Anexo de tratamiento de datos (DPA)

Nota: esta es una traducción. En caso de discrepancia, prevalece la versión en inglés.

1. Ámbito y partes

Este Anexo de tratamiento de datos (DPA) forma parte de las Condiciones de uso de Temsor y se aplica siempre que Temsor trate datos personales por cuenta de una empresa que usa el servicio. Respecto de esos datos, la empresa es responsable del tratamiento y Temsor es encargado del tratamiento (y, cuando se aplique el RGPD, encargado conforme a su art. 28). Para los datos de cuenta y de inicio de sesión de la propia empresa, Temsor es responsable, como se describe en el Aviso de privacidad, donde también figuran su identidad y datos de contacto (sección 1). Si este DPA y las Condiciones difieren en materia de protección de datos, prevalece este DPA; la responsabilidad derivada de este DPA está sujeta al límite de la sección 6 de las Condiciones. La empresa acepta este DPA al usar el servicio; cuando el panel pide una aceptación expresa (obligatoria antes de activar el agente de voz con IA), se registran la versión aceptada, la hora y la cuenta.

2. Objeto, naturaleza, finalidad y duración

Temsor trata datos personales solo para prestar el servicio que la empresa configura: atender y enrutar llamadas a sus números, ejecutar flujos IVR, buzón de voz, el agente de voz con IA, solicitudes de devolución de llamada y de cita, registros de llamadas (CDR), analítica y exportaciones. El tratamiento dura mientras exista la cuenta más el plazo de supresión de la sección 13.

3. Interesados y categorías de datos

Interesados: quienes llaman a la empresa y sus clientes, y otras personas cuyos datos la empresa incorpora al servicio. Categorías de datos: número de teléfono y metadatos de la llamada (hora, duración, línea, resultado); grabaciones del buzón de voz y sus transcripciones automáticas si la empresa lo activa; transcripciones de llamadas que envía la empresa y sus resúmenes con IA (complemento de pago); solicitudes de cita y de devolución de llamada (nombre, número, nota breve); en llamadas con el agente de voz con IA, un resumen de la llamada (idioma de quien llama, nombre indicado, breve descripción de la solicitud, hora de la cita y tipo de servicio, petición de devolución de llamada). Temsor no graba las conversaciones del agente de voz con IA ni conserva sus transcripciones. No se pretende tratar categorías especiales de datos personales (sección 8).

4. Instrucciones documentadas

Temsor trata los datos solo según las instrucciones documentadas de la empresa: este DPA, las Condiciones, los ajustes que la empresa realiza en el panel y sus llamadas a la API. Si Temsor considera que una instrucción infringe la normativa de protección de datos aplicable, lo comunica a la empresa sin demora y puede suspender ese tratamiento. Temsor no vende los datos, no los usa para entrenar modelos de IA ni para fines propios, salvo que la ley lo exija.

5. Confidencialidad y seguridad

Todas las personas de Temsor con acceso a los datos están sujetas a confidencialidad. Temsor aplica medidas técnicas y organizativas apropiadas, entre ellas: cifrado en tránsito (TLS) para el panel, las API y los webhooks; almacenamiento protegido de credenciales y secretos; acceso administrativo basado en claves con privilegio mínimo y autenticación en dos pasos opcional para las cuentas; registros sin números de teléfono de quienes llaman, secretos ni contenido de llamadas; separación de los datos de cada empresa en la aplicación; supervisión continua. Las medidas se revisan cada vez que cambia el servicio.

