Condiciones Generales de Encargo de Tratamiento de Datos Personales

 Las presentes condiciones (versión 1.3, octubre de 2026) regulan el tratamiento de datos personales entre Persone Solutions, S.L. («Persone») y toda empresa o profesional que, en el ámbito de su actividad empresarial o profesional, acepte un presupuesto u oferta de Persone (el «cliente»), cuyos datos identificativos constan en dicho presupuesto. Los servicios de Persone se dirigen exclusivamente a empresas y profesionales, por lo que estas condiciones no se aplican a contrataciones con consumidores. Forman parte inseparable del presupuesto aceptado y, en su caso, del contrato de prestación de servicios (conjuntamente, el «contrato»), y se entienden aceptadas con la aceptación del presupuesto por cualquier medio que deje constancia, incluida la firma o aceptación electrónica, lo que satisface la forma escrita exigida por el artículo 28.9 RGPD. Se formalizan conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y, en lo que resulte aplicable, el Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA).

Descargar las Condiciones de Encargo en PDF

1. Datos de las partes, representantes, firmantes y personas de contacto

Cada una de las partes actuará como responsable independiente del tratamiento respecto de los datos personales de los representantes, apoderados, firmantes, empleados, usuarios autorizados e interlocutores de la otra parte que sean tratados para formalizar y gestionar la relación contractual.

Por parte de Persone Solutions, S.L., se facilita la siguiente información:

Persone tratará los datos identificativos, profesionales, de contacto, representación y firma para:

a) Tramitar el presupuesto y las actuaciones precontractuales, y formalizar, ejecutar y controlar el contrato.

b) Verificar la identidad, representación y capacidad de las personas que intervienen.

c) Gestionar comunicaciones, reuniones, cuentas de usuario, solicitudes, soporte e incidencias.

d) Realizar la gestión administrativa, contable, fiscal, de facturación, cobros y pagos.

e) Garantizar la seguridad, continuidad y correcto funcionamiento de sus servicios y sistemas.

f) Cumplir obligaciones legales y formular, ejercer o defender reclamaciones.

Cuando el cliente sea un profesional o empresario individual que contrate en su propio nombre, el tratamiento se basará en la aplicación de medidas precontractuales y en la ejecución del contrato (artículo 6.1.b RGPD). Respecto de representantes, firmantes e interlocutores profesionales, se basará en el interés legítimo de las partes en mantener la relación contractual (artículo 6.1.f RGPD y artículo 19 LOPDGDD). Los tratamientos exigidos por la normativa mercantil, fiscal o de prevención de responsabilidades se basarán en el cumplimiento de obligaciones legales (artículo 6.1.c RGPD).

Los datos podrán comunicarse a administraciones públicas, entidades financieras, asesores, auditores, juzgados, tribunales y demás destinatarios cuando sea necesario para gestionar la relación contractual, cumplir una obligación legal o atender posibles responsabilidades. También podrán acceder proveedores que presten servicios tecnológicos, administrativos, de alojamiento, comunicaciones, seguridad o soporte a Persone, como encargados del tratamiento sujetos a contrato. Cuando alguno de ellos se sitúe fuera del Espacio Económico Europeo, se aplicarán las garantías previstas en el capítulo V del RGPD.

Los datos se conservarán mientras se mantenga la relación contractual y, posteriormente, bloqueados durante los plazos legales de conservación y de prescripción de responsabilidades (con carácter general, seis años conforme a la normativa mercantil y cuatro años conforme a la normativa tributaria).

Las personas interesadas podrán ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad dirigiéndose a [email protected], acompañando, cuando sea necesario, un medio que permita acreditar su identidad.

Persone ha designado como Delegado de Protección de Datos a Evalúa Protección de Datos, S.L. Las consultas o reclamaciones relacionadas con el tratamiento podrán dirigirse a [email protected] indicando en el asunto: «Delegado de Protección de Datos – Persone». Asimismo, podrá presentarse una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Cuando una de las partes facilite datos de representantes, empleados o personas de contacto que no hayan sido obtenidos directamente de estas, se compromete a informarles del contenido de la presente cláusula, que les será igualmente aplicable.

