Anexo de Encargado del Tratamiento

Última actualización: 18 de septiembre de 2026

Este Anexo regula el tratamiento de datos personales que Kobem realiza por cuenta de sus clientes y da cumplimiento al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de los Términos y Condiciones y se acepta al contratar el servicio. Si necesitas una copia firmada para tu expediente, escríbenos y te la enviamos.

1. Partes y papeles

Responsable del tratamiento: el cliente, es decir, la inmobiliaria que contrata Kobem. Es quien decide para qué y cómo se tratan los datos de las personas que la llaman.

Encargado del tratamiento: KOBEM TECHNOLOGIES - FZCO, sociedad de responsabilidad limitada de zona franca (FZCO) constituida en Dubai Silicon Oasis conforme a la Ley de Dubái nº 16 de 2021 y al Reglamento de Desarrollo de DIEZA de 2023, registro nº 85517 y licencia comercial nº 92297, expedidos por la Autoridad de Zonas Económicas Integradas de Dubái (DIEZA), IFZA Properties, Premises DSO-IFZA, Dubai Silicon Oasis, Dubái, Emiratos Árabes Unidos. Trata esos datos únicamente por cuenta del responsable, y en ningún caso para fines propios.

Si Kobem determinase por su cuenta los fines o los medios del tratamiento, respondería como responsable respecto de ese tratamiento concreto (art. 28.10 RGPD). No es lo que hacemos y no está previsto que lo hagamos.

2. Objeto, duración, naturaleza y finalidad

Objeto: la prestación del servicio de atención, cualificación y registro de las llamadas entrantes del responsable.
Duración: mientras esté vigente la suscripción, más el periodo de devolución y supresión de la cláusula 9.
Naturaleza y finalidad: recepción y grabación de llamadas, transcripción, análisis de la conversación, cualificación del contacto, agenda de visitas y puesta de todo ello a disposición del responsable en su panel y en las integraciones que él conecte.
Tipos de datos: datos identificativos y de contacto (nombre, teléfono, correo), el contenido de la conversación (audio y transcripción) y los datos que de ella se deriven (motivo de la llamada, zona, presupuesto, plazos, preferencias).
Categorías de interesados: las personas que llaman al responsable —compradores, arrendatarios, propietarios— y los usuarios del panel dados de alta por el propio responsable.

El servicio no está diseñado para tratar categorías especiales de datos del artículo 9 del RGPD. El responsable se compromete a no configurar preguntas dirigidas a obtenerlas. El panel avisa cuando una pregunta puede recaer sobre una categoría protegida, y deja constancia de ese aviso.

3. Instrucciones del responsable

Kobem trata los datos personales únicamente siguiendo instrucciones documentadas del responsable. Son instrucciones documentadas: estos Términos, este Anexo y la configuración que el responsable establece en su panel —el saludo, las preguntas, las integraciones activadas y los avisos.

Si Kobem entendiera que una instrucción infringe la normativa de protección de datos, lo comunicará al responsable sin demora y podrá suspender su ejecución hasta que se aclare.

Kobem no usa el contenido de las conversaciones para entrenar modelos propios ni de terceros, ni para ningún fin distinto de prestar el servicio al responsable.

4. Confidencialidad

Kobem garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal equivalente. El acceso está limitado a quien lo necesita para operar y dar soporte al servicio, y el acceso de nuestro personal a la cuenta de un cliente queda registrado.

5. Medidas de seguridad

Kobem aplica las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD. Están descritas, con el detalle de lo que hay y lo que no, en la página de Seguridad y protección de datos, que forma parte de este Anexo a efectos de acreditar dichas medidas.

Las medidas pueden evolucionar con la técnica. Kobem no rebajará el nivel de seguridad contratado durante la vigencia del contrato.

6. Subencargados

El responsable autoriza con carácter general que Kobem recurra a los subencargados necesarios para prestar el servicio. La relación vigente en cada momento es la siguiente:

Supabase — Base de datos y almacenamiento de grabaciones (UE)
Vercel — Alojamiento de la aplicación web (UE / EE. UU.)
LiveKit Cloud — Transporte de audio y ejecución del agente de voz (UE)
Google (Gemini) — Modelo de voz que atiende y mantiene la conversación (EE. UU.)
Deepgram — Transcripción de voz a texto (EE. UU.)
OpenAI — Respaldo de la cadena de voz (EE. UU.)
Anthropic — Análisis y resumen de la llamada, y asistente del panel (EE. UU.)
Telnyx — Telefonía: numeración y tránsito de las llamadas (UE / EE. UU.)
Resend — Envío de los correos del servicio (EE. UU.)
Telegram — Avisos, solo si el cliente vincula su cuenta (—)
HubSpot — Volcado de leads, solo si el cliente lo conecta (EE. UU.)
Google Workspace — Calendario y Sheets, solo si el cliente los conecta (EE. UU.)
Cal.com — Agenda, solo si el cliente la conecta (EE. UU.)

