Acuerdo de tratamiento de datos

Partes

Acuerdo conforme al art. 28 RGPD entre el cliente de QCRM como responsable del tratamiento («Cliente») y Medcycle UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlín, Alemania, como encargado del tratamiento («Proveedor»). Esto es una traducción; solo la versión alemana es vinculante.

§ 1 Celebración y aplicación

Este acuerdo forma parte de las condiciones de uso de QCRM y se celebra junto con ellas; no se requiere una firma aparte. Se aplica mientras el Proveedor trate datos personales por cuenta del Cliente y prevalece sobre las condiciones de uso en materia de protección de datos. A petición, el Proveedor facilita una versión firmada por él.

§ 2 Objeto, naturaleza, finalidad y duración

El objeto es la prestación de QCRM, incluida la telefonía con IA integrada Omnesto: alojamiento, almacenamiento, copias de seguridad, mantenimiento y soporte, así como las funciones que utilice el Cliente (p. ej., conexión de correo, outreach, funciones de IA, asistente telefónico). El Proveedor trata los datos exclusivamente para prestar estos servicios. La duración coincide con la del contrato principal más el tiempo hasta la supresión conforme al § 11.

§ 3 Tipos de datos e interesados

Tipos de datos: datos maestros y de contacto; datos de comunicación (correos, notas, resúmenes de llamadas y, si el Cliente activa la grabación, grabaciones y transcripciones de llamadas); datos de contratos, ofertas e inmuebles; citas, tareas y documentos; datos de uso y de registro; y cualquier otro contenido que introduzca el Cliente.

Interesados: empleados y usuarios del Cliente, así como sus clientes, interesados comerciales, personas de contacto, socios comerciales y llamantes.

El Cliente solo trata categorías especiales de datos personales (art. 9 RGPD) si dispone de una base jurídica.

§ 4 Instrucciones

El Proveedor trata los datos únicamente siguiendo instrucciones documentadas del Cliente, también en lo relativo a transferencias a terceros países, salvo que esté obligado por el Derecho de la Unión o de un Estado miembro; en tal caso, informa previamente al Cliente de esa exigencia, salvo que la ley lo prohíba. Son instrucciones este acuerdo, las condiciones de uso, los ajustes y acciones del Cliente en la aplicación y las instrucciones concretas en forma de texto. Si el Proveedor considera ilícita una instrucción, informa sin demora al Cliente y puede suspender su ejecución hasta que se confirme.

§ 5 Confidencialidad

El Proveedor solo emplea a personas obligadas a la confidencialidad o sujetas a un deber legal de secreto. Solo tienen acceso a los datos del Cliente las personas que lo necesitan para la operación, el mantenimiento o el soporte, y solo en la medida necesaria.

§ 6 Medidas técnicas y organizativas

El Proveedor adopta las medidas del art. 32 RGPD descritas en el anexo. Puede desarrollarlas siempre que el nivel de protección no disminuya.

§ 7 Subencargados

El Cliente autoriza a los siguientes subencargados:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania – centros de datos, alojamiento y copias de seguridad – Alemania (QCRM y copias de seguridad) y Finlandia (Omnesto)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Alemania – envío de correos del sistema – Alemania
• Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda, con la participación de Google LLC, EE. UU. – API Gemini para las funciones de IA, solo cuando un usuario las inicia – UE y EE. UU.
• Telnyx LLC, Chicago, EE. UU. – telefonía y números para Omnesto – EE. UU.
• Eleven Labs Inc., Nueva York, EE. UU. – reconocimiento y síntesis de voz y conversación con IA para Omnesto – EE. UU.
• OpenAI Ireland Ltd., Dublín, Irlanda, con la participación de OpenAI, L.L.C., EE. UU. – análisis con IA de transcripciones de llamadas para Omnesto – EE. UU.

Telnyx, ElevenLabs y OpenAI solo se utilizan si el Cliente usa las funciones de telefonía de Omnesto. Los proveedores de correo que conecta el propio Cliente no son subencargados del Proveedor.

El Proveedor informa al Cliente en forma de texto al menos 30 días antes de incorporar o sustituir a un subencargado. El Cliente puede oponerse en ese plazo por un motivo importante de protección de datos; si las partes no llegan a un acuerdo, el Cliente puede resolver el contrato con efecto en la fecha del cambio. El Proveedor obliga contractualmente a cada subencargado a cumplir las obligaciones de este acuerdo y responde de él conforme al art. 28, apdo. 4 RGPD.