2. Tratamiento de datos personales por cuenta del cliente

2.1. Posición de las partes

Cuando la prestación del servicio implique que Persone acceda o trate datos personales siguiendo las instrucciones del cliente, la relación se regirá por el artículo 28 RGPD y el artículo 33 LOPDGDD:

• El CLIENTE actuará como responsable del tratamiento.
• PERSONE SOLUTIONS, S.L. actuará como encargado del tratamiento.

La mera contratación de una licencia, instalación o configuración que no permita a Persone acceder a datos personales no determinará por sí sola la existencia de un encargo de tratamiento.

Persone continuará actuando como responsable independiente respecto de los datos necesarios para gestionar la contratación, interlocución, facturación, seguridad de sus propios sistemas y cumplimiento de sus obligaciones legales. Persone podrá adoptar decisiones sobre los aspectos técnicos y organizativos de ejecución del servicio, siempre que respete las instrucciones documentadas del cliente y no altere las finalidades ni los medios esenciales del tratamiento. Estas decisiones no modificarán, por sí solas, su condición de encargado del tratamiento. Si Persone excediera las instrucciones lícitas del cliente y determinase por sí misma los fines o los medios esenciales del tratamiento, tendrá la consideración de responsable respecto de ese tratamiento, conforme al artículo 28.10 RGPD, sin perjuicio de las responsabilidades que correspondan.

2.2. Objeto, naturaleza, finalidad y duración del encargo

El objeto del encargo es el tratamiento de los datos personales estrictamente necesario para prestar los servicios descritos en el presupuesto aceptado por el cliente, que podrán consistir, de forma conjunta o separada, en:

a) Tratamiento de información mediante sistemas y modelos de inteligencia artificial, como la atención de conversaciones, la transcripción, clasificación, extracción, resumen o generación de contenidos y la automatización de tareas.

b) Integración, conexión, configuración, migración, mantenimiento y soporte de las plataformas del cliente (ERP, CRM y otros sistemas de gestión o comunicación), así como el alojamiento e infraestructura tecnológica asociados.

El tratamiento podrá comprender, según el servicio, las operaciones de recogida, registro, estructuración, consulta, transcripción, análisis, adaptación, conservación, comunicación por transmisión a los sistemas del cliente, sincronización, copia de seguridad, devolución y supresión de los datos. Su única finalidad será la prestación del servicio contratado.

Las categorías de datos y de personas interesadas se identifican en el Anexo I y, cuando resulte aplicable, en el Anexo II. El encargo permanecerá vigente durante la prestación del servicio y hasta que los datos sean devueltos o suprimidos conforme al apartado 2.14.

2.3. Instrucciones del cliente

Persone tratará los datos únicamente:

a) Para prestar los servicios contratados.

b) Conforme a las instrucciones documentadas del cliente contenidas en el contrato, los Anexos, la configuración de los servicios y las comunicaciones escritas (incluido el correo electrónico), también las relativas a transferencias internacionales.

c) Dentro de los permisos, finalidades y configuraciones autorizadas.

Cuando una norma de la Unión o de los Estados miembros obligue a Persone a realizar un tratamiento distinto, informará previamente al cliente de esa exigencia, salvo que la propia norma lo prohíba por razones de interés público.

Si Persone considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicará inmediatamente al cliente y podrá suspender su ejecución hasta recibir una instrucción válida.

Persone no podrá:

a) Utilizar los datos para fines propios o distintos de la prestación del servicio.

b) Comercializar o comunicar los datos a terceros no autorizados.

c) Incorporar los datos del cliente a demostraciones, estudios, pruebas o materiales formativos sin autorización expresa.

d) Permitir el acceso a personal que no lo necesite para prestar el servicio.

