Acuerdo de Encargo del Tratamiento (DPA)

Documento: Acuerdo de Encargo del Tratamiento de Datos (art. 28 RGPD) Última actualización: 27 de junio de 2026 Versión: v1.0

Servicio: "Voice Edge", accesible en ellisce.com. Prestado por [RAZÓN SOCIAL DEL PROVEEDOR], con CIF [CIF] y domicilio social en [DOMICILIO SOCIAL] (el "Proveedor"). Asuntos de protección de datos: [EMAIL DE PRIVACIDAD]. Delegado de Protección de Datos: [DPO si aplica].

Este Acuerdo de Encargo del Tratamiento (el "Acuerdo" o "DPA") desarrolla el artículo 28 del Reglamento (UE) 2016/679 (en adelante, "RGPD") y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD"). Forma parte del contrato de prestación del Servicio suscrito entre el Cliente y el Proveedor (el "Contrato Principal") y regula el tratamiento de Datos Personales que el Proveedor realiza por cuenta del Cliente al prestar el Servicio. En caso de conflicto sobre materia de protección de datos, prevalece este Acuerdo sobre el Contrato Principal.

1. Definiciones

1.1. Los términos en mayúscula inicial no definidos en este Acuerdo tienen el significado que les atribuye el Contrato Principal o, en su defecto, el RGPD.

1.2. "el Servicio" (the Service): la centralita (PBX) en la nube y el contact-center que el Proveedor opera bajo la marca Voice Edge, sobre los protocolos SIP y WebRTC, incluyendo llamadas entrantes y salientes, flujos de llamada e IVR, colas y agentes, webphone en el navegador, grabación de llamadas con retención configurable, transcripción de voz, síntesis de voz (TTS), control de calidad (QA) con inteligencia artificial, asistente de inteligencia artificial para flujos, CRM de contactos, campañas y marcador de telemarketing saliente, listas de exclusión (DNC), callbacks, informes y registros de llamada (CDR).

1.3. "el Cliente" (the Customer): la persona física o jurídica que contrata el Servicio y que determina los fines y medios del tratamiento de los Datos del Cliente.

1.4. "Usuario Autorizado" (Authorized User): la persona a la que el Cliente da acceso al Servicio (administradores, supervisores y agentes), identificada por sus credenciales.

1.5. "Datos del Cliente" (Customer Data): los Datos Personales que el Cliente o sus Usuarios Autorizados introducen en el Servicio o que el Servicio genera por cuenta del Cliente. Comprenden, sin carácter limitativo: los contactos y listas que el Cliente sube o crea (incluidas etiquetas y campos personalizados); las grabaciones de voz de las llamadas; las transcripciones de esas grabaciones; los metadatos y registros de llamada (CDR); y las notas y datos asociados a esas llamadas y contactos. Los Datos del Cliente no incluyen los Datos de Cuenta.

1.6. "Datos de Cuenta" (Account Data): los datos de los Usuarios Autorizados (nombre, correo electrónico, hash de la contraseña, dirección IP, sesiones, geolocalización aproximada por IP, registros de seguridad y datos de doble factor) y los datos de facturación del Cliente. Respecto de los Datos de Cuenta el Proveedor actúa como Responsable del Tratamiento; su tratamiento se rige por la Política de Privacidad del Proveedor y queda fuera del ámbito de este Acuerdo.

1.7. "Datos Personales" (Personal Data), "tratamiento", "interesado", "Responsable del Tratamiento" (Controller), "Encargado del Tratamiento" (Processor) y "violación de la seguridad de los datos personales" ("violación de seguridad" en este Acuerdo) tienen el significado del artículo 4 del RGPD.

1.8. "Subencargado" (Sub-processor): el tercero contratado por el Proveedor que trata Datos del Cliente para prestar el Servicio.

1.9. "Región de Datos" (Data Region): la región geográfica en la que se alojan y tratan los datos de la cuenta del Cliente. A la fecha de este Acuerdo, el Proveedor opera una única Región de Datos, la Unión Europea. La Región de Datos se fija al crear la cuenta y no varía durante su vigencia. El Proveedor podrá habilitar regiones adicionales en el futuro; no están disponibles a la fecha de este Acuerdo.

