--- title: "Acuerdo sobre el Tratamiento de Datos Personales, Versión 1.0" canonical: https://www.visor.ai/es/legal/data-processing-agreement-spain/v1-0/ lang: es --- # Acuerdo sobre el Tratamiento de Datos Personales Versión 1.0 – 13 de noviembre de 2026 [Descargar el PDF](https://www.visor.ai/legal/visor-data-processing-agreement-spain-es-v1.0.pdf) _(en virtud del artículo 28, apartados 3 y 4, del RGPD)_ _Basado en las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/915 de la Comisión Europea, con las adaptaciones y disposiciones adicionales establecidas en el presente Acuerdo_ Entre: **VISOR.AI ESPAÑA, S.L.**, con CIF B-87810263 y domicilio social en Avenida General Perón, 22, 2.ºB, 28020 Madrid, España, representada en este acto por quien ostenta facultades suficientes para ello, en adelante denominada el **«Encargado del tratamiento»** o **«Visor.ai»**; y **\[DENOMINACIÓN SOCIAL DEL CLIENTE\]**, con CIF/NIF \[\_\_\_\], con domicilio social en \[dirección completa\], representada en este acto por \[nombre y cargo del representante legal\] (o la entidad identificada en el Order Form, cuando el presente Acuerdo se acepte a través de este), en adelante denominada el **«Responsable del tratamiento»** o el **«Cliente»**; Conjuntamente denominadas las «Partes» e, individualmente, la «Parte». Se celebra y recíprocamente se acepta el presente Acuerdo sobre el Tratamiento de Datos Personales (en adelante, el «Acuerdo»), que se rige por las siguientes cláusulas: **CLÁUSULA PRELIMINAR – DEFINICIONES** A efectos del presente Acuerdo, y salvo que del contexto resulte un sentido distinto, los términos que a continuación se indican, iniciados en mayúscula, tienen el significado siguiente. Los términos no definidos en el presente Acuerdo que se correspondan con términos definidos en el RGPD tienen el significado que este les atribuye, conforme a la Cláusula 3.ª de las presentes Cláusulas. 1. **«Acuerdo» o «DPA»:** el presente Acuerdo sobre el Tratamiento de Datos Personales, incluidos todos sus Apéndices, que forman parte integrante del mismo; 2. **«Apéndices»:** los Apéndices I a V del presente Acuerdo, según corresponda; 3. **«Cláusulas»:** las cláusulas contenidas en el presente Acuerdo, basadas en las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/915 de la Comisión Europea; 4. **«Cliente»:** la entidad identificada en el Apéndice I como Responsable del tratamiento, contraparte de Visor.ai en el Contrato Principal; 5. **«Contrato Principal»:** el Contrato de Prestación de Servicios celebrado entre las Partes, incluidos sus eventuales modificaciones, adendas y Order Forms, en virtud del cual se prestan los Servicios o, a falta de Contrato de Prestación de Servicios firmado, el Order Form firmado por el Cliente y los Términos de Servicio (Terms of Service) de Visor.ai a los que este remite; 6. **«EEE»:** el Espacio Económico Europeo, compuesto por los Estados miembros de la Unión Europea, Islandia, Liechtenstein y Noruega; 7. **«Delegado de Protección de Datos» o «DPD»:** la persona designada para ejercer las funciones previstas en los artículos 37 a 39 del RGPD; 8. **«Medidas Técnicas y Organizativas» o «TOM»:** el conjunto de medidas técnicas y organizativas de seguridad implementadas por Visor.ai para proteger los Datos Personales, descritas en el Apéndice IV del presente Acuerdo; 9. **«Order Form»:** el documento contractual, elaborado según el modelo de Visor.ai y firmado por el Cliente, que materializa la contratación específica de Servicios, incluidos, en particular, el alcance, los módulos contratados, las condiciones comerciales y los parámetros de prestación. El Order Form puede ser anexo a un Contrato de Prestación de Servicios o, a falta de este, constituir, junto con los Términos de Servicio de Visor.ai, el Contrato Principal; 10. **«Partes»:** Visor.ai y el Cliente, conjuntamente; y «Parte», cualquiera de ellas individualmente; 11. **«RGPD»:** el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE; 12. **«LOPDGDD»:** la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales; 13. **«Servicios»:** los servicios prestados por Visor.ai al Cliente en virtud del Contrato Principal, según se describen en el Contrato Principal y su Anexo I (Propuesta) o en el Order Form; 14. **«Subencargado del tratamiento»:** cualquier tercero contratado por Visor.ai para realizar actividades de tratamiento de Datos Personales por cuenta del Cliente, según se relacionan en el Apéndice V del presente Acuerdo; 15. **«Términos de Servicio»:** los Terms of Service de Visor.ai, disponibles en [https://visor.ai/legal](https://www.visor.ai/es/legal/), en la versión identificada en el Order Form o, en su defecto, en la versión vigente en la fecha de firma del Order Form; 16. **«Trust Center»:** la plataforma en línea de Visor.ai, accesible en [https://visor.ai/trust](https://www.visor.ai/es/security/), donde se mantiene y actualiza la información relativa a cumplimiento, seguridad y tratamiento de datos personales, incluida la lista de Subencargados del tratamiento; 17. **«Visor.ai»**: Visor.ai España, S.L., en calidad de Encargado del tratamiento a efectos del presente Acuerdo, identificada en el Apéndice I. La operación técnica y material del tratamiento se ejecuta a través de Visor.ai Portugal, S.A., sociedad del grupo, en calidad de Subencargado del tratamiento, conforme al Apéndice V. **SECCIÓN I – DISPOSICIONES GENERALES** ## Cláusula 1.ª – Finalidad y ámbito de aplicación 1. Las presentes cláusulas (en adelante, las «Cláusulas») tienen por objeto garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, el «RGPD»). 