2.4. Uso de sistemas de inteligencia artificial

Cuando el servicio emplee sistemas o modelos de inteligencia artificial, se aplicarán además las siguientes reglas:

a) Sin entrenamiento con datos del cliente. Persone no utilizará conversaciones, mensajes, audios, transcripciones, documentos ni bases de datos del cliente para entrenar, ajustar o mejorar modelos de inteligencia artificial, propios o de terceros, salvo instrucción expresa y documentada del cliente, dentro de un servicio lícito prestado por su cuenta y en su exclusivo beneficio. La autorización del cliente no habilitará a Persone para utilizar dichos datos en la mejora de sus propios modelos o servicios.

b) Proveedores de modelos. Los modelos de terceros se utilizarán bajo condiciones contractuales que excluyan el uso de los datos para entrenamiento y limiten su retención al mínimo técnicamente necesario. Estos proveedores tendrán la consideración de subencargados (apartado 2.11).

c) Transparencia. Persone diseñará los asistentes conversacionales y de voz para que las personas sean informadas de que interactúan con un sistema de inteligencia artificial, salvo que resulte evidente, y aplicará el marcado de contenidos sintéticos exigible, conforme al artículo 50 RIA. El cliente no desactivará ni ocultará dichos avisos.

d) Prácticas prohibidas. El cliente no utilizará los servicios para ninguna de las prácticas prohibidas por el artículo 5 RIA, como técnicas manipuladoras, la explotación de vulnerabilidades, la inferencia de emociones en el entorno laboral o educativo o las prácticas de categorización biométrica prohibidas por el artículo 5 RIA. Persone podrá rechazar o suspender cualquier configuración que persiga dichos fines.

e) Usos de alto riesgo. El cliente informará previamente a Persone si pretende utilizar los servicios en alguno de los ámbitos del anexo III RIA (por ejemplo, selección o gestión de personal, evaluación de solvencia, seguros o acceso a servicios esenciales). En tal caso, las partes documentarán por escrito las obligaciones adicionales que correspondan a cada una.

f) Supervisión humana y decisiones automatizadas. Los resultados generados por los sistemas de inteligencia artificial pueden contener errores y tienen carácter de apoyo. El cliente mantendrá una supervisión humana adecuada y no adoptará, a partir de ellos, decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a las personas, salvo que concurra alguna de las excepciones y garantías del artículo 22 RGPD.

g) Atención a la clientela. Cuando los asistentes se utilicen en servicios de atención a la clientela, el cliente garantizará, si le resulta aplicable, que las personas puedan solicitar ser atendidas por una persona, conforme a la Ley 10/2025, de 26 de diciembre, por la que se regulan los servicios de atención a la clientela.

2.5. Confidencialidad y personal autorizado

Persone garantizará que las personas autorizadas para tratar datos:

a) Estén sujetas a un compromiso de confidencialidad o a una obligación legal de confidencialidad.

b) Reciban formación e instrucciones adecuadas en protección de datos y un nivel suficiente de alfabetización en inteligencia artificial (artículo 4 RIA).

c) Accedan únicamente a los datos necesarios para sus funciones.

d) Utilicen credenciales individuales y los sistemas autorizados.

El deber de confidencialidad continuará vigente después de finalizar la relación profesional o laboral de dichas personas y la relación entre las partes.

2.6. Medidas de seguridad

Persone aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 RGPD, incluyendo, cuando resulten aplicables:

a) Gestión de usuarios, roles y privilegios conforme al principio de mínimo privilegio.

b) Autenticación reforzada para accesos administrativos, remotos o privilegiados.

c) Cifrado de las comunicaciones y protección de los datos almacenados.

d) Registro y trazabilidad de accesos y actuaciones técnicas.

e) Segregación entre clientes y entre entornos de producción, desarrollo y pruebas, utilizando en estos últimos datos ficticios o seudonimizados siempre que sea posible.

f) Custodia segura de las credenciales, claves de API y tokens de integración con los sistemas del cliente.

g) Controles frente a usos indebidos de los sistemas de inteligencia artificial, como la inyección de instrucciones o la revelación de información no autorizada.

h) Copias de seguridad y procedimientos de restauración.

i) Gestión de vulnerabilidades, actualizaciones y parches de seguridad, y protección frente a código malicioso.

j) Procedimientos de continuidad, recuperación y gestión de incidentes.

k) Supresión segura de archivos temporales, soportes y copias innecesarias.

l) Verificación, evaluación y revisión periódicas de la eficacia de las medidas.