1.10. "Interlocutor" (Call Party): la persona física que participa en una llamada realizada o recibida por el Cliente a través del Servicio, distinta del Usuario Autorizado.

2. Roles de las partes y objeto

2.1. Respecto de los Datos del Cliente, el Cliente es el Responsable del Tratamiento y el Proveedor es el Encargado del Tratamiento. El Proveedor trata los Datos del Cliente únicamente por cuenta del Cliente y conforme a sus instrucciones documentadas.

2.2. Respecto de los Datos de Cuenta, el Proveedor es el Responsable del Tratamiento. Esa relación no se rige por este Acuerdo.

2.3. El objeto de este Acuerdo es fijar las condiciones bajo las cuales el Proveedor trata los Datos del Cliente al prestar el Servicio, en cumplimiento del artículo 28 del RGPD.

2.4. El Proveedor no presta asesoramiento jurídico. La calificación de licitud del tratamiento que el Cliente decida realizar a través del Servicio corresponde al Cliente.

2.5. Si el Proveedor determinara los fines y medios del tratamiento de los Datos del Cliente al margen de las instrucciones documentadas del Cliente, será considerado Responsable del Tratamiento respecto de ese tratamiento, conforme al artículo 28, apartado 10, del RGPD.

3. Duración

3.1. Este Acuerdo surte efecto desde la aceptación del Contrato Principal y permanece vigente mientras el Proveedor trate Datos del Cliente, esto es, mientras dure la prestación del Servicio.

3.2. Las obligaciones de confidencialidad, las de supresión o devolución de datos a la terminación (cláusula 7.8) y las relativas a auditoría sobre tratamientos ya realizados sobreviven a la extinción del Contrato Principal en lo que sea necesario para su cumplimiento.

4. Naturaleza, finalidad y ámbito del tratamiento

4.1. La naturaleza del tratamiento es la operación de un servicio de telefonía en la nube y contact-center: establecimiento, encaminamiento y registro de llamadas; grabación y, en su caso, transcripción de las llamadas y síntesis de voz (TTS) para las locuciones de los flujos; gestión de contactos y campañas de llamada saliente; aplicación de listas de exclusión; análisis de calidad mediante inteligencia artificial; y generación de informes.

4.2. La finalidad del tratamiento es exclusivamente prestar el Servicio al Cliente conforme al Contrato Principal y a sus instrucciones. El Proveedor no trata los Datos del Cliente para fines propios, ni los cede a terceros, salvo a los Subencargados de la cláusula 7.4 y del Anexo III, o cuando lo imponga el Derecho de la Unión o de un Estado miembro al que el Proveedor esté sujeto, en cuyo caso informará previamente al Cliente salvo prohibición legal.

4.3. El detalle del tratamiento (operaciones, categorías de interesados y de datos) figura en el Anexo I.

5. Categorías de interesados y de datos

5.1. Categorías de interesados:

5.1.1. Los contactos del Cliente: las personas físicas incluidas en las listas, importaciones y registros de contacto que el Cliente gestiona en el Servicio.

5.1.2. Los Interlocutores: las personas físicas que participan en las llamadas que el Cliente realiza o recibe a través del Servicio.

5.2. Categorías de Datos Personales:

5.2.1. Datos de contacto e identificativos: nombre, número de teléfono, correo electrónico, etiquetas y campos personalizados asociados al contacto.

5.2.2. Grabaciones de voz de las llamadas.

5.2.3. Transcripciones de esas grabaciones y análisis derivados (incluido el control de calidad con inteligencia artificial).

5.2.4. Metadatos de comunicación y registros de llamada (CDR): números de origen y destino, fecha y hora, duración, sentido, encaminamiento, resultado y notas asociadas.

5.3. Categorías especiales de datos. El Cliente reconoce que una grabación o una transcripción puede contener, de forma incidental y por iniciativa del Interlocutor, datos de las categorías especiales del artículo 9 del RGPD (por ejemplo, datos de salud) si el Interlocutor los revela durante la conversación. El Servicio no está diseñado ni destinado al tratamiento sistemático de tales categorías. La licitud de tratar esos datos, y la base jurídica aplicable, corresponden al Cliente como Responsable.

