Legal

Anexo de Procesamiento de Datos

Edición en español · Documento fuente (inglés): Data Processing Addendum. En caso de conflicto o discrepancia entre esta edición en español y la versión en inglés, prevalece la versión en inglés.

Última actualización: 14 de octubre de 2026

Este Anexo de Procesamiento de Datos ("DPA") forma parte de los Términos de Servicio, del Contrato Maestro de Suscripción o del Contrato de Servicios en la Nube empresarial (el "Contrato" (Agreement)) celebrado entre Call-e, Inc., una sociedad (corporation) de Delaware que opera bajo el nombre comercial "Call-e" ("Call-e", "Encargado del Tratamiento" (Processor)), y el cliente ("Cliente" (Client), "Responsable del Tratamiento" (Controller)). Rige el tratamiento que Call-e realiza de Datos Personales por cuenta del Cliente. En caso de conflicto en materia de protección de datos, este DPA prevalece.

1. Definiciones

"Leyes de Protección de Datos Aplicables" (Applicable Data Protection Laws) significa las leyes de privacidad y de protección de datos que se aplican al tratamiento de una parte, incluidos el GDPR de la UE, el UK GDPR y las leyes estatales de privacidad de EE. UU. (incluida la CCPA/CPRA). "Datos Personales" (Personal Data), "Responsable del Tratamiento" (Controller), "Encargado del Tratamiento" (Processor), "Tratar/Tratamiento" (Process/Processing), "Titular de los Datos" (Data Subject) y "Autoridad de Control" (Supervisory Authority) tienen los significados que les atribuyen las Leyes de Protección de Datos Aplicables. "Datos Personales del Cliente" (Client Personal Data) significa los Datos Personales comprendidos en los Datos del Cliente que Call-e trata por cuenta del Cliente. "Subencargado del Tratamiento" (Sub-processor) significa un tercero contratado por Call-e para tratar Datos Personales del Cliente. "Cliente" (Client) es el "Cliente" (Customer) o la contraparte identificada en el Contrato aplicable (los términos se usan indistintamente en los contratos de Call-e).

2. Funciones y alcance

Las partes reconocen que, respecto de los Datos Personales del Cliente, el Cliente es el Responsable del Tratamiento (o un encargado del tratamiento que actúa por cuenta de otro responsable del tratamiento) y Call-e es el Encargado del Tratamiento. Call-e tratará los Datos Personales del Cliente únicamente para prestar los Servicios y en calidad de Encargado del Tratamiento. El objeto, la duración, la naturaleza, la finalidad, los tipos de datos y las categorías de Titulares de los Datos se describen en el Apéndice A.

3. Instrucciones de tratamiento

Call-e tratará los Datos Personales del Cliente únicamente: (a) conforme a las instrucciones documentadas del Cliente (incluidas las establecidas en el Contrato, en este DPA y en el uso y la configuración de los Servicios por parte del Cliente); y (b) según lo exija la ley (en cuyo caso Call-e, cuando la ley lo permita, lo notificará al Cliente). Las instrucciones del Cliente deben cumplir con las Leyes de Protección de Datos Aplicables, y el Cliente es responsable de la licitud de los Datos Personales que proporcione y de los consentimientos y avisos requeridos (incluidos los consentimientos de grabación).

4. Confidencialidad

Call-e garantiza que el personal autorizado para tratar Datos Personales del Cliente está sujeto a obligaciones de confidencialidad y accede a los Datos Personales únicamente en la medida necesaria para prestar los Servicios.

5. Seguridad

Call-e implementará y mantendrá medidas técnicas y organizativas apropiadas diseñadas para proteger los Datos Personales del Cliente, según se describe en el Apéndice B, teniendo en cuenta el estado de la técnica, los costos de aplicación y la naturaleza, el alcance y los riesgos del tratamiento.

