Contrato de encargo según el art. 28 del RGPD

Contrato de tratamiento de datos

Actualizado: septiembre de 2026

Traducción de cortesía al español. La versión jurídicamente vinculante es el original alemán: Contrato de tratamiento de datos (original alemán).

entre el cliente («responsable») y Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlín («encargado»).

Este contrato de tratamiento de datos («contrato de encargo») forma parte del contrato de uso del servicio rylivo y se considera celebrado automáticamente con la celebración del contrato. Cumple los requisitos del art. 28 apdo. 3 del RGPD. No se requiere firma aparte; si lo desea, el encargado facilitará una versión firmada en forma escrita.

§ 1 Objeto y duración

(1) El encargado presta para el responsable los servicios de recepción telefónica de llamadas mediante IA descritos en el contrato de uso. El objeto de este contrato de encargo es el tratamiento de datos personales que ello conlleva.

(2) La duración de este contrato de encargo corresponde a la duración del contrato de uso. Termina con su finalización, como muy tarde con la eliminación o devolución completa de los datos según el § 8.

§ 2 Tipo y finalidad del tratamiento

El tratamiento comprende la recepción telefónica de llamadas entrantes, la transcripción en tiempo real de las conversaciones, el resumen automático y el registro estructurado de solicitudes (en particular solicitudes de devolución de llamada y de citas), así como el aviso al responsable por correo electrónico y la puesta a disposición de los datos en el panel. La finalidad es la accesibilidad del responsable y la gestión ordenada de sus llamadas.

§ 3 Categorías de datos y círculo de afectados

Categorías de datos:

Datos básicos de quienes llaman, en la medida comunicada en la conversación (p. ej., nombre, empresa)
Números de teléfono y datos de conexión (momento, duración)
Contenidos de la conversación en forma de texto (transcripción, resumen, solicitudes registradas como número de devolución de llamada y solicitud de cita)

Círculo de afectados: quienes llaman al responsable (en particular clientes, interesados, proveedores y demás personas de contacto).

§ 4 Obligaciones del encargado

El encargado

trata los datos exclusivamente siguiendo instrucciones documentadas del responsable (art. 28 apdo. 3 letra a del RGPD); el contrato de uso y la configuración del asistente por parte del responsable se consideran instrucciones. Si considera ilícita una instrucción, informará al responsable sin demora;
garantiza que las personas autorizadas para el tratamiento se hayan comprometido a la confidencialidad (art. 28 apdo. 3 letra b del RGPD);
adopta todas las medidas técnicas y organizativas necesarias según el art. 32 del RGPD (anexo 1);
ayuda al responsable con los medios adecuados a responder las solicitudes de las personas afectadas (arts. 12–23 del RGPD) y en las obligaciones de los arts. 32–36 del RGPD, en particular en la notificación de violaciones de la seguridad de los datos personales; dichas violaciones las notificará al responsable sin demora;
elimina o devuelve los datos según lo dispuesto en el § 8;
pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento del art. 28 del RGPD (§ 7).

§ 5 Subencargados

(1) El responsable aprueba los subencargados enumerados en el anexo 2. El encargado ha celebrado con cada subencargado un contrato que le impone las mismas obligaciones de protección de datos establecidas en este contrato de encargo.

(2) El encargado informará al responsable en forma escrita sobre la incorporación o sustitución prevista de subencargados. El responsable podrá oponerse al cambio en un plazo de 14 días por un motivo importante de protección de datos. Si no es posible una solución de mutuo acuerdo, ambas partes tendrán un derecho extraordinario de cancelación.

§ 6 Transferencias a terceros países

El tratamiento en terceros países solo se realizará en las condiciones de los arts. 44 y ss. del RGPD, en particular sobre la base de las cláusulas contractuales tipo de la UE (SCC) con los subencargados mencionados en el anexo 2, complementadas con medidas de protección adicionales (en particular cifrado del transporte, seudonimización cuando sea posible).

§ 7 Derechos de control del responsable

(1) El responsable está facultado para controlar el cumplimiento de este contrato de encargo. El encargado posibilitará y apoyará las comprobaciones —incluidas inspecciones— realizadas por el responsable o por un auditor encargado por él.

(2) Los controles se realizarán previo aviso razonable en horario comercial habitual. El encargado podrá aportar pruebas inicialmente mediante documentación adecuada, informes o certificaciones.

§ 8 Eliminación y devolución

(1) El encargado eliminará registros individuales en cualquier momento siguiendo instrucciones del responsable.

(2) Tras la finalización del contrato de uso, el encargado eliminará todos los datos personales o los devolverá en un formato habitual, a elección del responsable, y eliminará las copias existentes, salvo que se opongan obligaciones legales de conservación.

§ 9 Disposiciones finales

(1) En caso de contradicción entre este contrato de encargo y el contrato de uso, prevalecerán en cuestiones de protección de datos las disposiciones de este contrato de encargo.

(2) Se aplica el derecho alemán. Las modificaciones y adiciones requieren la forma escrita.

Anexo 1: Medidas técnicas y organizativas (TOM)

Cifrado: todas las transmisiones de datos se realizan cifradas (TLS); los datos almacenados se conservan en sistemas cifrados de los proveedores de infraestructura.
Control de acceso: solo tienen acceso a los datos de llamadas el cliente correspondiente (panel con protección de acceso, cookies de sesión HttpOnly) y los empleados autorizados del encargado según el principio de necesidad de conocer; los accesos administrativos están protegidos por separado.
Elección de ubicación: el tratamiento y el almacenamiento se realizan en centros de datos de la UE, cuando los proveedores utilizados lo permiten.
Conservación de audio con concepto de eliminación: las conversaciones se graban como audio previo anuncio y se transcriben; la grabación y la transcripción se conservan y eliminan según el concepto de eliminación acordado.
Registro: los eventos del sistema y los accesos administrativos se registran y se evalúan periódicamente.
Separación: los datos de los clientes se separan de forma lógica (asignación de todos los datos de llamadas por cliente).
Recuperabilidad: copias de seguridad periódicas de la base de datos y procedimientos de recuperación documentados.

Anexo 2: Subencargados autorizados

Proveedor	Finalidad	Sede / tratamiento	Base de la transferencia
Cloudflare, Inc.	Almacenamiento de objetos (grabaciones de llamadas, descarga del programa)	Centros de datos de la UE; grabaciones con jurisdicción de la UE. Sede en EE. UU.	Contrato de encargo, cláusulas contractuales tipo de la UE (SCC), Marco de Privacidad de Datos UE-EE. UU.
Google Ireland Limited	Alojamiento, base de datos de la aplicación, capacidad de cómputo (Compute Engine, Fráncfort), seguridad de red y modelo de lenguaje (Vertex AI, Bélgica)	UE (europe-west3, europe-west1)	Contrato de encargo, cláusulas contractuales tipo de la UE (SCC)
Soniox, Inc.	Reconocimiento y síntesis de voz (conversión de voz en texto y viceversa)	Región de la UE	Contrato de encargo, cláusulas contractuales tipo de la UE (SCC)
Twilio Inc.	Infraestructura de telefonía (números, conmutación de llamadas)	EE. UU., conmutación vía Fráncfort	Contrato de encargo, cláusulas contractuales tipo de la UE (SCC)
Brevo	Notificaciones por correo electrónico a la empresa	UE	Contrato de encargo
Stripe Payments Europe, Ltd.	Procesamiento de pagos	UE (Irlanda), transferencia dentro del grupo a EE. UU.	Contrato de encargo, cláusulas contractuales tipo de la UE (SCC)