Cláusulas contractuales tipo

CLÁUSULAS CONTRACTUALES TIPO DE ACUERDO CON LA DECISIÓN DE EJECUCIÓN (UE) 2021/914 DE LA COMISIÓN DE 4 DE JUNIO DE 2021 RELATIVA A LAS CLÁUSULAS CONTRACTUALES TIPO PARA LA TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES DE CONFORMIDAD CON EL REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO

En ______________, a ______________ de ______________ de ______________

REUNIDOS

DE UNA PARTE, D./DÑA. ______________, mayor de edad, con DNI/NIE ______________, actuando en nombre y representación de ______________. (en adelante, el EXPORTADOR DE DATOS), provista de CIF ______________, y con domicilio a efectos de notificaciones en ______________ .

DE OTRA PARTE, ANDREA DONOSO, mayor de edad, actuando como Authorized Member, en nombre y representación de KORNYX LLC (en adelante, el IMPORTADOR DE DATOS), sociedad de responsabilidad limitada (Limited Liability Company) constituida conforme a las leyes del Estado de Wyoming (EE. UU.) el 20 de julio de 2026, inscrita en el Secretary of State de Wyoming con Filing ID 2026-002034783, provista de EIN 61-2374219, con domicilio registral (agente registrado) en 30 N Gould St, Ste R, Sheridan, WY 82801, y con representante en la Unión Europea, conforme al artículo 27 del Reglamento (UE) 2016/679, la sociedad AZNAR GALLEGO, LUCIA 000458021A, SLNE (NIF B10312031), con domicilio en Calle Berna 6 bajo, 10005 Cáceres, a cuyo domicilio se dirigirán las notificaciones.

Y reconociéndose ambas partes, mutua y recíprocamente, con capacidad legal suficiente para el presente acto,

EXPONEN

I.- Que el EXPORTADOR DE DATOS se dedica, entre otras actividades propias de su objeto social, a las de ______________.

II.- Que el IMPORTADOR DE DATOS se dedica, entre otras actividades propias de su objeto social, al desarrollo de software y a la prestación de la plataforma KORNYX CALL (agente de voz con inteligencia artificial para clínicas), motivo por el cual ostenta la condición jurídica de encargado del tratamiento en los términos previstos en el Reglamento (UE) 2016/679.

III.- La finalidad de estas cláusulas contractuales tipo (en adelante, pliego de cláusulas) es garantizar que se cumplan los requisitos que el Reglamento (UE) 2016/679 exige para la transferencia de datos personales a un tercer país.

IV.- Que, el presente pliego de cláusulas se aplica a la transferencia de datos personales especificada en el Anexo I.

V.- Que, el presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el EXPORTADOR DE DATOS en virtud del Reglamento (UE) 2016/679.

VI.- Que, las partes mediante el presente pliego de cláusulas establecen garantías adecuadas, incluidos derechos exigibles de los interesados y acciones judiciales eficaces, de conformidad con el artículo 46, apartado 1, y el artículo 46, apartado 2, letra c), del Reglamento (UE) 2016/679 y, en relación con las transferencias de datos de conformidad con las cláusulas contractuales tipo a que se refiere el artículo 28, apartado 7, del Reglamento (UE) 2016/679.

De acuerdo con lo anterior, las partes acuerdan el presente pliego de cláusulas, que se regirá de conformidad con las siguientes,

ESTIPULACIONES

PRIMERA.- INTERPRETACIÓN DEL PLIEGO DE CLÁUSULAS.

a.Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679, se entiende que tienen el mismo significado que en dicho Reglamento.

b.El presente pliego de cláusulas deberá interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679.

SEGUNDA.- JERARQUÍA DEL PLIEGO DE CLÁUSULAS.

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

TERCERA.- OBJETO DEL PLIEGO DE CLÁUSULAS

Mediante el presente pliego de cláusulas las partes establecen garantías adecuadas de conformidad con el artículo 46 del Reglamento (UE) 2016/679 y, en relación con la transferencia de datos descrita en el Anexo I.

Las partes aplican el Módulo Dos (transferencia de responsable a encargado) de las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914. Las transferencias ulteriores a subencargados se regirán por lo previsto en estas cláusulas y por el módulo que corresponda. Estas cláusulas, con sus anexos y las cláusulas adicionales que figuran al final, constituyen el contrato entre responsable y encargado exigido por el artículo 28.3 del Reglamento (UE) 2016/679, por lo que las partes no suscriben otro contrato de encargo del tratamiento.

CUARTA.- TERCEROS BENEFICIARIOS

a.Los interesados podrán invocar, como terceros beneficiarios, el presente pliego de cláusulas contra el exportador y/o el importador de datos y exigirles su cumplimiento, con las excepciones siguientes:

i.Exponen III, IV, V y VI.

ii.Cláusula CUARTA.

iii.Cláusulas QUINTA a. ii.

iv.Cláusulas QUINTA g. i, iii, iv y v.

v.Cláusulas QUINTA h. i, iii, iv y v.

vi.Cláusulas QUINTA k.

vii.Cláusulas QUINTA l.

viii.Cláusulas SÉPTIMA e.

ix.Cláusula OCTAVA.

x.Cláusula NOVENA a y b.

b.Lo dispuesto en la letra a. se entiende sin perjuicio de los derechos que el Reglamento (UE) 2016/679 otorga a los interesados.

