Contrato de Encargado del Tratamiento

Versión 1.0 — En vigor desde el 1 de septiembre de 2026

1. Partes

RESPONSABLE DEL TRATAMIENTO (en adelante, “el Cliente”): la persona física o jurídica que contrata el servicio Atiendox, cuyos datos identificativos constan en el proceso de alta y en la factura correspondiente.

ENCARGADO DEL TRATAMIENTO (en adelante, “Atiendox”): Francisco José Martínez Parga, con NIF 50.436.214-C, domicilio en Avenida del Mar Mediterráneo 55, 1.º D, 28341 Valdemoro (Madrid, España), y correo electrónico de contacto en materia de protección de datos: privacidad@atiendox.com.

Ambas partes reconocen capacidad suficiente para suscribir el presente contrato, que se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (en adelante, “RGPD”) y de la Ley Orgánica 3/2018, de 5 de diciembre (en adelante, “LOPDGDD”).

La aceptación de este contrato se produce por vía electrónica durante el proceso de alta en el servicio, quedando registrada la fecha, la hora, la versión aceptada y la dirección IP desde la que se realizó la aceptación. Dicho registro constituye prueba de la formalización a los efectos del artículo 28.9 del RGPD.

2. Objeto

Atiendox presta al Cliente un servicio de recepcionista virtual basado en inteligencia artificial que atiende las llamadas telefónicas dirigidas al negocio del Cliente, gestiona su agenda de citas y le notifica las incidencias que requieran su intervención.

Para la prestación de ese servicio, Atiendox trata datos personales por cuenta del Cliente. El Cliente es el responsable del tratamiento de dichos datos y Atiendox actúa exclusivamente como encargado, siguiendo sus instrucciones documentadas.

Se consideran instrucciones documentadas del Cliente, además de las que este comunique expresamente por escrito, las condiciones del servicio contratado y la configuración que el propio Cliente establezca en su panel de control.

3. Descripción del tratamiento

3.1. Finalidad

Atender las llamadas telefónicas entrantes del negocio del Cliente, gestionar reservas, modificaciones y anulaciones de citas, enviar recordatorios y notificar al Cliente las llamadas que requieran su intervención.

3.2. Naturaleza de las operaciones

Recogida, registro, transcripción a texto, conservación, consulta, estructuración, comunicación al propio Cliente y supresión. La voz del llamante se procesa de forma transitoria durante la llamada al solo efecto de convertirla en texto, sin que se conserve grabación alguna una vez finalizada.

3.3. Categorías de interesados

• Personas que llaman al negocio del Cliente (clientes finales, potenciales clientes o terceros).
• El propio Cliente y las personas a las que este dé acceso al panel (empleados, profesionales, personal administrativo).

3.4. Categorías de datos personales

De las personas que llaman:

• Número de teléfono desde el que se realiza la llamada.
• Nombre facilitado durante la conversación.
• Transcripción a texto de la conversación. La voz no se conserva como grabación.
• Motivo de la llamada y cualquier dato que la persona facilite voluntariamente durante la misma.
• Datos de la cita: fecha, hora, servicio solicitado y profesional asignado.
• Número de contacto alternativo, si la persona lo facilita.

Del Cliente y de las personas con acceso al panel:

• Nombre y apellidos, dirección de correo electrónico, número de teléfono.
• Datos identificativos y de facturación del negocio.
• Credenciales de acceso al panel de control (la contraseña se almacena cifrada y no es accesible para Atiendox).

3.5. Advertencia sobre categorías especiales de datos

El servicio no está diseñado para tratar categorías especiales de datos de las previstas en el artículo 9 del RGPD. El Cliente se compromete a no configurar el servicio de forma que induzca a los llamantes a facilitar datos de salud, datos biométricos con fines identificativos, o cualquier otra categoría especial.

Se hace constar expresamente que la transcripción de la voz a texto que realiza el servicio no constituye tratamiento de datos biométricos en el sentido del artículo 4.14 del RGPD, por cuanto no persigue ni permite la identificación unívoca de la persona a partir de sus características vocales.

Si la actividad del Cliente implicase, por su propia naturaleza, que los llamantes revelen datos de las categorías del artículo 9 —a título de ejemplo, consultas médicas o psicológicas—, el Cliente deberá comunicarlo a Atiendox con carácter previo a la contratación, al objeto de valorar las medidas adicionales necesarias y la eventual necesidad de una evaluación de impacto.

3.6. Duración

El presente contrato estará vigente mientras lo esté el contrato principal de prestación del servicio, y se extinguirá con él, sin perjuicio de las obligaciones que por su naturaleza deban subsistir.

