas, conforme al artículo 28.3.f del RGPD, poniendo a su disposición la información de que disponga.
• g) Notificar al Cliente sin dilación indebida cualquier violación de la seguridad de la que tenga conocimiento, con la información disponible para que el Cliente pueda cumplir sus propios plazos de notificación.
• h) A elección del Cliente, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservación.
• i) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

4. Obligaciones del Cliente (Responsable)

El Cliente garantiza que: (a) tiene base legal y autorizaciones para tratar los datos y para que Vondia los procese en su nombre; (b) ha informado a sus clientes finales conforme a la ley, incluyendo, cuando proceda, que la atención la presta un sistema de inteligencia artificial y que la conversación puede ser transcrita para generar resúmenes; (c) obtiene el consentimiento para la transcripción cuando la ley aplicable lo exija; (d) sus instrucciones son lícitas.

5. Medidas de seguridad

Cifrado de credenciales y de tokens de proveedores (AES-256), cifrado en tránsito (HTTPS), aislamiento estricto entre Clientes (un Cliente no accede a datos de otro), control de acceso basado en roles, límites de consumo, comprobación de las firmas de los webhooks entrantes, invalidación de sesiones y registros de seguridad. Las medidas se revisan y pueden actualizarse manteniendo un nivel equivalente o superior.

6. Subencargados

El Cliente autoriza de forma general el uso de los subencargados listados en el Anexo. Vondia impondrá a cada subencargado obligaciones equivalentes a las de este Acuerdo y seguirá siendo responsable de su actuación. Vondia informará de los cambios con antelación razonable y el Cliente podrá objetar por motivos razonables de protección de datos.

7. Conservación y supresión

Vondia conserva los datos mientras dure la relación y, tras su fin, los suprime o anonimiza salvo obligación legal. Estos plazos son el MÁXIMO que Vondia aplica por defecto y ceden ante una instrucción de supresión anticipada del Cliente, que como Responsable conserva siempre la facultad del apartado h) de la cláusula 3. Son los mismos que declara la Política de Privacidad:

• Transcripciones y resúmenes: 12 meses.
• Datos de contacto en el CRM: mientras dure la relación con el Cliente.
• Logs de seguridad: 12 meses.
• Datos de facturación: 6 años, por obligación legal.

8. Auditoría

Vondia facilitará la información razonable para verificar el cumplimiento. Las auditorías se realizarán con preaviso razonable, sin perturbar la operación y con deber de confidencialidad; podrán sustituirse por certificaciones o informes de terceros cuando existan.

9. Transferencias internacionales

Cuando el subencargado está certificado en el EU-US Data Privacy Framework, la transferencia se ampara en la decisión de adecuación de la Comisión Europea. Cuando no lo está, aplicamos Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) junto con una evaluación de impacto de la transferencia. Desde Colombia, EE.UU. figura en la lista de países con nivel adecuado de la Superintendencia de Industria y Comercio.

10. Duración y efectos

Este Acuerdo estará vigente mientras Vondia trate datos por cuenta del Cliente y forma parte integrante de los Términos y Condiciones. En caso de conflicto sobre protección de datos, prevalece este Acuerdo.

Anexo — Subencargados

Subencargados activos

Intervienen hoy en la prestación del servicio y pueden tratar datos personales.

Subencargados contratados sin integración activa

Están previstos o contratados, pero hoy no intervienen en la prestación del servicio y no tratan datos personales. Se listan por transparencia y para que su eventual activación no sea una incorporación silenciosa: cuando alguno pase a estar activo, se comunicará con antelación razonable antes de que trate dato alguno.

La lista vigente de subencargados se publica en esta página. Los cambios se comunican con antelación razonable para que el Cliente pueda ejercer su derecho de objeción.