El presente Anexo de tratamiento de datos (el “DPA”) complementa las Condiciones del servicio (el “Contrato”) entre EKO MÜŞAVİRLİK MÜMESSİLLİK İNŞAAT İTHALAT VE İHRACAT SANAYİ TİCARET LİMİTED ŞİRKETİ (“EKO”, “Comturk” o “nosotros”) y usted (el “Cliente” o el “Responsable del Tratamiento”). Este DPA se aplica cuando, y en la medida en que, tratemos Datos Personales por cuenta de usted en calidad de Encargado del Tratamiento en el marco de la prestación de los Servicios.

1. Definiciones

“Datos Personales”: toda información sobre una persona física identificada o identificable que Comturk trate por cuenta del Cliente.
“Tratamiento”: cualquier operación realizada sobre Datos Personales (recogida, registro, organización, conservación, adaptación, extracción, utilización, comunicación, supresión, etc.).
“Responsable del Tratamiento”: el Cliente, que determina los fines y medios del Tratamiento.
“Encargado del Tratamiento”: Comturk, que trata Datos Personales por cuenta del Responsable del Tratamiento.
“Subencargado del Tratamiento”: un tercero contratado por Comturk para colaborar en el Tratamiento.
“Leyes de Protección de Datos”: el GDPR, el UK GDPR, la CCPA/CPRA y cualquier otra legislación de protección de datos aplicable.
“CCT”: las cláusulas contractuales tipo de la UE para las transferencias internacionales de datos.

2. Alcance del tratamiento

Objeto	Prestación de servicios de atención al cliente asistida por IA, mensajería, bandeja de entrada y asistente telefónico con IA
Duración	Duración del Contrato más 90 días para la supresión de los datos
Naturaleza y finalidad	Enrutamiento, almacenamiento y tratamiento de mensajes y conversaciones; respuestas generadas por IA; tratamiento en tiempo real del audio de las llamadas, transcripciones y resúmenes de llamadas, y grabaciones de llamadas cuando el Cliente activa la grabación; análisis e informes
Categorías de interesados	Usuarios finales del Cliente (incluidas las personas que llaman y las personas a las que se llama siguiendo instrucciones del Cliente), empleados y agentes del Cliente
Tipos de Datos Personales	Nombre, correo electrónico, número de teléfono, contenido de los mensajes, dirección IP, identificadores de dispositivo, identificadores de canal, audio de llamadas, grabaciones de llamadas (cuando están activadas), transcripciones y resúmenes de llamadas, metadatos de llamadas (números de teléfono, fecha, hora y duración)

3. Obligaciones del Cliente

El Cliente es responsable de la licitud del Tratamiento de los Datos Personales, lo que incluye obtener todos los consentimientos necesarios y facilitar la información pertinente a los interesados.
El Cliente no facilitará Datos Personales Sensibles (p. ej., datos de salud, biométricos o de cuentas financieras), salvo que se acuerde expresamente por escrito.
Las instrucciones del Cliente relativas al Tratamiento deberán cumplir las Leyes de Protección de Datos aplicables.

4. Obligaciones del Encargado del Tratamiento

Tratar los Datos Personales únicamente siguiendo instrucciones documentadas del Cliente, incluso con respecto a las transferencias de Datos Personales a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud de la legislación aplicable; en tal caso, Comturk informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicha legislación lo prohíba por razones importantes de interés público.
Informar inmediatamente al Cliente si, en opinión de Comturk, una instrucción infringe el GDPR u otras Leyes de Protección de Datos.
Garantizar que las personas autorizadas para tratar Datos Personales estén sujetas a obligaciones de confidencialidad.
Aplicar y mantener medidas de seguridad técnicas y organizativas apropiadas (véase la sección 6).
Asistir al Cliente en la respuesta a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, oposición) en plazos razonables.
Teniendo en cuenta la naturaleza del Tratamiento y la información de que disponga Comturk, ayudar al Cliente a garantizar el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del GDPR, incluidas la seguridad del tratamiento, la notificación de violaciones de la seguridad de los Datos Personales, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a las autoridades de control.
Recurrir a Subencargados del Tratamiento únicamente en las condiciones establecidas en la sección 5.
Notificar al Cliente sin dilación indebida (y en un plazo de 72 horas) tras tener conocimiento de una violación de la seguridad de los Datos Personales.
Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento y permitir la realización de auditorías (véase la sección 8).
Suprimir o devolver todos los Datos Personales a la terminación del Contrato, a elección del Cliente, en un plazo de 90 días, salvo que la ley exija su conservación.