QUINTA.- OBLIGACIONES DEL IMPORTADOR DE DATOS.

a.Instrucciones.

i.El IMPORTADOR DE DATOS solo tratará los datos personales siguiendo instrucciones documentadas del EXPORTADOR DE DATOS. El EXPORTADOR DE DATOS podrá dar dichas instrucciones durante todo el período de vigencia del contrato.

ii.El IMPORTADOR DE DATOS informará inmediatamente al EXPORTADOR DE DATOS en caso de que no pueda seguir dichas instrucciones.

b.Limitación de la finalidad. El IMPORTADOR DE DATOS tratará los datos personales únicamente para los fines específicos de la transferencia indicados en el presente pliego de cláusulas, salvo cuando siga instrucciones adicionales del EXPORTADOR DE DATOS.

c.Exactitud. Si el IMPORTADOR DE DATOS tiene conocimiento de que los datos personales que ha recibido son inexactos o han quedado obsoletos, informará de ello al EXPORTADOR DE DATOS sin dilación indebida. En este caso, el IMPORTADOR DE DATOS colaborará con el EXPORTADOR DE DATOS para suprimir o rectificar los datos.

d.Duración del tratamiento y supresión o devolución de los datos. El tratamiento por parte del IMPORTADOR DE DATOS solo se realizará durante el período especificado en el Anexo I. Una vez se hayan prestado los servicios de tratamiento, el IMPORTADOR DE DATOS suprimirá, a petición del EXPORTADOR DE DATOS, todos los datos personales tratados por cuenta del EXPORTADOR DE DATOS y acreditará al EXPORTADOR DE DATOS que lo ha hecho, o devolverá al EXPORTADOR DE DATOS todos los datos personales tratados en su nombre y suprimirá las copias existentes.

Hasta que se destruyan o devuelvan los datos, el IMPORTADOR DE DATOS seguirá garantizando el cumplimiento con el presente pliego de cláusulas. Si el Derecho del país aplicable al IMPORTADOR DE DATOS prohíbe la devolución o la destrucción de los datos personales, el IMPORTADOR DE DATOS se compromete a seguir garantizando el cumplimiento del presente pliego de cláusulas y solo tratará los datos en la medida y durante el tiempo que exija el Derecho del país.

e.Seguridad del tratamiento.

i.El IMPORTADOR DE DATOS aplicará medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos; en particular, la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados. A la hora de determinar un nivel adecuado de seguridad, el IMPORTADOR DE DATOS tendrá en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados. Al cumplir las obligaciones que le impone el presente párrafo, el IMPORTADOR DE DATOS aplicará, al menos, las medidas técnicas y organizativas que figuran en el Anexo II. El IMPORTADOR DE DATOS llevará a cabo controles periódicos para garantizar que estas medidas sigan proporcionando un nivel de seguridad adecuado.

ii.El IMPORTADOR DE DATOS solo concederá acceso a los datos personales a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. En todo caso, garantizará que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

iii.En caso de violación de la seguridad de datos personales tratados por el IMPORTADOR DE DATOS, en virtud del presente pliego de cláusulas, adoptará medidas adecuadas para ponerle remedio y, en particular, medidas para mitigar los efectos negativos.

El IMPORTADOR DE DATOS también lo notificará al EXPORTADOR DE DATOS sin dilación indebida una vez tenga conocimiento de la violación de la seguridad. Dicha notificación incluirá los datos de un punto de contacto en el que pueda obtenerse más información, una descripción de la naturaleza de la violación (en la que figuren, cuando sea posible, las categorías y el número aproximado de interesados y registros de datos personales afectados), las consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, especialmente, en su caso, medidas para mitigar sus posibles efectos negativos. Cuando no sea posible proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

iv.El IMPORTADOR DE DATOS deberá colaborar con el EXPORTADOR DE DATOS y ayudarle para que pueda cumplir las obligaciones que le atribuye el Reglamento (UE) 2016/679, especialmente en cuanto a la notificación de las violaciones de seguridad a la autoridad de control competente y a los interesados afectados.

f.Transferencias ulteriores.

El IMPORTADOR DE DATOS solo comunicará los datos personales a un tercero siguiendo instrucciones documentadas del EXPORTADOR DE DATOS. Por otra parte, solo se podrán comunicar los datos a terceros situados fuera de la Unión Europea si el tercero está vinculado por el presente pliego de cláusulas o consiente a someterse a este, con elección del módulo correspondiente, o si:

i.La transferencia ulterior va dirigida a un país sobre el que haya recaído una decisión de adecuación, con arreglo al artículo 45 del Reglamento (UE) 2016/679, que abarque la transferencia ulterior;

ii.El tercero aporta de otro modo garantías adecuadas, con arreglo a los artículos 46 o 47 del Reglamento (UE) 2016/679, respecto del tratamiento en cuestión;

iii.Si la transferencia ulterior es necesaria para la formulación, el ejercicio o la defensa de reclamaciones en el marco de procedimientos administrativos, reglamentarios o judiciales específicos; o

iv.Si la transferencia ulterior es necesaria para proteger intereses vitales del interesado o de otra persona física.

