recepio

Acuerdo de Encargo de Tratamiento

Artículo 28 RGPD · Última actualización: 6 de agosto de 2026 · Forma parte integrante de los Términos del Servicio y queda aceptado con ellos.

1. Partes y objeto

Encargado: Alexander Kucher (marca «Recepio»), NIF Z1054274M, C/ Muntaner 258, 1.º A, 08021 Barcelona (España), help@recepio.ai.

Este acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del negocio cliente (el «Responsable») en el marco de la prestación del servicio de recepción virtual: atención de llamadas y mensajes, gestión de citas, base de datos de clientes y resúmenes de actividad.

2. Duración y destino de los datos

El acuerdo estará vigente mientras dure la relación contractual.

A la finalización de la prestación del servicio, Recepio, a elección del Responsable, devolverá los datos personales tratados por su cuenta en un formato estructurado o los suprimirá, incluyendo las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.

Si el Responsable no comunica su elección dentro de los 30 días siguientes a la finalización del servicio, Recepio procederá a su supresión, salvo obligación legal de conservación.

3. Naturaleza y finalidad del tratamiento

Recepción y emisión de comunicaciones (voz y mensajería), grabación y transcripción de llamadas, extracción de datos de la conversación para crear citas y fichas de cliente, envío de recordatorios y resúmenes, y puesta a disposición del Responsable a través del panel de cliente.

4. Tipos de datos y categorías de interesados

• Interesados: clientes, pacientes, usuarios y potenciales clientes del Responsable; personas que llaman o escriben al negocio.
• Datos: identificativos (nombre, teléfono, email), contenido de llamadas y mensajes (audio y transcripción), y datos necesarios para gestionar una cita, como fecha, profesional, servicio solicitado o motivo general de la consulta.

Recepio aplicará el principio de minimización de datos y configurará el servicio para evitar solicitar información sensible que no sea necesaria para prestar el servicio.

No obstante, dependiendo de la actividad del Responsable, los interesados pueden comunicar espontáneamente datos pertenecientes a categorías especiales, incluidos datos relativos a la salud. En estos casos, Recepio los tratará exclusivamente siguiendo las instrucciones documentadas del Responsable, en la medida estrictamente necesaria para gestionar la comunicación o cita, y aplicando las medidas de seguridad correspondientes.

5. Obligaciones del Encargado

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias de datos personales a terceros países u organizaciones internacionales, salvo que el tratamiento venga exigido por el Derecho de la Unión o de un Estado miembro aplicable al Encargado. La configuración del servicio acordada constituye la instrucción principal.
• Informar inmediatamente al Responsable si, a juicio del Encargado, una instrucción infringe el RGPD u otra normativa aplicable en materia de protección de datos.
• No utilizar los datos para fines propios. En particular, no utilizar grabaciones ni transcripciones para entrenar modelos de inteligencia artificial.
• Garantizar que las personas autorizadas a tratar los datos se hayan comprometido a respetar la confidencialidad.
• Aplicar medidas técnicas y organizativas apropiadas: cifrado en tránsito, aislamiento de datos por cliente, control y registro de accesos, y supresión automática conforme a los plazos del apartado 7.
• Asistir razonablemente al Responsable en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 RGPD, incluyendo seguridad del tratamiento, evaluación y notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y, cuando corresponda, consultas previas ante la autoridad de control.
• Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Notificar al Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a datos tratados por su cuenta, con la información disponible.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por este, con un preaviso razonable y sujeto a obligaciones apropiadas de confidencialidad y seguridad.

6. Subencargados autorizados

El Responsable autoriza de forma general la contratación de los siguientes subencargados. El Encargado informará de cualquier cambio con antelación razonable, pudiendo el Responsable oponerse por motivos justificados.

Subencargado	Función	Ubicación / garantía
Cloudflare, Inc.	Infraestructura, alojamiento, base de datos	UE/EE. UU. · SCC / DPF
ElevenLabs, Inc.	Procesamiento de voz y modelos de lenguaje integrados	EE. UU. · SCC / DPF
Twilio, Inc.	Telefonía y, en su caso, WhatsApp Business	EE. UU. · SCC / DPF
Resend (Plus Five Five, Inc.)	Correos transaccionales	EE. UU. · SCC / DPF
Meta Platforms Ireland Ltd.	WhatsApp Business Platform	UE/EE. UU. · SCC / DPF

Recepio impondrá contractualmente a cada subencargado obligaciones de protección de datos equivalentes a las establecidas en el presente acuerdo, incluyendo medidas técnicas y organizativas apropiadas.

Recepio seguirá siendo plenamente responsable frente al Responsable del cumplimiento de las obligaciones del subencargado en relación con los tratamientos realizados por cuenta del Responsable.

7. Plazos de conservación durante el servicio

Salvo instrucción distinta del Responsable, distinguimos entre la materia prima de la conversación y los datos de gestión (CRM):

• Materia prima de la conversación. Las grabaciones de audio se suprimen de forma automática e irreversible a los 90 días; las transcripciones literales de las llamadas, a los 12 meses. El Responsable puede solicitar plazos inferiores.
• Datos de gestión (CRM). Los contactos, las citas, las notas y los resúmenes de las llamadas —el extracto no literal que refleja el motivo y el resultado de la gestión— se conservan mientras la cuenta del Responsable permanezca activa, por ser necesarios para la prestación continuada del servicio, y se suprimen a los 12 meses del cierre de la cuenta, salvo obligación legal de conservación.

Transcurridos los 12 meses, del extracto de la conversación se eliminan de forma automática e irreversible la justificación literal de la extracción y los datos de contacto redundantes, conservándose únicamente los campos estructurados estrictamente necesarios para la ficha de cliente (p. ej. interés, servicio o canal).

8. Transferencias internacionales

Cuando el tratamiento implique transferencias fuera del EEE, se realizarán al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea y/o del EU-U.S. Data Privacy Framework, según el proveedor.

9. Obligaciones del Responsable

El Responsable declara disponer de base jurídica válida para el tratamiento de los datos de sus clientes, pacientes y usuarios gestionados mediante el servicio, informar a los interesados conforme a los artículos 13-14 RGPD y trasladar al Encargado únicamente instrucciones lícitas.