Aviso: esta versión española se proporciona únicamente con fines informativos. En caso de divergencia entre versiones, prevalecerá la versión inglesa.

El presente Master Data Processing Addendum ("MDPA") se incorpora por referencia al acuerdo que regula el uso de los servicios de Voice2Evolve ("Acuerdo") celebrado entre usted, el Cliente (según se define en el Acuerdo) ("Cliente"), y Voice2Evolve UG (haftungsbeschränkt) ("Voice2Evolve"), para reflejar el acuerdo de las Partes respecto del tratamiento de Datos personales por Voice2Evolve exclusivamente por cuenta del Cliente. Ambas partes se denominarán conjuntamente las "Partes" e individualmente una "Parte".

Salvo que se especifique lo contrario en este MDPA, los términos del Acuerdo continuarán plenamente vigentes. Todos los términos con mayúscula inicial no definidos en este MDPA tendrán el significado establecido en el Acuerdo. Cualquier cláusula o acuerdo anterior relativo a privacidad o protección de datos entre Voice2Evolve y el Cliente queda sustituido por este MDPA.

Este MDPA entró en vigor originalmente el 08.02.2026 y fue actualizado por última vez el 27 de abril de 2026. Es efectivo entre el Cliente y Voice2Evolve desde la fecha de entrada en vigor del Acuerdo (la "Fecha de entrada en vigor del MDPA").

Las Partes acuerdan lo siguiente.

1. Definiciones

Salvo definición contraria en este documento, los términos con mayúscula inicial tienen el significado previsto en las leyes aplicables de protección de datos.

Afiliada: cualquier entidad que controle directa o indirectamente a una Parte, esté controlada por ella o esté bajo control común con ella.
Jurisdicción aprobada: cualquier país del EEE o reconocido por la Comisión Europea como garante de un nivel adecuado de protección.
Responsable del tratamiento: entidad que determina los fines y medios del tratamiento de Datos personales.
Encargado del tratamiento: entidad que trata Datos personales por cuenta de un Responsable.
Datos personales: cualquier información relativa a una persona física identificada o identificable.
Tratamiento: cualquier operación realizada sobre Datos personales, como recogida, almacenamiento, modificación, transmisión o supresión.
Subencargado: encargado tercero contratado por Voice2Evolve.
Interesado: persona física identificable a la que se refieren los Datos personales.
Medidas de seguridad: medidas técnicas y organizativas implementadas por Voice2Evolve según el Anexo A.
Violación de datos: incidente de seguridad que produzca destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, de forma accidental o ilícita, a Datos personales.
Autoridad de control: autoridad pública independiente establecida conforme al artículo 51 RGPD.
Categorías especiales de Datos personales: las definidas en el artículo 9 RGPD, incluidos datos de salud, biométricos o relativos a condenas penales.
Leyes de protección de datos: RGPD, UK GDPR, CPRA y, cuando corresponda, PIPEDA de Canadá y la ley de Quebec sobre protección de información personal en el sector privado, modificada por Law 25, conjuntamente.

2. Funciones y responsabilidades

2.1 Relación entre las Partes

El Cliente actúa como Responsable del tratamiento y Voice2Evolve actúa como Encargado del tratamiento.

2.2 Instrucciones del Cliente

Voice2Evolve tratará Datos personales solo siguiendo instrucciones documentadas del Cliente. Si Voice2Evolve considera que una instrucción infringe el RGPD o la ley aplicable, informará inmediatamente al Cliente.

2.3 Alcance y finalidad

El tratamiento cubre sparring de voz basado en IA, transcripción, puntuación y analítica relacionada.

2.4 Duración

El tratamiento continúa durante la vigencia del Acuerdo y finaliza cuando todos los datos sean devueltos o suprimidos conforme a la Sección 14.

2.5 Categorías especiales y datos de voz

Los Servicios tratan audio de voz en directo para sparring conversacional, formación y análisis basados en IA. En el flujo de servicio actualmente documentado, Voice2Evolve no conserva audio bruto de sesión después del tratamiento y no trata datos de voz con el fin de identificar de forma única a una persona física (identificación biométrica) en el sentido del artículo 9(1) RGPD. Por tanto, el audio de voz en directo tratado bajo este MDPA no se considera Categoría especial de Datos personales únicamente por ser dato de voz. El Cliente no deberá enviar Categorías especiales de Datos personales (artículo 9 RGPD) a los Servicios salvo acuerdo escrito expreso.

