Contrato de encargo del tratamiento

Partes y objeto

Este contrato regula el tratamiento de datos personales que Juan Echeverria Arteaga, NIF 72491401R, domicilio en Calle Golfo de Salonica 64, 6B, 28033 Madrid (España), correo juan@productomania.io (el «Encargado»), realiza por cuenta del profesional o entidad que contrata y utiliza Cenertic (el «Responsable»).

El Responsable determina los fines y medios del tratamiento de los datos de sus clientes, representantes y otras personas que incorpora a trabajos y certificados. El Encargado trata esos datos únicamente para alojar, organizar, sincronizar y permitir la consulta y preparación de esos trabajos y documentos mediante Cenertic.

Este modelo se incorpora al acuerdo de acceso a Cenertic cuando el Responsable lo acepta electrónicamente o lo firma. El contrato principal identifica al Responsable y la fecha de aceptación.

Duración e instrucciones

El tratamiento dura mientras el Responsable use Cenertic y conserve datos en la aplicación. Las instrucciones del Responsable son prestar las funciones descritas en este contrato y en la documentación del servicio, permitir que el propio Responsable gestione sus trabajos y suprimir o devolver los datos cuando lo solicite o finalice el servicio.

El Encargado no utilizará los datos de trabajos para publicidad propia, venta de perfiles ni entrenamiento de modelos de inteligencia artificial. Si una norma obliga al Encargado a tratar datos de otro modo, informará al Responsable antes de hacerlo, salvo que la ley lo prohíba.

Personas y datos tratados

Las personas afectadas pueden ser clientes del Responsable, titulares o usuarios de inmuebles, representantes, empleados y colaboradores que aparezcan en los trabajos. Las categorías de datos incluyen datos identificativos y de contacto; direcciones y referencias catastrales; información de inmuebles, fechas, instalaciones y características constructivas; observaciones y propuestas técnicas; fotografías, planos y documentos aportados; y datos incluidos en certificados o archivos generados.

El Responsable no incorporará categorías especiales de datos —como datos de salud, biométricos, ideología o afiliación sindical— ni datos sobre condenas e infracciones, salvo que el servicio lo permita expresamente y exista una instrucción y base jurídica adecuadas.

Obligaciones del Responsable

• Determinar una base jurídica para cada tratamiento e informar a las personas afectadas.
• Introducir solo los datos adecuados y necesarios, y mantenerlos exactos.
• Dar instrucciones lícitas y contar con autorización para usar Cenertic con esos datos.
• Gestionar las solicitudes de derechos de las personas, con la asistencia del Encargado cuando sea necesaria.
• Proteger sus credenciales y revisar los documentos antes de utilizarlos o comunicarlos.

Obligaciones del Encargado

• Tratar los datos siguiendo las instrucciones documentadas del Responsable y garantizar la confidencialidad de las personas autorizadas.
• Aplicar medidas técnicas y organizativas apropiadas, limitar el acceso a personas autorizadas y proteger el acceso entre cuentas.
• Ayudar razonablemente al Responsable a atender derechos, incidentes de seguridad y obligaciones de evaluación de impacto, teniendo en cuenta la naturaleza del tratamiento.
• Notificar al Responsable cualquier violación de seguridad de los datos personales sin dilación indebida desde que tenga conocimiento.
• Poner a disposición del Responsable información razonable para demostrar el cumplimiento de este contrato y permitir auditorías proporcionadas, con preaviso y sin acceso a datos de otros clientes.
• Informar si considera que una instrucción infringe la normativa de protección de datos.

Subencargados y transferencias

El Responsable autoriza el uso de los proveedores necesarios para prestar Cenertic: Google Cloud para el backend y procesos en europe-southwest1 (Madrid), Supabase para base de datos, autenticación y almacenamiento con región principal West EU (Irlanda), y Vercel para distribuir el frontend. Vercel no ejecuta funciones de la aplicación en producción. Sus entidades vinculadas y subencargados pueden prestar soporte, seguridad y operación desde otros países.

Los proveedores y ubicaciones vigentes se describen en sus listas de subencargados de Google Cloud, Supabase y Vercel. El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes y seguirá siendo responsable frente al Responsable por las obligaciones que le correspondan. Cuando una transferencia internacional lo requiera, se aplicarán las garantías reconocidas por la normativa, incluidas las cláusulas contractuales tipo.

El Encargado informará de cambios materiales en los subencargados. El Responsable podrá plantear una objeción justificada por protección de datos dentro de los 15 días siguientes al aviso. Las partes buscarán una alternativa razonable; si no la hay, cualquiera podrá terminar la parte afectada del servicio.

Devolución y supresión

El Responsable puede exportar los documentos disponibles y eliminar trabajos desde su cuenta. Al finalizar el servicio, el Encargado suprimirá o devolverá, a elección del Responsable, los datos personales tratados por su cuenta y eliminará las copias existentes, salvo obligación legal de conservación. Los datos en copias de seguridad que no estén disponibles para el uso ordinario se sobrescribirán en un plazo máximo de 30 días.

Medidas de seguridad

El Encargado aplica, atendiendo a la naturaleza del servicio, controles de acceso autenticado y por cuenta, separación lógica de datos, comunicaciones cifradas en tránsito, permisos limitados para operaciones de servidor, registros de seguridad y uso de servicios de infraestructura gestionados. Las medidas se revisan de acuerdo con la evolución del servicio y los riesgos.

Normativa

Este contrato se interpreta conforme al artículo 28 del Reglamento (UE) 2016/679 y a la normativa española de protección de datos. Se integra con las condiciones de acceso a Cenertic; si hubiera contradicción sobre el tratamiento por cuenta del Responsable, prevalece este contrato.