6. Subencargados

La empresa otorga a Temsor una autorización general para recurrir a subencargados. Lista actual (nombre — tarea — ubicación): Contabo — alojamiento de servidores para la aplicación, las bases de datos y los medios de llamada — UE (Francia); Telnyx — números de teléfono, transporte de llamadas (SIP/PSTN) y llamadas desde el navegador — EE. UU.; Microsoft Azure AI Speech — texto a voz para los mensajes IVR y voz a texto para las transcripciones del buzón de voz — UE (Irlanda); Google Cloud (Vertex AI Gemini Live API) — IA de voz en tiempo real para el agente de voz con IA en llamadas desde números ocultos o no reconocidos y desde números turcos (+90) — UE (región de Google Cloud en la UE); OpenAI — IA de voz en tiempo real para el agente de voz con IA, en llamadas desde números reconocidos en formato internacional distintos de los turcos (+90) — EE. UU.; xAI — modelo de IA para funciones del producto API — EE. UU.; Groq — resúmenes de llamadas con IA (complemento de pago) — EE. UU.; Supabase — inicio de sesión y base de datos de cuentas del portal — EE. UU.; Resend — correo transaccional (códigos de acceso, resúmenes de llamadas, notificaciones) — EE. UU.; Polar — pagos y facturación como merchant of record — EE. UU.; Cloudflare — DNS y seguridad de red — global. Cada subencargado está vinculado por un contrato de tratamiento de datos con obligaciones al menos tan protectoras como este DPA (y que cumple el art. 28.4 del RGPD cuando se aplique), y Temsor sigue siendo responsable ante la empresa de su cumplimiento. Antes de añadir o sustituir un subencargado, Temsor actualiza esta lista y avisa por correo al titular de la cuenta con al menos 30 días de antelación. La empresa puede oponerse por escrito dentro de esos 30 días por motivos razonables de protección de datos; las partes buscarán entonces una solución de buena fe y, si no la encuentran, la empresa puede dejar de usar la función afectada o cerrar su cuenta sin penalización. En una emergencia (por ejemplo, un fallo de un proveedor que amenace el servicio) el plazo puede ser menor; Temsor informa entonces a la empresa lo antes posible y el derecho de oposición se aplica de la misma forma.

7. Transferencias internacionales

Temsor se opera desde Türkiye, por la persona indicada en el Aviso de privacidad, y los subencargados de la sección 6 tratan los datos en la Unión Europea y en los Estados Unidos; por tanto, los datos personales se transfieren a esos países y a Türkiye y pueden ser accesibles desde ellos. Cada transferencia está cubierta por el acuerdo de tratamiento de datos con el subencargado y, cuando la ley del país de origen lo exige, por cláusulas contractuales tipo (por ejemplo, las cláusulas contractuales tipo de la UE incluidas en las condiciones de tratamiento de datos del subencargado) o por garantías contractuales equivalentes. Los términos por país de las secciones 16 a 20 explican cómo se cumple la legislación de EE. UU., Canadá, Australia, Nueva Zelanda y México. Las llamadas desde números ocultos o no reconocidos y desde números turcos (+90) nunca se envían a OpenAI; para ellas, el agente de voz con IA usa únicamente Google Cloud (Vertex AI, región de la UE). La única excepción es una línea de prueba interna de Temsor, usada solo por personal de Temsor que ha dado su consentimiento, en la que pueden compararse proveedores.

8. Datos de salud y categorías especiales

El servicio no está diseñado para tratar categorías especiales de datos personales (por ejemplo, art. 9 del RGPD), incluidos los datos de salud. La empresa no debe configurar flujos, indicaciones ni formularios que pidan a quienes llaman datos de salud, biométricos u otros datos de categorías especiales. El agente de voz con IA no diagnostica, no da consejo médico ni pregunta por detalles de salud, y pide a quienes llaman que no los compartan; los resúmenes contienen solo una breve descripción de la solicitud y el agente tiene instrucciones de no registrar detalles de salud.

9. Agente de voz con IA y resúmenes de llamadas

Cuando la empresa activa el agente de voz con IA, quien llama oye al inicio de la llamada que habla con un asistente de IA en nombre de la empresa. El audio se transmite en tiempo real al proveedor de IA de voz solo para generar respuestas; el número de teléfono de quien llama no se le envía. Temsor no graba la conversación; el proveedor puede conservar los datos de la llamada durante un tiempo limitado para la supervisión de abusos según sus condiciones (como máximo 30 días en OpenAI; Google Cloud además puede guardarlos en caché en memoria hasta 24 horas). Al final de la llamada se envía un resumen por correo a la dirección que fija la empresa; desde ese momento ese correo es un registro propio de la empresa. Temsor conserva un resumen solo para entregarlo y no lo almacena.

10. Asistencia a la empresa

Teniendo en cuenta la naturaleza del tratamiento, Temsor ayuda a la empresa a responder a las solicitudes de los interesados (acceso, rectificación, supresión, oposición) mediante exportaciones y supresión en el panel, y le remite cualquier solicitud que reciba directamente, sin responderla en el fondo salvo instrucción de la empresa. Temsor también facilita la información que la empresa necesite razonablemente para sus avisos de privacidad, evaluaciones de impacto y consultas con las autoridades.

