Válido desde: 22 de abril de 2026

Preámbulo

Este Acuerdo de Procesamiento de Datos ("APD") se celebra entre Kolsetu GmbH ("Procesador") y el Cliente ("Controlador") de conformidad con el Art. 28 del RGPD y forma parte integrante del Contrato para la prestación de la plataforma Elba AI y servicios relacionados ("Acuerdo"). Este APD se aplica tanto a los clientes empresariales como a los de autoservicio de la plataforma Elba.

Nota sobre el alcance: Este APD rige el procesamiento por parte de Kolsetu de los Datos Personales del Cliente en su calidad de Procesador. Kolsetu también procesa datos personales de los usuarios de la plataforma (administradores y operadores) en su calidad de Controlador; dicho procesamiento se describe en la Política de Privacidad del Producto de Kolsetu disponible en la página de inicio (www.kolsetu.com).

El Controlador determina los fines y medios del procesamiento descrito en el presente. El Procesador procesa los datos personales únicamente siguiendo las instrucciones documentadas del Controlador y para ningún otro fin.

Los términos en mayúscula utilizados pero no definidos en este APD tienen los significados establecidos en los Términos y Condiciones Generales, los Términos de Servicio de Elba aplicables (Términos de Servicio Empresarial o Términos de Autoservicio, según corresponda) y, cuando se haya ejecutado un Formulario de Pedido, el Formulario de Pedido.

1. Definiciones

En este APD, los siguientes términos tienen los significados que se detallan a continuación. Los términos no definidos aquí tienen los significados establecidos en el Art. 4 del RGPD o en el Acuerdo.

2. General

2.1 Roles. Las partes reconocen que el Controlador actúa como responsable del tratamiento de datos y el Procesador actúa como encargado del tratamiento de datos en el sentido de las Leyes de Protección de Datos aplicables. El Procesador procesa los Datos Personales del Cliente únicamente en nombre del Controlador.

2.2 Instrucciones. El Controlador instruye al Procesador para que procese los Datos Personales del Cliente en la medida necesaria para la prestación de los Servicios y el cumplimiento de sus derechos y obligaciones en virtud del Acuerdo. Las instrucciones se establecen inicialmente en este APD y pueden ser modificadas posteriormente por el Controlador por escrito.

2.3 CCPA. Con respecto a los Datos Personales del Cliente que constituyen "información personal" a efectos de la Ley de Privacidad del Consumidor de California ("CCPA"), el Procesador no deberá: (a) vender ni compartir la información personal; (b) conservar, utilizar o divulgar la información personal para ningún fin distinto de los fines comerciales especificados en el Acuerdo o según lo permitido por la CCPA; (c) conservar, utilizar o divulgar la información personal fuera de la relación comercial directa entre el Procesador y el Controlador; o (d) combinar la información personal recibida del Controlador con información personal recibida o recopilada de otras fuentes, excepto según lo permitido por la CCPA. El Procesador certifica que comprende y cumplirá estas restricciones.

3. Detalles del Procesamiento (Art. 28(3) RGPD)

3.1 Materia y Duración del Tratamiento

El Procesador procesa los Datos Personales del Cliente durante la vigencia del Acuerdo, o hasta que el Controlador indique lo contrario, únicamente con el fin de prestar los Servicios.

3.2 Naturaleza y Finalidad del Procesamiento

El Procesador procesa los Datos Personales del Cliente en relación con:

• La prestación y operación de la plataforma de automatización de voz Elba AI

• El procesamiento de interacciones de voz, generación de transcripciones y entrega de análisis de conversaciones

• Orquestación omnicanal (voz, chat, correo electrónico, SMS, WhatsApp) en nombre del Controlador

• Integraciones con los sistemas empresariales del Controlador, incluidos CRM, ERP, telefonía y plataformas de comunicación, a través de conectores nativos, API REST y framework de webhook, según lo configure el Controlador