Los subencargados de integraciones opcionales solo intervienen si el responsable conecta esa integración desde su panel.

Kobem impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Anexo, y responde frente al responsable de su actuación.

Kobem informará al responsable de la incorporación o sustitución de un subencargado con una antelación mínima de treinta días. Durante ese plazo el responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si la objeción no puede resolverse, el responsable podrá resolver el contrato sin penalización por la parte del servicio afectada.

7. Derechos de los interesados

Kobem asiste al responsable, con medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que este pueda atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad.

En la práctica, el panel permite al responsable consultar, exportar y eliminar por sí mismo cualquier llamada, grabación, transcripción y contacto, de modo que puede atender la mayoría de solicitudes sin intervención nuestra. Si recibimos una solicitud directamente de un interesado, no la responderemos por nuestra cuenta: la trasladaremos al responsable sin demora.

8. Brechas de seguridad y asistencia

Kobem notificará al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de ella, con la información disponible en ese momento: naturaleza del incidente, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.

Kobem asiste asimismo al responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto y la consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.

9. Devolución y supresión al terminar

A la finalización del contrato, y a elección del responsable, Kobem devolverá o suprimirá los datos personales tratados por su cuenta.

Salvo instrucción distinta, el responsable dispone de treinta días desde la baja para exportar sus datos desde el panel. Transcurrido ese plazo, Kobem procede a su supresión, incluidas grabaciones y transcripciones, salvo aquello que deba conservar por obligación legal y durante el tiempo que dicha obligación imponga, manteniéndolo bloqueado.

10. Auditoría e información

Kobem pone a disposición del responsable la información necesaria para demostrar el cumplimiento de las obligaciones de este Anexo y del artículo 28 del RGPD, y colabora en las auditorías, incluidas inspecciones, realizadas por el responsable o por un auditor mandatado por él.

Las auditorías se acuerdan con antelación razonable, no más de una vez al año salvo incidente de seguridad o requerimiento de una autoridad de control, se limitan a lo necesario y respetan la confidencialidad de la información de otros clientes y de nuestros proveedores.

11. Transferencias internacionales

Los datos se almacenan en la Unión Europea. Algunos subencargados, señalados en la relación anterior, tratan datos fuera del Espacio Económico Europeo —en particular los proveedores de voz y transcripción, mientras la llamada está en curso.

Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en otro mecanismo válido del capítulo V del RGPD. El responsable autoriza dichas transferencias mediante la aceptación de este Anexo.

12. Vigencia y ley aplicable

Este Anexo entra en vigor con la contratación del servicio y permanece vigente mientras Kobem trate datos personales por cuenta del responsable. En caso de contradicción entre este Anexo y los Términos y Condiciones en materia de protección de datos, prevalece este Anexo.

Cuando el tratamiento esté sujeto al RGPD, este Anexo se interpreta conforme a dicha norma, sin perjuicio de la cláusula de ley aplicable y fuero de los Términos: Este contrato se rige por la legislación de los Emiratos Árabes Unidos y las partes se someten a los tribunales de Dubái. Si contratas como consumidor o resides en la Unión Europea, esta cláusula no te priva de la protección que te otorguen las normas imperativas de tu país de residencia ni de tu derecho a acudir a los tribunales de dicho país.

Para cualquier cuestión relativa a este Anexo, o para solicitar copia firmada, escribe a contact@kobem.ai.

Anexo 1 · Detalles del tratamiento

Este Anexo corresponde al Anexo I.B de las Cláusulas Contractuales Tipo. Describe las categorías de datos tratados por cuenta del responsable, su finalidad, su plazo de conservación y las categorías de interesados.