11. Violación de la seguridad de los datos

Temsor notifica al titular de la cuenta por correo sin dilación indebida y a más tardar 48 horas después de tener conocimiento de una violación de la seguridad que afecte a los datos de la empresa. La notificación describe, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas; la información pendiente se envía a medida que se conoce. Esto respalda la obligación propia de la empresa de notificar a la autoridad competente y a las personas afectadas según la ley que se le aplique (véanse las secciones 17 a 20).

12. Auditorías

Temsor pone a disposición la información necesaria para demostrar el cumplimiento de este DPA y responde gratuitamente a un cuestionario de seguridad escrito razonable al año. Permite auditorías por la empresa o por un auditor independiente sujeto a confidencialidad, con al menos 30 días de preaviso, en horario laboral, sin acceso a datos de otros clientes y a cargo de la empresa. Las auditorías ordenadas por una autoridad competente se permiten según exija la ley.

13. Supresión y devolución

Mientras exista la cuenta, la empresa puede exportar en cualquier momento sus registros de llamadas y datos desde el panel. Salvo que la empresa fije un plazo menor, los registros de llamadas y las solicitudes de cita o devolución de llamada se conservan hasta 90 días y los mensajes de voz 30 días. Al cerrarse la cuenta, Temsor suprime los datos personales de la empresa en un plazo de 30 días, salvo que la ley exija conservarlos (por ejemplo, facturas y registros contables).

14. Art. 28 del RGPD

Para los datos sujetos al RGPD, las secciones 2 a 13 recogen los términos exigidos por el art. 28.3, letras a) a h), del RGPD: tratamiento según instrucciones documentadas, confidencialidad, seguridad (art. 32), condiciones para subencargados, asistencia con los derechos de los interesados y los arts. 32 a 36, supresión o devolución, y auditorías. Actualmente el agente de voz con IA no se ofrece a empresas establecidas en la UE ni en números de teléfono de la UE.

15. Cambios en este DPA

Temsor puede actualizar este DPA para reflejar cambios legales o del servicio. Los cambios sustanciales se comunican por correo al titular de la cuenta al menos 30 días antes de su entrada en vigor y se aceptan de nuevo en el panel; la versión y la fecha figuran al inicio de esta página. Los cambios exigidos por la ley o por una autoridad pueden aplicarse antes.

16. Condiciones para Estados Unidos

Para una empresa cuyo espacio de trabajo tiene como país Estados Unidos, Temsor actúa como su proveedor de servicios y contratista conforme a la California Consumer Privacy Act (modificada por la CPRA) y a las leyes de privacidad estatales comparables de EE. UU., en la medida en que se apliquen. Temsor trata la información personal solo para los fines de la sección 2; no la vende ni la comparte; no la conserva, usa ni divulga fuera de su relación comercial directa con la empresa, ni la combina con información personal de otras fuentes, salvo lo que esas leyes permitan; ofrece el nivel de protección que esas leyes exigen e informa a la empresa si ya no puede cumplir estas obligaciones; y permite a la empresa tomar medidas razonables para detener y corregir un uso no autorizado. Temsor certifica que entiende estas restricciones y las cumplirá. Temsor reproduce el aviso de IA y de grabación al inicio de cada llamada y la empresa no debe eliminarlo ni acortarlo; la empresa sigue siendo responsable de cualquier otro consentimiento que requieran sus llamadas. El servicio no se ofrece como business associate de HIPAA y Temsor no firma business associate agreements: la empresa no debe usarlo cuando HIPAA exija uno (véase la sección 8).

17. Condiciones para Canadá

Para una empresa cuyo espacio de trabajo tiene como país Canadá (las empresas ubicadas en Quebec aún no pueden usar el servicio), la empresa sigue siendo responsable conforme a PIPEDA de la información personal que transfiere a Temsor, y Temsor ofrece por contrato un nivel de protección comparable: usa la información solo para los fines de la sección 2, la protege con las medidas de la sección 5, solo la comparte con los subencargados de la sección 6 y la elimina o devuelve conforme a la sección 13. La información personal se trata en la Unión Europea y en Estados Unidos y puede ser accesible para las autoridades de esos países; la empresa debe informarlo a quienes la llaman (puede usar la sección 10 del Aviso de privacidad de Temsor). Temsor notifica a la empresa cualquier vulneración de las medidas de seguridad que afecte a su información personal en el plazo de 48 horas de la sección 11, con la información que la empresa necesita para evaluar el riesgo real de daño significativo y comunicarlo a la Oficina del Comisionado de Privacidad de Canadá y a las personas afectadas, y conserva un registro de cada vulneración durante al menos 24 meses.