• Gestión de cuentas de usuario, control de acceso y autenticación

• Monitorización de seguridad, prevención de fraudes y gestión de incidentes

• Soporte al cliente y resolución de problemas técnicos

3.3 Categorías de Datos Personales

Dependiendo del caso de uso y la configuración del Controlador, el Procesador puede procesar:

• Información de contacto (nombre, número de teléfono, dirección de correo electrónico)

• Grabaciones de voz y datos de audio derivados

• Transcripciones de conversaciones y registros de interacciones

• Registros de servicio al cliente y datos de casos

• Credenciales de cuenta y datos de autenticación

• Datos de uso, registros de sesión y metadatos de actividad

• Datos de sistemas empresariales integrados según lo configure el Controlador

3.4 Categorías de Sujetos de Datos

Los sujetos de datos pueden incluir:

• Clientes finales del Controlador que interactúan con la plataforma Elba

• Empleados del Controlador y usuarios autorizados de la plataforma

• Otras personas cuyos datos se procesan a través de integraciones configuradas por el Controlador

3.5 Datos Sensibles

El Procesador procesa categorías especiales de datos personales (Art. 9 RGPD) únicamente siguiendo las instrucciones documentadas del Controlador. El Controlador es el único responsable de garantizar que cualquier envío de datos de categorías especiales a la plataforma esté respaldado por una base legal válida según el Art. 9 del RGPD, que se cumplan todas las condiciones requeridas y que existan salvaguardias adecuadas antes del envío. El Procesador aplica las mismas medidas técnicas y organizativas a los datos de categorías especiales que a todos los demás Datos Personales del Cliente.

3.6 Frecuencia y Transferencia

Los Datos Personales del Cliente se transfieren al Procesador periódicamente durante la vigencia del Acuerdo, dependiendo de cómo el Controlador utilice los Servicios.

4. Obligaciones del Procesador

4.1 Instrucciones de Procesamiento

4.1.1 Procesar los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Controlador, a menos que la ley aplicable exija lo contrario. En tales casos, el Procesador informará al Controlador antes del procesamiento, a menos que hacerlo esté prohibido por la ley.

4.1.2 Si el Procesador considera que una instrucción infringe las Leyes de Protección de Datos, informará inmediatamente al Controlador de sus preocupaciones legales y podrá suspender la instrucción hasta que se resuelva.

4.2 Confidencialidad

4.2.1 Garantizar que todo el personal autorizado para procesar Datos Personales del Cliente esté sujeto a obligaciones de confidencialidad apropiadas (ya sean contractuales o legales) y reciba formación pertinente sobre protección de datos.

4.3 Seguridad

4.3.1 Implementar y mantener medidas técnicas y organizativas apropiadas (Medidas T&O) según se establece en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, incluido el requerido por el Art. 32 del RGPD. El Procesador puede actualizar las Medidas T&O de vez en cuando, siempre que dichas actualizaciones no resulten en una degradación del nivel general de seguridad.

4.4 Subprocesadores

4.4.1 No contratar a un nuevo subencargado ni cambiar sustancialmente el rol de un subencargado existente sin notificarlo previamente por escrito (mínimo 30 días hábiles) al Responsable. La lista de subencargados de la Sección 6 de este DPA constituye el registro autorizado y actual de los subencargados aprobados.

4.4.2 Asegurar que cualquier subencargado contratado esté sujeto a obligaciones de protección de datos no menos protectoras que las de este DPA, mediante contrato u otro acto legal. El Encargado sigue siendo plenamente responsable del cumplimiento de las obligaciones de protección de datos de sus subencargados.

4.5 Obligaciones de Procesamiento de IA

4.5.1 Exclusión de entrenamiento de IA. Ni el Encargado ni ninguno de sus subencargados utilizarán Datos Personales del Cliente —incluyendo grabaciones de voz, transcripciones, datos de conversación o cualquier dato derivado de ellos— para entrenar, ajustar o mejorar cualquier modelo de IA o aprendizaje automático de propósito general. Esta restricción se aplica independientemente de si los datos han sido seudonimizados. El Encargado garantizará que se impongan restricciones equivalentes contractualmente a todos los subencargados de IA.

