Contrato de Encargo de Tratamiento (DPA) de Sonaneo

Última actualización: 30 de octubre de 2026

Este Contrato de Encargo de Tratamiento («DPA») forma parte de los Términos del Servicio de Sonaneo (los «Términos») entre la empresa que contrata Sonaneo (el «Cliente», responsable) y Apphive, Inc., 2810 North Church Street, Wilmington, DE 19802, EE. UU. («nosotros», encargado). Se acepta al aceptar los Términos.

1. Objeto y roles. El Cliente es responsable de los datos personales de quienes le llaman y de su personal que tratamos al prestar Sonaneo («Datos del Cliente»), y nosotros somos su encargado (art. 28 del Reglamento (UE) 2016/679, «RGPD», y normas equivalentes). El Anexo I describe el tratamiento. Los datos de contacto y facturación del Cliente los tratamos como responsables, según nuestro aviso de privacidad.

2. Instrucciones. Tratamos los Datos del Cliente sólo según sus instrucciones documentadas: los Términos, este DPA y la configuración que el Cliente haga en Sonaneo (conocimiento, avisos, conservación, integraciones). Le avisaremos si una instrucción nos parece contraria a la ley, o si la ley nos obliga a otro tratamiento (salvo que lo prohíba).

3. Confidencialidad. Las personas que acceden a los Datos del Cliente están obligadas a la confidencialidad y sólo acceden en la medida necesaria para prestar el servicio o darle soporte.

4. Seguridad. Aplicamos las medidas del Anexo II y podemos mejorarlas sin reducir el nivel de protección.

5. Subencargados. El Cliente autoriza a los subencargados del Anexo III. Avisaremos con 30 días de antelación, por correo o en el servicio, de cualquier alta o cambio; el Cliente podrá oponerse por motivos razonables de protección de datos y, si no hay solución, terminar el servicio afectado con reembolso de lo pagado por adelantado y no usado. Cada subencargado asume por contrato obligaciones equivalentes a las de este DPA, y respondemos de su cumplimiento.

6. Transferencias. Prestamos el servicio desde Estados Unidos. Para los Datos del Cliente que vengan del Espacio Económico Europeo se aplican las Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914, Módulo Dos (responsable a encargado), incorporadas por referencia con las opciones del Anexo IV; el Cliente es el exportador y nosotros el importador, y los Anexos I a III de este DPA son sus anexos. Para el Reino Unido y Suiza, con los adendos o ajustes que exijan sus normas. Si hay conflicto, prevalecen las Cláusulas.

7. Derechos de los interesados. Ayudamos al Cliente, con las funciones del servicio y, si no bastan, a petición suya, a atender las solicitudes de acceso, rectificación, supresión y demás derechos (por ejemplo, borrar todas las llamadas de un número). Si una persona nos escribe a nosotros, le pasaremos la solicitud al Cliente sin contestarla en el fondo.

8. Violaciones de seguridad. Avisaremos al Cliente sin dilación indebida y en todo caso dentro de las 48 horas desde que tengamos conocimiento de una violación que afecte a Datos del Cliente, con la información disponible (naturaleza, categorías y número aproximado de personas y registros, consecuencias probables, medidas y contacto), y la completaremos por fases. El aviso a la autoridad y a los afectados corresponde al Cliente; le ayudaremos. El aviso no implica reconocimiento de responsabilidad.

9. Asistencia. Ayudamos razonablemente al Cliente en sus evaluaciones de impacto y consultas previas con la información que tengamos. Lo que exceda lo razonable podrá facturarse.

10. Auditorías. Pondremos a disposición del Cliente la información necesaria para demostrar el cumplimiento (este DPA, sus anexos y respuestas escritas a cuestionarios razonables de seguridad). Si no basta, o si lo exige una autoridad, el Cliente podrá auditar como máximo una vez al año (o tras una violación que afecte a sus datos), con 30 días de aviso, preferentemente en remoto, en horario laboral, sin acceso a datos de otros clientes ni a los sistemas de los subencargados, y a su costa.

11. Fin del servicio. Al terminar, el Cliente puede exportar sus datos o pedirnos una copia dentro de los 30 días siguientes. Después los suprimimos de los sistemas activos, como máximo 30 días tras la terminación, y le confirmamos cuándo. Las copias de seguridad no se editan: los datos desaparecen de ellas al vencer su ciclo, como máximo 35 días después, y mientras tanto no se usan salvo para recuperación ante desastres. Lo anterior no aplica a lo que la ley nos obligue a conservar.