La validez de las transferencias ulteriores depende de que el IMPORTADOR DE DATOS aporte las demás garantías previstas en el presente pliego de cláusulas y, en particular, la limitación de la finalidad.

g.Documentación y cumplimiento

i.El IMPORTADOR DE DATOS resolverá sin dilación indebida las consultas del exportador de datos relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

ii.El IMPORTADOR DE DATOS conservará suficiente documentación de las actividades de tratamiento que se realicen por cuenta del EXPORTADOR DE DATOS.

iii.El IMPORTADOR DE DATOS pondrá a disposición del EXPORTADOR DE DATOS toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y, a instancia del EXPORTADOR DE DATOS, permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento.

iv.Las partes pondrán a disposición de la autoridad de control competente, a instancia de esta, la información a que se refieren las letras ii. e iii. y, en particular, los resultados de las auditorías.

h.Recurso a subencargados

i.El IMPORTADOR DE DATOS cuenta con la autorización general del EXPORTADOR DE DATOS para contratar subencargados de la lista que figura en el Anexo III. El IMPORTADOR DE DATOS informará por escrito al EXPORTADOR DE DATOS de cualquier adición o sustitución prevista de subencargados con al menos 10 días hábiles de antelación, de modo que el EXPORTADOR DE DATOS pueda oponerse antes de la contratación. Las partes mantendrán actualizado el Anexo III.

ii.Cuando el IMPORTADOR DE DATOS recurra a un subencargado para llevar a cabo actividades específicas de tratamiento (por cuenta del EXPORTADOR DE DATOS), lo hará por medio de un contrato escrito que establezca, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al IMPORTADOR DE DATOS en virtud del presente pliego de cláusulas, especialmente en lo que se refiere a los derechos de los interesados en cuanto que terceros beneficiarios. El IMPORTADOR DE DATOS se asegurará de que el subencargado cumpla las obligaciones que le atribuya el presente pliego de cláusulas.

iii.El IMPORTADOR DE DATOS proporcionará al EXPORTADOR DE DATOS, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el IMPORTADOR DE DATOS podrá expurgar el texto del contrato antes de compartir la copia.

iv.El IMPORTADOR DE DATOS seguirá siendo plenamente responsable ante el EXPORTADOR DE DATOS del cumplimiento de las obligaciones que imponga al subencargado su contrato con el importador de datos. El IMPORTADOR DE DATOS notificará al EXPORTADOR DE DATOS los incumplimientos por parte del subencargado de las obligaciones que le atribuye dicho contrato.

v.El IMPORTADOR DE DATOS pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el importador de datos desaparezca de facto, cese de existir jurídicamente o sea insolvente, el EXPORTADOR DE DATOS tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

i.Derechos del interesado

i.El IMPORTADOR DE DATOS notificará sin dilación indebida al EXPORTADOR DE DATOS las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el EXPORTADOR DE DATOS le haya autorizado a hacerlo.

ii.El IMPORTADOR DE DATOS ayudará al EXPORTADOR DE DATOS a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos que el Reglamento (UE) 2016/679 atribuye a los interesados.

iii.En el cumplimiento de las obligaciones que le atribuyen las letras i. e ii. el IMPORTADOR DE DATOS seguirá las instrucciones del EXPORTADOR DE DATOS.

j.Reparación

i.El IMPORTADOR DE DATOS informará a los interesados, de forma transparente y en un formato de fácil acceso, mediante notificación individual o en su página web, del punto de contacto autorizado para tramitar reclamaciones.

ii.En caso de litigio entre un interesado y una de las partes en relación con el cumplimiento del presente pliego de cláusulas, dicha parte hará todo lo posible para resolver amistosamente el problema de forma oportuna. Las partes se mantendrán mutuamente informadas de tales litigios y, cuando proceda, colaborarán para resolverlos.

iii.El IMPORTADOR DE DATOS acepta que el interesado pueda estar representado por una entidad, organización o asociación sin ánimo de lucro en las condiciones establecidas en el artículo 80, apartado 1, del Reglamento (UE) 2016/679.

iv.El IMPORTADOR DE DATOS acepta acatar las resoluciones que sean vinculantes con arreglo al Derecho aplicable de la UE o del Estado miembro de que se trate.

v.El IMPORTADOR DE DATOS acepta que la elección del interesado no menoscabe sus derechos sustantivos y procesales a obtener reparación de conformidad con el Derecho aplicable.

k.Supervisión

i.La autoridad de control responsable de garantizar que el EXPORTADOR DE DATOS cumpla el Reglamento (UE) 2016/679 en cuanto a la transferencia de los datos, actuará como autoridad de control competente.

ii.El IMPORTADOR DE DATOS da su consentimiento a someterse a la jurisdicción de la autoridad de control competente y a cooperar con ella en cualquier procedimiento destinado a garantizar el cumplimiento del presente pliego de cláusulas. En particular, el IMPORTADOR DE DATOS se compromete a responder a consultas, someterse a auditorías y cumplir las medidas adoptadas por la autoridad de control y, en particular, las medidas correctivas e indemnizatorias. Remitirá a la autoridad de control confirmación por escrito de que se han tomado las medidas necesarias.

l.Obligaciones del importador de datos en caso de acceso por parte de las autoridades públicas

i.Notificación:

•El IMPORTADOR DE DATOS se compromete a notificar sin dilación indebida al EXPORTADOR DE DATOS y, cuando sea posible, al interesado si:

–Recibe una solicitud jurídicamente vinculante de comunicación de datos personales transferidos con arreglo al presente pliego de cláusulas presentada por una autoridad pública en virtud del Derecho del país de destino; o

–Tiene conocimiento de que las autoridades públicas han tenido acceso directo a los datos personales transferidos con arreglo al presente pliego de cláusulas en virtud del Derecho del país de destino; dicha notificación incluirá toda la información de que disponga el IMPORTADOR DE DATOS.