18. Condiciones para Australia

Para una empresa cuyo país del espacio de trabajo es Australia, Temsor trata la información personal que recibe solo en nombre de la empresa y siguiendo sus instrucciones, y cumple los Australian Privacy Principles como si fuera una entidad APP, se le aplique o no la exención para pequeñas empresas. Este es el paso contractual que la empresa da conforme a la APP 8.1 antes de que la información personal salga de Australia; además, la información sigue bajo el control efectivo de la empresa. La información personal la tratan en la Unión Europea y en Estados Unidos los subencargados de la sección 6. Temsor notifica a la empresa una violación en las 48 horas de la sección 11, con la información que necesita para evaluar si es una violación notificable (eligible data breach) y, en su caso, notificarla a la Office of the Australian Information Commissioner y a las personas afectadas conforme al Notifiable Data Breaches scheme, y la ayuda a terminar esa evaluación en 30 días. Temsor no toma por la empresa decisiones que afecten de forma significativa a las personas; la empresa es responsable de su propia política de privacidad, incluida la declaración sobre decisiones automatizadas que exige la APP 1.7 desde el 10 de diciembre de 2026. La prueba de domicilio que la empresa aporta para un número local se usa solo para el registro del número del operador. Para ayudarle, el Kit de cumplimiento de Temsor Studio redacta, a partir del flujo de la empresa, un párrafo de la APP 1.7 y el aviso de llamada; los borradores son solo una herramienta y no cambian la responsabilidad de la empresa conforme a esta sección.

19. Condiciones para Nueva Zelanda

Para una empresa cuyo país del espacio de trabajo es Nueva Zelanda, Temsor conserva la información personal solo como agente de la empresa según la sección 11 de la Privacy Act 2020: no la usa ni la divulga para fines propios, y la empresa sigue siendo la entidad responsable, incluidos los avisos de la IPP 3A a las personas cuya información recogió indirectamente y entrega a Temsor. Los subencargados de la sección 6 la conservan sobre la misma base; si alguno no actúa solo como agente, Temsor lo obliga por contrato a garantías comparables a la Privacy Act (IPP 12). Temsor notifica a la empresa una violación de privacidad en las 48 horas de la sección 11, con la información que necesita para evaluar un daño grave y notificar al Privacy Commissioner y a las personas afectadas lo antes posible, y la ayuda a responder solicitudes de acceso y corrección en los 20 días hábiles que permite la ley. El Kit de cumplimiento de Temsor Studio redacta, a partir del flujo de la empresa, el aviso de IPP 3 y 3A para quienes llaman; el borrador es solo una herramienta y no cambia las obligaciones de la empresa conforme a esta sección.

20. Condiciones para México

Para una empresa cuyo país del espacio de trabajo es México, la empresa es la responsable y Temsor es su encargado conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2025), que obliga directamente a los encargados. Temsor trata los datos personales de quienes llaman solo conforme a las instrucciones documentadas de la empresa (sección 4) y para ninguna otra finalidad; los mantiene confidenciales y los protege con las medidas de la sección 5; solo los comunica a los subencargados de la sección 6, que actúan por cuenta de la empresa y están obligados por contrato a las mismas obligaciones, o cuando la ley lo exige; y los suprime o devuelve al terminar el servicio (sección 13). Estas transferencias son necesarias para cumplir el contrato entre la empresa y quienes la llaman, por lo que no requieren consentimiento adicional (artículo 36 de la LFPDPPP); la empresa las indica en su propio aviso de privacidad. Temsor notifica a la empresa una vulneración de seguridad dentro de las 48 horas de la sección 11, con la información que necesita para informar sin dilación a las personas afectadas, y la ayuda a responder las solicitudes ARCO dentro de los 20 días que permite la ley.

21. Contacto

Consultas sobre protección de datos, oposiciones a subencargados y solicitudes de auditoría: [email protected].