Contrato de Encargo de Tratamiento (art. 28 RGPD)

Basado en el modelo de cláusulas de la AEPD. Versión: 2026-09-23.

>

Cambios de la versión 2026-09-23 respecto a la anterior: se ajustan dos compromisos a lo que esta organización puede sostener de verdad — la notificación de brechas pasa de «máximo 48 horas» a «sin dilación indebida», con el objetivo de dar margen dentro de las 72 horas del Responsable, y las auditorías presenciales pasan de «permitidas» a «acordadas entre las partes», manteniéndose la entrega de documentación y la respuesta a cuestionarios.

Este Contrato regula el tratamiento de datos personales que ParteVoz ("el Encargado") realiza por cuenta del profesional usuario ("el Responsable") al prestarle el servicio. Se acepta junto con los Términos y la Política de Privacidad al darse de alta en la web o, en las cuentas creadas por ParteVoz a petición del profesional, al entrar por primera vez en el portal o al usar el servicio por WhatsApp (el bot informa de estos textos en su primer mensaje y ParteVoz conserva la fecha y el número desde el que se aceptó como prueba, art. 28.9 RGPD).

1. Partes y objeto

• Responsable del tratamiento: el profesional usuario de ParteVoz (sus datos de cuenta).
• Encargado: Patrick Forquignon Acero, NIF 52050199A.
• Objeto: ParteVoz trata, por cuenta del Responsable, los datos de los clientes finales del Responsable necesarios para generar sus presupuestos y facturas.

2. Datos y personas afectadas

• Categorías de datos: identificativos (nombre), de contacto y ubicación (dirección del trabajo), fiscales (NIF, dirección fiscal cuando hay factura) y el contenido de los mensajes de voz que el Responsable dicta. No se tratan categorías especiales de forma deliberada.
• Afectados: los clientes finales del Responsable.

3. Finalidad y duración

• Finalidad: prestar el servicio de creación de presupuestos/facturas, exclusivamente.
• Duración: mientras esté vigente la relación de servicio.

4. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos solo siguiendo instrucciones documentadas del Responsable (la propia prestación del servicio constituye esas instrucciones), incluido el acceso para **soporte, mantenimiento y resolución de incidencias**.
• No usar los datos para fines propios ni cederlos a terceros salvo los sub-encargados autorizados.
• Garantizar la confidencialidad de las personas que accedan a los datos.
• Aplicar las medidas de seguridad del art. 32 RGPD (cifrado en reposo, aislamiento por cuenta, control y registro de accesos, copias de seguridad; los audios de voz no se almacenan: se procesan y se descartan).
• Asistir al Responsable para atender los derechos de los interesados (facilitándole la exportación o supresión de los datos de un cliente final en un plazo máximo de 10 días) y las brechas de seguridad.
• Notificar al Responsable sin dilación indebida desde que la conozca, cualquier violación de seguridad que afecte a sus datos, con la información necesaria para que pueda cumplir los arts. 33 y 34 RGPD, y con el objetivo de que disponga de margen suficiente dentro de su propio plazo de 72 horas. El Encargado es una organización pequeña y no se compromete a un plazo fijo en horas que no pueda garantizar en todo momento; su protocolo interno de brechas fija la actuación.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones: documentación del tratamiento, registro de actividades y respuesta a cuestionarios de seguridad. Las auditorías o inspecciones presenciales se acuerdan entre las partes, con preaviso razonable, sin afectar a otros clientes y a costa del Responsable.
• Revisar, con fines exclusivos de control de calidad del reconocimiento de voz, las correcciones de vocabulario y las transcripciones, sin identificar cuentas ante terceros y bajo confidencialidad; el proveedor de transcripción puede recibir como contexto los nombres de los clientes recientes del Responsable para mejorar el acierto, sin conservarlos.
• A la finalización, suprimir o devolver los datos en un plazo de 30 días, salvo obligación legal de conservación (la documentación fiscal se conserva bloqueada el plazo legal).

5. Sub-encargados autorizados

El Responsable autoriza al Encargado a servirse de los siguientes sub-encargados, con garantías adecuadas y, en su caso, residencia de datos en la UE o mecanismos de transferencia válidos:

• OpenAI (transcripción/procesamiento del texto; Cláusulas Contractuales Tipo), Twilio Inc. (proveedor oficial de WhatsApp Business; Data Privacy Framework) sobre la plataforma WhatsApp de Meta Platforms Ireland Ltd., Stripe (pagos; DPF), Resend (email; DPF), Render (alojamiento en EE. UU.; DPF y Cláusulas Contractuales Tipo).

El Encargado informará de cualquier alta/baja de sub-encargados, dando opción a oponerse.

6. Acceso del Encargado a los datos

El Encargado (persona física que opera ParteVoz) podrá acceder a los datos solo cuando sea necesario para mantener el servicio, dar soporte o resolver incidencias, dejando registro de dichos accesos, y bajo deber de confidencialidad.

7. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al RGPD. El contenido de los documentos y las obligaciones fiscales corresponden al Responsable, que aprueba cada documento.