•Si se prohíbe al IMPORTADOR DE DATOS enviar la notificación al EXPORTADOR DE DATOS y/o al interesado en virtud del Derecho del país de destino, el IMPORTADOR DE DATOS se compromete a hacer todo lo posible para obtener una dispensa de la prohibición, con el fin de comunicar toda la información disponible y lo antes posible. El IMPORTADOR DE DATOS se compromete a documentar las actuaciones que realice a tal fin para poder justificar su diligencia si se lo pide el exportador de datos.

•En la medida en que lo permita el Derecho del país de destino, el IMPORTADOR DE DATOS se compromete a proporcionar al EXPORTADOR DE DATOS, a intervalos regulares durante el período de vigencia del contrato, la mayor cantidad posible de información pertinente sobre las solicitudes recibidas (en particular, el número de solicitudes, el tipo de datos solicitados, la autoridad o autoridades solicitantes, la impugnación de las solicitudes, el resultado de tales impugnaciones, etc.).

•El IMPORTADOR DE DATOS se compromete a conservar la información a que se refieren los apartados anteriores durante el período de vigencia del contrato y a ponerla a disposición de la autoridad de control competente previa solicitud.

ii.Control de la legalidad y minimización de datos.

•El IMPORTADOR DE DATOS se compromete a controlar la legalidad de la solicitud de comunicación y, en particular, si la autoridad pública solicitante está debidamente facultada para ello, así como a impugnar la solicitud si, tras una valoración minuciosa, llega a la conclusión de que existen motivos razonables para considerar que la solicitud es ilícita con arreglo al Derecho del país de destino, incluidas las obligaciones aplicables en virtud del Derecho internacional y los principios de cortesía internacional. EL IMPORTADOR DE DATOS agotará, en las mismas condiciones, las vías de recurso. Al impugnar una solicitud, el IMPORTADOR DE DATOS instará la aplicación de medidas cautelares para suspender los efectos de la solicitud hasta que la autoridad judicial competente se haya pronunciado sobre el fondo. No comunicará los datos personales solicitados hasta que se lo exija la normativa procesal aplicable. Estos requisitos se entienden sin perjuicio de las obligaciones que la estipulación SEXTA, letra e), atribuye al importador de datos.

•El IMPORTADOR DE DATOS se compromete a documentar sus valoraciones jurídicas y las impugnaciones de solicitudes de comunicación y a poner dicha documentación a disposición del EXPORTADOR DE DATOS en la medida en que lo permita el Derecho del país de destino. También pondrá dicha documentación a disposición de la autoridad de control competente previa solicitud.

•El IMPORTADOR DE DATOS se compromete a proporcionar la mínima información posible al responder a las solicitudes de comunicación, basándose en una interpretación razonable de la solicitud.

SEXTA.- DERECHOS DEL PAÍS Y OBLIGACIONES EN CASO DE ACCESO POR PARTE DE LAS AUTORIDADES PÚBLICAS.

a.Las partes aseguran que no tienen motivos para creer que el Derecho y las prácticas del tercer país de destino aplicables al tratamiento de los datos personales por el IMPORTADOR DE DATOS, especialmente los requisitos para la comunicación de los datos personales o las medidas de autorización de acceso por parte de las autoridades públicas, impidan al IMPORTADOR DE DATOS cumplir las obligaciones que le atribuye el presente pliego de cláusulas.

b.Las partes declaran que, al aportar la garantía a que se refiere la letra a), han tenido debidamente en cuenta, en particular, los aspectos siguientes:

i.Las circunstancias específicas de la transferencia; las transferencias ulteriores previstas; el tipo de destinatario; la finalidad del tratamiento; las categorías y el formato de los datos personales transferidos; el sector económico en el que tiene lugar la transferencia; el lugar de almacenamiento de los datos transferidos;

ii.El Derecho y las prácticas del tercer país de destino que sean pertinentes dadas las circunstancias específicas de la transferencia, así como las limitaciones y garantías aplicables;

iii.Las garantías contractuales, técnicas u organizativas pertinentes aportadas para complementar las garantías previstas en el presente pliego de cláusulas, especialmente incluidas las medidas aplicadas durante la transferencia y el tratamiento de los datos personales en el país de destino.

c.El IMPORTADOR DE DATOS asegura que, al llevar a cabo la valoración a que se refiere la letra b), ha hecho todo lo posible por proporcionar al EXPORTADOR DE DATOS la información pertinente y se compromete a seguir colaborando con el exportador de datos para garantizar el cumplimiento del presente pliego de cláusulas.

d.Las partes acuerdan documentar la evaluación a que se refiere la letra b) y ponerla a disposición de la autoridad de control competente previa solicitud.

