1. Partes del Acuerdo

Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre:

• Responsable del Tratamiento ("Cliente"): La entidad que contrata goMeetalk
• Encargado del Tratamiento ("goMeetalk"): Iván Morales Sopena, operando como goMeetalk

2. Definiciones

Los términos utilizados en este DPA tienen el significado establecido en el RGPD (Reglamento UE 2016/679):

• Datos Personales: Cualquier información relativa a una persona física identificada o identificable
• Tratamiento: Cualquier operación realizada sobre datos personales
• Subencargado: Tercero que procesa datos personales en nombre de goMeetalk
• Violación de Seguridad: Brecha que afecte a la confidencialidad, integridad o disponibilidad de datos personales

3. Objeto y Duración

3.1 Alcance del Tratamiento

Finalidad	Proporcionar servicios de traducción y transcripción en tiempo real
Naturaleza	Procesamiento automatizado de audio y texto
Categorías de datos	Audio de conversaciones, transcripciones, metadatos de sesión, identificadores de usuario
Interesados	Empleados, clientes o usuarios del Cliente que participan en reuniones
Duración	Mientras el contrato de servicio esté vigente

4. Obligaciones de goMeetalk

Como Encargado del Tratamiento, goMeetalk se compromete a:

4.1 Instrucciones Documentadas

• Procesar datos personales únicamente según las instrucciones documentadas del Cliente
• Informar si considera que una instrucción infringe el RGPD u otra normativa

4.2 Confidencialidad

• Garantizar que el personal autorizado se ha comprometido a respetar la confidencialidad
• Limitar el acceso a datos personales al personal que lo necesite

4.3 Medidas de Seguridad

Implementar medidas técnicas y organizativas apropiadas, incluyendo:

• Cifrado de datos en tránsito (TLS 1.3) y en reposo (AES-256)
• Hash de contraseñas (bcrypt 12 rounds)
• Control de acceso basado en roles (RBAC)
• Logs de auditoría con integridad verificable
• Copias de seguridad cifradas
• Autenticación de dos factores disponible (2FA)

4.4 Subencargados

• Mantener una lista actualizada de subencargados en /legal/subprocesadores/
• Notificar al Cliente con 30 días de antelación antes de añadir nuevos subencargados
• Garantizar que los subencargados cumplen obligaciones equivalentes a este DPA

4.5 Asistencia al Cliente

• Ayudar a responder solicitudes de derechos de los interesados (acceso, rectificación, supresión, etc.)
• Proporcionar información necesaria para evaluaciones de impacto (DPIA)
• Cooperar con autoridades de protección de datos cuando sea requerido

4.6 Notificación de Brechas

• Notificar al Cliente de cualquier violación de seguridad en un plazo máximo de 72 horas
• Proporcionar información suficiente para que el Cliente cumpla sus obligaciones de notificación
• Documentar todas las violaciones y las medidas adoptadas

4.7 Devolución y Eliminación

• Al finalizar el servicio, eliminar o devolver todos los datos personales según elija el Cliente
• Eliminar copias existentes salvo obligación legal de conservación
• El Cliente puede exportar sus datos antes de la terminación mediante la funcionalidad de export GDPR

5. Transferencias Internacionales

Para transferencias de datos fuera del EEE, goMeetalk aplica salvaguardas apropiadas cuando corresponda:

• Cláusulas Contractuales Tipo (SCCs): Cuando sean aplicables según el proveedor y destino
• Certificaciones de privacidad: Para proveedores que dispongan de ellas (ej. DPF en EE.UU.)
• Evaluaciones de riesgo: Análisis de las garantías de cada proveedor

6. Auditorías

El Cliente tiene derecho a:

• Solicitar información sobre las medidas de seguridad implementadas
• Realizar auditorías o inspecciones (con preaviso de 30 días y en horario laboral)
• Designar un auditor externo independiente (sujeto a confidencialidad)

Los costes de auditorías serán asumidos por el Cliente, salvo que la auditoría revele incumplimientos significativos por parte de goMeetalk.

7. Obligaciones del Cliente

El Cliente, como Responsable del Tratamiento, se compromete a:

• Garantizar que tiene base legal para el tratamiento de los datos personales
• Proporcionar instrucciones lícitas y documentadas a goMeetalk
• Informar a los interesados sobre el tratamiento según el RGPD (Arts. 13-14)
• Implementar medidas de seguridad en su ámbito de control
• Notificar a goMeetalk cualquier cambio que afecte al tratamiento

8. Responsabilidad

La responsabilidad de cada parte se limita según lo establecido en los Términos y Condiciones del servicio. En caso de incumplimiento de este DPA:

• Cada parte será responsable de los daños causados por su incumplimiento
• La responsabilidad frente a los interesados se determinará según el Art. 82 RGPD
• La parte que pague una indemnización tendrá derecho de repetición contra la otra

9. Vigencia y Terminación

Este DPA permanecerá vigente mientras exista un contrato de servicio activo entre las partes. Tras la terminación:

• El Cliente dispone de 30 días para exportar sus datos
• goMeetalk eliminará los datos según la política de retención (o antes si el Cliente lo solicita)
• Las obligaciones de confidencialidad sobreviven a la terminación

10. Modificaciones

goMeetalk puede modificar este DPA para cumplir con cambios legales o regulatorios. Los cambios significativos se notificarán con 30 días de antelación. El uso continuado del servicio implica aceptación de las modificaciones.

11. Contacto