4.5.2 Minimización de datos para inferencia de IA. Cuando los Datos Personales del Cliente se transmitan a subencargados de IA para el procesamiento de inferencia, el Encargado garantizará que solo se transmitan los datos mínimos necesarios para la solicitud de inferencia específica. Los subencargados de IA no retendrán Datos Personales del Cliente más allá de la duración de la sesión de inferencia, excepto cuando lo exija la ley aplicable.

4.5.3 Datos biométricos. El Encargado no deriva identificadores biométricos o huellas de voz de las grabaciones de voz procesadas a través de la plataforma Elba y no procesa grabaciones de voz como datos biométricos en el sentido del Art. 9 del RGPD o disposiciones equivalentes bajo las Leyes de Protección de Datos aplicables. Las grabaciones de voz se procesan únicamente con fines de transcripción, análisis de intenciones y análisis de conversaciones, tal como se describe en el Anexo I-B.

4.6 Derechos del Interesado

4.6.1 Asistir al Responsable en el cumplimiento de sus obligaciones de responder a las solicitudes de los Interesados en virtud del Capítulo III del RGPD (derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición). Las solicitudes recibidas directamente por el Encargado de los Interesados se remitirán al Responsable sin demora indebida y, en cualquier caso, en un plazo de cinco (5) días hábiles. El Encargado no responderá directamente a las solicitudes de los Interesados sin la autorización previa del Responsable, a menos que esté legalmente obligado a hacerlo.

4.7 Asistencia Regulatoria

4.7.1 Asistir al Responsable para garantizar el cumplimiento de los Arts. 32-36 del RGPD (seguridad, notificación de violaciones, EIPD y consulta previa con las autoridades de supervisión), teniendo en cuenta la naturaleza del procesamiento y la información disponible para el Encargado.

4.7.2 Cuando el Responsable deba proporcionar información a una autoridad de supervisión competente, proporcionar asistencia razonable al Responsable, a costa del Responsable, proporcionando dicha información en la medida en que esté en posesión del Encargado.

4.8 Devolución y Eliminación de Datos

4.8.1 A elección del Responsable, eliminar o devolver todos los Datos Personales del Cliente al finalizar los Servicios y eliminar las copias existentes, a menos que la ley de la Unión o del Estado miembro exija su retención. La eliminación se completará dentro de los 30 días posteriores a la terminación o instrucción del Responsable. La confirmación escrita de la eliminación está disponible bajo solicitud.

4.9 Auditoría e Información

4.9.1 Poner a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento del Art. 28 del RGPD. El Responsable deberá proporcionar un aviso previo por escrito razonable de cualquier auditoría solicitada (no menos de 30 días hábiles, excepto en caso de una sospecha de violación). Las auditorías no se realizarán más de una vez al año y por uno de los siguientes medios: (a) el Encargado suministrará una copia de sus informes de auditoría actuales preparados por auditores externos independientes (por ejemplo, certificación ISO 27001, SOC 2 Tipo II); (b) el Encargado proporcionará respuestas escritas a cuestionarios de seguridad de la información; o (c) el Responsable instruirá una inspección dirigida de las MTO acordadas, cuyos resultados el Encargado compartirá en formato resumido.

5. Obligaciones del Responsable

5.1 Cumplir con todas las Leyes de Protección de Datos aplicables con respecto a los Datos Personales del Cliente. El Responsable no utilizará los Servicios de una manera que viole las Leyes de Protección de Datos.

5.2 Declarar y garantizar que tiene una base legal válida en virtud del Art. 6 del RGPD (y del Art. 9 cuando sea aplicable) para todos los datos personales enviados al Encargado, y para cualquier transferencia de Datos Personales del Cliente al Encargado. El Responsable notificará inmediatamente al Encargado si se produce algún cambio en las bases legales para el procesamiento.

5.3 Asegurar que se hayan dado todos los avisos requeridos y, cuando sea necesario, se hayan obtenido todos los consentimientos requeridos de los Interesados en relación con el procesamiento realizado bajo este DPA.

