Acuerdo de Tratamiento de Datos (DPA)

Objeto y funciones de las partes

Responsable del tratamiento (encargante): el cliente que utiliza la plataforma y decide sobre la finalidad y los medios del tratamiento de los datos introducidos.

Encargado del tratamiento:

El encargado trata los datos personales exclusivamente por encargo y siguiendo las instrucciones del responsable (arts. 28 y 29 del RGPD).

Objeto, naturaleza y finalidad del tratamiento

Objeto: Provisión de una plataforma SaaS para la gestión, el almacenamiento, la búsqueda y el tratamiento opcional asistido por IA de documentos.

Naturaleza del tratamiento: Recogida, almacenamiento, organización, indexación, búsqueda, visualización, comunicación (a los subencargados seleccionados) y supresión.

Finalidad: Cumplimiento del contrato de uso (Términos y Condiciones) — gestión de los documentos y datos introducidos por el responsable.

Duración: Durante la vigencia del contrato de uso. Tras su terminación se aplica el § 10 (supresión/devolución).

Tipo de datos y categorías de interesados

Categorías de datos personales (determinadas por el responsable):

• Datos maestros (nombres, direcciones, datos de contacto)
• Contenido de documentos y texto extraído de ellos (OCR), metadatos, etiquetas
• Contenido de comunicaciones y mensajes (chat de equipo)
• en su caso, categorías especiales (art. 9), siempre que sean introducidas por el responsable

Categorías de personas interesadas: clientes, mandantes, empleados, proveedores y demás socios comerciales del responsable.

Sujeción a instrucciones

El encargado trata los datos exclusivamente conforme a instrucciones documentadas del responsable, incluida la configuración a través de la plataforma. Las instrucciones verbales se confirman sin demora por escrito (la forma textual es suficiente).

Si el encargado considera que una instrucción es ilícita, informa al responsable sin demora (art. 28, apdo. 3, letra h, del RGPD).

Obligaciones del encargado

• Confidencialidad: las personas autorizadas para el tratamiento están obligadas a la confidencialidad (art. 28, apdo. 3, letra b, y art. 29).
• Seguridad: aplicación de las medidas conforme al art. 32 del RGPD (§ 6).
• Subcontratistas: uso únicamente conforme al § 7.
• Asistencia: colaboración en los derechos de los interesados y en la seguridad (§ 8, § 9).
• Responsabilidad proactiva: provisión de las pruebas necesarias (§ 11).

Medidas técnicas y organizativas (art. 32)

• Cifrado: TLS/HTTPS en la transmisión; copias de seguridad cifradas.
• Separación de clientes: base de datos dedicada por empresa (Database-per-Tenant) — aislamiento lógico estricto.
• Control de acceso: permisos basados en roles, hashing de contraseñas (bcrypt), autenticación de dos factores (2FA).
• Protección contra malware: análisis antivirus (ClamAV) en cada subida.
• Red/servidor: aislamiento de firewall y de contenedores, acceso exclusivamente mediante clave SSH, actualizaciones de seguridad automáticas.
• Disponibilidad/recuperabilidad: copias de seguridad cifradas en la UE, copia inmutable (WORM) fuera de sitio.
• Registro: registros de auditoría de las acciones relevantes para la seguridad.

Subencargados del tratamiento

El responsable autoriza con carácter general el uso de los siguientes subencargados del tratamiento. Cada uno está obligado contractualmente (art. 28):

• Hetzner Online GmbH (DE) — alojamiento, almacenamiento, copias de seguridad (UE). DPA
• Cloudflare — CDN, túnel, seguridad. DPA
• Stripe — procesamiento de pagos. Privacidad
• Brevo — envío de correos electrónicos (transaccionales). Condiciones
• OpenAI / Anthropic / Google — funciones de IA opcionales, solo al activarse, en modo API, sin entrenamiento (EU-US DPF / SCC).

Asistencia y derechos de los interesados

El encargado asiste al responsable con medidas adecuadas en el cumplimiento de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad de los datos, oposición — arts. 15 a 21), así como en las evaluaciones de impacto relativas a la protección de datos (art. 35) y en las consultas (art. 36).

Si un interesado se dirige directamente al encargado, este reenvía la solicitud sin demora al responsable.

Notificación de violaciones de la seguridad de los datos

El encargado notifica al responsable las violaciones de la seguridad de los datos personales sin demora tras tener conocimiento de ellas (art. 33, apdo. 2) y asiste en las obligaciones de notificación ante la autoridad de control (72 horas) y los interesados (arts. 33 y 34).

Supresión y devolución tras la terminación del contrato

Tras la terminación del contrato de uso, los datos tratados se suprimen o devuelven a elección del responsable, y las copias existentes se suprimen — en un plazo de 30 días, salvo que exista una obligación legal de conservación que lo impida (art. 28, apdo. 3, letra g). La exportación de datos es posible a través de la plataforma.

Pruebas y derechos de control

El encargado pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 y permite la realización de verificaciones — incluidas inspecciones — por parte del responsable o de un auditor encargado (art. 28, apdo. 3, letra h), previo aviso razonable y sin menoscabo del funcionamiento de los demás clientes.

Responsabilidad y disposiciones finales

Se aplica el régimen de responsabilidad del art. 82 del RGPD. De forma complementaria se aplican las disposiciones sobre responsabilidad de los Términos y Condiciones. En caso de contradicciones entre este DPA y los Términos y Condiciones, prevalece este DPA en lo relativo al tratamiento de datos.

Se aplica el Derecho alemán. Las modificaciones requieren la forma textual. Si alguna disposición fuera ineficaz, la validez de las restantes no se verá afectada.