2. El Responsable del tratamiento y el Encargado del tratamiento identificados en el Apéndice I han acordado las presentes Cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del RGPD. 3. Las presentes Cláusulas son aplicables al tratamiento de Datos Personales según se especifica en el Apéndice II. 4. Los Apéndices I a V forman parte integrante del presente Acuerdo. 5. Las presentes Cláusulas se entienden sin perjuicio de las obligaciones a las que esté sujeto el Responsable del tratamiento en virtud del RGPD. 6. Las presentes Cláusulas no garantizan, por sí solas, el cumplimiento de las obligaciones relativas a las transferencias internacionales de conformidad con el capítulo V del RGPD. ## Cláusula 2.ª – Invariabilidad de las Cláusulas 1. Las Partes se comprometen a no modificar las Cláusulas, excepto para añadir información a los Apéndices o actualizar la información contenida en ellos. 2. Ello no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en las presentes Cláusulas en un contrato más amplio, ni que añadan otras cláusulas o garantías adicionales, siempre que no contradigan, directa o indirectamente, las Cláusulas ni perjudiquen los derechos o libertades fundamentales de los Interesados. ## Cláusula 3.ª – Interpretación 1. Cuando las presentes Cláusulas utilicen términos definidos en el RGPD, dichos términos tendrán el mismo significado que en el RGPD. 2. Las presentes Cláusulas deberán leerse e interpretarse a la luz de las disposiciones del RGPD. 3. Las presentes Cláusulas no se interpretarán de forma contraria a los derechos y obligaciones previstos en el RGPD ni de forma que se menoscaben los derechos o libertades fundamentales de los Interesados. ## Cláusula 4.ª – Jerarquía En caso de contradicción entre las presentes Cláusulas y las disposiciones de acuerdos conexos entre las Partes que existan en el momento en que se acuerden las presentes Cláusulas o que se celebren posteriormente, prevalecerán las presentes Cláusulas. ## Cláusula 5.ª – Cláusula de incorporación 1. Cualquier entidad que no sea Parte en las presentes Cláusulas podrá, con el acuerdo de todas las Partes, adherirse en cualquier momento a las presentes Cláusulas, como Responsable del tratamiento o como Encargado del tratamiento, cumplimentando los Apéndices y firmando el Apéndice I. 2. Una vez cumplimentados y firmados los Apéndices a que se refiere la letra a), la entidad que se adhiera será tratada como Parte en las presentes Cláusulas y tendrá los derechos y obligaciones de un Responsable o de un Encargado del tratamiento, conforme a su designación en el Apéndice I. 3. La entidad que se adhiera no tendrá derechos ni obligaciones derivados de las presentes Cláusulas respecto del período anterior a su adhesión. **SECCIÓN II – OBLIGACIONES DE LAS PARTES** ## Cláusula 6.ª – Descripción del tratamiento o tratamientos Los pormenores de las operaciones de tratamiento, en particular las categorías de Datos Personales y las finalidades del tratamiento para las que se tratan los Datos Personales por cuenta del Responsable del tratamiento, se especifican en el Apéndice II. ## Cláusula 7.ª – Obligaciones de las Partes ### 7.1. Instrucciones 1. El Encargado del tratamiento tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo que esté obligado a ello en virtud del Derecho de la Unión o del Estado miembro al que esté sujeto. En tal caso, el Encargado del tratamiento informará al Responsable del tratamiento de ese requisito legal antes del tratamiento, salvo que el Derecho lo prohíba por razones importantes de interés público. El Responsable del tratamiento podrá dar instrucciones ulteriores a lo largo de toda la duración del tratamiento de Datos Personales. Dichas instrucciones deberán estar siempre documentadas. 2. El Encargado del tratamiento informará inmediatamente al Responsable del tratamiento si, en su opinión, las instrucciones dadas por el Responsable del tratamiento infringen el RGPD o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos. ### 7.2. Limitación de la finalidad El Encargado del tratamiento tratará los Datos Personales únicamente para las finalidades específicas del tratamiento, según se establece en el Apéndice II, salvo que reciba instrucciones adicionales del Responsable del tratamiento. ### 7.3. Duración del tratamiento de datos personales El tratamiento por parte del Encargado del tratamiento solo se realizará durante el período especificado en el Apéndice III. ### 7.4. Supresión o devolución de los datos personales 1. Tras el término del período de tratamiento especificado en el Apéndice III, el Encargado del tratamiento, a elección del Responsable del tratamiento: (i) suprimirá todos los Datos Personales tratados por cuenta de este último y le certificará que lo ha hecho; o (ii) devolverá todos los Datos Personales al Responsable del tratamiento y suprimirá las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los Datos Personales. El Encargado del tratamiento seguirá garantizando el cumplimiento de las presentes Cláusulas hasta que los datos sean suprimidos o devueltos. 2. El Responsable del tratamiento tiene derecho a verificar que el Encargado del tratamiento ha concluido debidamente la devolución o supresión de los Datos Personales, incluso, si fuera necesario, mediante una auditoría al Encargado del tratamiento. El Responsable del tratamiento podrá realizar dicha verificación a través de un perito independiente designado por él, siempre que el perito no se encuentre en una relación de competencia con el Encargado del tratamiento. 