6. Instrucciones del Responsable

6.1. El Proveedor trata los Datos del Cliente únicamente conforme a las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales. Constituyen instrucciones documentadas: este Acuerdo, el Contrato Principal, la configuración que el Cliente aplica en el Servicio (entre otras, la retención de grabaciones, los flujos de llamada, las listas de exclusión y la selección de proveedor o modelo de inteligencia artificial) y las instrucciones adicionales que el Cliente curse por escrito.

6.2. Si el Proveedor considera que una instrucción del Cliente infringe el RGPD, la LOPDGDD u otra norma de protección de datos de la Unión o de un Estado miembro, lo comunicará al Cliente sin dilación. El Proveedor podrá suspender la ejecución de la instrucción afectada hasta que el Cliente la confirme, modifique o retire.

7. Obligaciones del Encargado

7.1. Confidencialidad. El Proveedor garantiza que las personas autorizadas para tratar los Datos del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal adecuada de confidencialidad. El acceso del personal del Proveedor a los Datos del Cliente se limita a lo necesario para prestar y mantener el Servicio.

7.2. Seguridad. El Proveedor aplica las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo. Esas medidas se describen en el Anexo II. El Proveedor podrá actualizarlas siempre que no disminuya el nivel de seguridad acordado.

7.3. Autorización general de Subencargados. El Cliente autoriza con carácter general al Proveedor a recurrir a Subencargados para prestar el Servicio. Los Subencargados vigentes en la fecha de este Acuerdo figuran en el Anexo III.

7.4. Régimen de los Subencargados. El Proveedor:

7.4.1. impone a cada Subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Acuerdo, en particular las de seguridad del artículo 32 del RGPD;

7.4.2. responde frente al Cliente del cumplimiento por el Subencargado de sus obligaciones; y

7.4.3. selecciona Subencargados que ofrezcan garantías suficientes en materia de protección de datos.

7.5. Cambios de Subencargados. El Proveedor informará al Cliente de toda incorporación o sustitución de Subencargados con una antelación razonable, mediante notificación al correo de administración de la cuenta o publicación en el panel del Servicio. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de los treinta (30) días siguientes a la notificación. Si la objeción no puede resolverse, el Cliente podrá resolver la parte del Servicio que no pueda prestarse sin el Subencargado objetado, como único remedio.

7.6. Asistencia al Responsable. Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asiste al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible:

7.6.1. para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición), poniendo a disposición del Cliente las funciones del Servicio que permitan localizar, exportar, rectificar o eliminar Datos del Cliente, entre ellas la exportación de contactos y la eliminación de grabaciones, transcripciones y registros;

7.6.2. para cumplir las obligaciones de seguridad del artículo 32, de notificación de violaciones de seguridad de los artículos 33 y 34, y de evaluación de impacto y consulta previa de los artículos 35 y 36, facilitando la información de la que disponga sobre el tratamiento que realiza.

7.7. Notificación de violaciones de seguridad. El Proveedor notificará al Cliente, sin dilación indebida tras tener conocimiento de ella, cualquier violación de seguridad que afecte a los Datos del Cliente. La notificación incluirá, en la medida en que el Proveedor disponga de ello, la naturaleza de la violación de seguridad, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. El Proveedor cooperará razonablemente con el Cliente. La notificación del Proveedor no constituye reconocimiento de culpa ni de responsabilidad.

7.8. Supresión o devolución. A la terminación de la prestación del Servicio, y a elección del Cliente, el Proveedor suprimirá o devolverá los Datos del Cliente y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. Durante la vigencia del Servicio, el borrado automático de las grabaciones se rige por el plazo de retención que el Cliente configure, según se describe en el Anexo II. La devolución se realiza en los formatos exportables que ofrezca el Servicio.