Categoría de datos	Finalidad	Conservación	Interesados
Contenido de la llamada	Atender la llamada entrante, mantener la conversación y transcribirla.	Mientras dure la suscripción y el cliente no lo elimine. Eliminable en cualquier momento desde el panel.	Personas que llaman al cliente: compradores, arrendatarios y propietarios.
Datos de contacto y cualificación	Identificar a quien llama y registrar lo que necesita: motivo, zona, presupuesto, plazos y preferencias.	Mientras dure la suscripción y el cliente no lo elimine.	Personas que llaman al cliente.
Datos de la cuenta del cliente	Dar de alta y administrar la cuenta, prestar soporte y facturar.	Mientras la cuenta esté activa, más los plazos de conservación contable exigidos por ley.	Personal del cliente autorizado a usar el panel.
Datos de uso y registros técnicos	Mantener el servicio, diagnosticar incidencias, prevenir el fraude y medir el consumo.	El tiempo necesario para esas finalidades y, en el caso de los registros de telefonía, el que impongan las obligaciones del operador.	Personal del cliente y personas que llaman.

Frecuencia de la transferencia: continua, mientras dure el contrato. Naturaleza del tratamiento: la descrita en la cláusula 2.

Categorías especiales de datos: el servicio no está diseñado para tratarlas y el responsable se compromete a no configurar preguntas dirigidas a obtenerlas. Si aun así el interesado las menciona espontáneamente durante una llamada, quedarán en la grabación y en la transcripción, y el responsable podrá eliminarlas desde el panel.

Anexo 2 · Medidas técnicas y organizativas

Este Anexo corresponde al Anexo II de las Cláusulas Contractuales Tipo y describe las medidas que Kobem aplica conforme al artículo 32 del RGPD. Son medidas verificables y vigentes, no objetivos.

Medida	Cómo se cumple
Seudonimización y cifrado de los datos personales	Todo el tráfico se cifra en tránsito con TLS 1.2 o superior, y el audio en tiempo real con DTLS-SRTP conforme al estándar WebRTC. Los datos en reposo se cifran con AES-256 en la base de datos y en el almacén de grabaciones. Las credenciales de las integraciones del cliente se cifran además con AES-256-GCM antes de guardarse, con una clave que no reside en la base de datos.
Confidencialidad, integridad, disponibilidad y resiliencia de los sistemas	La infraestructura se apoya en proveedores con redundancia y recuperación automática (AWS a través de Supabase, y Vercel). La base de datos replica automáticamente y el almacenamiento de objetos es redundante por diseño del proveedor.
Capacidad de restaurar la disponibilidad y el acceso a los datos tras un incidente	Copias de seguridad automáticas y diarias de la base de datos, retenidas por el proveedor, con restauración a un punto en el tiempo. La restauración se ejecuta manualmente siguiendo el procedimiento del proveedor.
Identificación y autorización de usuarios	Cada usuario accede con su propia cuenta, gestionada por Supabase Auth. El acceso del personal de Kobem a la cuenta de un cliente se concede por necesidad de soporte y queda registrado en un registro de auditoría con el autor y el momento. El acceso administrativo a los proveedores de infraestructura exige verificación en dos pasos.
Aislamiento de los datos entre clientes	Todas las tablas que contienen datos de cliente tienen activada la seguridad a nivel de fila (RLS) de PostgreSQL, y además cada consulta del servidor filtra por identificador de cuenta en el código. Son dos controles independientes: el aislamiento entre dos clientes exige que fallen ambos.
Protección de los datos durante la transmisión	Ningún dato viaja en claro. Las cabeceras de seguridad del servicio incluyen HSTS, política de referente estricta, protección contra el encuadre en marcos ajenos y bloqueo de la interpretación adivinada del tipo de contenido. En las rutas donde un identificador de sesión viaja en la URL no se envía ningún referente.
Protección de los datos durante el almacenamiento	Las grabaciones se guardan en un almacén privado cuya dirección nunca se publica: cada reproducción genera un enlace firmado que caduca a los sesenta segundos. En la base de datos se guarda la ruta del fichero, nunca una dirección permanente.
Seguridad física de las ubicaciones de tratamiento	Kobem no opera centros de datos propios. El tratamiento físico corre a cargo de los proveedores de infraestructura identificados en la relación de subencargados, en sus instalaciones certificadas.
Registro de eventos	Los accesos administrativos a una cuenta de cliente se escriben en un registro de auditoría. La plataforma conserva además los registros de ejecución del servicio y del tratamiento de cada llamada.
Configuración de sistemas y gestión de secretos	Ninguna credencial se escribe en el código: todas se inyectan como variables de entorno del proveedor de alojamiento, y los ficheros que pudieran contenerlas están excluidos del control de versiones. Las claves con privilegios elevados se usan únicamente en el servidor y nunca se exponen al navegador.
Minimización de datos	Se tratan únicamente los datos necesarios para prestar el servicio, descritos en el Anexo 1. El panel avisa al cliente cuando una pregunta que configura puede recaer sobre una categoría especial de datos del artículo 9 del RGPD, y deja constancia de ese aviso.
Limitación del plazo de conservación	Los plazos son los del Anexo 1. El cliente puede eliminar en cualquier momento y por sí mismo cualquier llamada, con su grabación y su transcripción. Ningún proveedor de inteligencia artificial conserva el contenido de las conversaciones ni lo emplea para entrenar modelos.
Portabilidad y supresión	El cliente puede consultar, exportar y eliminar los datos desde su panel sin intervención de Kobem. Las solicitudes que no pueda resolver por sí mismo se atienden escribiendo a contact@kobem.ai.
Medidas técnicas y organizativas de los subencargados	Kobem contrata a cada subencargado bajo un acuerdo de tratamiento de datos con obligaciones de protección equivalentes a las de este Anexo, y responde frente al cliente de la actuación de todos ellos.

