Contrato de encargo del tratamiento

1. Partes

• Responsable del tratamiento («el Responsable»): la empresa o el profesional que da de alta su cuenta en Cierra, con los datos identificativos que indica en el alta y en su cuenta.
• Encargado del tratamiento («el Encargado»): Rubén Zafra Calzado, con NIF 54447454Z y domicilio en Travesía de Pablo Ortiz, 23, piso 2, puerta 1, 28701 San Sebastián de los Reyes (Madrid), titular de Cierra. Contacto: rubeen721contactobusiness@gmail.com.

Este contrato se celebra por medios electrónicos, como permite el artículo 28.9 del RGPD, y lo acepta en nombre del Responsable la persona que da de alta su cuenta. Forma parte de las condiciones de uso. Si los dos documentos dijeran cosas distintas sobre protección de datos, manda este contrato.

2. Objeto

El Encargado trata, por cuenta del Responsable, los datos personales necesarios para prestarle el servicio Cierra: el seguimiento de los presupuestos que el Responsable tiene en STEL Order, los avisos al Responsable y, si lo activa, los mensajes de WhatsApp a sus clientes y las respuestas de un asistente automático. El anexo I detalla la finalidad, la naturaleza del tratamiento, los tipos de datos y las categorías de interesados.

3. Duración

Este contrato dura lo mismo que el contrato de servicio y, después, el tiempo necesario para devolver o suprimir los datos según el apartado 12.

4. Instrucciones del Responsable

1. El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable, también en lo que se refiere a las transferencias internacionales. Son instrucciones del Responsable este contrato, las condiciones de uso y lo que configura en el panel de Cierra (por ejemplo, activar el seguimiento por WhatsApp, registrar el consentimiento de un cliente o permitir los cambios de estado en STEL Order).
2. Si el Derecho de la Unión Europea o el español obligan al Encargado a tratar los datos de otra forma, se lo dirá al Responsable antes de hacerlo, salvo que ese Derecho lo prohíba por razones importantes de interés público.
3. El Encargado avisará de inmediato al Responsable si cree que una instrucción infringe el RGPD u otra norma de protección de datos.
4. El Encargado no usará los datos para fines propios. Si lo hiciera, se le consideraría responsable de ese tratamiento (art. 28.10 RGPD y art. 33.2 de la Ley Orgánica 3/2018, LOPDGDD).
5. El Responsable autoriza al Encargado a obtener estadísticas agregadas y anónimas del uso del servicio (por ejemplo, cuántos presupuestos se siguen o se cierran) para mantenerlo y mejorarlo. Esas estadísticas nunca permiten identificar a ninguna persona.

5. Confidencialidad

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a mantener su confidencialidad o están obligadas a ello por ley, también después de terminar su relación con el Encargado. Solo acceden a los datos las personas que lo necesitan para prestar o mantener el servicio, y solo en la medida necesaria (por ejemplo, para resolver una incidencia que ha comunicado el Responsable).

6. Seguridad

El Encargado aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, como exige el artículo 32 del RGPD. Están descritas en el anexo II. El Encargado las revisa de forma periódica y puede cambiarlas por otras equivalentes o mejores, pero nunca rebajar el nivel de protección.

7. Subencargados

1. El Responsable da su autorización general por escrito para que el Encargado recurra a los subencargados del anexo III.
2. El Encargado avisará al Responsable por email, con al menos 30 días de antelación, de cualquier alta o sustitución de un subencargado, para que pueda oponerse. Si el cambio es urgente por motivos de seguridad o para que el servicio siga funcionando, el plazo podrá ser menor y el aviso lo explicará.
3. Si el Responsable se opone por motivos razonables de protección de datos y no se encuentra una solución, podrá terminar el contrato sin penalización antes de que el cambio tenga efecto, y se le devolverá la parte de lo pagado que corresponda al tiempo que quede.
4. El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato, en particular las garantías suficientes de que aplica medidas técnicas y organizativas apropiadas. Si un subencargado incumple sus obligaciones, el Encargado sigue respondiendo por completo ante el Responsable (art. 28.4 RGPD).
5. Para el seguimiento por WhatsApp, el Responsable conecta su propia cuenta de WhatsApp Business y acepta directamente las condiciones de Meta, que le cobra los mensajes. El Encargado usa esa cuenta en nombre del Responsable a través de la plataforma de Meta.
6. STEL Order no es un subencargado del Encargado: es un proveedor del propio Responsable, del que Cierra lee los datos con la clave de la API que el Responsable le da.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos subencargados del anexo III pueden tratarlos fuera del Espacio Económico Europeo. En esos casos, la transferencia se ampara en:

