Encargo de tratamiento de datos

Encargo de tratamiento de datos

Entre, de una parte,

Pau Cantó Boronat, persona física con NIF 54639730X y domicilio en Av. Pintor Pastor Calpena, 7, Aspe (Alicante), que ejerce su actividad bajo la marca Centry.

En este documento se la denomina el Encargado.

Y, de otra parte, la empresa cliente identificada en este portal, en adelante el Responsable.

Este documento es el contrato de encargo de tratamiento exigido por el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD). Se acepta por vía electrónica al formalizar el onboarding y quedan registradas la fecha, la persona que acepta, la versión exacta del texto y la identidad de la parte con la que se acepta. Forma parte del Contrato de servicio.

Quién contrata hoy y quién contratará mañana

La parte que contrata es hoy una persona física. Está en constitución Centry, S.L., sociedad que asumirá la posición contractual cuando exista e inicie su actividad.

Ese traspaso no se produce de forma automática ni retroactiva: requerirá el acuerdo correspondiente —cesión de contrato, novación o subrogación—, y se comunicará al cliente para recabar su conformidad cuando la ley o el propio contrato la exijan. Hasta entonces, quien responde frente al cliente es la persona física identificada arriba.

Los acuerdos ya aceptados no se modifican cuando la sociedad exista: cada aceptación conserva, junto con la versión y la huella del documento, la identidad de la parte con la que se firmó. Un cambio de parte se documenta aparte; no reescribe lo firmado.

1. Objeto, naturaleza y finalidad

El Responsable encarga al Encargado el tratamiento de datos personales que resulte necesario para configurar, poner en marcha y operar un Asistente y las automatizaciones contratadas. El tratamiento consiste en la recogida, el almacenamiento, la consulta, el análisis automatizado y la comunicación a los subencargados de la cláusula 6 de los datos descritos en la cláusula 3.

La finalidad es exclusivamente esa: el Encargado no trata los datos para ningún fin propio, no los cede a terceros distintos de los subencargados listados y no los utiliza para entrenar modelos propios ni de terceros.

1.1 Qué queda fuera de este encargo

Este encargo cubre los tratamientos en los que el Encargado actúa por cuenta del Responsable. No cubre los datos de las personas que acceden al portal —nombre, correo, registro de actividad y evidencia de las aceptaciones—: sobre ésos el Encargado decide las finalidades y actúa como responsable, y eso se rige por la Política de privacidad, no por este documento. El reparto completo está en la cláusula 1.2.

1.2 Papel de cada parte en cada tratamiento

Ninguna de las dos partes tiene un único papel. Depende del tratamiento, y de ello dependen la base jurídica, quién atiende un derecho y quién responde:

2. Duración

El encargo dura lo que dure la relación contractual entre las partes. Terminada ésta, se aplica la cláusula 8.

3. Tipos de datos y categorías de interesados

Datos tratados:

• Datos identificativos y de contacto: nombre, apellidos, correo electrónico, teléfono y cargo.
• Contenido de las conversaciones —texto y, si se contrata el canal de llamadas, voz y su transcripción— que el Asistente mantenga con las personas que se dirijan al Responsable.
• Contenido de las reuniones de descubrimiento aportadas por el Responsable (notas y transcripciones).
• Información pública de la web del Responsable, cuando éste la indique para que se analice.
• Datos de negocio del Responsable que puedan contener datos personales.

Categorías de interesados: personal del Responsable, sus clientes, sus clientes potenciales y cualquier persona que contacte con él por los canales configurados.

El Responsable se compromete a no aportar categorías especiales de datos (art. 9 RGPD) ni datos de infracciones penales salvo acuerdo previo y por escrito que fije medidas adicionales.