5.4 Tener la responsabilidad exclusiva de la exactitud, calidad y legalidad de los Datos Personales del Cliente y los medios por los cuales el Responsable los adquiere.

5.5 Informar prontamente al Encargado de cualquier consulta o queja recibida de un Interesado o autoridad de supervisión relacionada con el procesamiento de Datos Personales del Cliente bajo este DPA.

5.6 Consentimiento general del subencargado. El Responsable otorga autorización general por escrito para que el Encargado contrate a subencargados y afiliados del Encargado en el procesamiento de Datos Personales del Cliente, sujeto al procedimiento de notificación y objeción de la Sección 6.

6. Subencargados

6.1 La lista autorizada de subencargados contratados por el Encargado a la fecha de entrada en vigor de este DPA se establece en el Anexo I-C. Cualquier cambio en los subencargados está sujeto al procedimiento de notificación y objeción de las cláusulas 6.2 y 6.3, y da como resultado la emisión de una nueva versión del Anexo I-C al Responsable.

6.2 El Encargado proporcionará un aviso previo por escrito de al menos 30 días hábiles de cualquier adición o reemplazo previsto de subencargados. El Responsable podrá, dentro de los 10 días hábiles siguientes a la recepción de dicho aviso, oponerse a un subencargado nuevo o de reemplazo por motivos fundamentados de protección de datos ("Razones Legítimas"). Si el Responsable no notifica al Encargado una objeción dentro de este período, se considera que el Responsable ha aceptado al nuevo subencargado.

6.3 Si el Responsable presenta una objeción, el Encargado trabajará con el Responsable de buena fe para abordar las Razones Legítimas. Si las partes no pueden llegar a un acuerdo dentro de los 20 días hábiles siguientes a la recepción de la objeción por parte del Encargado, el Responsable podrá, mediante notificación escrita, rescindir los componentes del servicio que requieran el uso del subencargado propuesto.

6.4 El Encargado sigue siendo plenamente responsable ante el Responsable del desempeño en materia de protección de datos de todos los subencargados.

6.5 Proveedores de IA suministrados por el cliente. Cuando el Responsable configura los Servicios para utilizar proveedores de modelos de IA de terceros bajo las propias cuentas y acuerdos del Responsable (incluyendo, entre otros, claves API de LLM auto-suministradas), el Responsable es el único responsable del cumplimiento de las Leyes de Protección de Datos aplicables con respecto a esos proveedores, incluida la celebración de cualquier acuerdo de procesamiento de datos requerido. Dichos proveedores no son subencargados del Encargado y no están cubiertos por este DPA.

7. Transferencias Internacionales

7.1 Todo el procesamiento de inferencia de IA de Datos Personales del Cliente se realiza exclusivamente a través de Azure OpenAI Service dentro de la región de Azure UE. El Encargado garantizará que cualquier transferencia de Datos Personales del Cliente a terceros países (fuera del EEE) cumpla con el Capítulo V del RGPD basándose en: (a) una decisión de adecuación de la Comisión de la UE; (b) las Cláusulas Contractuales Tipo de la UE (Decisión de la Comisión 2021/914); o (c) con respecto a los proveedores estadounidenses autocertificados bajo el Marco de Privacidad de Datos, el Marco de Privacidad de Datos según lo definido por la Decisión de la Comisión (UE) 2023/1795.

7.2 Precedencia del mecanismo de transferencia. Cuando sea aplicable más de un mecanismo de transferencia, las transferencias estarán sujetas a los mecanismos en el siguiente orden de precedencia: (a) el Marco de Privacidad de Datos; (b) las Cláusulas Contractuales Tipo de la UE; (c) otros mecanismos de transferencia alternativos permitidos por la ley aplicable.

7.3 Las evaluaciones de impacto de las transferencias (EIT) son realizadas por el Encargado para todas las transferencias a subencargados de terceros países. La documentación de las EIT está disponible para el Responsable bajo solicitud por escrito.