2.6 Decisiones automatizadas

Los Servicios generan puntuaciones, análisis y feedback mediante modelos de IA. Estos resultados se proporcionan solo con fines informativos y formativos y no producen efectos jurídicos ni efectos significativamente similares sobre los Interesados en el sentido del artículo 22(1) RGPD. No se toman decisiones con consecuencias jurídicas o equivalentes basadas exclusivamente en tratamiento automatizado.

2.7 Aislamiento de datos por tenant

Voice2Evolve garantiza contractualmente la separación lógica de los Datos personales de cada Cliente respecto de otros clientes. El aislamiento se aplica mediante políticas de row-level security en base de datos, autenticación limitada al tenant y controles de acceso de aplicación. Ningún Dato personal de un Cliente se mezcla con los de otro ni es accesible para otro cliente.

2.8 Contacto de protección de datos

El contacto designado para cuestiones de protección de datos bajo este MDPA es: Voice2Evolve UG (haftungsbeschränkt) — Email: help@voice2evolve.com

3. Obligaciones del Responsable

El Cliente notificará sin demora a Voice2Evolve cualquier reclamación, solicitud o investigación de Interesados o Autoridades de control relacionada con el tratamiento bajo este MDPA. Ambas Partes cooperarán para asegurar comunicación coherente y oportuna con reguladores e Interesados.

El Cliente deberá:

asegurar una base jurídica para todos los datos proporcionados;
cumplir obligaciones de información y consentimiento frente a los Interesados;
proporcionar datos exactos y minimizados;
documentar sus finalidades de tratamiento y notificar cambios a Voice2Evolve.

4. Obligaciones del Encargado (art. 28(3)(a)-(h) RGPD) y cumplimiento transjurisdiccional

Voice2Evolve también cumple obligaciones equivalentes de Encargado bajo leyes estatales de privacidad de EE. UU., incluidas CPRA (California) y CDPA (Virginia), y bajo leyes canadienses de privacidad, incluidas PIPEDA y Quebec Law 25, aplicando principios coherentes de protección de datos, confidencialidad y derechos de consumidores.

Voice2Evolve deberá:

tratar Datos personales solo siguiendo instrucciones escritas del Cliente;
asegurar confidencialidad del personal (art. 28(3)(b));
implementar medidas técnicas y organizativas adecuadas (art. 28(3)(c));
respetar la autorización de subencargados y mantener una lista actualizada (art. 28(3)(d));
ayudar al Cliente a responder solicitudes de Interesados (art. 28(3)(e));
ayudar al Cliente con DPIA y consultas a autoridades de control (art. 28(3)(f));
suprimir o devolver datos tras la terminación salvo obligación legal (art. 28(3)(g));
poner a disposición información necesaria para demostrar cumplimiento y apoyar la verificación según la Sección 10 (art. 28(3)(h));
cooperar con autoridades de control;
mantener registros de tratamiento conforme al art. 30(2) RGPD.

5. Subtratamiento

Voice2Evolve podrá contratar subencargados según se listan en el Anexo B y en la lista pública vigente de subencargados. Los subencargados que traten Datos personales por cuenta de Voice2Evolve estarán sujetos a términos escritos de tratamiento de datos, garantías de transferencia y obligaciones de seguridad adecuadas a su función. Voice2Evolve seguirá siendo responsable de los actos y omisiones de los subencargados que contrate bajo este MDPA.

Para evitar dudas: cuando un Interesado elige autenticarse mediante un proveedor externo de identidad (por ejemplo Google o Microsoft Azure), dicho proveedor puede actuar como responsable independiente para el tratamiento realizado dentro de su propio servicio de autenticación. Esos proveedores no son contratados por Voice2Evolve como subencargados salvo que estén expresamente listados en el Anexo B para tratar Datos personales del Cliente por cuenta del Cliente.

5.1 Preaviso de nuevos subencargados

Voice2Evolve notificará al Cliente al menos treinta (30) días naturales antes de autorizar a un nuevo subencargado a tratar Datos personales. La notificación se realizará mediante los datos de contacto asociados a la cuenta del Cliente o mediante un mecanismo de notificación de cambios al que el Cliente pueda suscribirse.