4. Obligaciones del Encargado (art. 28.3)

a) Instrucciones documentadas. El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Este contrato y la configuración registrada en el portal constituyen esas instrucciones. Si el Encargado entiende que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.

b) Confidencialidad. Las personas autorizadas por el Encargado están sujetas a un deber de confidencialidad expreso que subsiste tras el fin de la relación.

c) Seguridad (art. 32). El Encargado aplica, como mínimo: cifrado en tránsito (TLS) en todos los accesos; control de acceso por identidad y rol, con separación entre los datos de cada cliente; análisis antivirus de todo fichero antes de almacenarlo; registro de auditoría de sólo inserción, y protegido contra modificación, de las operaciones relevantes; copias de seguridad periódicas y cifradas; y alojamiento de la base de datos y de los documentos del portal en la Unión Europea, sin perjuicio de las comunicaciones a los subencargados de la cláusula 6 y de las transferencias amparadas en ella.

El carácter de sólo inserción del registro de auditoría es una medida de integridad, no una excepción a los derechos del interesado: la cláusula 8 explica cómo se atiende una supresión sin destruir la traza.

d) Subencargados. El Responsable autoriza con carácter general la contratación de los subencargados de la cláusula 6 y de los que los sustituyan o se añadan en las mismas condiciones. El Encargado:

1. informará de cualquier alta o sustitución con al menos quince días de antelación, por correo electrónico a la dirección de contacto del Responsable y publicando la lista actualizada en el portal;
2. atenderá la oposición por motivos fundados que el Responsable manifieste dentro de ese plazo; si la oposición impide prestar el servicio, cualquiera de las partes podrá resolver el contrato sin penalización y con devolución de la parte no consumida del precio;
3. impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este documento; y
4. responde frente al Responsable del incumplimiento de sus obligaciones por parte del subencargado, en los términos del artículo 28.4 del RGPD.

e) Derechos de los interesados. El Encargado asistirá al Responsable, con medidas técnicas y organizativas apropiadas, para atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un interesado se dirige directamente al Encargado, éste le remitirá al Responsable y se lo comunicará sin dilación.

f) Violaciones de seguridad. El Encargado notificará al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de ella, con la información de que disponga.

g) Asistencia. El Encargado asistirá al Responsable en las evaluaciones de impacto y consultas previas que procedan, en la medida en que la información necesaria esté en su poder.

h) Auditoría. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones. Además de la información escrita, y salvo que exista una sospecha fundada de violación de seguridad que afecte al Responsable, se realizará como máximo una auditoría al año, con treinta días de preaviso, en horario laboral, sin interrumpir la actividad, a cargo del Responsable, sujeta a confidencialidad y sin acceso a datos de otros clientes.

5. Uso de inteligencia artificial

El Encargado utiliza modelos de lenguaje de terceros para tres cosas, y sólo para esas tres:

1. Analizar las reuniones de descubrimiento que el Responsable aporte, con el fin de proponer datos de configuración. Toda propuesta la revisa y aprueba una persona antes de tener efecto: el sistema no convierte automáticamente una extracción en configuración.
2. Leer la web pública que el Responsable indique, en los términos de la cláusula 5.1, con el mismo fin y las mismas garantías.
3. Operar el Asistente en los canales contratados.

El contenido enviado a estos proveedores no se utiliza para entrenar sus modelos, conforme a las condiciones de uso de sus interfaces de programación para clientes empresariales.

5.1 Análisis de la web pública del Responsable

Este análisis es un tratamiento realizado por cuenta del Responsable y siguiendo su instrucción: lo activa él, indicando en el portal la dirección concreta que quiere que se lea, y no se ejecuta sin esa autorización previa. No se apoya en un interés legítimo del Encargado.

El portal registra, para cada análisis, la dirección autorizada, el momento en que se autorizó, el momento de la lectura y la finalidad. El alcance está acotado técnicamente: se leen como máximo cinco páginas del mismo dominio indicado, ninguna de otro sitio, y sólo contenido público. El alcance no se amplía por iniciativa del Encargado.

Lo extraído se guarda separado de la configuración: entra como propuesta con su cita de origen y sólo se convierte en configuración cuando una persona la aprueba. El Responsable garantiza que dispone de título suficiente sobre los contenidos de la web que indica.

5.2 Transparencia del Asistente

El Asistente se identifica como sistema de inteligencia artificial ante las personas con las que conversa, como máximo en la primera interacción de cada conversación y en todos los canales, y también cuando se le pregunte. Esta identificación no es configurable ni desactivable: no existe en el portal ningún ajuste que permita suprimirla. El Responsable puede elegir con qué palabras se dice, no si se dice.