e.El IMPORTADOR DE DATOS se compromete a notificar sin dilación indebida al EXPORTADOR DE DATOS si, tras haberse vinculado por el presente pliego de cláusulas y durante el período de vigencia del contrato, tiene motivos para creer que está o ha estado sujeto a normativa o prácticas que no se ajustan a los requisitos de la letra a), incluso a raíz de un cambio de la normativa en el tercer país o de una medida (como una solicitud de comunicación) que indique una aplicación de dicha normativa en la práctica que no se ajuste a los requisitos de la letra a).

f.De realizarse la notificación a que se refiere la letra e) o si el EXPORTADOR DE DATOS tiene motivos para creer que el IMPORTADOR DE DATOS ya no puede cumplir las obligaciones que le atribuye el presente pliego de cláusulas, el exportador de datos determinará sin dilación indebida las medidas adecuadas que deberán adoptar el exportador de datos y/o el importador de datos para poner remedio a la situación. El EXPORTADOR DE DATOS suspenderá la transferencia de los datos si considera que no hay garantías adecuadas o si así lo dispone la autoridad de control competente. En este supuesto, el EXPORTADOR DE DATOS estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas.

SÉPTIMA.- INCUMPLIMIENTO DEL PLIEGO DE CLÁUSULAS Y RESOLUCIÓN DEL CONTRATO.

a.El IMPORTADOR DE DATOS informará inmediatamente al EXPORTADOR DE DATOS en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b.En caso de que el IMPORTADOR DE DATOS incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el EXPORTADOR DE DATOS suspenderá la transferencia de datos personales al IMPORTADOR DE DATOS hasta que se vuelva a garantizar el cumplimiento o se resuelva el contrato.

c.El EXPORTADOR DE DATOS estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

i.El EXPORTADOR DE DATOS haya suspendido la transferencia de datos personales al importador de datos con arreglo a la letra b) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

ii.El IMPORTADOR DE DATOS vulnere de manera sustancial o persistente el presente pliego de cláusulas;

iii.El IMPORTADOR DE DATOS incumpla una resolución vinculante de un órgano jurisdiccional o autoridad de control competente en relación con las obligaciones que le atribuye el presente pliego de cláusulas.

En este supuesto, informará a la autoridad de supervisión competente de su incumplimiento.

d.Los datos personales que se hayan transferido antes de la resolución del contrato con arreglo a la letra c) deberán, a elección del EXPORTADOR DE DATOS, devolverse inmediatamente al exportador de datos o destruirse en su totalidad. Lo mismo será de aplicación a las copias de los datos. El IMPORTADOR DE DATOS acreditará la destrucción de los datos al exportador de datos. Hasta que se destruyan o devuelvan los datos, el IMPORTADOR DE DATOS seguirá garantizando el cumplimiento con el presente pliego de cláusulas. Si el Derecho del país aplicable al IMPORTADOR DE DATOS prohíbe la devolución o la destrucción de los datos personales transferidos, el IMPORTADOR DE DATOS se compromete a seguir garantizando el cumplimiento del presente pliego de cláusulas y solo tratará los datos en la medida y durante el tiempo que exija el Derecho del país.

e.Ninguna de las partes podrá revocar su consentimiento a quedar vinculada por el presente pliego de cláusulas si:

i.La Comisión Europea adopta una decisión de conformidad con el artículo 45.3, del Reglamento (UE) 2016/679 que regule la transferencia de datos personales a los que se aplique el presente pliego de cláusulas; o

ii.El Reglamento (UE) 2016/679 pasa a formar parte del ordenamiento jurídico del país al que se transfieren los datos personales. Ello se entiende sin perjuicio de otras responsabilidades que sean de aplicación al tratamiento en cuestión en virtud del Reglamento (UE) 2016/679.

OCTAVA.- RESPONSABILIDAD

a.Cada parte será responsable ante la(s) otra(s) de cualquier daño y perjuicio que le(s) cause por cualquier vulneración del presente pliego de cláusulas.

b.El IMPORTADOR DE DATOS será responsable ante el interesado; el interesado tendrá derecho a que se le indemnice por los daños y perjuicios materiales o inmateriales que el IMPORTADOR DE DATOS o su subencargado ocasionen al interesado por vulnerar los derechos de terceros beneficiarios que deriven del presente pliego de cláusulas.

c.A pesar de lo dispuesto en la letra b), el EXPORTADOR DE DATOS será responsable ante el interesado; el interesado tendrá derecho a que se le indemnice por los daños y perjuicios materiales o inmateriales que el EXPORTADOR DE DATOS o el IMPORTADOR DE DATOS (o su subencargado) ocasionen al interesado por vulnerar los derechos de terceros beneficiarios que deriven del presente pliego de cláusulas. Lo anterior se entiende sin perjuicio de la responsabilidad del EXPORTADOR DE DATOS y, cuando el EXPORTADOR DE DATOS sea un encargado que actúe por cuenta de un responsable, de la responsabilidad del responsable con arreglo al Reglamento (UE) 2016/679 o el Reglamento (UE) 2018/1725, según cuál sea de aplicación.

d.Las partes acuerdan que, si el EXPORTADOR DE DATOS es considerado responsable, de conformidad con la letra c), de los daños o perjuicios causados por el IMPORTADOR DE DATOS (o su subencargado), estará legitimado para exigir al IMPORTADOR DE DATOS la parte de la indemnización que sea responsabilidad del IMPORTADOR DE LOS DATOS.

e.Cuando más de una parte sea responsable de un daño o perjuicio ocasionado al interesado como consecuencia de una vulneración del presente pliego de cláusulas, todas las partes responsables serán responsables solidariamente.

f.Las partes acuerdan que, si una parte es considerada responsable con arreglo a la letra e), estará legitimada para exigir a la otra parte la parte de la indemnización correspondiente a su responsabilidad por el daño o perjuicio.

g.El IMPORTADOR DE DATOS no puede alegar la conducta de un subencargado del tratamiento para eludir su propia responsabilidad.

