Contrato de encargado del tratamiento (DPA)
Versión 1.0 · Última actualización: 25 de octubre de 2026
Este contrato (art. 28 del Reglamento (UE) 2016/679, «RGPD», y Ley Orgánica 3/2018) forma parte de los Términos y condiciones y se acepta al registrarse o contratar DevRoam. En materia de protección de datos prevalece sobre los Términos.
1. Partes
Responsable del tratamiento: el negocio que contrata DevRoam («Cliente»). Encargado del tratamiento: NICOLAS CIERI, NIE Z2248368P, Avenida España 230, Local Derecha, 29680 Estepona (Málaga), España, nombre comercial DevRoam («DevRoam»). Contacto: privacidad@devroam.com.
2. Objeto, naturaleza y finalidad
DevRoam trata datos personales por cuenta del Cliente únicamente para prestar el servicio contratado: atender las llamadas entrantes con un asistente de voz con IA, gestionar citas y recados, enviar confirmaciones, recordatorios y avisos por WhatsApp, correo o notificación, cobrar señales de reserva si el Cliente las activa, y mostrar todo ello al Cliente en la app y en sus integraciones.
3. Duración
Mientras esté vigente la cuenta del Cliente (incluida la prueba gratuita) y, después, solo durante el tiempo necesario para devolver o suprimir los datos conforme a la cláusula 12.
4. Categorías de interesados y de datos
- Interesados: personas que llaman o escriben al Cliente o reservan con él (sus clientes, pacientes o potenciales clientes) y miembros del equipo del Cliente que este da de alta.
- Datos: número de teléfono, nombre y, si se facilitan, correo electrónico; voz durante la llamada; transcripción y, solo si el Cliente la activa, grabación de la llamada; datos de la cita (servicio, profesional, fecha, notas, número de personas) y recados; contenido de los mensajes enviados; datos técnicos de la llamada (hora, duración, resultado).
- Categorías especiales: DevRoam no las solicita, pero el interesado puede mencionarlas (por ejemplo, el motivo de una cita médica). El Cliente decide si su configuración las recoge y es responsable de contar con base jurídica para ello.
5. Obligaciones del Cliente (responsable)
- Contar con base jurídica para el tratamiento e informar a los interesados (incluida la grabación, si la activa).
- Dar instrucciones lícitas y documentadas; la configuración de la app y estos Términos constituyen sus instrucciones.
- Atender las solicitudes de los interesados, con la ayuda de DevRoam.
6. Obligaciones de DevRoam (encargado)
- Tratar los datos solo siguiendo instrucciones documentadas del Cliente, también en cuanto a transferencias internacionales, salvo obligación legal, que comunicará al Cliente antes del tratamiento salvo prohibición legal.
- Informar al Cliente si considera que una instrucción infringe la normativa de protección de datos.
- No utilizar los datos para fines propios ni para entrenar modelos de IA.
- Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
7. Confidencialidad
DevRoam garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, también después de terminar su relación.
8. Seguridad
DevRoam aplica medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre ellas: cifrado en tránsito (HTTPS/TLS) y en reposo (base de datos, copias de seguridad y almacenamiento cifrados); aislamiento de los datos de cada Cliente; acceso a la app con autenticación y roles; acceso interno restringido según el principio de mínimo privilegio; registro de actividad; copias de seguridad; y firma de los webhooks salientes. Las medidas se revisan y pueden actualizarse siempre que no reduzcan el nivel de protección.