Esta obligación responde al artículo 50 del Reglamento (UE) 2024/1689 sobre inteligencia artificial. Es una capa distinta de la información sobre protección de datos y no la sustituye: informar a los interesados del tratamiento de sus datos personales (arts. 13 y 14 RGPD) corresponde al Responsable. Tampoco se afirma que esta medida agote por sí sola las obligaciones que el Reglamento de inteligencia artificial imponga al Responsable como usuario del sistema.

6. Subencargados

Para el portal en el que se prepara el proyecto:

Para la operación del Asistente y de las automatizaciones:

6.1 Transferencias internacionales

Los proveedores situados fuera del Espacio Económico Europeo aparecen en la tabla con el mecanismo concreto que ampara cada transferencia. Hoy ese mecanismo son las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión (UE) 2021/914), en el módulo que corresponde a cada relación, junto con las medidas técnicas indicadas en la tabla.

No se afirma que ningún proveedor esté cubierto por el Marco de Privacidad de Datos UE-EE. UU.: a la fecha de revisión de este registro no se ha comprobado la certificación de ninguno de ellos, y las Cláusulas Contractuales Tipo son mecanismo válido por sí solas. Si en el futuro se comprueba una certificación, o si cambia el mecanismo aplicable, se actualizará este documento y se informará al cliente.

Registro de proveedores y transferencias revisado el 2026-09-12.

7. Localización de los datos

La base de datos y los documentos del portal, y los sistemas que operan el Asistente, se alojan en servidores situados en la Unión Europea. Los tratamientos descritos en la cláusula 5 implican comunicación puntual de contenido a los proveedores de la cláusula 6.

8. Conservación, devolución y supresión

Cada categoría de información tiene su propio plazo, y ese plazo responde a una finalidad concreta. Ninguna se conserva «para siempre»:

Estos plazos son el criterio de conservación. La supresión se ejecuta a petición del interesado o del cliente, y mediante revisión periódica. El portal ejecuta un único borrado automático: los documentos que el cliente retira se borran del almacenamiento a los 30 días, junto con el texto que se extrajo de ellos. Para lo demás no hay un borrado automático por vencimiento de plazo, y decir lo contrario sería prometer un proceso que no existe.

Terminada la prestación, y a elección del Responsable manifestada por escrito en los 30 días siguientes, el Encargado devolverá o suprimirá los datos personales tratados por su cuenta y las copias existentes, incluidas las copias de seguridad conforme se vayan renovando. A falta de indicación, los suprimirá.

Se exceptúan dos cosas, por motivos distintos:

• los datos que deban conservarse por obligación legal, y
• la evidencia de aceptación y de firma de los acuerdos, que no es un dato operativo sino la prueba de lo que las partes pactaron, y que se conserva durante 5 años desde el fin del contrato (plazo de prescripción de las acciones personales, art. 1964.2 del Código Civil).

Los datos operativos del cliente y la evidencia jurídica no se mezclan: suprimir los primeros no destruye la segunda, y conservar la segunda no es excusa para retener los primeros.

El registro de auditoría se conserva como medida de integridad y seguridad (art. 32 RGPD) y para el ejercicio o la defensa de reclamaciones (art. 17.3.e RGPD). Es un registro de sólo inserción: un suceso no se modifica ni se borra por separado. A cambio de esa rigidez guarda el mínimo —qué operación, cuándo y con qué cuenta se hizo—, nunca el contenido de lo que se escribió, y se elimina entero cuando se elimina el cliente.

9. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. El Encargado responde asimismo del incumplimiento de sus subencargados en los términos del artículo 28.4.

10. Delegado de protección de datos

El Encargado no está obligado a designar un delegado de protección de datos: no es una autoridad pública, su actividad principal no consiste en observar a personas de forma habitual y sistemática a gran escala, y no trata a gran escala categorías especiales de datos (art. 37 RGPD). Para cualquier cuestión de protección de datos: contacto@iacentry.com.

11. Ley aplicable

Este encargo se rige por el RGPD y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.