5.2 Derecho de oposición

El Cliente podrá oponerse a un nuevo subencargado por motivos razonables de protección de datos mediante notificación escrita a Voice2Evolve dentro del plazo de preaviso de treinta (30) días. Voice2Evolve hará esfuerzos comercialmente razonables para atender la oposición, incluso ofreciendo un subencargado o configuración alternativa. Si Voice2Evolve no puede atender razonablemente la oposición en treinta (30) días, el Cliente podrá resolver los Servicios afectados, o el Acuerdo si el subencargado es integral para todo el Servicio, sin penalización, mediante aviso escrito antes de que el nuevo subencargado comience el tratamiento.

6. Medidas de seguridad (art. 32 RGPD)

Voice2Evolve mantiene las Medidas de seguridad descritas en el Anexo A, incluidas:

cifrado de datos en reposo y en tránsito;
control de acceso basado en roles y mínimo privilegio;
autenticación multifactor;
registro, monitorización y gestión de incidentes;
evaluaciones periódicas de vulnerabilidades y pruebas de seguridad proporcionales al riesgo;
supresión segura y política de retención de 30 días.

7. Notificación de violación de datos (art. 33 RGPD)

Voice2Evolve notificará al Cliente cualquier Violación de Datos personales sin dilación indebida y, a más tardar, setenta y dos (72) horas después de tener conocimiento de ella. La notificación inicial incluirá, en la medida razonablemente disponible, la naturaleza de la violación, categorías y número aproximado de Interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas. Cuando no estén disponibles todos los detalles, Voice2Evolve proporcionará información adicional por fases sin dilación indebida.

8. Derechos de los Interesados

Verificación de identidad

Antes de atender cualquier solicitud de un Interesado, Voice2Evolve verifica la identidad del solicitante conforme al artículo 12(6) RGPD. Los métodos pueden incluir autenticación mediante credenciales de cuenta registrada u otros procesos razonables para evitar acceso o divulgación no autorizados. (Arts. 15-22 RGPD)

Voice2Evolve ayudará al Cliente a atender solicitudes de acceso, rectificación, limitación, supresión, portabilidad u oposición. Para portabilidad, Voice2Evolve pondrá los Datos personales pertinentes a disposición en formato estructurado, de uso común y legible por máquina (JSON o CSV). Voice2Evolve no responderá directamente a Interesados salvo autorización del Cliente.

9. Transferencias internacionales (arts. 44-49 RGPD)

Voice2Evolve realiza Transfer Impact Assessments (TIA) antes de cualquier transferencia internacional de datos conforme a orientaciones del EDPB, considerando leyes de vigilancia, acceso de autoridades públicas y vías de recurso. Las TIA se mantienen en nuestra documentación de proveedores y están disponibles para Clientes previa solicitud legítima.

Las transferencias fuera del EEE se basarán en:

Cláusulas contractuales tipo de la UE (Anexo C);
Addendum del Reino Unido (Anexo D); o
decisiones de adecuación u otras garantías lícitas.

Voice2Evolve asegura que los datos transferidos a terceros países mantengan un nivel de protección equivalente al RGPD.

10. Verificación de cumplimiento y documentación

Voice2Evolve pondrá a disposición información razonablemente necesaria para demostrar cumplimiento mediante documentación escrita y medidas de assurance remotas diseñadas para proteger seguridad, confidencialidad y privacidad de otros clientes. No se ofrecen inspecciones rutinarias in situ de residencias privadas, oficinas domésticas o centros de datos de terceros.

El Cliente puede solicitar información de cumplimiento anualmente o tras una Violación de Datos personales confirmada que afecte a Datos del Cliente.
Voice2Evolve puede satisfacer estas solicitudes mediante políticas, resúmenes de seguridad, respuestas a cuestionarios, resúmenes de auditorías o certificaciones independientes y sesiones remotas de aclaración.
Cualquier inspección más allá de revisión documental o remota requiere acuerdo escrito previo de Voice2Evolve u obligación legal imperativa clara de una autoridad competente.
La documentación necesaria se mantendrá y proporcionará previa solicitud, sujeta a garantías de confidencialidad, seguridad y proporcionalidad.

11. Responsabilidad

La responsabilidad total de cada Parte derivada de este MDPA o relacionada con él estará limitada al total de tarifas pagadas bajo el Acuerdo durante los doce (12) meses anteriores al hecho que originó la reclamación.

