Última actualización: 16 de octubre de 2026

Contrato de encargo de tratamiento

Cuando Bastia atiende el teléfono de una clínica veterinaria, trata datos de los clientes de esa clínica por cuenta de ella. Este contrato, exigido por el artículo 28 del Reglamento General de Protección de Datos (RGPD), fija cómo. La clínica lo acepta al marcar la casilla de la bienvenida de su portal; la fecha de aceptación queda registrada y hace las veces de firma.

Partes

• Responsable del tratamiento: la clínica veterinaria que acepta este contrato, identificada con los datos de su cuenta en el portal de Bastia (la «Clínica»).
• Encargado del tratamiento: el titular de Bastia, con los datos que figuran en el aviso legal (el «Encargado»). Contacto: info@bastia.es.

1. Objeto

El Encargado tratará, por cuenta de la Clínica, los datos personales necesarios para prestar el servicio contratado: atención de llamadas telefónicas, gestión de citas, recados y fichas de clientes y mascotas, y las comunicaciones asociadas.

2. Datos y tratamientos

• Interesados: clientes de la Clínica y personas que llaman a su teléfono.
• Datos: identificativos (nombre, teléfono, email), datos de las mascotas (nombre, especie, raza), contenido de las llamadas (audio, transcripción y resumen), recados y gestiones realizadas (citas y consultas). No se tratan historias clínicas, diagnósticos ni datos de salud de personas.
• Operaciones: recogida, registro, conservación, consulta, comunicación a la propia Clínica (en su portal y por correo) y supresión. Incluye el control de calidad automático de las conversaciones (puntuación de cada llamada y ajuste del asistente de la propia Clínica). Las conversaciones de la Clínica no se usan para mejorar el servicio de otras clínicas ni para entrenar modelos de terceros.

3. Duración y supresión

La del servicio contratado. A su fin, el Encargado suprimirá o devolverá los datos a elección de la Clínica, salvo los que deban conservarse bloqueados por obligación legal. Las grabaciones, transcripciones y resúmenes de las llamadas se suprimen automáticamente a los 90 días de cada llamada, en los sistemas del Encargado y en los del subencargado que gestiona la llamada (Vapi). Las copias de seguridad cifradas se renuevan solas: las semanales se borran a los 90 días.

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas de la Clínica (este contrato y la configuración que la Clínica hace en su portal) y solo para prestar el servicio, nunca para fines propios.
2. No utilizar las llamadas ni sus transcripciones para entrenar modelos de inteligencia artificial.
3. Garantizar la confidencialidad de las personas con acceso a los datos.
4. Aplicar medidas técnicas y organizativas apropiadas, entre ellas: aislamiento de los datos de cada clínica en la propia base de datos, cifrado en tránsito, credenciales solo en el servidor, firma de las comunicaciones con el proveedor de voz, copias de seguridad cifradas con una contraseña que solo conoce el Encargado, y registro de las acciones del sistema.
5. Asistir a la Clínica en la respuesta a los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
6. Notificar a la Clínica sin dilación indebida, y en todo caso en menos de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
7. Poner a disposición de la Clínica la información necesaria para demostrar el cumplimiento de este contrato y permitir las auditorías razonables que solicite.

5. Subencargados autorizados

La Clínica autoriza a los siguientes subencargados, necesarios para prestar el servicio. El Encargado avisará por correo de cualquier cambio con antelación razonable, y la Clínica podrá oponerse de forma motivada o dar de baja el servicio sin coste.

• Vapi Inc. — orquesta la llamada y aloja temporalmente la grabación (EE. UU.).
• Twilio Inc. — número de teléfono, llamadas y SMS de recordatorio (EE. UU.).
• Anthropic PBC — modelo de lenguaje del asistente y control de calidad; sin uso para entrenamiento (EE. UU.).
• Deepgram Inc. — transcripción de la voz (EE. UU.).
• ElevenLabs Inc. — voz del asistente (EE. UU.).
• Supabase Inc. — base de datos (servidores en la UE, Fráncfort).
• Render Services Inc. — servidores de la aplicación (UE, Fráncfort).
• Resend — envío de los correos del servicio, como el aviso de cada recado a la Clínica (EE. UU., con envío desde la UE).
• GitHub Inc. — copia de seguridad semanal de la base, cifrada (EE. UU.).
• Google Ireland Ltd. — copia de seguridad mensual cifrada en Google Drive; y Google Calendar, solo si la Clínica lo conecta (UE).

Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE–EE. UU. cuando el proveedor está adherido y, en el resto de casos, en las cláusulas contractuales tipo de la Comisión Europea.

6. Obligaciones de la Clínica

Dar instrucciones lícitas, informar a sus clientes del uso de un asistente de inteligencia artificial y de la grabación de las llamadas (la locución del propio asistente lo hace al descolgar) y atender, como responsable, las consultas y los derechos de sus interesados.

7. Aceptación

Este contrato forma parte de las condiciones de contratación. Se acepta electrónicamente en la bienvenida del portal y queda registrada la fecha. Si la Clínica prefiere una copia firmada, puede pedirla en info@bastia.es.