12. Responsabilidad. La responsabilidad derivada de este DPA se rige por los límites de los Términos, salvo en lo que no pueda limitarse según las Cláusulas o la ley. Nada en este DPA limita los derechos de los interesados.

13. Duración, prelación y ley. Este DPA dura mientras tratemos Datos del Cliente. Si hay conflicto prevalecen, por este orden, las Cláusulas, este DPA y los Términos. Salvo las Cláusulas, se rige por la ley de los Términos.

Anexo I — Descripción del tratamiento

• Exportador (responsable): el Cliente, con los datos de su cuenta en Sonaneo. Importador (encargado): Apphive, Inc., 2810 North Church Street, Wilmington, DE 19802, EE. UU.; contacto: hello@sonaneo.com. Actividad: agentes de voz con IA como servicio.
• Interesados: personas que llaman al Cliente (sus clientes, prospectos y público) y el personal del Cliente que usa Sonaneo.
• Datos: número de teléfono, voz en tiempo real (no se graba), transcripción, resumen y lo que la persona diga en la llamada; datos de las conversaciones del Cliente en su bandeja de atención que el asistente consulta (nombre de pila, estado y tema). No se buscan datos sensibles; números de tarjeta, contraseñas y datos de salud se quitan de lo que se guarda.
• Naturaleza y finalidad: recibir y atender llamadas en nombre del Cliente (voz a texto, respuestas con IA, voz sintética), transcribir, resumir, dar seguimiento en la bandeja del Cliente y ofrecer métricas.
• Dónde se guardan: transcripciones y resúmenes en nuestros servidores (Hetzner, Virginia); el resumen también como nota privada en la bandeja del Cliente de nuestra herramienta de atención (Chatwoot, instalada en nuestros servidores).
• Frecuencia: continua durante el servicio.
• Conservación: la que configure el Cliente; por defecto, hasta 24 meses desde el último contacto de cada número; al terminar, según la cláusula 11.
• Autoridad de control: la del Estado miembro del exportador.

Anexo II — Medidas técnicas y organizativas

• Cifrado en tránsito: HTTPS/TLS en la web, la API y los paneles; medios de las llamadas de WhatsApp con SRTP obligatorio.
• La voz no se graba; sólo se guardan la transcripción y un resumen, con enmascarado automático de tarjetas, contraseñas, datos de salud, correos y direcciones en registros técnicos y en lo guardado.
• Servidores propios en Hetzner (Virginia, EE. UU.); acceso a servidores sólo para personal autorizado con llaves SSH; credenciales en un gestor de secretos (AWS Secrets Manager), no en el código.
• Separación por cliente: cada agente usa sólo el conocimiento, el número y la bandeja de su cliente; las consultas de contexto se filtran por cliente y producto.
• Borrado: purga automática a los 24 meses del último contacto (o el plazo del Cliente) y borrado a pedido de todas las llamadas de un número.
• Copia diaria del servidor (7 días). Registro de incidentes con aviso al Cliente en 48 h.
• Subencargados de voz e IA configurados para no usar los datos para entrenar cuando el proveedor lo permite (Deepgram: exclusión de su programa de mejora de modelos).

Anexo III — Subencargados

Subencargado	Para qué	Dónde
Hetzner Online GmbH	Servidores (agente, LiveKit propio, transcripciones)	EE. UU. (Virginia)
Deepgram, Inc.	Paso de voz a texto	EE. UU.
ElevenLabs, Inc.	Voz sintética del asistente	EE. UU.
Anthropic, PBC	Respuestas del asistente y resúmenes	EE. UU.
Meta Platforms, Inc.	Llamadas y mensajes de WhatsApp	EE. UU.
Amazon Web Services, Inc.	Correo (Amazon SES)	EE. UU.

Anexo IV — Opciones de las Cláusulas (Módulo Dos)

Cláusula 7: se incluye. Cláusula 9(a): opción 2, autorización general con aviso de 30 días. Cláusula 11(a): sin órgano independiente. Cláusula 13(a): autoridad del exportador. Cláusula 17: ley de Irlanda. Cláusula 18(b): tribunales de Irlanda. Texto oficial: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj