Acuerdo de Procesamiento de Datos

1. Definiciones

Los términos "Controller", "Processor", "Data Subject", "Personal Data" tienen el significado asignado por el Reglamento General de Protección de Datos (GDPR) 2016/679 UE.

Cliente actúa como Controller · VerityFone Inc. actúa como Processor sobre los datos personales procesados en nombre del Cliente para prestar los Servicios.

2. Objeto y duración

VerityFone procesará datos personales exclusivamente para prestar los Servicios contratados por el Cliente. El procesamiento durará mientras esté vigente el contrato principal.

3. Categorías de datos procesados

• Números telefónicos de destinatarios de llamadas
• Metadatos de llamadas (duración, timestamp, resultado)
• Contenido de audio (SOLO si el Cliente activa grabación explícitamente)
• Códigos DTMF ingresados por destinatarios

4. Categorías de titulares de datos

Los destinatarios finales de las comunicaciones iniciadas por el Cliente a través de nuestros Servicios.

5. Instrucciones del Cliente

VerityFone procesará datos personales únicamente según las instrucciones documentadas del Cliente, incluyendo transferencias internacionales de datos.

6. Confidencialidad y personal

VerityFone garantiza que todo el personal autorizado a procesar datos personales:

• Está sujeto a obligaciones de confidencialidad
• Recibe entrenamiento en protección de datos anualmente
• Accede a datos bajo principio de mínimo privilegio
• Pasa background checks previos

7. Medidas técnicas y organizativas (Art. 32 GDPR)

Ver detalles completos en nuestra página de Seguridad. Incluye:

• Encriptación TLS 1.3 en tránsito · AES-256 en reposo
• Autenticación multi-factor obligatoria interna
• Segregación de red · principio mínimo privilegio
• Backups cifrados · plan de recuperación probado
• Monitoreo 24/7 · SIEM Datadog
• Auditorías SOC 2 Type II anuales
• Certificación ISO/IEC 27001:2022

8. Subprocesadores autorizados

Los siguientes subprocesadores procesan datos personales del Cliente:

Los cambios de subprocesadores se notificarán con 30 días de anticipación. El Cliente puede objetar por escrito.

9. Transferencias internacionales

Las transferencias fuera del EEE se realizan bajo Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea 2021/914, con evaluación de impacto (TIA) para cada país destino.

10. Notificación de brechas

VerityFone notificará al Cliente sin demora indebida (dentro de 72 horas) sobre cualquier violación de seguridad que afecte datos personales del Cliente, incluyendo:

• Naturaleza de la brecha
• Categorías y número aproximado de titulares afectados
• Consecuencias probables
• Medidas tomadas y propuestas

11. Derechos de los titulares de datos

VerityFone asistirá al Cliente para responder solicitudes de titulares de datos (acceso, rectificación, supresión, portabilidad) dentro de plazos regulatorios.

12. Auditorías

El Cliente puede auditar el cumplimiento de VerityFone anualmente con notificación de 30 días. VerityFone proporciona reportes SOC 2 Type II y certificados ISO 27001 como alternativa satisfactoria.

13. Devolución o eliminación al finalizar

Al finalizar el contrato, VerityFone eliminará todos los datos personales del Cliente dentro de 90 días, salvo obligación legal de retención (registros de facturación · CDRs regulatorios).

14. Ley aplicable

Este DPA se rige por las mismas leyes que los Términos principales. Para clientes UE, cláusulas GDPR prevalecen en caso de conflicto.

15. Contacto DPO

• DPO: Camila Vergara · IAPP CIPP/E certificada
• Email: dpo@verityfone.com
• Postal: VerityFone Inc., Attn: DPO, 1209 N Orange Street, Wilmington, DE 19801, USA