Tratamiento de datos (RGPD)

Quién es responsable de qué

La empresa cliente que usa Kalyo para contestar sus llamadas es responsable del tratamiento de los datos de quienes la llaman: determina sus fines y medios. Human Echo Connect, editor de Kalyo, actúa como encargado del tratamiento en el sentido del artículo 28 del RGPD: solo tratamos estos datos siguiendo instrucciones documentadas del cliente y por su cuenta.

Para los datos recogidos en este sitio (formularios de contacto, solicitudes de llamada de demostración), Human Echo Connect es responsable del tratamiento: se describen en nuestra política de privacidad.

Datos tratados durante una llamada

El agente está configurado para recoger solo la información necesaria para la solicitud (principio de minimización, artículo 5 del RGPD):

• Identificación: número de teléfono de quien llama y, si es necesario, su nombre;
• Contenido de la llamada: grabación de audio durante el tiempo del tratamiento y transcripción escrita;
• Información útil para la solicitud: franja horaria deseada, dirección de la intervención, motivo, nivel de urgencia;
• Datos técnicos: fecha, hora y duración de la llamada.

El agente no solicita datos sensibles (salud, opiniones, datos bancarios). Si quien llama los comunica espontáneamente, solo se usan para tramitar su solicitud.

Fines y bases jurídicas

Los fines los fija la empresa cliente. A título orientativo, el tratamiento previsto es el siguiente:

• Contestar la llamada y tramitar la solicitud (reserva, cita, solicitud de intervención, información): medidas precontractuales o ejecución de un contrato con quien llama (art. 6.1.b);
• Enviar una ficha de llamada a la empresa por SMS, correo electrónico o CRM: misma base jurídica, o interés legítimo de la empresa en hacer el seguimiento de sus llamadas (art. 6.1.f);
• Filtrar el spam y la publicidad telefónica: interés legítimo de la empresa en proteger su línea (art. 6.1.f);
• Mejorar el servicio: solo a partir de datos anonimizados, o con el acuerdo de la empresa cliente.

Los datos de quienes llaman nunca se venden, ni se usan con fines publicitarios, ni se reutilizan por cuenta de otro cliente.

Información a quien llama

Desde el inicio de la llamada, un mensaje de bienvenida validado con la empresa cliente informa a quien llama de que habla con un asistente de IA, de que la llamada se graba y transcribe para tramitar su solicitud y de a quién dirigirse para ejercer sus derechos (artículo 13 del RGPD y artículo 50 del AI Act).

Plazo de conservación

• Grabaciones de audio y transcripciones: 90 días como máximo por defecto, plazo que la empresa cliente puede reducir;
• Fichas de llamada enviadas a las herramientas de la empresa (correo electrónico, CRM): se conservan según la política de la empresa cliente;
• Fin del contrato: supresión o devolución de todos los datos, a elección del cliente, y posterior supresión de las copias (art. 28.3.g).

Alojamiento y subencargados

Los datos se alojan y tratan dentro de la Unión Europea. Recurrimos a subencargados estrictamente necesarios para el servicio (alojamiento, telefonía, motor de voz), sujetos a obligaciones de protección de datos equivalentes a las nuestras. Figuran en el contrato de encargo del tratamiento; la empresa cliente es informada de cualquier cambio y puede oponerse (art. 28.2).

Si fuera necesaria una transferencia fuera de la UE, se ampararía en las cláusulas contractuales tipo de la Comisión Europea o en un mecanismo equivalente.

Seguridad y confidencialidad

Conforme al artículo 32 del RGPD, aplicamos medidas técnicas y organizativas adecuadas al riesgo:

• cifrado de las comunicaciones;
• acceso restringido a las personas autorizadas, sujetas a confidencialidad;
• alojamiento europeo;
• medidas revisadas y reforzadas a lo largo del desarrollo del producto.

Brechas de datos personales

En caso de brecha de datos personales, informamos a la empresa cliente sin dilación indebida tras tener conocimiento de ella, con los datos pertinentes, para que pueda notificarla a la autoridad de control en un plazo de 72 horas y, si es necesario, a las personas afectadas (artículos 33 y 34 del RGPD).

Derechos de quien llama

Quienes llaman tienen derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad. Los ejercen ante la empresa a la que llamaron; la ayudamos a responder en el plazo de un mes (art. 28.3.e). Cualquier solicitud que nos llegue directamente se le transmite sin demora. También pueden presentar una reclamación ante una autoridad de control, como la Agencia Española de Protección de Datos (www.aepd.es).

Contrato de encargo del tratamiento (DPA)

Cada empresa cliente firma con Human Echo Connect un contrato de encargo del tratamiento conforme al artículo 28 del RGPD, que establece las instrucciones, las medidas de seguridad y la lista de subencargados. También te ayudamos a llevar tu registro de actividades de tratamiento (artículo 30) y, si tu actividad lo exige, a realizar una evaluación de impacto (EIPD, artículo 35). Para obtener el contrato o hacer una consulta: contact@kalyo.ai.