7.9. Información y auditoría. El Proveedor pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permite y contribuye a auditorías, incluidas inspecciones, realizadas por el Cliente o por un auditor mandatado por él. Las auditorías se acuerdan con antelación razonable, se realizan en horario laboral, no más de una vez al año salvo violación de seguridad o requerimiento de una autoridad de control, sin afectar a la seguridad de otros clientes y bajo deber de confidencialidad. El Proveedor podrá satisfacer este deber, en primer término, mediante la documentación de seguridad y las certificaciones o informes de tercero de que disponga.

7.10. Costes de asistencia y auditoría. La asistencia de la cláusula 7.6 y las auditorías de la cláusula 7.9 que el Cliente pueda realizar con las funciones de autoservicio del Servicio y, en el caso de las auditorías, dentro de la periodicidad anual pactada, están incluidas en el Servicio. El Proveedor podrá repercutir al Cliente una tarifa razonable, conforme a sus tarifas vigentes, por la asistencia o las auditorías que excedan esas funciones o esa periodicidad, incluidas las evaluaciones de impacto, las auditorías presenciales y la atención extensa de solicitudes de derechos. El Proveedor facilitará una estimación antes de incurrir en esos costes.

8. Transferencias internacionales y Región de Datos

8.1. El Proveedor aloja y trata los Datos del Cliente en la Región de Datos de la cuenta. A la fecha de este Acuerdo, la única Región de Datos disponible es la Unión Europea, que se fija al crear la cuenta. La habilitación de regiones adicionales y la migración de datos entre regiones no están disponibles a la fecha de este Acuerdo; el Proveedor lo comunicará cuando lleguen a estarlo.

8.2. Los Datos del Cliente se alojan y tratan en la Unión Europea. Las únicas salidas de Datos del Cliente fuera del Espacio Económico Europeo son las transferencias a los Subencargados identificados en el Anexo III, que se rigen por la cláusula 8.3.

8.3. Cuando la prestación del Servicio implique una transferencia de Datos del Cliente a un tercer país u organización internacional fuera del Espacio Económico Europeo, en particular a los Subencargados del Anexo III ubicados fuera de él, el Proveedor solo la realizará si concurre un mecanismo válido del Capítulo V del RGPD: una decisión de adecuación o garantías adecuadas. Cuando la garantía sean las cláusulas contractuales tipo, se incorporan a este Acuerdo por referencia las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021. El módulo aplicable se determina por el papel de las partes en cada transferencia: el Módulo Tres (encargado a encargado) para las transferencias del Proveedor a un Subencargado fuera del Espacio Económico Europeo, y el Módulo Dos (responsable a encargado) cuando las cláusulas rijan la transferencia entre el Cliente y el Proveedor. Sus apéndices se cumplimentan por remisión al Anexo I (partes y detalle del tratamiento), al Anexo II (medidas de seguridad) y al Anexo III (Subencargados) de este Acuerdo. Cuando el Proveedor se ampare en cláusulas contractuales tipo ya firmadas con un Subencargado, esas cláusulas rigen la transferencia correspondiente. El Cliente autoriza las transferencias a los Subencargados del Anexo III amparadas en estos mecanismos.

8.4. El Cliente reconoce que la selección de proveedor o modelo de inteligencia artificial y de los endpoints de transcripción y de modelos de lenguaje determina dónde, y bajo qué condiciones de retención, se procesan ciertos Datos del Cliente. El Proveedor ofrece controles para acotar ese procesamiento, entre ellos la opción de endpoint de transcripción en la Unión Europea y, cuando la pasarela lo soporte, el enrutado en modo de no retención de datos (zero-data-retention). Algunos proveedores no admiten ese modo. La elección de proveedor y modelo, y su adecuación, corresponden al Cliente.

8.5. Requerimientos de autoridades. Si el Proveedor o un Subencargado recibe un requerimiento jurídicamente vinculante de una autoridad pública, incluida una autoridad judicial, para acceder a los Datos del Cliente o divulgarlos, el Proveedor, salvo prohibición legal: (a) lo notificará al Cliente sin dilación indebida; (b) revisará la legalidad del requerimiento y lo impugnará cuando sea manifiestamente ilícito o desproporcionado conforme al Derecho aplicable; y (c) divulgará únicamente el mínimo de Datos del Cliente necesario para atenderlo. El Proveedor conservará registro de esos requerimientos a disposición del Cliente.