§ 8 Terceros países

El tratamiento fuera de la UE y del EEE solo se realiza si se cumplen las condiciones de los arts. 44 y ss. RGPD, en particular sobre la base del EU-US Data Privacy Framework o de las cláusulas contractuales tipo de la Comisión Europea.

§ 9 Asistencia al Cliente

El Proveedor asiste al Cliente con medidas adecuadas en el cumplimiento de los derechos de los interesados (capítulo III RGPD) y de las obligaciones de los arts. 32 a 36 RGPD. El Cliente puede realizar en gran medida por sí mismo en la aplicación el acceso, la rectificación, la exportación y la supresión. Si un interesado se dirige al Proveedor, este lo remite al Cliente y le informa sin demora.

§ 10 Violaciones de la seguridad de los datos

El Proveedor notifica al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida, a ser posible en las 48 horas siguientes a tener conocimiento de ella, con la información del art. 33, apdo. 3 RGPD en la medida en que esté disponible, y adopta sin demora medidas para contenerla.

§ 11 Supresión y devolución

Durante el contrato, el Cliente puede exportar y suprimir datos en la aplicación. Al finalizar el contrato se bloquean las funciones del CRM; los datos permanecen guardados inicialmente. A los 30 días el Proveedor los revisa y los suprime previo aviso en forma de texto con un plazo razonable. A petición del Cliente, los entrega antes en un formato habitual o los suprime antes. Las copias de seguridad de la base de datos se eliminan o sobrescriben a más tardar 30 días después de su creación. Quedan a salvo las obligaciones legales de conservación.

§ 12 Pruebas y auditorías

El Proveedor pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permite auditorías. Estas se realizan preferentemente mediante información y pruebas adecuadas, como los certificados de los centros de datos. Las inspecciones in situ deben anunciarse con al menos 30 días de antelación y realizarse en horario laboral sin perturbar la operación y preservando la confidencialidad de los datos de otros clientes; el Cliente asume sus propios costes.

§ 13 Responsabilidad y disposiciones finales

La responsabilidad se rige por el art. 82 RGPD y, en lo demás, por las normas de responsabilidad de las condiciones de uso. Se aplica el Derecho alemán; el fuero competente es Berlín. Para clientes en Suiza, este acuerdo vale también como contrato conforme al art. 9 LPD. Solo la versión alemana es vinculante.

Anexo: medidas técnicas y organizativas

• Control de acceso físico: operación exclusivamente en centros de datos de Hetzner Online GmbH en Alemania y Finlandia con control de acceso, videovigilancia y personal de seguridad; los centros de datos están certificados según ISO/IEC 27001. El Proveedor no tiene salas de servidores propias.
• Control de acceso a los sistemas: acceso administrativo a los servidores solo con claves SSH y solo para personas designadas; cortafuegos; la base de datos y la caché no son accesibles desde Internet. Los usuarios inician sesión con una contraseña personal que solo se guarda como hash; los nuevos usuarios reciben una contraseña de un solo uso que deben sustituir en el primer inicio de sesión y que caduca a los siete días.
• Control de acceso a los datos: separación estricta de los espacios de trabajo de los distintos clientes; roles y permisos dentro de un espacio de trabajo (entre ellos administrador, empleado, solo lectura); las credenciales de sistemas de terceros se guardan cifradas.
• Control de la transmisión: transmisión solo cifrada (TLS); conexiones entre QCRM y Omnesto con solicitudes firmadas y claves guardadas cifradas.
• Control de la introducción: registro de inicios de sesión y eventos relevantes para la seguridad; historial de actividad en los registros principales.
• Control de la disponibilidad: copias de seguridad diarias de la base de datos en un servidor de copias separado en Alemania; copia adicional antes de cada actualización con comprobación de su legibilidad; contenedores con reinicio automático.
• Control de la separación: separación de clientes en la aplicación; entornos de desarrollo y producción separados.
• Revisión: actualizaciones periódicas del sistema operativo y del software; pruebas automatizadas antes de cada publicación; revisión de las medidas ante cambios importantes.