NOVENA.- LEY APLICABLE Y FORO.

a.El presente pliego de cláusulas se regirá por el Derecho del Estado miembro de la Unión Europea en que esté establecido el exportador de datos. Cuando dicho Derecho no admita la existencia de derechos de los terceros beneficiarios, se regirá por el Derecho de otro Estado miembro de la Unión Europea que sí la admita. Las partes acuerdan que sea el Derecho de España.

b.Cualquier controversia derivada del presente pliego de cláusulas será resuelta judicialmente en un Estado miembro de la Unión Europea.

c.Las partes acuerdan que sean los órganos jurisdiccionales de España.

d.Los interesados también podrán ejercer acciones judiciales contra el exportador de datos y/o el importador de datos en el Estado miembro en el que el interesado tenga su residencia habitual.

e.Las partes acuerdan someterse a la jurisdicción de dicho Estado miembro.

Y, para que así conste y en prueba de su conformidad, ambas partes suscriben el presente contrato, por duplicado y a un sólo efecto, en lugar y fecha señalados en el encabezamiento.

EXPORTADOR DE DATOS

IMPORTADOR DE DATOS

D./DÑA. ______________

ANDREA DONOSO (Authorized Member)

ANEXO

I.DESCRIPCIÓN DE LA TRANSFERENCIA

a)Categorías de interesados cuyos datos personales se transfieren: (Indicar las categorías de interesados afectados, por ejemplo: Clientes, usuarios, proveedores, empleados, pacientes…).

clientes, usuarios, pacientes

b)Categorías de datos personales transferidos: (Indicar las categorías de interesados afectados, por ejemplo: Conjunto de los datos de los clientes necesarios para el mantenimiento y cumplimiento de la relación con los mismos y la prestación de servicios derivada de dicha relación).

nombre, teléfono, fecha y tipo del último tratamiento, audio y transcripción de las llamadas, citas médicas

c)Datos sensibles transferidos (si procede) y restricciones o garantías aplicadas que tengan plenamente en cuenta la naturaleza de los datos y los riesgos que entrañan: (por ejemplo, la limitación estricta de la finalidad, restricciones de acceso, un registro del acceso a los datos, restricciones a transferencias ulteriores o medidas de seguridad adicionales).

Los datos tratados son, con carácter general, datos identificativos y de contacto. No obstante, al tratarse de llamadas, mensajes y citas de clínicas dentales y de estética, en las grabaciones, transcripciones y notas de cita pueden aparecer con carácter previsible datos relativos a la salud (artículo 9 del Reglamento (UE) 2016/679), como el motivo de la consulta o el tratamiento solicitado. Por ello, las partes tratarán estos datos como categoría especial a todos los efectos, y las medidas de seguridad del Anexo II se dimensionan para ese nivel de riesgo.

d)La frecuencia de la transferencia: (por ejemplo, si los datos se transfieren de una vez o de forma periódica).

Los datos se transfieren de forma periódica.

e)Naturaleza del tratamiento

Recogida, grabación, transcripción, estructuración, almacenamiento, consulta, sincronización externa y transmisión de datos. Canales de tratamiento: llamadas telefónicas y WhatsApp.

f) Finalidad(es) de la transferencia y posterior tratamiento de los datos:

-Recepción y atención de llamadas entrantes, así como agendamiento de citas en los bloques definidos por la clínica.

-Llamadas de reactivación a pacientes inactivos según la lista y oferta cargadas por la clínica.

-Envío de mensajes por WhatsApp desde números de KORNYX (cuenta verificada de WhatsApp Business a nombre de RZ ELITEPOWER SLU, titular transitorio), proporcionando una bandeja para la respuesta de la clínica.

-Solicitud de opinión y valoración a los pacientes tras la cita.

-Provisión de un panel de control con grabaciones, transcripciones y avisos internos que no incluyen datos de los pacientes.

-Exportación opcional de citas a Google Calendar.

g)El plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo:

Las grabaciones, transcripciones y resúmenes de todas las llamadas se conservan como máximo 30 días; los contactos y las citas, mientras dure la relación contractual con el EXPORTADOR DE DATOS. Al terminar la relación, los datos se entregan al EXPORTADOR DE DATOS solo si los solicita y se suprimen en un máximo de 30 días, sin perjuicio de su permanencia hasta 7 días más en las copias de seguridad hasta que caduquen y de lo indicado sobre Vapi, Inc. en el Anexo III.

h)En caso de transferencia a (sub)encargados, especifíquese también el objeto, la naturaleza y la duración del tratamiento

Los subencargados, con su objeto y naturaleza del tratamiento, figuran en el Anexo III; la duración es la de la relación contractual con el EXPORTADOR DE DATOS y, en todo caso, la indicada en la letra g).