3. El Encargado del tratamiento mantendrá la confidencialidad de cualesquiera Datos Personales a los que haya tenido acceso o de los que haya tenido conocimiento en el marco del tratamiento al que se refieren las Cláusulas, incluso tras el término del período de tratamiento especificado en el Apéndice III. El presente Acuerdo seguirá vigente tras la terminación del Contrato Principal mientras el Encargado del tratamiento conserve datos tratados por cuenta del Responsable del tratamiento. ### 7.5. Seguridad del tratamiento 1. El Encargado del tratamiento aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el Apéndice IV para garantizar la seguridad de los Datos Personales. Ello incluye la protección de los datos frente a toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de los datos o la comunicación o acceso no autorizados a dichos datos (violación de la seguridad de los Datos Personales). Al evaluar el nivel de seguridad adecuado, las Partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos que entrañe para los Interesados. 2. El Encargado del tratamiento solo concederá acceso a los Datos Personales objeto de tratamiento a los miembros de su personal en la medida estrictamente necesaria para la ejecución, la gestión y el seguimiento del contrato. El Encargado del tratamiento garantizará que las personas autorizadas para tratar los Datos Personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal adecuada. ### 7.6. Datos sensibles Si el tratamiento afecta a Datos Personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, datos genéticos o biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud, a la vida sexual o a la orientación sexual de una persona, o datos relativos a condenas e infracciones penales («datos sensibles»), el Encargado del tratamiento aplicará restricciones específicas y/o garantías adicionales, según se indica en el Apéndice III. ### 7.7. Documentación y cumplimiento 1. Las Partes deberán poder demostrar el cumplimiento de las presentes Cláusulas. 2. El Encargado del tratamiento atenderá con prontitud y de forma adecuada las consultas del Responsable del tratamiento sobre el tratamiento de datos con arreglo a las presentes Cláusulas. 3. El Encargado del tratamiento pondrá a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en las presentes Cláusulas y que se derivan directamente del RGPD. A instancias del Responsable del tratamiento, el Encargado del tratamiento también permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por las presentes Cláusulas, a intervalos razonables o cuando existan indicios de incumplimiento. Al decidir sobre un examen o una auditoría, el Responsable del tratamiento podrá tener en cuenta las certificaciones pertinentes que posea el Encargado del tratamiento o su grupo, en particular la certificación ISO/IEC 27001:2022, en los términos del Apéndice IV. 1. El Responsable del tratamiento podrá optar por realizar la auditoría por sí mismo o encargarla a un auditor independiente. Las auditorías también podrán incluir inspecciones en los locales o instalaciones físicas del Encargado del tratamiento, que se realizarán dentro del horario laboral habitual. 2. Las auditorías se notificarán por escrito al Encargado del tratamiento con una antelación mínima de 30 (treinta) días naturales, y el Encargado del tratamiento facilitará al Responsable del tratamiento, en un plazo adecuado nunca inferior a 5 (cinco) días naturales, toda la información necesaria para la correcta ejecución de la auditoría. 4. Las Partes pondrán a disposición de la(s) autoridad(es) de control competente(s), a instancia de estas, la información a que se refiere la presente cláusula, incluidos los resultados de cualesquiera auditorías. ### 7.8. Recurso a Subencargados del tratamiento 1. El Encargado del tratamiento cuenta con la autorización general del Responsable del tratamiento para recurrir a los Subencargados del tratamiento relacionados en el Apéndice V. El Encargado del tratamiento informará específicamente por escrito al Responsable del tratamiento de cualquier modificación prevista de dicha lista con una antelación mínima de 30 (treinta) días, dando así al Responsable del tratamiento tiempo suficiente para poder oponerse a dichos cambios antes de recurrir al Subencargado o Subencargados del tratamiento de que se trate. El Encargado del tratamiento facilitará al Responsable del tratamiento la información necesaria para que pueda ejercer su derecho de oposición. 2. Cuando el Encargado del tratamiento recurra a un Subencargado del tratamiento para llevar a cabo actividades de tratamiento específicas (por cuenta del Responsable del tratamiento), lo hará mediante un contrato que imponga al Subencargado del tratamiento, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al Encargado del tratamiento en virtud de las presentes Cláusulas. El Encargado del tratamiento se asegurará de que el Subencargado del tratamiento cumpla las obligaciones a las que está sujeto el Encargado del tratamiento en virtud de las presentes Cláusulas y del RGPD. 3. A instancias del Responsable del tratamiento, el Encargado del tratamiento le facilitará una copia de dicho contrato de subencargo y de cualesquiera modificaciones posteriores. En la medida necesaria para proteger secretos comerciales u otra información confidencial, incluidos Datos Personales, el Encargado del tratamiento podrá expurgar el texto del contrato antes de compartir la copia. 4. El Encargado del tratamiento seguirá siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento de las obligaciones del Subencargado del tratamiento con arreglo al contrato celebrado con el Encargado del tratamiento. El Encargado del tratamiento notificará al Responsable del tratamiento cualquier incumplimiento por parte del Subencargado del tratamiento de sus obligaciones contractuales. ### 7.9. Transferencias internacionales 1. Cualquier transferencia de datos a un tercer país o a una organización internacional por parte del Encargado del tratamiento solo podrá realizarse sobre la base de instrucciones documentadas del Responsable del tratamiento o para cumplir un requisito específico en virtud del Derecho de la Unión o del Estado miembro al que esté sujeto el Encargado del tratamiento, y deberá tener lugar de conformidad con el capítulo V del RGPD. 2. El Responsable del tratamiento acepta que, cuando el Encargado del tratamiento recurra a un Subencargado del tratamiento de conformidad con la Cláusula 7.8 para llevar a cabo actividades de tratamiento específicas (por cuenta del Responsable del tratamiento) y dichas actividades impliquen una transferencia de Datos Personales en el sentido del capítulo V del RGPD, el Encargado y el Subencargado del tratamiento garanticen el cumplimiento del capítulo V del RGPD recurriendo a cláusulas contractuales tipo adoptadas por la Comisión de conformidad con el artículo 46, apartado 2, del RGPD, siempre que se cumplan las condiciones para su utilización. ## Cláusula 8.ª – Asistencia al Responsable del tratamiento 1. El Encargado del tratamiento notificará sin demora al Responsable del tratamiento cualquier solicitud que haya recibido del Interesado. No responderá él mismo a la solicitud, salvo que el Responsable del tratamiento le haya autorizado a hacerlo. 2. El Encargado del tratamiento asistirá al Responsable del tratamiento en el cumplimiento de sus obligaciones de responder a las solicitudes de los Interesados para el ejercicio de sus derechos, teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de sus obligaciones con arreglo a las letras a) y b), el Encargado del tratamiento seguirá las instrucciones del Responsable del tratamiento. 3. Además de la obligación del Encargado del tratamiento de asistir al Responsable del tratamiento con arreglo a la letra b), el Encargado del tratamiento asistirá también al Responsable del tratamiento para garantizar el cumplimiento de las siguientes obligaciones, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga: 1. la obligación de llevar a cabo una evaluación del impacto de las operaciones de tratamiento previstas en la protección de los Datos Personales (Evaluación de Impacto relativa a la Protección de Datos – EIPD) cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas; 2. la obligación de consultar a la(s) autoridad(es) de control competente(s) antes del tratamiento cuando una EIPD muestre que el tratamiento entrañaría un alto riesgo si el Responsable del tratamiento no toma medidas para mitigarlo; 3. la obligación de garantizar que los Datos Personales sean exactos y estén actualizados, informando sin demora al Responsable del tratamiento si el Encargado del tratamiento tiene conocimiento de que los Datos Personales que está tratando son inexactos o han quedado obsoletos; 4. las obligaciones establecidas en el artículo 32 del RGPD. 4. Las Partes establecerán en el Apéndice IV las medidas técnicas y organizativas adecuadas mediante las cuales el Encargado del tratamiento debe asistir al Responsable del tratamiento en la aplicación de la presente cláusula, así como el ámbito y el alcance de la asistencia requerida. 5. **Disposición adicional:** sin perjuicio de las letras anteriores, el Encargado del tratamiento informará al Responsable del tratamiento, sin dilación indebida, en caso de perturbaciones, sospecha de violación de datos, incumplimiento de obligaciones contractuales por parte del Encargado del tratamiento, sospecha de incidentes de seguridad o cualesquiera otras irregularidades relativas al tratamiento de Datos Personales. ## Cláusula 9.ª – Notificación de violaciones de la seguridad de los Datos Personales En caso de violación de la seguridad de los Datos Personales, el Encargado del tratamiento cooperará con el Responsable del tratamiento y le prestará asistencia para que cumpla las obligaciones que le incumben en virtud de los artículos 33 y 34 del RGPD, cuando proceda, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el Encargado del tratamiento. ### 9.1. Violación de la seguridad de los datos tratados por el Responsable del tratamiento En caso de violación de la seguridad de los Datos Personales tratados por el Responsable del tratamiento, el Encargado del tratamiento le asistirá: 1. en la notificación de la violación de la seguridad de los Datos Personales a la(s) autoridad(es) de control competente(s), sin dilación indebida una vez que el Responsable del tratamiento tenga conocimiento de ella, cuando proceda, a menos que sea improbable que dicha violación constituya un riesgo para los derechos y libertades de las personas físicas; 2. en la obtención de la siguiente información, que, conforme al artículo 33, apartado 3, del RGPD, debe figurar en la notificación del Responsable del tratamiento e incluir, como mínimo: - la naturaleza de los Datos Personales, inclusive, cuando sea posible, las categorías y el número aproximado de Interesados afectados, y las categorías y el número aproximado de registros de Datos Personales afectados; - las consecuencias probables de la violación de la seguridad de los Datos Personales; - las medidas adoptadas o propuestas por el Responsable del tratamiento para poner remedio a la violación de la seguridad de los Datos Personales, incluidas, si procede, las medidas adoptadas para mitigar sus posibles efectos negativos. 