Las medidas concretas podrán desarrollarse en la documentación técnica o de seguridad del servicio, que estará a disposición del cliente.

2.7. Derechos de las personas interesadas

Cuando Persone reciba una solicitud de ejercicio de derechos relativa a datos tratados por cuenta del cliente:

a) La trasladará al cliente sin dilación indebida y, en todo caso, en un plazo máximo de dos días hábiles desde su recepción.

b) No responderá directamente, salvo autorización del cliente o exigencia legal.

c) Facilitará la información y asistencia técnica necesarias para atender la solicitud dentro del plazo aplicable.

2.8. Violaciones de seguridad

Persone comunicará al cliente cualquier violación de seguridad que afecte o pueda afectar a datos tratados por su cuenta, sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de ella, y antes cuando sea posible, a la dirección de correo electrónico que figure en el presupuesto o, en su defecto, a la de su interlocutor habitual.

La comunicación incluirá, en la medida en que la información se encuentre disponible:

a) La naturaleza y fecha del incidente.

b) Los sistemas, datos y servicios afectados.

c) Las categorías y el número aproximado de personas y registros afectados.

d) Las posibles consecuencias.

e) Las medidas adoptadas o propuestas para poner remedio y mitigar sus efectos.

f) Los datos de contacto de la persona responsable de gestionar el incidente.

Cuando no pueda facilitarse toda la información inicialmente, se proporcionará de manera gradual. Persone documentará los incidentes, sus efectos y las medidas adoptadas.

Corresponderá al cliente valorar la necesidad de notificar la brecha a la autoridad de control o comunicarla a las personas afectadas (artículos 33 y 34 RGPD). Persone prestará la asistencia necesaria y no realizará dichas comunicaciones por iniciativa propia, salvo obligación legal.

2.9. Asistencia al cliente

Persone ayudará al cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, a:

a) Atender los derechos de las personas interesadas.

b) Cumplir sus obligaciones de seguridad.

c) Documentar y gestionar violaciones de seguridad.

d) Realizar análisis de riesgos y evaluaciones de impacto relativas a la protección de datos, facilitando la información técnica sobre el funcionamiento de los servicios y de los sistemas de inteligencia artificial empleados.

e) Efectuar consultas previas ante la autoridad de control.

f) Responder a requerimientos de autoridades competentes.

2.10. Registro de actividades

Persone mantendrá un registro de las categorías de actividades de tratamiento efectuadas por cuenta del cliente, con el contenido previsto en el artículo 30.2 RGPD.

2.11. Subencargados

El cliente otorga a Persone una autorización general para recurrir a otros encargados (subencargados) que resulten necesarios para prestar los servicios, como proveedores de alojamiento e infraestructura en la nube, de modelos de inteligencia artificial, de telefonía y mensajería o de soporte técnico.

Persone deberá:

a) Mantener a disposición del cliente una relación actualizada de los subencargados, con indicación de su función y de la ubicación del tratamiento, que el cliente podrá solicitar en cualquier momento en [email protected].

b) Informar al cliente, con una antelación mínima de quince días naturales, de cualquier incorporación o sustitución de subencargados.

c) Permitir que el cliente se oponga, dentro de dicho plazo, por motivos razonables relacionados con la protección de datos.

d) Formalizar con cada subencargado un contrato que le imponga las mismas obligaciones de protección de datos asumidas por Persone en este documento, incluida la de comunicar a Persone cualquier violación de seguridad con la antelación necesaria para cumplir el plazo previsto en el apartado 2.8.

e) Responder plenamente frente al cliente del cumplimiento de las obligaciones de sus subencargados.

Cuando la oposición del cliente sea fundada y no exista una alternativa técnica razonable, las partes podrán acordar la modificación o terminación de la parte del servicio afectada, sin penalización para ninguna de ellas.

2.12. Transferencias internacionales

Persone no permitirá el alojamiento o acceso a los datos desde fuera del Espacio Económico Europeo sin aplicar alguno de los mecanismos y garantías previstos en el capítulo V del RGPD, como una decisión de adecuación (incluido, para entidades certificadas en Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU.) o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

Cuando corresponda, Persone informará al cliente del proveedor, servicio, país y garantía aplicada, y adoptará las medidas complementarias que resulten necesarias atendiendo al riesgo y a las características de la transferencia.