Esta limitación no se aplica a: (a) responsabilidad por dolo o fraude; (b) infracciones de Leyes de protección de datos en la medida en que la responsabilidad no pueda limitarse por ley imperativa; (c) incumplimientos de obligaciones de confidencialidad.

Cada Parte será exclusivamente responsable de multas administrativas, sanciones o medidas impuestas directamente por una Autoridad de control como resultado de su propio incumplimiento.

12. Cumplimiento suizo de protección de datos (FADP)

Voice2Evolve también cumple la Ley Federal Suiza de Protección de Datos (FADP). Para transferencias desde Suiza, se aplican las mismas garantías, Cláusulas contractuales tipo y Medidas de seguridad previstas en este MDPA. La autoridad competente es el Federal Data Protection and Information Commissioner (FDPIC).

13. Ley aplicable y jurisdicción

Este MDPA se regirá por las leyes de la República Federal de Alemania. La jurisdicción para controversias será Stuttgart, Alemania, salvo que una ley imperativa disponga lo contrario.

14. Conservación y supresión de datos

Voice2Evolve mantiene calendarios claros de conservación y supresión de datos para cumplir los artículos 30 y 32 RGPD. Todos los Datos personales se almacenan solo durante el tiempo necesario para las finalidades del tratamiento o para cumplir obligaciones legales. Los periodos se definen según estos criterios:

Transcripciones de sesión: sujetas a la configuración del Cliente (7-365 días; predeterminado 30 días). Al vencimiento, el Cliente puede elegir anonimizar en sitio, sustituyendo contenido hablado por un marcador redactado y conservando metadatos de sesión, en lugar de suprimir. La opción de anonimización al vencimiento está activada por defecto. Sin configuración, las transcripciones se anonimizan o suprimen en 30 días desde la finalización de la sesión.
Analíticas y puntuaciones de sesión (no transcripción): puntuaciones, resultados de análisis, métricas conductuales y otros datos no transcritos se conservan durante la cuenta de usuario y se suprimen en 30 días tras el cierre, salvo solicitud anterior del Cliente o Interesado.
Informes de evaluación de calidad del servicio: conservados 30 días y luego suprimidos. Evalúan componentes del servicio y no contienen datos de evaluación de usuarios. Véase Sección 15.1.
Datos agregados anonimizados: datos conductuales plenamente anonimizados y k-anónimos, de los que no puede reidentificarse individuo, sesión o tenant, se conservan indefinidamente al quedar fuera de Datos personales conforme al artículo 4(1) RGPD y Considerando 26. Véase Sección 15.2.
Devolución post-terminación: al terminar o expirar el Acuerdo, Voice2Evolve pondrá los Datos personales del Cliente disponibles para exportación durante noventa (90) días naturales. Después, Voice2Evolve suprimirá o anonimizará de forma segura los Datos personales restantes salvo obligación legal.
Datos de cuenta de usuario: conservados durante la cuenta y suprimidos de forma segura en 30 días tras el cierre.
Registros de pago y facturación: mantenidos por periodos fiscales y contables legales (normalmente 6-10 años).
Logs de auditoría y seguridad: conservados 90 días salvo mayor retención requerida para investigación de incidentes o cumplimiento.

Voice2Evolve asegura métodos de borrado seguro y pistas de auditoría de actividades de supresión. La Sociedad revisa anualmente las políticas de conservación y ajusta los calendarios a requisitos regulatorios y operativos.

15. Finalidades secundarias autorizadas de Voice2Evolve

Sin perjuicio de la Sección 4.1, los siguientes usos secundarios de Datos del Cliente están expresamente autorizados por el Acuerdo y no constituyen tratamiento fuera de instrucciones documentadas.

15.1 Evaluación de calidad del servicio

Voice2Evolve opera un proceso automatizado de evaluación de calidad del servicio que trata transcripciones y resultados de análisis mediante subencargados LLM terceros (según el Anexo B) solo para mantener y mejorar la calidad técnica de los Servicios. No evalúa usuarios individuales, no produce salida visible para el usuario ni genera puntuaciones o perfiles de usuario. Los informes no son accesibles en la aplicación de cliente y se suprimen en 30 días.