3. en el cumplimiento, conforme al artículo 34 del RGPD, de la obligación de comunicar sin dilación indebida la violación de la seguridad de los Datos Personales al Interesado, cuando sea probable que dicha violación entrañe un alto riesgo para los derechos y libertades de las personas físicas. ### 9.2. Violación de la seguridad de los datos tratados por el Encargado del tratamiento En caso de violación de la seguridad de los Datos Personales tratados por el Encargado del tratamiento, este lo notificará al Responsable del tratamiento sin dilación indebida y, en todo caso, en un plazo máximo de 48 (cuarenta y ocho) horas desde que haya tenido conocimiento de la violación. La notificación se efectuará desde la dirección **[securityoffice@visor.ai](mailto:securityoffice@visor.ai)** a la dirección de correo electrónico designada por el Responsable del tratamiento, indicando en el asunto «_VISOR.AI - NOTIFICACIÓN DE SEGURIDAD_», y contendrá, como mínimo: - una descripción de la naturaleza de la violación (inclusive, cuando sea posible, las categorías y el número aproximado de Interesados y de registros de datos afectados); - los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los Datos Personales; - sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación, incluidas las medidas para mitigar sus posibles efectos negativos. Cuando, y en la medida en que, no sea posible facilitar toda la información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y, a medida que se vaya disponiendo de más información, esta se facilitará posteriormente sin dilación indebida. Las Partes establecerán en el Apéndice IV todos los demás elementos que deba facilitar el Encargado del tratamiento al asistir al Responsable del tratamiento en el cumplimiento de las obligaciones que le incumben en virtud de los artículos 33 y 34 del RGPD. **SECCIÓN III – DISPOSICIONES FINALES** ## Cláusula 10.ª – Incumplimiento de las Cláusulas y resolución 1. Sin perjuicio de lo dispuesto en el RGPD, en caso de que el Encargado del tratamiento incumpla las obligaciones que le incumben en virtud de las presentes Cláusulas, el Responsable del tratamiento podrá ordenar al Encargado del tratamiento que suspenda el tratamiento de los Datos Personales hasta que este cumpla las presentes Cláusulas o se resuelva el contrato. El Encargado del tratamiento informará sin demora al Responsable del tratamiento en caso de que, por cualquier motivo, no pueda cumplir las presentes Cláusulas. 2. El Responsable del tratamiento tendrá derecho a resolver el contrato en lo que respecta al tratamiento de Datos Personales con arreglo a las presentes Cláusulas si: 1. el Responsable del tratamiento ha suspendido el tratamiento de Datos Personales por parte del Encargado del tratamiento con arreglo a la letra a) y el cumplimiento de las presentes Cláusulas no se restablece en un plazo razonable y, en cualquier caso, en el plazo de 1 (un) mes a partir de la suspensión; 2. el Encargado del tratamiento incumple de manera sustancial o persistente las presentes Cláusulas o sus obligaciones en virtud del RGPD; 3. el Encargado del tratamiento no cumple una resolución vinculante de un órgano jurisdiccional competente o de la(s) autoridad(es) de control competente(s) en relación con sus obligaciones en virtud de las presentes Cláusulas o del RGPD. 3. El Encargado del tratamiento tendrá derecho a resolver el contrato en lo que respecta al tratamiento de Datos Personales con arreglo a las presentes Cláusulas cuando, tras haber informado al Responsable del tratamiento de que sus instrucciones infringen los requisitos jurídicos aplicables de conformidad con la Cláusula 7.1, letra b), el Responsable del tratamiento insista en que se cumplan dichas instrucciones. 4. Tras la resolución del contrato, el Encargado del tratamiento, a elección del Responsable del tratamiento, suprimirá todos los Datos Personales tratados por cuenta del Responsable del tratamiento y le certificará que lo ha hecho, o devolverá todos los Datos Personales al Responsable del tratamiento y suprimirá las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los Datos Personales. Hasta que se supriman o devuelvan los datos, el Encargado del tratamiento seguirá garantizando el cumplimiento de las presentes Cláusulas. ## Cláusula 11.ª – Versiones lingüísticas El presente Acuerdo se celebra en español. En caso de discrepancia entre la versión española y cualquier traducción, prevalecerá la versión española. ## FIRMAS Las Partes declaran haber leído, comprendido y aceptado el presente Acuerdo sobre el Tratamiento de Datos Personales y se obligan a su íntegro cumplimiento. Cuando el Contrato Principal esté constituido por el Order Form y los Términos de Servicio de Visor.ai, el presente Acuerdo se considerará celebrado y aceptado por las Partes con la firma del Order Form que remita a él, con identificación de la versión y de la fecha del presente Acuerdo, sin necesidad de firmar el cuadro siguiente. En tal caso, los datos del Responsable del tratamiento que figuran en el Apéndice I serán los indicados en el Order Form. **Por VISOR.AI ESPAÑA, S.L.** **Por el Responsable del tratamiento** Nombre: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Cargo: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Fecha: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Firma: Nombre: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Cargo: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Fecha: \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ Firma: **APÉNDICE I – LISTA DE LAS PARTES** ### Responsable del tratamiento **Denominación social** \[a cumplimentar o según el Order Form\] **CIF / NIF** \[a cumplimentar o según el Order Form\] **Domicilio social** \[a cumplimentar o según el Order Form\] **Representante legal** \[Nombre y cargo, o según el Order Form\] **Contacto en materia de protección de datos / DPD** \[Nombre, correo electrónico, teléfono, o según el Order Form\] **Dirección para notificaciones de violaciones de la seguridad de los datos** \[a cumplimentar o según el Order Form\] ### Encargado del tratamiento **Denominación social** Visor.ai España, S.L. **CIF** B-87810263 **Domicilio social** Avenida General Perón, 22, 2.