4. Obligaciones de Atiendox como encargado

Atiendox se obliga a:

• a) Tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a transferencias internacionales. Si Atiendox estuviera obligado a un tratamiento por el Derecho de la Unión o de un Estado miembro, informará previamente al Cliente de esa exigencia legal, salvo que dicho Derecho lo prohíba por razones de interés público.
• b) Informar al Cliente, de forma inmediata, si considera que alguna instrucción recibida infringe el RGPD, la LOPDGDD u otra disposición en materia de protección de datos.
• c) Garantizar que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar la confidencialidad, o están sujetas a una obligación de confidencialidad de naturaleza estatutaria. Esta obligación subsistirá tras la finalización del contrato.
• d) Aplicar las medidas técnicas y organizativas descritas en la cláusula 7.
• e) No subcontratar ninguna prestación que implique el tratamiento de datos personales, salvo los subencargados relacionados en la cláusula 5 y los que en el futuro se incorporen conforme al procedimiento allí previsto.
• f) Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). Cuando un interesado dirija su solicitud directamente a Atiendox, esta la trasladará al Cliente en el plazo máximo de setenta y dos horas, sin darle curso por su cuenta.
• g) Asistir al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
• h) Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD, y permitir y contribuir a la realización de auditorías en los términos de la cláusula 10.
• i) Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 9.
• j) Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente, conforme al artículo 30.2 del RGPD.
• k) Notificar las violaciones de la seguridad conforme a la cláusula 8.

5. Subencargados

5.1. Autorización

El Cliente autoriza expresamente a Atiendox a recurrir a los subencargados relacionados en esta cláusula, necesarios para la prestación del servicio. Atiendox ha suscrito con cada uno de ellos un contrato que les impone obligaciones de protección de datos equivalentes a las del presente contrato, y responde plenamente ante el Cliente del cumplimiento por parte de aquellos.

5.2. Relación de subencargados

Stripe Payments Europe Ltd. no figura en esta relación por no tratar datos personales por cuenta del Cliente: interviene únicamente en el cobro del servicio, respecto del cual Atiendox actúa como responsable del tratamiento y Stripe como su encargado, en una relación ajena al presente contrato. Por ese motivo sí aparece, en cambio, en la Política de Privacidad de Atiendox.

5.3. Cambios en la relación de subencargados

Atiendox informará al Cliente de cualquier incorporación o sustitución de subencargados con una antelación mínima de treinta días naturales, mediante comunicación a la dirección de correo electrónico asociada a su cuenta.

El Cliente podrá oponerse motivadamente dentro de ese plazo. Si la oposición fuese fundada y no pudiera alcanzarse una solución alternativa, el Cliente podrá resolver el contrato sin penalización; el Servicio se mantendrá activo hasta el final del periodo ya abonado y no se realizarán nuevos cobros.

6. Transferencias internacionales

Como se detalla en la cláusula 5.2, la prestación del servicio conlleva una transferencia de datos personales a Estados Unidos, derivada del uso de ElevenLabs para el procesamiento de la voz.

Dicha transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, complementadas con las medidas adicionales que resulten aplicables, y en la adhesión del subencargado al Marco de Privacidad de Datos UE-EE. UU.

Atiendox no realizará ninguna otra transferencia internacional sin informar previamente al Cliente conforme al procedimiento de la cláusula 5.3.

7. Medidas de seguridad

Atiendox aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. En particular:

• Cifrado en tránsito de todas las comunicaciones mediante TLS.
• Cifrado en reposo de la base de datos.
• Control de acceso por roles: cada Cliente accede únicamente a sus propios datos. El acceso está restringido mediante políticas de seguridad a nivel de fila en la base de datos y mediante verificación de pertenencia en cada operación.
• Autenticación mediante credenciales individuales; las contraseñas se almacenan con función resumen y no son accesibles ni recuperables por Atiendox.
• Segregación de los datos de cada Cliente, de modo que ningún Cliente pueda acceder a la información de otro.
• Registro de actividad de las operaciones relevantes sobre los datos.
• Copias de seguridad periódicas de la base de datos.
• Revisión periódica de dependencias y aplicación de actualizaciones de seguridad.
• Minimización: no se solicitan al llamante más datos que los estrictamente necesarios para gestionar su cita.

Atiendox revisará y actualizará estas medidas cuando resulte necesario, sin que en ningún caso el nivel de seguridad pueda ser inferior al descrito.

8. Violaciones de la seguridad de los datos

Atiendox notificará al Cliente, sin dilación indebida y en todo caso dentro de las veinticuatro horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por cuenta del Cliente.

La notificación se realizará por correo electrónico a la dirección asociada a la cuenta del Cliente e incluirá, como mínimo y en la medida en que se disponga de ella:

• La descripción de la naturaleza de la violación, con indicación de las categorías y el número aproximado de interesados y de registros afectados.
• Los datos de contacto de la persona que pueda facilitar más información.
• La descripción de las posibles consecuencias.
• La descripción de las medidas adoptadas o propuestas para poner remedio a la violación y, en su caso, mitigar sus efectos.