15.2 Analíticas agregadas anonimizadas

Como autoriza el Acuerdo y esta Sección 15.2, Voice2Evolve deriva estadísticas conductuales plenamente anonimizadas y agregadas de datos de sesión para mejorar los Servicios y desarrollar benchmarks. Antes de agregar, se eliminan identificadores directos e indirectos. La agregación está sujeta a umbrales de k-anonimato (mínimo 50 sesiones por grupo de dimensiones); los grupos por debajo se excluyen. Una vez anonimizados, los datos ya no son Datos personales conforme al artículo 4(1) RGPD y Considerando 26.

ANEXO A - MEDIDAS DE SEGURIDAD

Controles técnicos:

Cifrado: AES-256 en reposo y TLS 1.3 en tránsito. Las claves se gestionan según políticas de ciclo de vida conformes con ISO 27001 y NIST SP 800-57.
Control de acceso: RBAC con MFA para personal de Voice2Evolve y acceso a plataformas de proveedores. MFA se aplica a nivel administrativo e infraestructura; no se exige a cuentas finales de cliente, protegidas por autenticación y gestión segura de sesiones. El acceso se concede por mínimo privilegio, se revisa trimestralmente y se registra.
Registro y monitorización: registro centralizado continuo de accesos administrativos y de sistema. Los logs son resistentes a manipulación, conservados al menos 90 días y revisados por anomalías.
Seguridad de red: Voice2Evolve opera exclusivamente sobre infraestructura PaaS gestionada. Las protecciones de red, incluidas mitigación DDoS, reglas firewall, aislamiento de tráfico y detección de intrusiones, son proporcionadas por los proveedores respectivos. El acceso administrativo se protege con MFA y se limita a personal autorizado.
Seudonimización: datos analíticos y de transcripción se seudonimizan separando identificadores y usando tokens aleatorios.
Desarrollo seguro: seguridad integrada en el SDLC mediante revisiones de código, comprobaciones de dependencias y escaneos de vulnerabilidades antes del despliegue.
Backup y recuperación: backups diarios cifrados y procedimientos de restauración documentados para el almacén de producción; evidencia de pruebas de restauración y simulacros DR se conserva cuando se ejecuta.

Controles organizativos:

Gobernanza de seguridad: política de seguridad de la información revisada anualmente por dirección.
Confidencialidad: personal y contratistas con acceso a Datos personales están sujetos a obligaciones de confidencialidad adecuadas.
Formación: requisitos de formación en protección de datos y seguridad documentados para personal con acceso; evidencia conservada en el ISMS.
Gestión de proveedores: subencargados sujetos a evaluación de riesgo y verificación DPA antes del uso; obligados contractualmente a mantener formación de protección de datos para personal que trate Datos personales.
Respuesta a incidentes: procedimientos documentados para detección, escalado, mitigación y revisión post-incidente. Notificaciones sin dilación indebida conforme al artículo 33 RGPD.
Auditoría y revisión: auditoría interna, revisión de dirección y acciones correctivas mantenidas en el ISMS. Informes o certificaciones independientes se revisan cuando están disponibles.
Continuidad del negocio: planes BCP/DR cubren interrupciones de servicio, restauración, redundancia y emergencia.
Seguridad física: Voice2Evolve no opera centros de datos propios. La infraestructura se aloja en proveedores terceros con controles físicos estándar de la industria, incluidas certificaciones ISO 27001 o SOC 2.

ANEXO B - SUBENCARGADOS

Voice2Evolve mantiene un proceso documentado para revisiones y actualizaciones periódicas de Subencargados y concede a los Clientes autorización general para contratar Subencargados conforme al artículo 28(2) RGPD. Los Clientes pueden suscribirse a notificaciones de cambios para recibir preaviso razonable.