6. Subencargados del tratamiento

El Cliente otorga una autorización general para que Call-e contrate Subencargados del Tratamiento que traten Datos Personales del Cliente. Los Subencargados del Tratamiento actuales de Call-e figuran en su Lista de Subencargados del Tratamiento (Apéndice C). Call-e: (a) impondrá a cada Subencargado del Tratamiento obligaciones de protección de datos sustancialmente tan protectoras como las de este DPA, lo que incluye garantizar que cada Subencargado del Tratamiento de IA que trate Datos Personales del Cliente esté contractualmente obligado a no utilizar los Datos Personales del Cliente (incluidas las entradas, salidas y embeddings) para entrenar, ajustar (fine-tune) o mejorar ningún modelo, salvo para prestar su servicio a Call-e; (b) seguirá siendo responsable del desempeño de sus Subencargados del Tratamiento; y (c) notificará al Cliente antes de agregar o sustituir un Subencargado del Tratamiento, concediéndole un plazo razonable para oponerse por motivos razonables de protección de datos. Si las partes no pueden resolver una objeción documentada, el Cliente podrá terminar los Servicios afectados.

7. Asistencia al Responsable del Tratamiento

Teniendo en cuenta la naturaleza del tratamiento, Call-e: (a) asistirá al Cliente, en la medida de lo posible, para responder a las solicitudes de los Titulares de los Datos; (b) asistirá al Cliente en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consultas previas; y (c) pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento. Dado que Call-e trata los datos por cuenta del Cliente, Call-e remitirá al Cliente a los Titulares de los Datos que se pongan en contacto directamente con ella.

8. Violación de Datos Personales

Call-e notificará al Cliente sin dilación indebida (y, en cualquier caso, dentro de las 72 horas cuando así lo exija la ley aplicable) tras tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales del Cliente. La notificación incluirá, en la medida en que se conozcan: la naturaleza de la violación; las categorías y el número aproximado de Titulares de los Datos y de registros afectados; las consecuencias probables; las medidas adoptadas o propuestas para abordarla; y un punto de contacto. Call-e proporcionará la información razonablemente disponible para ayudar al Cliente a cumplir sus obligaciones de notificación de violaciones. La notificación no constituye un reconocimiento de culpa.

9. Transferencias internacionales

Cuando Call-e trate Datos Personales del Cliente originados en el EEE, el Reino Unido o Suiza en un país que no cuente con una decisión de adecuación, las partes se basarán en las Cláusulas Contractuales Tipo (Standard Contractual Clauses, "SCC") (y en el UK Addendum / las modificaciones suizas, según corresponda), incorporadas por referencia (Apéndice D) y completadas con los datos de los Apéndices A–C. Las SCC prevalecen sobre los términos del DPA que las contradigan en relación con dichas transferencias.

10. Eliminación y devolución

Al terminar o vencer el Contrato, Call-e, a elección del Cliente, eliminará o devolverá los Datos Personales del Cliente dentro de 30 días y eliminará las copias existentes, salvo en la medida en que la ley exija su conservación o según lo establecido en la sección del Contrato sobre recuperación y eliminación de datos. Si el Cliente no proporciona dicha instrucción dentro del plazo posterior a la terminación, la opción predeterminada de Call-e es desidentificar los Datos Personales del Cliente mediante métodos irreversibles y estándar del sector, de modo que ya no puedan reidentificarse razonablemente; en la medida en que dichos datos cumplan el estándar de anonimización conforme a las Leyes de Protección de Datos Aplicables, dejan de ser Datos Personales del Cliente y quedan fuera del ámbito de este Anexo; cuando sigan siendo razonablemente vinculables a una persona, continúan protegidos conforme a este Anexo. La desidentificación predeterminada no prevalece sobre una instrucción del Cliente de eliminar (incluida una solicitud de supresión de un titular de los datos que el Cliente transmita). Call-e podrá conservar y utilizar datos desidentificados de conformidad con el Contrato. El Cliente podrá exportar los Datos Personales del Cliente durante el plazo posterior a la terminación descrito en el Contrato. Una cantidad limitada de Datos Personales puede persistir en registros operativos y copias de seguridad cifradas de rutina, que se conservan conforme a calendarios estándar de duración limitada y caducan automáticamente en lugar de depurarse de forma individual; mientras persistan, siguen protegidos conforme a este DPA. (Nota: Call-e está implementando herramientas de eliminación completa; mientras tanto, las partes cooperarán de buena fe en relación con las solicitudes de eliminación.)