º \[B/D\], 28020 Madrid, España **Contacto en materia de protección de datos** privacy@visor.ai **Notificaciones de violaciones de la seguridad de los datos** securityoffice@visor.ai **Trust Center** [https://visor.ai/trust](https://www.visor.ai/es/security/) **Certificaciones** ISO/IEC 27001:2022 (certificado del grupo, emitido a Visor.ai Portugal, S.A.) **APÉNDICE II – DESCRIPCIÓN DEL TRATAMIENTO** _Los pormenores de las operaciones de tratamiento, en particular las categorías de Datos Personales y las finalidades para las que se tratan por cuenta del Responsable del tratamiento, se describen en la tabla siguiente. La tabla contiene la descripción estándar de los Servicios, que se aplica salvo que el Responsable del tratamiento indique otra en la Propuesta o en el Order Form. Corresponde al Responsable del tratamiento, con el apoyo del Encargado del tratamiento cuando sea necesario, completar o ajustar esta descripción a la configuración concreta de los Servicios contratados._ **Categorías de interesados cuyos datos personales se tratan** Usuarios finales que interactúan con los Agentes de IA del Cliente a través de los canales contratados (llamadas telefónicas, chat y mensajería), en particular clientes y potenciales clientes del Responsable del tratamiento; usuarios de la plataforma autorizados por el Cliente (empleados y proveedores de servicios del Cliente). **Categorías de datos personales tratados** Datos identificativos y de contacto facilitados durante la interacción (por ejemplo, nombre, número de teléfono, correo electrónico, número de cliente); voz y grabaciones de audio; transcripciones y contenido de las conversaciones; metadatos de las interacciones (fecha, hora, duración, canal e identificadores técnicos); datos de cuenta y registros de actividad de los usuarios de la plataforma. **Categorías especiales de datos (art. 9 RGPD)** Ninguna, salvo indicación expresa del Responsable del tratamiento en la Propuesta o en el Order Form, en cuyo caso se aplican las garantías de la Cláusula 7.6 y del Apéndice III. **Naturaleza del tratamiento** Recogida, registro, organización, estructuración, conservación, recuperación, consulta, utilización, eventual comunicación por transmisión al Responsable del tratamiento y supresión de Datos Personales, en el marco de los Servicios contratados. **Finalidad(es) para la(s) que se tratan los datos personales por cuenta del Responsable del tratamiento** Prestación de los Servicios contratados, en particular la atención automatizada mediante Agentes de IA de voz y chat, la transcripción, la derivación a agentes humanos, el análisis de calidad y la elaboración de métricas de servicio para el Responsable del tratamiento; soporte técnico, mantenimiento y seguridad de la plataforma. **Duración del tratamiento** El tratamiento de Datos Personales de los usuarios finales solo se inicia tras la firma del Contrato de Prestación de Servicios o, a falta de este, del Order Form. Durante la vigencia del Contrato Principal y por el período estrictamente necesario para la prestación de los Servicios. La duración de la conservación se define por categoría de datos, conforme a la finalidad de cada tratamiento, en la tabla del Apéndice III, cumplimentada por Visor.ai en función de los términos comerciales acordados entre las Partes con anterioridad a la celebración del presente Acuerdo. En ausencia de indicación específica para una categoría, se aplica el plazo estándar indicado en el Apéndice III. Los plazos se cuentan a partir de la fecha de cada interacción o del cierre del proceso correspondiente, según la categoría de datos. Tras la extinción del Contrato Principal, los datos remanentes se suprimen en un plazo de 90 (noventa) días, salvo (i) obligación legal de conservación por un período superior, incluida la obligación de bloqueo prevista en el artículo 32 de la LOPDGDD, o (ii) plazo distinto establecido en un anexo específico exigido por el Responsable del tratamiento, que prevalece sobre el presente apartado. **Lugar del tratamiento** - Espacio Económico Europeo (EEE), Amazon Web Services (AWS) – regiones europeas (eu-west-1 Irlanda, eu-central-1 Fráncfort, entre otras según los requisitos del Cliente). - Los Datos Personales se almacenan y tratan en regiones del EEE, y Visor.ai no realiza, por iniciativa propia, transferencias de Datos Personales fuera del EEE. Algunos Subencargados del tratamiento forman parte de grupos empresariales con sede fuera del EEE. Si se produjera un acceso puntual desde un tercer país, en particular para soporte técnico, seguridad, prevención de usos abusivos o en respuesta a un requerimiento de una autoridad, dicho acceso se limita a lo estrictamente necesario y se basa en uno de los mecanismos previstos en el capítulo V del RGPD, en particular una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU., para las entidades certificadas) o las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914, conforme a la Cláusula 7.9. **APÉNDICE III – CONSERVACIÓN DE DATOS** **Categoría de datos** **Aplicable** **Plazo de conservación** **Criterio / Base** **Registro de Interacción** (AI Voice / AI Chat Agent) _Según los Servicios contratados_ _Estándar: 90 días (opciones: 12 o 24 meses)_ _Finalidad de prestación del servicio_ **Grabación de Audio** (AI Voice Agent) _Según los Servicios contratados_ _30 días_ _Supervisión de la calidad de la llamada_ **Audio de Calidad & Insights** (AI Quality Agent) _Según los Servicios contratados_ _24 horas_ _Finalidad de prestación del servicio_ **Transcripción de origen para Auditoría** (AI Quality Agent) _Según los Servicios contratados_ _30 días_ _Finalidad de prestación del servicio_ **Resultados de Auditoría** (AI Quality Agent) _Según los Servicios contratados_ _Estándar: 6 meses (opción: 12 meses)_ _Finalidad de prestación del servicio y análisis de calidad y tendencias_ **Registros de Actividad de la Plataforma** _Según los Servicios contratados_ _Estándar: 90 días (opción: 12 meses)_ _Trazabilidad de acciones e identificación de los usuarios de la plataforma. Incluye datos de cuenta de los usuarios del Cliente._ **Registros de Seguridad e Infraestructura** _Sí_ _12 meses_ _Seguridad del tratamiento, detección e investigación de incidentes (art. 32 RGPD). Incluye identificadores técnicos de los usuarios de la plataforma y de los interesados (por ejemplo, ID de usuario y direcciones IP). Plazo fijo, no sujeto a ampliación._ **Supresión tras la extinción** _Sí_ _90 días_ _Devolución o destrucción tras la terminación del Contrato Principal, salvo anexo específico exigido por el Responsable del tratamiento_ **Datos personales de los Interesados** _Sí_ _Sigue el plazo de la categoría operativa en la que se integra el dato_ _No constituye una categoría autónoma; la conservación sigue las categorías anteriores_ **Datos Sensibles** (art. 9 RGPD) _Según los Servicios contratados_ _Sigue la categoría operativa aplicable – sin ampliación automática del plazo_ _Aplicable únicamente si el caso de uso del Cliente lo implica. Las garantías adicionales se acuerdan por escrito antes del inicio del tratamiento, en particular: evaluación de impacto (EIPD) por el Cliente con el apoyo de Visor.ai, acceso restringido al personal autorizado y minimización._ **APÉNDICE IV – MEDIDAS TÉCNICAS Y ORGANIZATIVAS** _El presente Apéndice describe las medidas técnicas y organizativas implementadas por el Encargado del tratamiento para garantizar la seguridad de los Datos Personales tratados en el marco del presente Acuerdo, de conformidad con el artículo 32 del RGPD y con la norma ISO/IEC 27001:2022. La operación técnica del tratamiento la ejecuta Visor.ai Portugal, S.A., sociedad del grupo titular de la certificación ISO/IEC 27001:2022, que aplica las medidas descritas a continuación._ 1. **Control de acceso físico** El Encargado del tratamiento aplica medidas para impedir que personas no autorizadas accedan a las instalaciones en las que se tratan Datos Personales, en particular: - Acceso a las instalaciones con identificación obligatoria y registro de entradas y salidas; - Zonas en las que se tratan Datos Personales sujetas a control de acceso adicional; - Infraestructura cloud en centros de datos de AWS con certificaciones reconocidas (ISO/IEC 27001, SOC 2, entre otras), con controles físicos gestionados por el proveedor cloud. 2. **Control de acceso a los sistemas** El Encargado del tratamiento aplica medidas para impedir el acceso no autorizado a los sistemas de tratamiento, en particular: - Autenticación multifactor (MFA) obligatoria para el acceso a sistemas críticos y entornos de producción; - Políticas de contraseñas robustas con requisitos mínimos de complejidad y rotación; - Bloqueo automático de sesiones inactivas; - Principio de mínimo privilegio aplicado a todas las cuentas de usuario (ISO/IEC 27001:2022 Anexo A.5.15, A.8.2). 3. **Control de acceso a los datos** El Encargado del tratamiento aplica medidas para garantizar que solo las personas autorizadas accedan a los Datos Personales, y únicamente en la medida estrictamente necesaria, en particular: - Control de acceso basado en roles (RBAC) con perfiles y permisos diferenciados; - Cifrado de los datos en reposo (AES-256) y en tránsito (TLS 1.2 o superior); - Anonimización y minimización de datos siempre que sea técnicamente viable y adecuado a la finalidad; - Registro de accesos (logging) con identificación del usuario, fecha, hora y operaciones realizadas (ISO/IEC 27001:2022 Anexo A.8.15). 4. **Control de las transferencias** El Encargado del tratamiento aplica medidas para proteger los Datos Personales durante su transmisión y almacenamiento fuera de los sistemas controlados, en particular: - Cifrado de los datos en tránsito con TLS 1.2 o superior en todas las comunicaciones; - Cifrado de los datos en reposo con AES-256 en los sistemas de almacenamiento; - Mecanismos de transmisión segura entre el Encargado del tratamiento y los Subencargados del tratamiento, con endpoints dedicados en el EEE; - Verificación y registro de las entidades destinatarias de transferencias de datos. 5. **Control de las operaciones** El Encargado del tratamiento aplica medidas para garantizar el control y la trazabilidad de las operaciones sobre Datos Personales, en particular: - Registro centralizado de las operaciones sobre Datos Personales (creación, modificación, supresión); - Operaciones de modificación restringidas al personal autorizado; - Segregación de los entornos de producción, desarrollo y pruebas; - Supervisión continua de sistemas y procesos con alertas automáticas; - Plan formal de gestión de incidentes de seguridad de la información con equipo dedicado (ISO/IEC 27001:2022 Anexo A.5.24 a A.5.28). 6. **Control del cumplimiento de las instrucciones** El Encargado del tratamiento aplica medidas para garantizar que el tratamiento se realiza conforme a las instrucciones documentadas del Responsable del tratamiento, en particular: - Sistema de Gestión de Seguridad de la Información (SGSI) certificado conforme a la norma ISO/IEC 27001:2022; - Conjunto documentado de políticas y procedimientos internos sujeto a revisión periódica; - Formación inicial y continua del personal en seguridad de la información y protección de datos, con acuerdos de confidencialidad obligatorios; - Procedimiento documentado de evaluación e incorporación de proveedores (Subencargados del tratamiento), con cláusulas contractuales de protección de datos; - Auditorías internas anuales y auditorías externas de certificación ISO/IEC 27001. 