9. Obligaciones y garantías del Cliente como Responsable

9.1. El Cliente garantiza que dispone de base jurídica para el tratamiento de los Datos del Cliente y que ha informado a los interesados conforme a los artículos 13 y 14 del RGPD.

9.2. El Cliente garantiza que, cuando proceda, ha obtenido el consentimiento para contactar a cada persona de sus listas con fines de comunicación comercial o marketing directo, conforme a la Directiva 2002/58/CE (ePrivacy), a la Ley 34/2002 (LSSI-CE) y a la Ley 11/2022, General de Telecomunicaciones, y que respeta las listas de exclusión publicitaria, incluida la Lista Robinson en España. En otras jurisdicciones, el Cliente cumple la normativa local de telemarketing y los registros de exclusión equivalentes; en Estados Unidos, entre otros, los requisitos de consentimiento previo y los registros DNC que resulten aplicables. El Cliente conoce y aplica la normativa de su jurisdicción y la de los Interlocutores.

9.3. El Cliente es responsable de la licitud de grabar las llamadas en la jurisdicción de las partes y de informar debidamente a los Interlocutores de que la llamada puede grabarse.

9.4. El Cliente es responsable de que el uso de funciones de inteligencia artificial (transcripción, control de calidad, asistente de flujos) cumpla el RGPD y la normativa aplicable. El Proveedor pone a disposición información y controles (selección de proveedor o modelo y, cuando la pasarela lo soporte, enrutado en modo de no retención de datos); la decisión y el cumplimiento corresponden al Cliente.

9.5. Las instrucciones del Cliente al Proveedor son lícitas. El Cliente no introducirá en el Servicio Datos Personales que no esté facultado para tratar.

10. Responsabilidad e indemnización

10.1. El reparto de responsabilidad entre las partes se rige por el artículo 82 del RGPD y por el régimen de responsabilidad del Contrato Principal, incluidas sus limitaciones y exclusiones.

10.2. El Cliente mantendrá indemne al Proveedor frente a reclamaciones de terceros, sanciones de autoridades de control e indemnizaciones que traigan causa del incumplimiento por el Cliente de sus obligaciones como Responsable conforme a este Acuerdo, en particular del tratamiento de los Datos del Cliente sin base jurídica o sin consentimiento, de la realización de llamadas sin consentimiento o contra las listas de exclusión, y de la grabación ilícita de llamadas.

11. Disposiciones finales

11.1. Este Acuerdo se integra en el Contrato Principal y se interpreta conjuntamente con él. En lo no previsto, rigen el Contrato Principal y, en materia de protección de datos, el RGPD y la LOPDGDD.

11.2. Este Acuerdo se rige por la legislación española. La autoridad de control competente en España es la Agencia Española de Protección de Datos (AEPD).

11.3. La nulidad de una cláusula no afecta a la validez de las demás.

Anexo I — Detalle del tratamiento

Responsable del Tratamiento: el Cliente. Encargado del Tratamiento: el Proveedor, [RAZÓN SOCIAL DEL PROVEEDOR].

Objeto: prestación del Servicio de centralita en la nube y contact-center Voice Edge.

Duración: mientras dure la prestación del Servicio, más el período de supresión o devolución de la cláusula 7.8.

Naturaleza y operaciones de tratamiento: recogida, registro, almacenamiento, estructuración, encaminamiento de llamadas, grabación, transcripción, síntesis de voz (TTS), análisis de calidad mediante inteligencia artificial, consulta, exportación, supresión y borrado automático por retención.

Finalidad: establecer, encaminar y registrar las comunicaciones del Cliente; grabar y, en su caso, transcribir y analizar las llamadas; gestionar contactos y campañas de llamada saliente; aplicar listas de exclusión; y generar informes y registros de llamada.

Categorías de interesados: los contactos del Cliente y los Interlocutores de sus llamadas.