Corresponde al Cliente, como responsable del tratamiento, valorar la notificación a la autoridad de control y, en su caso, la comunicación a los interesados. Atiendox le prestará la asistencia razonable que precise a tal efecto.

9. Conservación y supresión

9.1. Plazos de conservación durante la vigencia del contrato

El Cliente podrá solicitar en cualquier momento plazos de conservación inferiores para las categorías indicadas.

9.2. Finalización del contrato

Una vez concluida la prestación del servicio, y agotado el periodo contratado y abonado por el Cliente, Atiendox procederá a la supresión permanente de todos los datos personales tratados por cuenta de aquel, así como de las copias existentes, salvo aquellos cuya conservación venga impuesta por una obligación legal.

Durante el periodo contratado y no consumido, el Cliente conservará el acceso a su panel a fin de poder consultar y descargar su información. Atiendox facilitará, a solicitud del Cliente, la exportación de los datos de su agenda en formato estructurado y de uso común.

La supresión se ejecutará dentro de los treinta días naturales siguientes a la finalización del periodo contratado, y Atiendox lo certificará por escrito si el Cliente así lo solicita.

10. Auditoría

Atiendox pondrá a disposición del Cliente la información necesaria para acreditar el cumplimiento de las obligaciones del artículo 28 del RGPD.

El Cliente podrá realizar auditorías, por sí o a través de un tercero auditor que no sea competidor de Atiendox, previo preaviso de treinta días naturales y con una periodicidad máxima anual, salvo que exista causa justificada derivada de una violación de seguridad o de un requerimiento de la autoridad de control.

Las auditorías se realizarán en horario laboral, sin interferir en la actividad de Atiendox y con sujeción a un deber de confidencialidad sobre la información a la que se acceda. Los costes de la auditoría serán por cuenta del Cliente, salvo que de ella resulten incumplimientos relevantes imputables a Atiendox.

11. Obligaciones del Cliente como responsable

El Cliente se obliga a:

• a) Cumplir las obligaciones que el RGPD y la LOPDGDD le imponen en su condición de responsable del tratamiento.
• b) Informar a los interesados del tratamiento de sus datos, conforme a los artículos 13 y 14 del RGPD. En particular, y por lo que respecta a la atención telefónica automatizada, el Cliente deberá poner a disposición de sus clientes, en su página web o por otro medio accesible, información sobre la existencia del servicio, sus finalidades, los plazos de conservación y la forma de ejercer sus derechos.
• c) Disponer de una base jurídica válida para el tratamiento y, cuando esta sea el consentimiento, obtenerlo y poder acreditarlo.
• d) Incluir este tratamiento en su registro de actividades de tratamiento.
• e) Realizar, cuando proceda, la evaluación de impacto relativa a la protección de datos, y la consulta previa a la autoridad de control.
• f) Atender las solicitudes de ejercicio de derechos que reciba de los interesados, recabando de Atiendox la asistencia que precise.
• g) No introducir en el sistema, ni configurarlo para recabar, datos de las categorías especiales del artículo 9 del RGPD sin haberlo comunicado previamente a Atiendox conforme a la cláusula 3.5.
• h) Comunicar a Atiendox, sin dilación, cualquier incidencia de seguridad de la que tenga conocimiento y que afecte a los datos tratados en el marco de este contrato.

12. Responsabilidad

Cada parte responderá de los daños y perjuicios que cause como consecuencia del incumplimiento de las obligaciones que este contrato le atribuye y de las que le impone la normativa de protección de datos.

Cuando ambas partes hubieran participado en el mismo tratamiento y resultaran responsables de un daño, cada una responderá en la medida de su participación, conforme al artículo 82 del RGPD.

Atiendox no responderá de los incumplimientos derivados de instrucciones del Cliente contrarias a la normativa, siempre que hubiera advertido de ello conforme a la cláusula 4.b).

13. Modificación

Atiendox podrá modificar el presente contrato cuando resulte necesario para adaptarlo a cambios normativos, a resoluciones de las autoridades de control o a modificaciones en la prestación del servicio.

Toda modificación dará lugar a una nueva versión del documento, que se comunicará al Cliente con una antelación mínima de treinta días naturales. Si el Cliente continúa utilizando el Servicio transcurrido ese plazo, se entenderá que acepta la nueva versión. Si no está conforme, podrá resolver el contrato sin penalización; el Servicio se mantendrá activo hasta el final del periodo ya abonado y no se realizarán nuevos cobros.

14. Legislación aplicable y jurisdicción

El presente contrato se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018, de 5 de diciembre, y por el resto de la legislación española que resulte de aplicación.

Para la resolución de cualquier controversia, las partes se someten a los juzgados y tribunales que resulten competentes conforme a la legislación aplicable.

La autoridad de control competente es la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es).

Documento versión 1.0. La versión vigente en cada momento está disponible en https://www.atiendox.es/legal/proteccion-datos