Autoridad de control competente (Anexo I.C): Agencia Española de Protección de Datos (AEPD), como autoridad responsable de garantizar que el EXPORTADOR DE DATOS cumpla el Reglamento (UE) 2016/679 en cuanto a la transferencia.

II.MEDIDAS DE SEGURIDAD

El IMPORTADOR DE DATOS deberá aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas físicas. En tal sentido, el IMPORTADOR DE DATOS deberá tener en consideración los siguientes criterios en relación con la aplicación de las citadas medidas técnicas y organizativas:

1.Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales.

2.Se deben incluir medidas para asegurar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

3.Se deben incluir medidas para asegurar la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.

4.Se debe incluir un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

5.Se deben tomar medidas para garantizar que las personas autorizadas para acceder a los datos personales solo puedan tratar dichos datos de acuerdo a las instrucciones del responsable.

6.Medidas específicas aplicadas por el IMPORTADOR DE DATOS:

7.Aislamiento de los datos de cada clínica y acceso a los datos restringido por clínica. Almacenamiento de grabaciones privado.

8.Datos alojados en la UE: base de datos en Irlanda y servidor de la aplicación en Alemania.

9.Cifrado en tránsito: HTTPS en la aplicación. Todas las llamadas de los centros, salientes y entrantes, se realizan con números de Zadarma, con cifrado en ambos sentidos (TLS en la señalización y SRTP en el audio), verificado por KORNYX el 31/10/2026 en las salientes y el 3/11/2026 en las entrantes. El tramo entre el operador y el teléfono del paciente es la red telefónica pública, ajena al control de KORNYX.

10.Cifrado en reposo del proveedor en la base de datos y el almacenamiento, y cifrado propio AES-256-GCM de los accesos a Google Calendar y WhatsApp.

11.Transcripciones, resúmenes y grabaciones de todas las llamadas: se borran automáticamente a los 30 días. Al terminar el contrato, todos los datos de pacientes de la clínica se entregan a la clínica solo si los solicita y se borran en un máximo de 30 días. El tratamiento de estos datos por Vapi, Inc. se describe en el Anexo III.

12.Copias de seguridad diarias automáticas de la base de datos en Supabase (Irlanda), conservadas 7 días; las grabaciones no se incluyen en ellas. Los datos borrados pueden permanecer hasta 7 días más en las copias hasta que caducan.

13.Ningún aviso interno (por ejemplo, por Telegram) lleva datos de pacientes: incluye solo el nombre de la clínica y sus datos de contacto, el tipo de evento y un identificador.

14.Registro de accesos de administrador, no modificable ni borrable desde la aplicación, y limitación del acceso del personal de administración a lo estrictamente necesario.

III.LISTA DE SUBENCARGADOS DEL TRATAMIENTO

El EXPORTADOR DE DATOS ha autorizado que se recurra a los subencargados siguientes:

RZ ELITEPOWER SLU: Titular transitorio de la cuenta verificada de WhatsApp Business (Meta) y, en su caso, de contratos de telefonía. Datos: Los que traten Meta y los operadores de telefonía por cuenta de KORNYX. Ubicación y garantía: España (UE). Transitorio: los contratos pasarán a KORNYX LLC y se avisará a las clínicas.

Luis María Rodríguez Rodríguez: Titular transitorio, a título personal, de las cuentas de Zadarma y Supabase y del servidor de la aplicación. Datos: Los que traten esos proveedores por cuenta de KORNYX. Ubicación y garantía: España (UE). Transitorio: las cuentas pasarán a KORNYX LLC y se avisará a las clínicas.

Vapi, Inc.: Plataforma de voz de las llamadas (orquestación, grabación y transcripción). Datos: Audio, transcripción y metadatos de las llamadas; datos que KORNYX le envía en cada llamada (en las que hace el centro: nombre de pila del paciente, últimas cifras del teléfono, último tratamiento y, en dental, fecha de la última visita; en las que recibe el centro: si quien llama es paciente, su nombre completo y la campaña); y lo que la agente apunta al reservar (nombre, teléfono y motivo de la visita). Ubicación y garantía: EE. UU. Cláusulas contractuales tipo incluidas en su acuerdo de tratamiento. Subencargados de Vapi para este servicio: Anthropic (modelo de lenguaje), Deepgram (transcripción), ElevenLabs (voz) y Cloudflare (almacenamiento temporal de grabaciones). Conservación: Vapi borra la grabación y la conversación, pero conserva otros datos, como el nombre del paciente y su último tratamiento, sin que haya confirmado una fecha de borrado. Desde el 2/11/2026 KORNYX ha dejado de enviarle los datos que no son necesarios y le ha pedido por escrito que purgue lo que ya conserva y que confirme si su modo sin conservación de datos cubre todo lo anterior.

Zadarma (Voice Cloud S.L., Valencia): Telefonía de todos los centros (llamadas salientes y entrantes). Datos: Número de teléfono, metadatos y audio de las llamadas. Ubicación y garantía: UE (España), sin transferencia internacional.