Las medidas pueden evolucionar con el estado de la técnica. Kobem no rebajará el nivel de seguridad durante la vigencia del contrato. Kobem no dispone hoy de certificación SOC 2 ni ISO 27001, y así se declara expresamente en lugar de sugerir lo contrario.

Anexo 3 · Mecanismos de transferencia internacional

Kobem está establecida en los Emiratos Árabes Unidos, fuera del Espacio Económico Europeo, y algunos subencargados tratan datos en Estados Unidos. Cuando el tratamiento esté sujeto al RGPD, esas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, que se entienden incorporadas a este Anexo por referencia y suscritas por ambas partes al aceptar el contrato.

Se aplica el Módulo Dos (responsable a encargado) cuando el cliente es responsable, y el Módulo Tres (encargado a encargado) cuando el cliente actúa como encargado por cuenta de un tercero. En la cláusula 7 no se aplica la cláusula de acoplamiento; en la cláusula 9 se aplica la Opción 2, con el plazo de aviso de treinta días de la cláusula 6 de este Anexo; en la cláusula 11 no se aplica el texto opcional; en la cláusula 17 rige el Derecho irlandés y en la cláusula 18.b los tribunales de Irlanda.

A efectos del Anexo I.A de las Cláusulas: el exportador es el cliente, con los datos de contacto que haya designado en su cuenta; el importador es Kobem, con el contacto de protección de datos indicado en este documento. El Anexo I.B es el Anexo 1 de este documento, el Anexo II es el Anexo 2, y la relación de subencargados se publica en la página de Subencargados. La autoridad de control competente es la Comisión de Protección de Datos de Irlanda.

Para las transferencias desde el Reino Unido se aplica el Addendum de Transferencia Internacional de Datos del ICO (versión B1.0), y para las procedentes de Suiza las Cláusulas se interpretan con las adaptaciones de la LPD suiza, siendo autoridad competente el Encargado Federal de Protección de Datos y Transparencia.

Anexo 4 · Términos por jurisdicción

Unión Europea y Espacio Económico Europeo. Se aplica el Reglamento (UE) 2016/679. Este Anexo da cumplimiento a su artículo 28.3. El cliente puede reclamar ante la autoridad de control de su Estado miembro.

Reino Unido. Se aplica el UK GDPR y la Data Protection Act 2018, y las referencias al RGPD se entienden hechas a esa normativa. La autoridad competente es el Information Commissioner’s Office.

Emiratos Árabes Unidos. Se aplica el Decreto-Ley Federal nº 45 de 2021 de Protección de Datos Personales (PDPL). Kobem informa expresamente de que los datos se almacenan en la Unión Europea y de que, por tanto, su tratamiento implica una transferencia fuera de los Emiratos; el cliente autoriza dicha transferencia al aceptar este Anexo. La grabación de llamadas requiere el aviso previo que el servicio incorpora por defecto.

España. Se aplica, junto al RGPD, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. La autoridad competente es la Agencia Española de Protección de Datos.