7. **Control de la disponibilidad** El Encargado del tratamiento aplica medidas para garantizar la disponibilidad de los Datos Personales y su protección frente a la destrucción o pérdida accidental, en particular: - Copias de seguridad cifradas con planes de recuperación probados, con objetivos de RTO y RPO definidos por nivel de criticidad; - Plan de Continuidad de Negocio (BCP) y Plan de Recuperación ante Desastres (DRP) documentados, con pruebas periódicas y revisión anual; - Infraestructura cloud con arquitectura redundante (multi-AZ) en las capas de computación; - Supervisión continua de la disponibilidad de los servicios con alertas y procedimientos de escalado (ISO/IEC 27001:2022 Anexo A.5.29, A.5.30, A.8.13, A.8.14). 8. **Control de la separación entre entidades** El Encargado del tratamiento aplica medidas para garantizar la separación de los Datos Personales de distintos Responsables del tratamiento, en particular: - Separación lógica estricta entre los entornos y los datos de distintos clientes (multi-tenancy); - Identificación inequívoca del Responsable del tratamiento asociado a cada operación de tratamiento; - Controles de acceso y cifrado dedicados por cliente cuando sea técnicamente viable (incluido el modelo de VPC dedicada cuando se contrate); - Auditoría de las operaciones que puedan afectar a datos de varios clientes. 9. **Medidas adicionales de protección de la capa de Inteligencia Artificial** Atendiendo a la naturaleza de los Servicios, el Encargado del tratamiento aplica medidas adicionales dirigidas específicamente a la protección de la capa de IA, en particular: - Aplicación de los guardrails nativos de los modelos LLM utilizados (Amazon Bedrock, Azure OpenAI Content Safety, Vertex AI Safety Filters); - Aplicación de guardrails personalizados por el Encargado del tratamiento para la detección y bloqueo de intentos de prompt injection y cross-context access; - Alojamiento de los modelos LLM en endpoints dedicados de la UE, alineando la residencia de los datos con el EEE; - Los datos transmitidos a los proveedores de modelos de IA a través de sus API no se utilizan para entrenar ni mejorar sus modelos. Dichos datos pueden ser objeto de conservación temporal y limitada por los proveedores, exclusivamente con fines de seguridad y prevención de usos abusivos, durante los plazos definidos en las políticas de los respectivos proveedores, y no se utilizan para ninguna otra finalidad. - El Encargado del tratamiento no utiliza los Datos Personales tratados por cuenta del Responsable del tratamiento para entrenar modelos de IA de uso general. **APÉNDICE V – LISTA DE SUBENCARGADOS DEL TRATAMIENTO** _El Responsable del tratamiento autoriza el recurso a los Subencargados del tratamiento relacionados en la tabla siguiente. La lista actualizada está permanentemente disponible en el Trust Center de Visor.ai en https://visor.ai/trust. Cualquier modificación de la lista se comunicará al Responsable del tratamiento con una antelación mínima de 30 (treinta) días, conforme a la Cláusula 7.8 del presente Acuerdo._ **Subencargado** **Finalidad** **Ubicación** **Almacenamiento fuera del EEE** Visor.ai Portugal, S.A. Sociedad del grupo. Operación técnica de la plataforma, desarrollo, soporte y gestión de los Subencargados del tratamiento indicados a continuación Portugal, con tratamiento en los entornos AWS en regiones de la UE No Amazon Web Services (AWS) Infraestructura cloud, almacenamiento y computación; modelos LLM a través de Amazon Bedrock Regiones AWS UE (Irlanda / Fráncfort; otras previa solicitud formal) No Out.Cloud Gestión y operación de la infraestructura cloud (AWS), incluido el acceso administrativo a los entornos en los que se tratan los Datos Personales Portugal, con acceso a los entornos AWS en regiones de la UE No Microsoft Azure (Speech Services y Azure OpenAI) Speech-to-Text (STT) y Text-to-Speech (TTS) a través de Azure Speech Services; modelos LLM y TTS a través de Azure OpenAI Regiones Azure UE (West Europe, Sweden Central, Germany West Central, France Central) No Google Cloud / Vertex AI (Gemini) Modelos LLM Gemini para el procesamiento del lenguaje natural Regiones Google Cloud UE (europe-west8, Milán) No Deepgram Speech-to-Text (STT) Regiones AWS UE/EEE[1](https://www.visor.ai/es/legal/data-processing-agreement-spain/v1-0/#fn1) No AssemblyAI Speech-to-Text (STT) Regiones AWS UE/EEE (eu-west-1, Dublín, Irlanda)[2](https://www.visor.ai/es/legal/data-processing-agreement-spain/v1-0/#fn2) No ElevenLabs Text-to-Speech (TTS) Regiones UE/EEE, infraestructura de Google Cloud Platform[3](https://www.visor.ai/es/legal/data-processing-agreement-spain/v1-0/#fn3) No Vonage B.V. Servicios de telecomunicaciones: números de teléfono, enrutamiento de llamadas y mensajería Región AWS UE/EEE (eu-west-1, Dublín, Irlanda) No Google Workspace Correo electrónico, almacenamiento de documentos y colaboración interna, cuando contengan Datos Personales del Cliente, en particular en la gestión de solicitudes de soporte e incidencias Regiones UE/EEE No Atlassian (Jira/Confluence) Gestión de solicitudes de soporte e incidencias y documentación técnica, cuando incluyan Datos Personales del Cliente Regiones UE/EEE No 1. UE/EEE – endpoint dedicado en la UE (api.eu.deepgram.com), regiones AWS en la UE, sujeto a la política del proveedor; la región específica puede variar, manteniéndose dentro del EEE. 2. UE/EEE – endpoint dedicado en la UE (streaming.eu.assembly.ai). 3. UE/EEE – contrato Enterprise con residencia de datos en la UE activada (eu.residency.elevenlabs.io) y Zero Retention Mode activado vía API, sujeto a la política del proveedor; la región específica puede variar, manteniéndose dentro del EEE.