• una decisión de adecuación de la Comisión Europea, como la del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) para las empresas adheridas, o
• las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), con las medidas adicionales que hagan falta.

El Encargado no hará otras transferencias sin instrucción del Responsable.

9. Derechos de los interesados

1. El Encargado ayudará al Responsable, con medidas técnicas y organizativas apropiadas y siempre que sea posible, a responder a las solicitudes de los interesados: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones individuales automatizadas.
2. Desde el panel de Cierra, el Responsable ya puede descargar los datos de un cliente en un archivo (JSON), registrar o retirar su consentimiento para WhatsApp y pausar su seguimiento. Las bajas se aplican solas cuando el cliente contesta «BAJA».
3. Para suprimir los datos de un cliente, el Responsable debe suprimirlos también en STEL Order, de donde Cierra los lee, y pedir al Encargado por email que los borre de Cierra. El Encargado lo hará sin dilación indebida y a tiempo para que el Responsable pueda contestar en el plazo de un mes del artículo 12.3 del RGPD.
4. Si un interesado se dirige directamente al Encargado, este pasará la solicitud al Responsable en un máximo de 5 días hábiles y no la contestará por su cuenta, salvo para decirle a quién dirigirse.

10. Violaciones de la seguridad de los datos

1. El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que trate por su cuenta. Lo hará por email al propietario de la cuenta y con un aviso en el panel.
2. La notificación incluirá, como mínimo y en la medida en que se conozca, lo que pide el artículo 33.3 del RGPD: la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados; un contacto para obtener más información; las consecuencias probables; y las medidas tomadas o propuestas para ponerle remedio y reducir sus efectos. Si no se puede dar toda la información a la vez, se dará por partes, sin dilación indebida.
3. Corresponde al Responsable notificar la violación a la Agencia Española de Protección de Datos y, cuando proceda, comunicarla a los interesados (artículos 33 y 34 del RGPD). El Encargado le ayudará con la información de que disponga.

11. Otras obligaciones de asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, el Encargado ayudará al Responsable a cumplir sus obligaciones sobre:

• La seguridad del tratamiento (art. 32 RGPD).
• La evaluación de impacto relativa a la protección de datos, si fuera necesaria (art. 35 RGPD), y la consulta previa a la autoridad de control (art. 36 RGPD).
• La transparencia sobre el asistente automático: el asistente dice que es automático desde su primer mensaje (art. 50 del Reglamento (UE) 2024/1689 de inteligencia artificial).

Además, el Encargado lleva el registro de las actividades de tratamiento que hace por cuenta de sus clientes (art. 30.2 RGPD) y cooperará con la autoridad de control cuando se lo pida (art. 31 RGPD).

12. Fin del encargo: devolución y supresión de los datos

1. Cuando el Responsable deja de tener acceso al servicio (porque termina la prueba sin suscripción, cancela o no paga), el Encargado guarda los datos 30 días. En ese plazo, el Responsable puede elegir que se le devuelvan, pidiéndolo por email, en un formato estructurado y de uso común (JSON o CSV). Si no pide nada, los datos se suprimen.
2. Pasado ese plazo, y una vez devueltos si así lo pidió, el Encargado suprime todos los datos personales tratados por cuenta del Responsable. Las copias de seguridad cifradas se renuevan solas y los datos desaparecen de ellas en un máximo de 30 días. Si el Responsable lo pide, el Encargado le confirmará por escrito la supresión.
3. El Encargado solo podrá guardar, bloqueados, los datos imprescindibles mientras una ley le obligue a conservarlos o mientras puedan derivarse responsabilidades de su relación con el Responsable (art. 33 LOPDGDD).
4. La supresión en Cierra no afecta a los datos que el Responsable tiene en STEL Order.