5. Subencargados del Tratamiento

El Cliente otorga a Comturk una autorización general para recurrir a los Subencargados del Tratamiento indicados en nuestra Política de privacidad (sección 16).
Notificaremos al Cliente cualquier cambio de Subencargados del Tratamiento con al menos 30 días de antelación.
El Cliente podrá oponerse a un nuevo Subencargado del Tratamiento en un plazo de 14 días desde la notificación. Si la oposición no se resuelve, el Cliente podrá poner fin a los Servicios afectados.
Comturk impone a cada Subencargado del Tratamiento, mediante contrato por escrito, las mismas obligaciones de protección de datos que las establecidas en este DPA y sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de cada Subencargado del Tratamiento.
El Cliente puede solicitar en privacy@comturk.com la lista actualizada de los Subencargados del Tratamiento que tratan sus Datos Personales, con su nombre, finalidad y ubicación.

6. Medidas de seguridad

Aplicamos y mantenemos las siguientes medidas técnicas y organizativas:

Cifrado: TLS 1.2+ en tránsito; cifrado AES‑256 en reposo para los datos almacenados.
Control de acceso: acceso basado en roles, autenticación multifactor para los sistemas internos, principio de mínimo privilegio.
Seguridad de la red: cortafuegos, detección de intrusiones, protección contra ataques DDoS, segmentación de la red.
Supervisión: registro y alertas continuos, análisis periódicos de vulnerabilidades.
Personal: verificación de antecedentes, formación en concienciación sobre seguridad, obligaciones de confidencialidad (NDA).
Continuidad del negocio: copias de seguridad periódicas, procedimientos de recuperación ante desastres, infraestructura redundante.
Gestión de proveedores: diligencia debida respecto de los Subencargados del Tratamiento, garantías contractuales.

7. Transferencias internacionales

Cuando se transfieran Datos Personales fuera del EEE/Reino Unido a países que no estén cubiertos por una decisión de adecuación (incluida Turquía, donde estamos establecidos), nos basamos en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión (CCT) —Módulo Dos (de responsable a encargado) y, cuando el Cliente sea a su vez encargado del tratamiento, Módulo Tres (de encargado a encargado)—, que quedan incorporadas al presente DPA por referencia. Las transferencias se realizan únicamente siguiendo instrucciones documentadas del Cliente, que incluyen el presente DPA y el Contrato.
Para las transferencias del Reino Unido, aplicamos a las CCT el anexo de transferencia internacional de datos del Reino Unido (UK International Data Transfer Addendum).
Se aplican medidas complementarias (cifrado, controles de acceso, seudonimización) según corresponda.

8. Derechos de auditoría

Previa solicitud razonable por escrito (no más de una vez al año), el Cliente podrá realizar una auditoría, o designar a un auditor externo cualificado, para verificar el cumplimiento de este DPA por parte de Comturk.
Las auditorías se realizarán en horario laboral, con un preaviso razonable (mínimo de 30 días) y con sujeción a obligaciones de confidencialidad.
Comturk facilitará la documentación, las certificaciones y los informes de auditoría pertinentes como alternativa a las auditorías in situ, cuando proceda.

9. Respuesta ante violaciones de la seguridad de los datos

Notificaremos al Cliente cualquier violación de la seguridad de los Datos Personales sin dilación indebida tras tener conocimiento de ella y, en todo caso, en un plazo de 72 horas.
La notificación incluirá: la naturaleza de la violación, las categorías y el número aproximado de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.
Cooperaremos con el Cliente en la investigación y mitigación de la violación y en el cumplimiento de las obligaciones del Cliente de notificar a las autoridades de control y a los interesados.

10. Vigencia y terminación

Este DPA entra en vigor cuando el Cliente comienza a utilizar los Servicios por primera vez y termina cuando termina el Contrato. Las secciones 4 (obligaciones de supresión), 6 (seguridad) y 8 (auditoría) subsistirán durante 12 meses tras la terminación.

11. Legislación aplicable

Este DPA se rige por la misma legislación que el Contrato (la legislación de la República de Turquía), con la salvedad de que las obligaciones en materia de protección de datos se interpretarán de conformidad con las Leyes de Protección de Datos aplicables.

12. Contacto

Para consultas relacionadas con el DPA:
EKO MÜŞAVİRLİK MÜMESSİLLİK İNŞAAT İTHALAT VE İHRACAT SANAYİ TİCARET LİMİTED ŞİRKETİ
Esentepe Mah. Büyükdere Cad. Ferko Signature No:175 İç Kapı No:7, Şişli/İstanbul, Turquía
Teléfono: +90 (212) 909 02 40
Correo electrónico certificado (KEP): ekoticaret@hs01.kep.tr
Correo electrónico: privacy@comturk.com

— Fin del Anexo de tratamiento de datos —

Anexo de tratamiento de datos (DPA)