8. Seguridad

El Encargado implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente contra la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal. Los detalles completos se establecen en el Anexo 2. Las medidas clave incluyen:

• Cifrado de Datos Personales del Cliente en tránsito y en reposo utilizando algoritmos estándar de la industria

• Controles de acceso basados en roles y autenticación multifactor para todo acceso privilegiado

• Aislamiento lógico de inquilinos: los datos de cada cliente se procesan en un entorno dedicado y lógicamente aislado

• Pruebas de penetración regulares y gestión continua de vulnerabilidades por parte de proveedores cualificados

• Procedimientos documentados de detección, respuesta y escalada de incidentes

• Capacitación del personal en protección de datos y verificación de antecedentes apropiada

• Disposiciones de continuidad del negocio y recuperación ante desastres, probadas al menos anualmente

• Supervisión de subencargados que garantiza estándares equivalentes de protección de datos en toda la cadena de suministro

9. Notificación de Violación de Datos Personales

9.1 En caso de una Violación de Datos Personales, el Encargado notificará al Responsable sin demora indebida y, en cualquier caso, dentro de las 48 horas siguientes a tener conocimiento.

9.2 La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación; las categorías y el número aproximado de Sujetos de Datos afectados; las categorías y el número aproximado de registros afectados; las consecuencias probables; y las medidas adoptadas o propuestas. Cuando la información completa no esté disponible en la notificación inicial, se proporcionará por fases sin demora indebida.

9.3 El Procesador documentará todas las violaciones y medidas de subsanación de acuerdo con el Art. 33(5) del RGPD.

10. Solicitudes de Divulgación Gubernamental

10.1 El Procesador ha implementado medidas para regular la divulgación de Datos Personales del Cliente a entidades gubernamentales. Estas medidas exigen que el Procesador considere sus obligaciones de cumplir con cualquier orden o demanda gubernamental y sus obligaciones legales de proteger los Datos Personales del Cliente.

10.2 En la medida en que lo permita la ley, el Procesador notificará sin demora al Controlador cualquier solicitud legalmente vinculante de divulgación de Datos Personales del Cliente por parte de una autoridad policial o gubernamental antes de responder a dicha solicitud. Si el Procesador no tiene permiso para notificar al Controlador, buscará permiso para hacerlo o pedirá a la autoridad emisora que busque la información directamente del Controlador.

10.3 El Procesador impugnará una orden o demanda gubernamental cuando sea apropiado y existan motivos legales válidos. Si se requiere la producción para cumplir con una orden judicial o demanda válida, el Procesador divulgará la cantidad mínima de Datos Personales del Cliente necesaria para cumplir.

10.4 Con respecto a los datos personales de residentes del EEE, el Procesador cumple con las obligaciones establecidas en las SCC de la UE con respecto a las solicitudes de acceso gubernamental.

11. Evaluaciones de Impacto relativas a la Protección de Datos

Cuando una actividad de procesamiento sea susceptible de resultar en un alto riesgo para los derechos y libertades de los Sujetos de Datos, el Procesador brindará asistencia razonable al Controlador en la realización de una Evaluación de Impacto relativa a la Protección de Datos (EIPD) según el Art. 35 del RGPD, incluso proporcionando información sobre sus actividades de procesamiento y medidas de seguridad.

12. Responsabilidad

12.1 La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones establecidas en los T&C. Las reclamaciones presentadas en virtud de este DPA estarán sujetas a los términos y condiciones del Acuerdo, incluidas las exclusiones y limitaciones establecidas en el mismo; siempre que ninguna de las partes haya limitado su responsabilidad en virtud del Acuerdo con respecto a los derechos de cualquier Sujeto de Datos en virtud de las Leyes de Protección de Datos donde dicha limitación esté prohibida por la ley aplicable.

12.2 En caso de conflicto entre el Acuerdo y este DPA, prevalecerán las disposiciones de este DPA.

13. Plazo y Terminación

Este DPA entra en vigor tras la firma (o, cuando el Acuerdo se ejecute a través de un Formulario de Pedido, tras la ejecución del Formulario de Pedido) y permanece en vigor durante la duración del Acuerdo. Tras la terminación del Acuerdo, este DPA se termina automáticamente. Las obligaciones en las Secciones 4.2 (confidencialidad), 4.8 (devolución y eliminación de datos) y 9 (notificación de violaciones) sobrevivirán a la terminación.