Proveedor	Función	Ubicación	Base jurídica / Garantías
Supabase Inc.	Base de datos, Autenticación	UE (Estocolmo, Suecia, hosting primario); transferencias ulteriores a subencargados en EE. UU. / Singapur	DPA Supabase + SCC + medidas suplementarias documentadas en TIA Supabase
OpenAI, L.L.C.	Inferencia de IA y tratamiento de voz cuando se utilicen	UE / Estados Unidos / internacional, segun la configuracion del servicio	DPA de OpenAI + CCT + salvaguardias contractuales y tecnicas adicionales cuando correspondan
Google Cloud Platform (Google Cloud EMEA Limited / Google LLC)	Inferencia de IA y tratamiento en la nube cuando se utilicen	UE / Estados Unidos / regiones seleccionadas de Google Cloud segun la configuracion del servicio	CDPA de Google Cloud + CCT + DPF cuando corresponda
Microsoft Azure (Microsoft Ireland Operations Limited / Microsoft Corporation)	Inferencia de IA y tratamiento en la nube cuando se utilicen	UE / Estados Unidos / regiones seleccionadas de Microsoft Azure segun la configuracion del servicio	DPA de Microsoft Products and Services + CCT + DPF cuando corresponda
Stripe Payments Europe Ltd.	Procesamiento de pagos	UE / Estados Unidos	DPA RGPD + SCC
Vercel Inc.	Hosting frontend (CDN)	UE / Estados Unidos (AWS + Microsoft Azure + GCP; regiones edge UE: París, Fráncfort, Suecia)	SCC (Módulo 2, C2P) + UK IDTA
Railway Corp. (railway.com)	Infraestructura backend	EE. UU. / despliegue región UE (infraestructura subyacente: GCP)	DPA ejecutado + SCC UE (Módulo 2, C2P) + DPF
Cloudflare, Inc.	Resolución DNS, relay TURN WebRTC	UE / Estados Unidos	DPA RGPD + SCC
Sentry, Inc.	Monitorización de errores	UE / Estados Unidos	DPA RGPD + DPF + SCC + UK IDTA
Rybbit	Analítica web y producto	UE (EEE - Hetzner; Cloudflare Object Storage)	DPA RGPD (aceptado por uso) + SCC
Plus Five Five, Inc. (Resend)	Email transaccional	Estados Unidos	DPA RGPD + DPF + SCC + UK IDTA
Anthropic PBC	Inferencia IA (LLM)	Estados Unidos	DPA RGPD + SCC
Haufe-Lexware GmbH & Co. KG (Lexware)	Sincronización de facturas y contabilidad	UE (Alemania)	DPA RGPD (AVV)

ANEXO C - CLÁUSULAS CONTRACTUALES TIPO

Conforme al artículo 46 RGPD y a la Decisión de Ejecución (UE) 2021/914 de la Comisión, las Cláusulas contractuales tipo (Módulo 2: Responsable a Encargado) se incorporan por referencia en su totalidad y forman parte integrante de este Acuerdo. El texto oficial completo está publicado en el Diario Oficial de la Unión Europea (DO L 199, 7.6.2021, p. 31-61) y disponible en https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

ANEXO I - DETALLES DE LA TRANSFERENCIA

A. Lista de Partes

Exportador de datos (Responsable): el Cliente identificado en el Acuerdo.
Importador de datos (Encargado): Voice2Evolve UG (haftungsbeschränkt), registrada en Alemania. Contacto: help@voice2evolve.com.

B. Descripción de la transferencia

Categorías de Interesados: usuarios finales (empleados, candidatos u otros individuos) que usan los Servicios por cuenta o bajo dirección del Cliente.
Categorías de Datos personales: audio de voz en directo durante sesiones, transcripciones, analíticas y puntuaciones, datos de cuenta (nombre, email), metadatos de uso e IP.
Categorías especiales: ninguna (véase Sección 2.5).
Frecuencia: continua durante la vigencia del Acuerdo.
Naturaleza y finalidad: (1) prestación de sparring de voz, formación, transcripción, puntuación y análisis basados en IA. (2) Si el Cliente es agencia de reclutamiento bajo el Addendum Recruitment Agency: sesiones de preparación de entrevistas y análisis de coaching accesible a candidato y Cliente para debrief y apoyo de preparación, conforme a la Sección 16.
Periodo de conservación: según Sección 14.

C. Autoridad de control competente La autoridad competente será la autoridad del Estado miembro de la UE donde esté establecido el Exportador o, si no está establecido en la UE, la del Estado miembro donde esté su representante UE. Si nada de ello aplica, será el Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Alemania). Para Datos del Cliente sujetos a ley canadiense, la autoridad es el Office of the Privacy Commissioner of Canada (OPC) (www.priv.gc.ca); para residentes de Quebec, también la Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca).

ANEXO II - MEDIDAS TÉCNICAS Y ORGANIZATIVAS
Véase Anexo A.

ANEXO III - SUBENCARGADOS
Véase Anexo B.