2.13. Evidencias y auditorías

Persone pondrá a disposición del cliente toda la información necesaria para demostrar el cumplimiento de sus obligaciones. El cliente podrá solicitar:

a) Información sobre las medidas de seguridad.

b) La relación de subencargados.

c) Información sobre la localización de los datos y las transferencias internacionales.

d) Informes, certificaciones o evidencias disponibles.

El cliente, o un auditor independiente designado por él, podrá realizar inspecciones o auditorías proporcionadas, con un preaviso mínimo de quince días, sujeción a confidencialidad y sin afectar indebidamente a la seguridad ni a la información de otros clientes. Su coste será asumido por el cliente, salvo que se constate un incumplimiento relevante de Persone.

2.14. Finalización del servicio

Finalizada la prestación, Persone, a elección del cliente comunicada dentro de los treinta días siguientes:

a) Devolverá los datos en un formato estructurado, de uso común y lectura mecánica; o

b) Los suprimirá de forma segura.

A falta de comunicación en dicho plazo, Persone podrá suprimir los datos. Tras la devolución, Persone eliminará las copias operativas, salvo que una norma exija su conservación, y certificará la supresión si el cliente lo solicita.

Los datos incluidos en copias de seguridad podrán mantenerse hasta su sobrescritura conforme al ciclo ordinario indicado en el Anexo I, siempre que permanezcan protegidos, aislados y no sean utilizados para ninguna otra finalidad.

Cuando exista una obligación legal de conservación, los datos permanecerán bloqueados conforme al artículo 32 LOPDGDD y solo podrán utilizarse para atender dicha obligación o posibles responsabilidades.

Cuando el servicio tenga la consideración de servicio de tratamiento de datos a efectos del Reglamento (UE) 2023/2854 (Reglamento de Datos), Persone facilitará además el cambio de proveedor y la exportación de los datos en los términos exigidos por dicha norma.

2.15. Obligaciones del cliente

Corresponde al cliente, como responsable del tratamiento:

a) Determinar las finalidades y bases jurídicas del tratamiento.

b) Garantizar que los datos han sido obtenidos y comunicados a Persone lícitamente.

c) Informar a las personas interesadas, incluida la información sobre el uso de sistemas de inteligencia artificial y, en su caso, la grabación de comunicaciones.

d) Gestionar y atender el ejercicio de sus derechos.

e) Impartir instrucciones claras, lícitas y documentadas.

f) Configurar los servicios conforme a los principios de minimización, limitación de la finalidad y limitación del plazo de conservación.

g) Facilitar a Persone accesos a sus plataformas (ERP, CRM u otras) limitados a lo necesario para el servicio, y mantener la seguridad, los usuarios y los permisos de dichas plataformas bajo su control.

h) Determinar la procedencia de grabar llamadas o conservar transcripciones y conversaciones, y fijar el correspondiente plazo de conservación.

i) Contar con una base jurídica válida para realizar comunicaciones comerciales, campañas, llamadas o automatizaciones y obtener el consentimiento cuando sea exigible conforme a la normativa de servicios de la sociedad de la información y de telecomunicaciones.

j) Informar previamente a Persone si el servicio tratará categorías especiales de datos, datos de menores o información especialmente sensible, en cuyo caso será de aplicación el Anexo II antes de iniciar dicho tratamiento.

k) Realizar la evaluación de impacto relativa a la protección de datos cuando resulte exigible, contando con la asistencia de Persone respecto de los elementos técnicos del servicio.

l) Cumplir las obligaciones que el RIA atribuye a los responsables del despliegue de sistemas de inteligencia artificial.

Esta distribución de funciones no exonera a Persone de las obligaciones que le correspondan directamente como encargado del tratamiento.