14. Misceláneo

14.1 Ley aplicable. Este DPA se rige por las leyes de la República Federal de Alemania. Las disputas están sujetas a las disposiciones de resolución de disputas de los T&C.

14.2 Modificaciones. Las modificaciones de este DPA requieren forma escrita. En caso de conflicto, este DPA prevalece sobre el Acuerdo.

14.3 Notificaciones. Todas las notificaciones en virtud de este DPA se enviarán a las direcciones proporcionadas en el Acuerdo.

14.4 Divisibilidad. Si alguna disposición de este DPA se considera inválida o inaplicable, las disposiciones restantes continuarán en pleno vigor y efecto.

14.5 SCC. En la medida en que las SCC de la UE entren en conflicto con alguna disposición de este DPA, las SCC prevalecerán en la medida de dicho conflicto. No es la intención de las partes contradecir o restringir ninguna disposición de las SCC.

14.6 Idioma y traducciones. Este DPA está disponible en inglés y alemán, ambos han sido revisados para su precisión legal. El texto en inglés es la versión autorizada para todos los fines, incluida la interpretación, la resolución de disputas y la aplicación. Las traducciones a otros idiomas pueden publicarse solo para facilitar la referencia y no tienen efecto legal. En caso de cualquier inconsistencia entre el texto en inglés y cualquier traducción, prevalece el texto en inglés.

15. Contacto

Contacto de Privacidad: privacy@kolsetu.com

Dirección: Kolsetu GmbH, Gaensemarkt 33, 20354 Hamburgo, Alemania

Anexo I-A Partes

Controlador

Nombre: Según se define en el Formulario de Pedido, o según se proporcione durante el registro de la cuenta para clientes de autoservicio

Dirección: Según se define en el Formulario de Pedido, o según se proporcione durante el registro para clientes de autoservicio

Contacto: Según se define en el Formulario de Pedido, o según se proporcione durante el registro para clientes de autoservicio

Firma: Los clientes empresariales aceptan este DPA firmando el Formulario de Pedido. Los clientes de autoservicio aceptan este DPA completando el registro de la cuenta y aceptando los Términos de Autoservicio de Elba. En ambos casos, la aceptación de este DPA incluye, cuando sea aplicable, la aceptación de las Cláusulas Contractuales Estándar de la UE.

Rol: Controlador

Procesador

Nombre: Kolsetu GmbH

Dirección: Gaensemarkt 33, 20354 Hamburgo, Alemania (HRB 191266)

Contacto de Privacidad: privacy@kolsetu.com

Rol: Procesador

Nota: Dado que Kolsetu GmbH está establecida en Alemania (EEE), la relación principal controlador-procesador no requiere Cláusulas Contractuales Estándar de la UE. Las SCC solo se aplican a las transferencias posteriores a subprocesadores de terceros, según se establece en la tabla de subprocesadores en la Sección 6 y el Anexo I-B.

Anexo I-B Descripción del Procesamiento

Autoridad Supervisora

La autoridad supervisora competente es la Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), de conformidad con la Cláusula 13 de las SCC, ya que Kolsetu GmbH está establecida en Hamburgo, Alemania.

Anexo I-C Lista de Subprocesadores

Este Anexo enumera todos los subprocesadores contratados por Kolsetu GmbH en la fecha de entrada en vigor de este DPA. Los cambios en esta lista están sujetos al procedimiento de notificación y objeción descrito en la Sección 6. Se emitirá una nueva versión de este Anexo al Controlador cuando cambien los acuerdos con los subprocesadores.

Anexo 2 Medidas Técnicas y Organizativas (MTO)

Kolsetu GmbH mantiene un SGSI alineado con ISO 27001 y revisa y actualiza estas medidas al menos anualmente. Las siguientes medidas están vigentes a partir de la fecha de entrada en vigor de este DPA.