Acuerdo de Tratamiento de Datos (DPA)
1. Roles
El Cliente es el «Responsable del Tratamiento» (controller). CALLIVOZ actúa como «Encargado del Tratamiento» (processor) respecto de los datos personales que el Cliente ingresa al Servicio. Los terceros que CALLIVOZ contrata para tratar esos datos actúan como «Subencargados» (sub-processors).
2. Objeto y duración
CALLIVOZ trata datos personales exclusivamente para prestar el Servicio contratado, durante la vigencia del contrato principal y por los plazos de conservación legalmente exigibles.
3. Naturaleza del tratamiento
| Categoría | Datos típicos |
|---|---|
| Usuarios finales del Cliente | Números telefónicos en formato E.164, CDR, grabaciones (si el Cliente las activa), metadatos de SMS |
| Empleados del Cliente | Correo electrónico, nombre, rol en el portal, registros de acceso |
| Técnicos | Direcciones IP de SIP, agentes de usuario (user-agent), registros de alta SIP |
4. Obligaciones de CALLIVOZ como Encargado
- Tratar los datos únicamente según las instrucciones documentadas del Cliente.
- Confidencialidad obligatoria del personal autorizado (cláusulas contractuales).
- Medidas técnicas y organizativas: TLS 1.2 o superior, SRTP en los medios cuando se negocia, cifrado AES-256 en reposo, hashes bcrypt, autenticación multifactor (MFA), segregación de entornos y registro de auditoría de las acciones sobre cada cuenta.
- Asistir al Cliente en el cumplimiento de derechos de titulares (acceso, supresión, portabilidad), a través del soporte (support@callivoz.com).
- Notificar las brechas de seguridad sin dilación indebida y en un plazo máximo de 72 horas, con los elementos que exige el artículo 33 del GDPR.
- Al terminar el contrato, devolver o eliminar los datos personales salvo obligación legal de conservación.
- Mantener un registro de las actividades de tratamiento conforme al artículo 30 del GDPR.
5. Subencargados (sub-processors)
El Cliente autoriza a CALLIVOZ a usar subencargados (alojamiento, correo transaccional, procesador de pagos, operadores SIP mayoristas). La lista actualizada de subencargados se entrega a pedido escribiendo a support@callivoz.com, y los cambios se notifican con 30 días de antelación. El Cliente puede objetar dentro de ese plazo; de persistir la objeción, puede terminar el contrato.
6. Transferencias internacionales
Las transferencias fuera del EEE se realizan bajo Cláusulas Contractuales Tipo (SCC) aprobadas por la Decisión 2021/914/UE y, para el Reino Unido, el UK IDTA o el UK Addendum. Se realizan evaluaciones de impacto de las transferencias (TIA) cuando el país receptor no tenga decisión de adecuación.
7. Auditoría
El Cliente puede solicitar, con preaviso razonable (mínimo 30 días), evidencia del cumplimiento mediante:
- Cuestionarios de seguridad (CAIQ, SIG).
- Informes SOC 2 Type II o ISO 27001, cuando estén disponibles.
- Auditorías presenciales (coordinadas, a cargo del Cliente, como máximo una por año salvo incidente).
8. Responsabilidad
Sujeta a la limitación del contrato principal, cada parte asume las sanciones administrativas derivadas de su propio incumplimiento del GDPR (artículo 83).
9. Duración y terminación
Este DPA es parte integrante del contrato principal y rige mientras CALLIVOZ procese datos personales por cuenta del Cliente. Las obligaciones de confidencialidad y seguridad sobreviven a la terminación.
10. Contacto
Protección de datos y privacidad: support@callivoz.com
Data Processing Agreement (DPA)
1. Roles
The Customer is the "Controller". CALLIVOZ acts as "Processor" with respect to the personal data that the Customer enters into the Service. Third parties that CALLIVOZ engages to process those data act as "Sub-processors".
2. Subject matter and duration
CALLIVOZ processes personal data exclusively to provide the contracted Service, during the term of the main contract and for the legally required retention periods.
3. Nature of the processing
| Category | Typical data |
|---|---|
| Customer's end users | Phone numbers in E.164 format, CDR, recordings (if the Customer enables them), SMS metadata |
| Customer's employees | Email, name, portal role, access logs |
| Technical | SIP IP addresses, user-agents, SIP registration records |
4. CALLIVOZ's obligations as Processor
- Process the data only on documented instructions from the Customer.
- Mandatory confidentiality of authorized personnel (contractual clauses).
- Technical and organizational measures: TLS 1.2 or higher, SRTP on media when negotiated, AES-256 encryption at rest, bcrypt hashes, multi-factor authentication (MFA), environment segregation, and an audit log of actions on each account.
- Assist the Customer in handling data subject rights (access, erasure, portability), through support (support@callivoz.com).
- Notify security breaches without undue delay and within a maximum of 72 hours, with the elements required by article 33 of the GDPR.
- At the end of the contract, return or delete personal data except where a legal retention obligation applies.
- Maintain a record of processing activities pursuant to article 30 of the GDPR.
5. Sub-processors
The Customer authorizes CALLIVOZ to use sub-processors (hosting, transactional email, payment processor, wholesale SIP carriers). The updated list of sub-processors is provided on request by writing to support@callivoz.com, and changes are notified with 30 days' advance notice. The Customer may object within that period; if the objection persists, the Customer may terminate the contract.
6. International transfers
Transfers outside the EEA are performed under Standard Contractual Clauses (SCC) approved by Decision 2021/914/EU and, for the United Kingdom, the UK IDTA or the UK Addendum. Transfer impact assessments (TIA) are performed when the recipient country does not have an adequacy decision.
7. Audit
The Customer may request, with reasonable notice (minimum 30 days), evidence of compliance by means of:
- Security questionnaires (CAIQ, SIG).
- SOC 2 Type II or ISO 27001 reports, when available.
- On-site audits (coordinated, at the Customer's expense, no more than once a year except in the event of an incident).
8. Liability
Subject to the limitation of the main contract, each party bears the administrative fines arising from its own non-compliance with the GDPR (article 83).
9. Duration and termination
This DPA is an integral part of the main contract and governs for as long as CALLIVOZ processes personal data on the Customer's behalf. The confidentiality and security obligations survive termination.
10. Contact
Data protection and privacy: support@callivoz.com