2.16. Responsabilidad

Cada parte responderá de los daños y perjuicios derivados del incumplimiento de las obligaciones que le correspondan conforme a este documento y a la normativa aplicable, en los términos del artículo 82 RGPD. No obstante, la responsabilidad de Persone frente al cliente derivada del presente documento estará sujeta a las exclusiones y límites previstos en el apartado 13 de las condiciones de servicio de Persone (www.persone.chat/condiciones-servicio), en la versión aceptada por el cliente. Dichos límites no se aplicarán en caso de dolo o culpa grave ni a las responsabilidades que no puedan limitarse conforme a la legislación aplicable, y en ningún caso afectarán a los derechos de las personas interesadas frente a cualquiera de las partes ni a las facultades de la autoridad de control.

2.17. Prevalencia y modificaciones

En caso de contradicción entre este documento y cualquier otra estipulación contractual relativa al tratamiento de datos personales, prevalecerán el presente documento y sus Anexos.

Persone podrá actualizar estas condiciones para adaptarlas a cambios normativos, a las cláusulas contractuales tipo que pueda aprobar la Comisión Europea o la autoridad de control, o a cambios en los servicios contratados o en sus subencargados que lo hagan necesario, comunicándolo al cliente por correo electrónico con una antelación mínima de treinta días. Las modificaciones no podrán reducir, en ningún caso, las garantías mínimas exigidas por la normativa de protección de datos. Si una modificación afectara de forma sustancial a las condiciones del tratamiento, el cliente podrá oponerse y, a falta de acuerdo, resolver sin penalización la parte del servicio afectada. Cualquier instrucción o condición particular distinta de las aquí previstas deberá constar por escrito.

Anexo I. Descripción del tratamiento

1. Servicios

Los servicios descritos en el presupuesto aceptado por el cliente, que podrán consistir en:

a) Tratamiento de información mediante sistemas o modelos de inteligencia artificial.

b) Integración, mantenimiento o soporte de plataformas del cliente (ERP, CRM u otras) y su infraestructura asociada.

2. Categorías de personas interesadas

Las personas cuyos datos el cliente incorpore o haga accesibles en los sistemas incluidos en el servicio, en particular:

a) Clientes y potenciales clientes del cliente.

b) Usuarios y personas que interactúan con los canales del cliente (web, mensajería, teléfono o correo electrónico).

c) Empleados y colaboradores del cliente.

d) Proveedores y sus personas de contacto.

3. Categorías de datos personales

Únicamente los necesarios para prestar el servicio, que podrán incluir:

a) Datos identificativos y de contacto.

b) Contenido de conversaciones, mensajes y formularios, con sus metadatos (fecha, canal e identificadores).

c) Voz y transcripciones de llamadas, con sus metadatos (número de teléfono, fecha y duración).

d) Datos comerciales, económicos, de facturación, pedidos y comunicaciones contenidos en el ERP, el CRM u otros sistemas conectados.

e) Datos profesionales de empleados, proveedores y usuarios del cliente presentes en los sistemas incluidos en el servicio.

4. Datos y usos excluidos

Salvo que se active el Anexo II o exista otro acuerdo escrito con las garantías adicionales necesarias, Persone no tratará ni utilizará:

a) Categorías especiales de datos (salud, origen étnico, ideología, religión, afiliación sindical, vida u orientación sexual, datos genéticos o biométricos), datos relativos a condenas e infracciones penales ni datos de menores de edad.

b) Grabaciones de llamadas, salvo instrucción escrita del cliente en la que se determinen su finalidad, base jurídica y plazo de conservación.

c) Los datos del cliente para fines propios, para entrenar o mejorar modelos de inteligencia artificial, propios o de terceros, ni en demostraciones, pruebas, estudios o materiales formativos.

d) Los datos para comunicarlos, cederlos o comercializarlos a terceros no autorizados por el cliente.

e) Ningún dato ni sistema que quede fuera del alcance necesario para prestar el servicio contratado.