Anthropic, PBC / Anthropic Ireland Limited: Clasificación y resumen de transcripciones de llamadas y textos de WhatsApp de pacientes. Datos: Transcripciones de llamadas y textos de WhatsApp. Ubicación y garantía: EE. UU. Acuerdo de tratamiento de datos con cláusulas contractuales tipo (módulos 2 y 3).

Meta (WhatsApp Ireland Limited / Meta Platforms Ireland Limited): Mensajería con pacientes por la API oficial de WhatsApp Business, desde números de KORNYX (cuenta verificada a nombre de RZ ELITEPOWER SLU, titular transitorio). Datos: Nombre, teléfono y contenido de los mensajes. Ubicación y garantía: Irlanda (UE), con transferencias a EE. UU. conforme al Data Transfer Addendum de WhatsApp Business.

Google Ireland Limited / Google LLC: Google Calendar, solo si la clínica lo conecta. Datos: Nombre, teléfono e identificador de la cita. Ubicación y garantía: Irlanda (UE) / EE. UU., amparada por el Marco de Privacidad de Datos UE-EE. UU.

Supabase Pte. Ltd. (Singapur): Base de datos y almacenamiento de la aplicación. Datos: Todos los datos de la plataforma. Ubicación y garantía: datos alojados en la UE (Irlanda); la sociedad proveedora está establecida en Singapur y su soporte y algunos subencargados pueden acceder desde EE. UU. y Singapur. Cláusulas contractuales tipo de la Decisión (UE) 2021/914 (módulo dos o tres según el caso, con ley y tribunales de Irlanda) incluidas en su acuerdo de tratamiento y aceptadas con los términos del servicio.

Hostinger: Servidor de la aplicación. Datos: Datos tratados por la aplicación. Ubicación y garantía: Alemania (UE).

CLÁUSULAS ADICIONALES

Las partes acuerdan las siguientes cláusulas adicionales, que no contradicen las cláusulas contractuales tipo ni restringen los derechos de los interesados. En caso de contradicción, prevalecen las cláusulas contractuales tipo.

PRIMERA.- Identificación del sistema de inteligencia artificial y uso de los datos. El IMPORTADOR DE DATOS garantizará que el agente de voz con IA se identifica como sistema de inteligencia artificial ante la persona que llama o recibe la llamada, al inicio de la interacción, conforme al artículo 50 del Reglamento (UE) 2024/1689, y no utilizará los datos del EXPORTADOR DE DATOS para entrenar modelos de inteligencia artificial propios o de terceros.

SEGUNDA.- Acceso del personal de administración. El IMPORTADOR DE DATOS limitará el acceso de su personal de administración a grabaciones, transcripciones y mensajes de los pacientes a los casos estrictamente necesarios para soporte o mantenimiento, y dejará constancia de cada acceso en un registro que no pueda modificarse desde la aplicación y que pondrá a disposición del EXPORTADOR DE DATOS a su solicitud.

TERCERA.- Representante en la Unión. El IMPORTADOR DE DATOS ha designado por escrito como su representante en la Unión Europea, conforme al artículo 27 del Reglamento (UE) 2016/679, a AZNAR GALLEGO, LUCIA 000458021A, SLNE (NIF B10312031), con domicilio en Calle Berna 6 bajo, 10005 Cáceres, correo electrónico representante-ue@kornyx.com. Se compromete a mantener esa designación mientras dure esta relación y a comunicar sin demora al EXPORTADOR DE DATOS cualquier cambio de representante.

CUARTA.- Transferencias ulteriores. El IMPORTADOR DE DATOS y sus subencargados solo podrán tratar datos personales fuera del Espacio Económico Europeo si el destinatario cuenta con una decisión de adecuación aplicable (incluido el Marco de Privacidad de Datos UE-EE. UU. cuando esté certificado) o, en su defecto, con cláusulas contractuales tipo u otra garantía del artículo 46 del Reglamento (UE) 2016/679, con la evaluación de impacto de la transferencia cuando proceda. El IMPORTADOR DE DATOS indicará en el Anexo III la ubicación y la garantía aplicable de cada subencargado y la acreditará al EXPORTADOR DE DATOS a su solicitud.

QUINTA.- Datos de salud. Las partes tratarán como categoría especial (artículo 9 del Reglamento (UE) 2016/679) los datos que aparezcan en grabaciones, transcripciones, mensajes y notas de cita, ya que pueden incluir previsiblemente datos relativos a la salud.

SEXTA.- Llamadas comerciales a pacientes. El EXPORTADOR DE DATOS es responsable de contar con una base jurídica válida para las llamadas de reactivación y demás comunicaciones comerciales a sus pacientes (en particular, el consentimiento previo cuando la normativa lo exija), de informar a sus pacientes de este tratamiento y de decidir las listas y ofertas que carga en la plataforma. Al cargar cada lista, el EXPORTADOR DE DATOS marcará una casilla declarando que los pacientes incluidos han dado su consentimiento para recibir llamadas comerciales con inteligencia artificial, y el IMPORTADOR DE DATOS conservará constancia de esa declaración (usuario, fecha y lista). El IMPORTADOR DE DATOS solo realizará esas llamadas siguiendo sus instrucciones, identificará al inicio de cada una al centro y la finalidad comercial, atenderá de inmediato cualquier oposición o negativa a recibir llamadas y dejará constancia de ella.