ANEXO D - ADDENDUM DEL REINO UNIDO (ICO)

Se aplica a transferencias desde Reino Unido bajo el addendum aprobado por ICO a las SCC UE. Asegura transferencias lícitas conforme a UK GDPR y Data Protection Act 2018.

Disposiciones clave:

las SCC UE (Módulo 2) se adoptan con modificaciones requeridas por el addendum UK;
referencias al GDPR se leen como referencias al UK GDPR;
referencias a la Unión Europea o Estados miembros incluyen Reino Unido;
la autoridad competente es el Information Commissioner's Office (ICO);
ley aplicable y jurisdicción: Inglaterra y Gales.

ANEXO D.1 - ADDENDUM SUIZO (FADP)

Se aplica a transferencias desde Suiza conforme a la Ley Federal Suiza de Protección de Datos (FADP) y su ordenanza. Se adoptan las mismas SCC UE (Módulo 2) con ajustes necesarios: referencias al GDPR se interpretan como FADP; la autoridad competente es el Federal Data Protection and Information Commissioner (FDPIC); referencias a Estados miembros UE incluyen Suiza.

ANEXO E - ADDENDUM DE PRIVACIDAD DE ESTADOS UNIDOS

Este Anexo se aplica solo cuando y en la medida en que leyes estatales de privacidad de EE. UU. regulen el uso de los Servicios por el Cliente.

Voice2Evolve actúa como Service Provider y Processor bajo leyes estatales aplicables, incluidas CCPA modificada por CPRA, CDPA Virginia, Colorado Privacy Act, Connecticut Data Privacy Act y otras normas que impongan obligaciones de processor/service-provider.

Bajo estas leyes, Voice2Evolve deberá:

tratar Datos personales solo bajo instrucciones documentadas y fines empresariales contractuales;
no vender, compartir ni usar Datos personales para publicidad dirigida, profiling o fines no contratados;
asistir al Cliente en solicitudes verificadas de consumidores;
asegurar que transferencias ulteriores cumplan requisitos aplicables;
implementar prácticas de seguridad razonables;
mantener documentación y evaluaciones cuando sea requerido;
notificar rápidamente al Cliente violaciones, reclamaciones o consultas relacionadas;
permitir verificación mediante documentación escrita y assurance remota, sujeta a Sección 10;
suprimir o devolver Datos personales a solicitud o terminación, salvo retención legal.

Illinois Biometric Information Privacy Act (BIPA) - Nota de alcance: Las funciones de voz de Voice2Evolve se limitan a IA conversacional y tratamiento de voz a texto. Voice2Evolve no identifica hablantes ni trata datos de voz para identificar de forma unica a una persona fisica. Voice2Evolve obtiene consentimiento explicito del usuario antes de cada sesion de voz.

ANEXO F - ADDENDUM DE PRIVACIDAD CANADIENSE

Este Anexo se aplica cuando el derecho federal o provincial canadiense regule el uso de los Servicios o el tratamiento por Voice2Evolve por cuenta del Cliente.

F.1 Leyes aplicables

PIPEDA, Quebec Law 25, Alberta PIPA y British Columbia PIPA, en la medida aplicable.

F.2 Funciones

Voice2Evolve actúa como organización que trata Datos personales por cuenta del Cliente conforme a instrucciones documentadas, coherente con la Sección 2.

F.3 Obligaciones PIPEDA

Voice2Evolve, respecto de Datos personales de residentes canadienses:

recoge, usa y divulga Datos personales solo para fines identificados y autorizados por el Cliente;
implementa salvaguardas técnicas y organizativas adecuadas a la sensibilidad;
conserva Datos personales solo el tiempo necesario;
ayuda al Cliente con solicitudes de acceso y corrección;
notifica al Cliente tan pronto como sea factible tras descubrir una violación de salvaguardas que pueda crear riesgo real de daño significativo y mantiene registros por al menos dos (2) años;
asegura protecciones equivalentes para transferencias a subencargados.

F.4 Obligaciones adicionales Quebec Law 25

Para Datos personales de residentes de Quebec, Voice2Evolve trata datos solo para fines específicos comunicados al Cliente, coopera en solicitudes de desindexación y portabilidad, notifica incidentes de confidencialidad sin dilación indebida y aplica minimización y limitación de finalidad.