11. Auditorías

Call-e pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento y permitirá y contribuirá a la realización de auditorías, no más de una vez al año (salvo que lo exija un regulador o se produzca una violación), con al menos 30 días de notificación previa por escrito, en horario laboral, con sujeción a la confidencialidad, a cargo del Cliente y sin comprometer los datos de otros clientes. Call-e podrá atender las solicitudes de auditoría proporcionando informes o certificaciones de terceros cuando estén disponibles.

12. CCPA (Términos de Proveedor de Servicios)

Respecto de los Datos Personales sujetos a la CCPA/CPRA, Call-e actúa como Proveedor de Servicios (Service Provider) (o Encargado del Tratamiento) y: (a) tratará los Datos Personales del Cliente únicamente para prestar los Servicios y según lo permita la CCPA; (b) no venderá ni compartirá los Datos Personales del Cliente; (c) no los conservará, utilizará ni divulgará fuera de la relación comercial directa ni para ningún fin distinto de los Servicios; (d) no los combinará con Datos Personales de otras fuentes, salvo según lo permita la CCPA; y (e) notificará al Cliente si ya no puede cumplir sus obligaciones.

13. Responsabilidad; prelación

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de responsabilidad del Contrato. Este DPA sustituye los términos de protección de datos del Contrato que lo contradigan. Si este DPA se traduce a otro idioma, prevalece la versión en inglés en caso de conflicto o discrepancia entre la versión en inglés y la traducción.

Apéndice A — Detalles del tratamiento

  • Objeto / naturaleza y finalidad: Grabación, transcripción y análisis asistido por IA de reuniones para proporcionar notas, evaluaciones, guías y análisis, además de la administración de cuentas y el soporte.
  • Duración: El Plazo de Suscripción más el período de eliminación posterior a la terminación descrito en el Contrato.
  • Categorías de Titulares de los Datos: Usuarios Autorizados del Cliente; participantes de las reuniones (incluidos los clientes (customers), clientes potenciales y clientes (clients) del Cliente); contactos en sistemas conectados.
  • Categorías de Datos Personales: nombre, datos de contacto comerciales y personales; audio/video de las reuniones, transcripciones y análisis derivados; contexto de CRM que el Cliente conecta; datos de uso y del dispositivo; comunicaciones de soporte. El Cliente controla lo que envía.
  • Categorías especiales: No previstas. El Cliente no debe enviar datos de categoría especial ni datos regulados por HIPAA, salvo según lo permitan el Contrato y la Política de Uso Aceptable.

Apéndice B — Medidas de seguridad (resumen)

Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256); controles de acceso y mínimo privilegio; aislamiento lógico entre clientes (multi-tenant) por identificador de organización; identidad y autenticación gestionadas (sin contraseñas almacenadas por Call-e); controles de red y una base de datos privada; registro, monitoreo y alertas; gestión de secretos; escaneo de vulnerabilidades y monitoreo de dependencias; y procedimientos de respuesta a incidentes. Consulte la página de Seguridad y Confianza para más detalles.

Apéndice C — Subencargados del tratamiento

Los Subencargados del Tratamiento actuales son los publicados en la Lista de Subencargados del Tratamiento de Call-e, incorporada a este DPA por referencia. Dicha lista es la fuente de registro canónica y mantenida; Call-e notifica antes de agregar o sustituir un Subencargado del Tratamiento, según se describe en la Sección 6.

Apéndice D — Cláusulas Contractuales Tipo

Las SCC de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión), Módulo Dos (de responsable a encargado) y, cuando corresponda, Módulo Tres (de encargado a encargado), con el Addendum de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) y las modificaciones suizas, completadas con los Apéndices A–C.