Categorías de Datos Personales: datos de contacto e identificativos (nombre, teléfono, correo, etiquetas y campos personalizados); grabaciones de voz; transcripciones y análisis derivados; metadatos de comunicación y registros de llamada (CDR); notas asociadas a llamadas y contactos.

Categorías especiales (eventuales): datos del artículo 9 del RGPD que un Interlocutor pueda revelar de forma incidental en una conversación. No es una finalidad del tratamiento; su licitud corresponde al Cliente.

Frecuencia del tratamiento: continua, mientras el Cliente usa el Servicio.

Anexo II — Medidas técnicas y organizativas de seguridad (art. 32 RGPD)

El Proveedor aplica, como mínimo, las siguientes medidas:

1. Cifrado en tránsito. Las comunicaciones con el panel y el webphone se cifran mediante TLS. La señalización y el medio de las llamadas se transportan por los canales seguros propios de SIP y WebRTC.

2. Control de acceso y autenticación. Las contraseñas de los Usuarios Autorizados se almacenan cifradas mediante función de derivación con sal (argon2id); nunca en claro. Las sesiones se gestionan contra base de datos y caducan. Está disponible la autenticación en dos factores (TOTP, RFC 6238) por usuario.

3. Control de autorización (RBAC). El acceso a las funciones y datos del Servicio se rige por roles y por permisos a nivel de sección, de modo que cada Usuario Autorizado solo accede a lo que su rol permite dentro de su organización.

4. Aislamiento multi-tenant. Los datos de cada Cliente están segregados de forma lógica por organización; el acceso a los Datos del Cliente queda acotado a la organización a la que pertenecen, lo que impide el acceso cruzado entre clientes.

5. Registros de auditoría. El Servicio registra los eventos relevantes de seguridad y administración (entre otros, accesos, cambios de configuración y acciones administrativas), conservados para su consulta.

6. Retención configurable y supresión. El Cliente configura el plazo de retención de las grabaciones (14, 30, 90, 180 o 365 días, o conservación indefinida). Cuando el Cliente fija un plazo, un proceso automático barre periódicamente y elimina las grabaciones cuyo plazo ha vencido; si el Cliente elige conservación indefinida, no se aplica borrado automático. El Cliente puede eliminar grabaciones, transcripciones y registros bajo demanda.

7. Almacenamiento y acceso a las grabaciones. Las grabaciones de llamada y sus copias se conservan en infraestructura de almacenamiento con control de acceso dentro de la Región de Datos. El acceso queda acotado a la organización del Cliente mediante los controles de autorización del punto 3 y al personal del Proveedor estrictamente en lo necesario para operar el Servicio. El cifrado en tránsito del punto 1 protege la transmisión; en reposo, las grabaciones se protegen mediante dichos controles de acceso.

8. Minimización en el tratamiento por inteligencia artificial. Cuando el proveedor y el modelo seleccionados lo soportan —por ejemplo, el enrutado en modo de no retención de datos (zero-data-retention) de la pasarela OpenRouter, que el Servicio solicita por defecto para esa pasarela—, el tratamiento con modelos de lenguaje se dirige a proveedores que no retienen ni entrenan con el contenido de las peticiones. Otros proveedores y modelos no aplican esa restricción; en particular, el control de calidad (QA) y el asistente de flujos pueden ejecutarse por defecto en proveedores (como Groq) que no honran ese modo. La elección de proveedor y modelo, y sus consecuencias en materia de retención, corresponden al Cliente (cláusulas 6.1 y 8.4). La transcripción admite endpoint en la Unión Europea para mantener el audio dentro de la región.

9. Resiliencia y recuperación. El Proveedor mantiene medidas de copia de seguridad y de recuperación orientadas a restablecer la disponibilidad y el acceso a los datos en caso de incidente físico o técnico.

10. Endurecimiento operativo. Los componentes internos (entre otros, el motor de medios y las interfaces de administración) se exponen únicamente en redes privadas o protegidas, no en internet abierta.

El Proveedor podrá modificar estas medidas siempre que el nivel de seguridad no disminuya por debajo del aquí descrito.

Anexo III — Lista de Subencargados

El Proveedor mantiene actualizada esta lista y notifica los cambios conforme a la cláusula 7.5.