F.5 Subencargados

Los Subencargados del Anexo B que traten Datos personales canadienses lo harán bajo términos materialmente equivalentes. Voice2Evolve sigue siendo responsable de sus actos y omisiones.

F.6 Autoridad competente

Reclamaciones o controversias pueden dirigirse al Office of the Privacy Commissioner of Canada (OPC) (www.priv.gc.ca) o, para Quebec, a la Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca).

16. Tratamiento para agencias de reclutamiento

Esta Sección se aplica cuando el Cliente es agencia de reclutamiento, executive search, headhunter o staffing business que usa los Servicios para apoyar preparación y coaching de candidatos bajo el Addendum Recruitment Agency al MSA.

16.1 Naturaleza de los Interesados

En el modelo de agencia, los Interesados (candidatos) son terceros que no contrataron directamente con Voice2Evolve. Son invitados por el Cliente, como Responsable, a usar los Servicios bajo instrucciones del Cliente. El Cliente sigue siendo Responsable de todos los datos personales tratados en este contexto.

16.2 Obligación de aviso de privacidad de candidato

El Cliente debe proporcionar a cada candidato un aviso conforme al artículo 13 RGPD antes de cualquier sesión, como exige el Addendum Recruitment Agency. Voice2Evolve proporciona una plantilla en https://voice2evolve.com/legal/candidate-privacy-notice-template.

16.3 Base jurídica

El Cliente debe identificar y documentar una base jurídica bajo el artículo 6 RGPD y, cuando aplique, una condición adicional de derecho nacional laboral, como BDSG §26(1), antes de tratar datos de candidatos mediante los Servicios. El consentimiento por sí solo puede ser insuficiente en contextos de reclutamiento por desequilibrio de poder.

16.4 Derechos de los Interesados - acceso de candidato

Voice2Evolve ayudará técnicamente al Cliente con solicitudes de candidatos bajo artículos 15-22 RGPD, incluidas acceso, rectificación, limitación, supresión, portabilidad, oposición y derecho a revisión humana de decisiones automatizadas. Voice2Evolve no responde directamente a candidatos; las respuestas se coordinan con el Cliente.

Los candidatos que acceden a los Servicios reciben su análisis de coaching IA como destinatarios principales. Esto satisface proactivamente el derecho de acceso del artículo 15 RGPD para el output de análisis. Los candidatos también pueden solicitar exportaciones completas a través del Cliente.

16.5 Artículo 22 RGPD - obligación de transparencia

El análisis de coaching IA constituye profiling conforme al artículo 4(4) RGPD. En el modelo de agencia, Voice2Evolve mostrará una breve divulgación en la página de análisis del candidato indicando que el informe también es visible para el Cliente (recruiter) para apoyo de preparación. El Cliente sigue siendo responsable de cualquier aviso adicional de artículo 22 y del mecanismo de revisión humana.

16.6 Descripción del tratamiento - finalidad suplementaria

Finalidad adicional: sesiones de preparación de entrevistas basadas en IA organizadas por un Cliente agencia de reclutamiento; generación de análisis de coaching IA accesible al candidato y al Cliente para debrief y apoyo de preparación.

Categorías adicionales de datos personales: grabaciones de voz, transcripciones, análisis de coaching generado por IA (puntuaciones, feedback, sugerencias), nombre y email del candidato, metadatos de sesión.

Interesados adicionales: candidatos invitados por un Cliente agencia. Estos Interesados no contrataron directamente con Voice2Evolve.

16.7 SCC Anexo I - cobertura existente confirmada

El Anexo I SCC ya cubre correctamente a candidatos: "End users (employees, candidates, or other individuals) who use the Services on behalf of or at the direction of the Customer." No se requiere modificación solo para el modelo de agencia de reclutamiento.

16.8 Disponibilidad de idioma - gating IT/ES headhunter

Este MDPA se publica ahora en inglés, alemán, francés, italiano y español. La versión inglesa prevalece conforme a la cláusula de idioma prevalente. Los Clientes de agencias de reclutamiento cuyo idioma principal de contratación sea italiano o español pueden usar esta traducción informativa como versiones informativas salvo acuerdo escrito separado.

Este MDPA se celebra electrónicamente y forma parte integrante del Acuerdo. Se vuelve jurídicamente vinculante cuando el Cliente acepta el Acuerdo por medios electrónicos, incluido checkbox o mecanismo similar.