Transfer Impact Assessment (TIA)

Evaluación del impacto de las transferencias internacionales de datos personales a países fuera del EEE, conforme a las recomendaciones del EDPB (01/2020) y la sentencia Schrems II del TJUE.

1. Transferencias Identificadas

Sin transferencia internacional: AWS (eu-west-1, incluido Amazon Bedrock en perfiles de inferencia y regiones de AWS de la UE), PostHog (entorno UE) y New Relic (entorno UE) tratan los datos dentro del EEE.

Los proveedores de conectividad no figuran como transferencia: transportan tráfico cifrado de extremo a extremo sin acceso a su contenido y no son subencargados (véase la Lista de Subencargados).

Google Calendar no figura como transferencia del Encargado: el Cliente conecta su propia cuenta de Google (Anexo I, B de los Términos) y la relación con Google, incluidas sus transferencias, es la del propio Cliente. Los modelos de lenguaje utilizados por ElevenLabs quedan cubiertos por la fila de ElevenLabs.

2. Análisis de la Legislación del País de Destino (EE.UU.)

Legislación relevante: FISA Section 702, Executive Order 12333, CLOUD Act.

Riesgo de acceso gubernamental: Existe la posibilidad teórica de que agencias estadounidenses soliciten acceso a datos bajo FISA 702. Sin embargo:

• ElevenLabs procesa la conversación de forma temporal en sus servidores en EE.UU. El opt-out de entrenamiento está activado y ElevenLabs está certificado bajo el EU-US DPF. El Encargado tiene previsto migrar al entorno Enterprise de ElevenLabs en la UE (eu.elevenlabs.io) durante el Q4 2026, lo que eliminará esta transferencia internacional.
• El EU-US Data Privacy Framework (DPF) está vigente y proporciona un marco de adecuación reconocido por la Comisión Europea. Están certificados bajo él ElevenLabs, Salesforce (Slack) y Microsoft (GitHub).
• ElevenLabs está certificado bajo el EU-US DPF y el Swiss-US DPF (ver: elevenlabs.io/eu-us-data-privacy-framework-policy ).
• Las transferencias a Slack, Anthropic y GitHub se limitan a datos técnicos y de operación interna, sin datos identificativos de paciente: los avisos internos de llamada enlazan al panel de control en lugar de reproducir su contenido.

3. Medidas Suplementarias Adoptadas

De acuerdo con las recomendaciones del EDPB, se aplican las siguientes medidas suplementarias:

Medidas técnicas

• Cifrado en tránsito (TLS 1.3) para todas las transferencias a subencargados en EE.UU.
• Opt-out de entrenamiento activado en ElevenLabs ("Improve models for everyone" = OFF).
• Retención configurada al mínimo operativo.
• Migración a entorno Enterprise UE prevista Q4 2026 (incluirá DPA formal, data residency UE y Zero Retention Mode).
• Minimización de datos: al agente de voz solo se transfieren los datos necesarios para atender la llamada; no se le transfiere el contenido íntegro de los eventos de calendario ni el fichero de pacientes.
• Las automatizaciones internas operan sobre vistas de base de datos generadas automáticamente que excluyen por construcción los datos identificativos de paciente.
• Almacenamiento principal en la UE (AWS eu-west-1), incluido el análisis posterior a la llamada (Amazon Bedrock, perfiles de inferencia y regiones de AWS de la UE).

Medidas contractuales

• SCCs (Cláusulas Contractuales Tipo) aplicables con todos los subencargados.
• Cláusulas de no-entrenamiento (véase Cláusula 5bis del DPA ).
• Compromiso contractual de notificación en caso de solicitud gubernamental.
• Derecho a suspender la transferencia si las garantías dejan de ser suficientes.

Medidas organizativas

• Revisión semestral de la legislación de los países de destino.
• Monitorización de cambios en las políticas de los subencargados.
• Plan de contingencia para migrar el procesamiento de voz a un proveedor con sede en la UE si las garantías dejan de ser suficientes.

4. Conclusión

Considerando que el procesamiento de la conversación en EE.UU. es temporal y está cubierto por el EU-US Data Privacy Framework, que el opt-out de entrenamiento está activado, que las transferencias a Slack, Anthropic y GitHub se limitan a datos técnicos o de operación interna, que el análisis posterior a la llamada se realiza dentro de la UE, y que está prevista la migración al entorno Enterprise de ElevenLabs en la UE durante el Q4 2026, se considera que el nivel de protección es adecuado para los tratamientos realizados por ToniAgent con las medidas suplementarias adoptadas.

Esta evaluación será revisada semestralmente o ante cualquier cambio relevante en la legislación o en los subencargados.

Próxima revisión programada: Abril 2027

Contacto: privacy@toniagent.com