Datos no solicitados. Si, pese a lo anterior, una persona interesada facilita por iniciativa propia datos de las categorías indicadas en la letra a) a través de los canales incluidos en el servicio, su mera recepción no equivale a un consentimiento explícito ni habilita, por sí sola, su utilización. Corresponde al cliente determinar la base jurídica aplicable y, siguiendo sus instrucciones, Persone:

i) Configurará los asistentes para no solicitar dichos datos cuando no sean necesarios y, cuando resulte posible, para advertir a la persona de que no los facilite por ese canal.

ii) Limitará el acceso a ellos al personal estrictamente necesario.

iii) No los utilizará para ninguna finalidad distinta de la atención de la interacción en curso.

iv) Los suprimirá o enmascarará cuando no resulten necesarios, en la forma y plazo que indique el cliente.

Si el cliente prevé que el servicio tratará estos datos, aunque sea de forma puntual, no se considerará una recepción accidental y deberá activarse previamente el Anexo II.

5. Ubicación y subencargados

Los datos se alojarán preferentemente en el Espacio Económico Europeo. La relación actualizada de subencargados, con su función, ubicación y, en su caso, la garantía aplicable a la transferencia internacional, está a disposición del cliente en [email protected].

6. Plazos de conservación

Salvo que el cliente indique por escrito o configure en el servicio un plazo inferior, o solicite en cualquier momento la supresión de determinados datos, se aplicarán los siguientes:

a) Conversaciones, transcripciones y registros de interacción almacenados por Persone: mientras se mantenga la relación contractual entre las partes, con la finalidad de que el cliente disponga del histórico de interacciones necesario para la prestación, el soporte y la resolución de incidencias del servicio. A su finalización se aplicará lo previsto en el apartado 2.14.

b) Grabaciones de audio de llamadas: no se conservan, salvo instrucción escrita del cliente conforme al apartado 4.

c) Datos alojados en las plataformas del cliente (ERP, CRM u otras): permanecen bajo control del cliente; Persone solo mantiene las copias temporales imprescindibles para cada tarea, que suprime al concluirla.

d) Registros técnicos de acceso y seguridad: mientras se mantenga la relación contractual entre las partes, con la finalidad de garantizar la seguridad de los sistemas, la trazabilidad de los accesos y la investigación de incidentes. Cuando determinados registros sean necesarios para investigar un incidente concreto, su conservación adicional se limitará a los estrictamente necesarios y al tiempo justificado para su gestión, dejando constancia del motivo. A su finalización se suprimirán, salvo que deban conservarse bloqueados para atender posibles responsabilidades.

e) Copias de seguridad: ciclo ordinario de sobrescritura no superior a treinta días.

7. Aceptación

Estas condiciones y sus anexos se entienden aceptados con la aceptación del presupuesto que las referencia y documentan las instrucciones iniciales del cliente, sin necesidad de firma separada. Persone conservará constancia de dicha aceptación.

Anexo II. Categorías especiales de datos, datos de menores e información sensible

1. Ámbito de aplicación

Este Anexo se aplicará antes de cualquier tratamiento previsto, aunque sea puntual, de los datos de las letras a) a d) siguientes. Su aplicación se concretará mediante una ficha de activación completa, referida al servicio contratado y aceptada por escrito por ambas partes.

a) Categorías especiales de datos del artículo 9 RGPD, como los datos de salud de pacientes o usuarios.

b) Datos relativos a condenas e infracciones penales (artículo 10 RGPD).

c) Datos de menores de edad, como los de alumnos o pacientes menores.

d) Otra información especialmente sensible, como la relativa a situaciones de vulnerabilidad de las personas interesadas.

En lo no previsto en este Anexo se aplicarán las condiciones generales y el Anexo I. Mientras este Anexo no se active, regirá la exclusión prevista en el apartado 4 del Anexo I.

2. Ficha de activación e inicio del tratamiento

Antes de iniciar el tratamiento, el cliente cumplimentará la ficha de activación que Persone le facilitará como documento independiente, que formará parte de sus instrucciones documentadas. La ficha recogerá, como mínimo: el servicio y los canales afectados; las categorías de datos y de personas interesadas; las finalidades y funciones del asistente; la base jurídica y la excepción aplicable; la evaluación de impacto, cuando proceda; el plazo de conservación; los subencargados y su ubicación; los destinatarios autorizados; el protocolo de derivación y urgencias, y la aceptación de ambas partes. Persone no comenzará a tratar estos datos hasta que la ficha esté completa y aceptada por escrito por ambas partes.