9. Subencargados
El Cliente otorga una autorización general para que DevRoam recurra a los subencargados indicados a continuación. DevRoam impone a cada uno, por contrato, obligaciones de protección de datos equivalentes a las de este contrato y responde ante el Cliente de su cumplimiento. DevRoam avisará con al menos 15 días de antelación de cualquier alta o sustitución de subencargados, actualizando esta página y por correo electrónico al titular de la cuenta; el Cliente puede oponerse por motivos razonables escribiendo a privacidad@devroam.com y, si no se encuentra solución, dar de baja el servicio sin penalización.
| Proveedor | Finalidad | Ubicación del tratamiento | Garantía de transferencia |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Alojamiento, base de datos, almacenamiento, autenticación, correo (SES), SMS (End User Messaging; desactivado) y modelo de lenguaje de respaldo (Bedrock) | UE: Irlanda (eu-west-1); respaldo de Bedrock en Fráncfort (eu-central-1) | No aplica (EEE) |
| Anthropic | Modelo de lenguaje que genera las respuestas del asistente | EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| Deepgram | Transcripción de voz en tiempo real | EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| ElevenLabs | Síntesis de voz | EE. UU. / UE | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| xAI | Transcripción y síntesis de voz de respaldo | EE. UU. | Cláusulas contractuales tipo |
| DIDWW | Numeración telefónica y transporte de las llamadas (operador) | Según contrato del operador | Cláusulas contractuales tipo si hay transferencia fuera del EEE |
| Twilio | SMS de respaldo (desactivado) | EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| Meta Platforms (WhatsApp Business) | Mensajes de WhatsApp de confirmación, recordatorio y aviso | UE / EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| Stripe | Cobro de la suscripción y, si el negocio lo activa, señales de reserva (Stripe Connect) | UE / EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo |
| Google (Firebase Cloud Messaging) | Notificaciones push de la app Android | EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. |
| Apple (APNs) | Notificaciones push de la app iOS | EE. UU. | Marco de Privacidad de Datos UE‑EE. UU. |
| Google (Calendar) / Microsoft (Outlook) | Solo si el negocio conecta su calendario: lectura de disponibilidad y creación de citas | EE. UU. / UE | Marco de Privacidad de Datos UE‑EE. UU. |
10. Asistencia al Cliente
DevRoam ayudará al Cliente, teniendo en cuenta la naturaleza del tratamiento, a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad); la app permite consultar y eliminar los datos de cualquier cliente. También le ayudará con la seguridad, las evaluaciones de impacto y las consultas previas a la autoridad de control. Si un interesado se dirige directamente a DevRoam, DevRoam lo remitirá al Cliente.
11. Violaciones de seguridad
DevRoam notificará al Cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, con la información disponible (naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables y medidas adoptadas o propuestas), para que el Cliente pueda cumplir sus obligaciones de notificación (arts. 33 y 34 RGPD).
12. Fin del servicio: devolución y supresión
Al terminar el servicio, y a elección del Cliente, DevRoam devolverá los datos personales en un formato electrónico estructurado (a petición en privacidad@devroam.com) o los suprimirá, junto con las copias existentes, salvo que la ley exija conservarlos. El Cliente puede además eliminar su cuenta desde la app. Las copias de seguridad cifradas se eliminan en su ciclo ordinario de rotación y, mientras tanto, no se usan para ninguna otra finalidad.
13. Auditorías e información
DevRoam pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Cliente o por un auditor autorizado por él y sujeto a confidencialidad, con un preaviso razonable de al menos 30 días (salvo violación de seguridad o requerimiento de una autoridad), en horario laboral y sin afectar a la seguridad de otros clientes. Cada parte asume sus propios costes.
14. Transferencias internacionales
Los datos se almacenan en la Unión Europea (AWS, región de Irlanda). Algunos subencargados tratan datos fuera del Espacio Económico Europeo, en particular en EE. UU., para procesar la voz y el texto de las conversaciones (ver cláusula 9). Estas transferencias se amparan en una decisión de adecuación (Marco de Privacidad de Datos UE‑EE. UU., para proveedores certificados) o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias que procedan.
15. Responsabilidad y ley aplicable
La responsabilidad de las partes se rige por los Términos y condiciones y por el art. 82 RGPD. Este contrato se rige por la ley española y las controversias se someten a los juzgados y tribunales de Málaga.