13. Obligaciones del Responsable

El Responsable se compromete a:

• Tener una base legal para el tratamiento de los datos de sus clientes y para encargarlo a Cierra, e informar a los interesados como piden los artículos 13 y 14 del RGPD, también del uso de proveedores como Cierra y de un asistente automático.
• Obtener y registrar con veracidad el consentimiento de cada cliente antes de que Cierra le escriba por WhatsApp, y no usar Cierra para comunicaciones comerciales que no se han pedido ni autorizado (art. 21 de la Ley 34/2002, LSSI-CE).
• No incluir en los presupuestos, en la ficha de la empresa ni en la configuración categorías especiales de datos (art. 9 RGPD), como datos de salud, salvo que sean imprescindibles para el presupuesto y lo haya valorado antes.
• Velar por que sus Usuarios cumplan este contrato y supervisar el tratamiento, también mediante auditorías.
• Contestar a los interesados que ejerzan sus derechos.

14. Demostración del cumplimiento y auditorías

1. El Encargado pondrá a disposición del Responsable, en un máximo de 30 días desde que lo pida, toda la información necesaria para demostrar que cumple este contrato y el artículo 28 del RGPD.
2. El Encargado permitirá y facilitará las auditorías e inspecciones que haga el Responsable u otro auditor que este encargue, sujeto a confidencialidad. Salvo que haya habido una violación de la seguridad o lo pida una autoridad de control, se avisarán con 30 días de antelación, se harán como mucho una vez al año, en horario laboral y sin poner en riesgo la seguridad del servicio ni los datos de otros clientes. Cada parte paga sus propios costes.

15. Responsabilidad

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Entre las partes, se aplican los límites de responsabilidad de las condiciones de uso, salvo cuando la ley no permita limitarla.

16. Ley aplicable

Este contrato se rige por la ley española y se aplica lo dicho sobre tribunales en las condiciones de uso.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

• Cifrado en las comunicaciones: todas las conexiones con la web, con STEL Order y con los subencargados van cifradas (HTTPS/TLS).
• Claves de STEL Order: se guardan cifradas con claves maestras que se custodian aparte, nunca aparecen en los registros y en el panel solo se ven sus últimos cuatro caracteres.
• Separación entre empresas: todos los datos llevan el identificador de su empresa y la base de datos aplica seguridad por filas, de forma que las consultas de una empresa no pueden leer datos de otra. Hay pruebas automáticas que lo comprueban.
• Acceso al panel: sin contraseñas, con enlaces de un solo uso que caducan a los 15 minutos, sesiones que caducan y dos papeles (propietario y empleado) con permisos distintos.
• Mínimo privilegio en STEL Order: Cierra solo escribe el cambio de estado de un presupuesto y los eventos de agenda; las dos cosas se pueden desactivar y quedan en un registro de auditoría.
• Enlaces y avisos firmados: los botones de los emails usan enlaces firmados que caducan, y se comprueba la firma de los avisos que envían Meta y Stripe.
• Registros sin datos personales: los registros técnicos y los informes de errores no guardan emails, teléfonos, textos de clientes ni claves; se depuran antes de guardarlos o enviarlos.
• Copias de seguridad: diarias, cifradas antes de salir del servidor, guardadas en la Unión Europea y con pruebas periódicas de restauración.
• Retención automática: los mensajes de WhatsApp se borran a los 12 meses y las copias de los avisos técnicos de Meta, a los 30 días.
• Asistente limitado: solo recibe el presupuesto de esa conversación y la ficha de la empresa, se presenta como automático, trata lo que escribe el cliente como un dato y no como una orden, y no puede cambiar nada en STEL Order por su cuenta.
• Organización: compromiso de confidencialidad del personal, acceso a los datos solo cuando hace falta, actualización de las dependencias del software y un manual de incidencias con los pasos para detectar, contener y comunicar una violación de seguridad.

Anexo III. Subencargados autorizados