Si el cliente utilizara los servicios para tratar estos datos sin haber activado este Anexo, Persone podrá suspender las funcionalidades afectadas hasta que se complete la ficha.

3. Obligaciones específicas del cliente

Además de las previstas en el apartado 2.15, corresponde al cliente:

a) Identificar la base jurídica del artículo 6 RGPD y la excepción del artículo 9.2 RGPD o, en su caso, la habilitación del artículo 10 RGPD que legitima el tratamiento.

b) Cuando el tratamiento de datos de menores de catorce años se base en el consentimiento, contar con el de sus progenitores o tutores (artículo 7 LOPDGDD).

c) Realizar la evaluación de impacto relativa a la protección de datos cuando resulte exigible (artículo 35 RGPD) y comunicar a Persone las medidas que de ella se deriven para el servicio.

d) Fijar un plazo de conservación específico y proporcionado a la finalidad.

e) Cumplir la normativa sectorial que le resulte aplicable, como la sanitaria, la educativa o la de protección de la infancia, incluidos los deberes de secreto profesional.

f) Definir el protocolo de derivación a una persona en situaciones urgentes o delicadas.

4. Limitaciones de los sistemas de inteligencia artificial

a) Los asistentes se limitarán a funciones de gestión y atención, como la gestión de citas, los recordatorios, la información general o la derivación al personal del cliente. No realizarán diagnósticos, valoraciones clínicas, psicológicas o educativas ni recomendaciones terapéuticas.

b) Cualquier otra funcionalidad requerirá un análisis previo y por escrito de las partes sobre si el sistema puede tener la consideración de producto sanitario (Reglamento (UE) 2017/745) o de sistema de alto riesgo conforme al RIA, y sobre las obligaciones que de ello se deriven.

c) Los sistemas no se utilizarán para deducir categorías especiales de datos a partir de otra información ni para elaborar perfiles basados en ellas.

d) Cuando la conversación revele una situación de urgencia o riesgo, el asistente aplicará el protocolo de derivación definido por el cliente y, en su caso, indicará a la persona que contacte con el teléfono de emergencias 112.

e) Cuando los servicios puedan ser utilizados por menores, se adaptarán el lenguaje y la información a su edad y no se emplearán técnicas que exploten las vulnerabilidades derivadas de ella (artículo 5 RIA).

5. Medidas de seguridad reforzadas

Además de las medidas del apartado 2.6, Persone aplicará en todo caso:

a) Cifrado de los datos en tránsito y en reposo.

b) Acceso limitado a personal identificado nominalmente, con autenticación multifactor y registro de todos los accesos, que se revisará periódicamente.

c) Prohibición de utilizar datos reales en entornos de desarrollo y pruebas, y enmascaramiento o seudonimización de estos datos en los registros técnicos siempre que sea posible.

d) Configuración de los asistentes para solicitar únicamente los datos imprescindibles.

e) Uso de los modelos de terceros con la menor retención de datos que permita el proveedor y, cuando esté disponible, sin retención.

6. Ubicación y subencargados

Los datos se alojarán y tratarán dentro del Espacio Económico Europeo. Cualquier transferencia internacional o acceso desde fuera de él requerirá, además de las garantías del apartado 2.12, la autorización expresa del cliente, que podrá constar en la ficha de activación. Los subencargados que intervengan en el servicio se identificarán en dicha ficha.

7. Violaciones de seguridad

Atendida la naturaleza de los datos, Persone gestionará con carácter prioritario cualquier violación de seguridad que les afecte y la comunicará al cliente tan pronto como tenga constancia de ella, dentro del plazo máximo previsto en el apartado 2.8, para que el cliente pueda valorar su notificación a la autoridad de control y su comunicación a las personas afectadas (artículos 33 y 34 RGPD).

8. Conservación y supresión

Se aplicará el plazo de conservación fijado en la ficha de activación. Al finalizar dicho plazo o la relación contractual, si esta terminara antes, los datos se devolverán o suprimirán conforme al apartado 2.14.

Versión 1.3 – Última actualización: 27/10/2026