Contrato de encargo del tratamiento
Versión de 8 de noviembre de 2026. Forma parte de los Términos del servicio y se firma también por separado, antes de que el cliente suba ningún fichero, en la prueba con sus pedidos y al contratar.
Responsable del tratamiento («el cliente»): ______________________, NIF ____________, con domicilio en ______________________, representada por ______________________.
Encargado del tratamiento («el encargado»): Luiz Fernando Brazão (IA Operators), NIF Y8219331L, con domicilio en Calle La Hoz, 4, 29002 Málaga (España).
1. Objeto
El encargado trata por cuenta del cliente los datos personales necesarios para prestar Sinteclear: leer los pedidos de compra que el cliente sube, proponer para cada línea la referencia de su catálogo, permitir que el cliente los revise y apruebe, guardar las correcciones para mejorar las propuestas de ese mismo cliente y exportar los pedidos aprobados. En la prueba previa a la contratación, el objeto es medir el acierto con una muestra de pedidos históricos del cliente.
2. Duración
Mientras el cliente use el servicio o dure la prueba. Al terminar se aplica la cláusula 11.
3. Naturaleza y finalidad
Recogida, almacenamiento, lectura automática con un modelo de lenguaje, búsqueda en el catálogo, consulta, modificación por las personas del cliente, exportación y supresión. La única finalidad es prestar el servicio al cliente.
4. Datos y personas afectadas
- Personas afectadas: personas de contacto de los clientes del cliente que aparecen en los pedidos, y los empleados del cliente que usan el servicio.
- Datos: identificativos y de contacto (nombre, correo, teléfono, cargo), dirección de entrega, y el contenido de los pedidos (artículos, cantidades, precios, números de pedido). De los usuarios: correo, nombre e historial de acciones en el servicio.
- Sin categorías especiales: el servicio no necesita datos del artículo 9 del RGPD ni de condenas penales, y el cliente no debe subirlos.
5. Obligaciones del cliente
Entregar al encargado solo los datos necesarios, haber informado a las personas afectadas según el RGPD, contar con base legal para el tratamiento y dar las instrucciones por escrito.
6. Obligaciones del encargado
El encargado:
a) Trata los datos solo siguiendo las instrucciones documentadas del cliente, incluidas las de este contrato y las que el cliente da al usar el servicio. Si una instrucción le parece contraria a la normativa de protección de datos, avisa al cliente de inmediato.
b) No usa los datos para fines propios. En particular, no los usa para entrenar modelos de inteligencia artificial ni los comparte con otros clientes.
c) Garantiza que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
d) Aplica las medidas de seguridad del Anexo II, adecuadas al riesgo (art. 32 RGPD).
e) Ayuda al cliente a responder a las personas que ejercen sus derechos. Si recibe una solicitud directamente, la traslada al cliente en un plazo máximo de cinco días hábiles.
f) Ayuda al cliente a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD), según la información de que disponga.
g) Notifica al cliente cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que la conozca, con la información disponible para que el cliente pueda notificarla a la autoridad si corresponde.
h) Pone a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y permite auditorías, también por un auditor designado por el cliente que se comprometa a guardar confidencialidad, con un preaviso de treinta días y, salvo incidente, una vez al año como máximo.
i) Lleva el registro de actividades de tratamiento que hace como encargado (art. 30.2 RGPD).
7. Subencargados
El cliente autoriza al encargado a recurrir a los subencargados del Anexo I. El encargado avisará al cliente con treinta días de antelación de cualquier alta o cambio, y el cliente podrá oponerse por motivos razonables; si no se llega a un acuerdo, podrá darse de baja sin penalización.
El encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y sigue respondiendo ante el cliente de su cumplimiento.
8. Transferencias internacionales
Los datos se alojan y procesan en la Unión Europea. Si un subencargado accede a ellos desde fuera del Espacio Económico Europeo (por ejemplo, para soporte técnico), la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU., si el subencargado está certificado, o en las cláusulas contractuales tipo de la Comisión Europea.
9. Ficheros originales
Los documentos que sube el cliente se conservan durante el plazo de retención de su cuenta (90 días por defecto, configurable a petición del cliente) y después se borran. Los pedidos ya leídos y aprobados se conservan mientras el cliente mantenga la cuenta.
10. Responsabilidad
Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el encargado decide por su cuenta los fines o los medios del tratamiento, será considerado responsable de ese tratamiento.
11. Fin del encargo
Al terminar el servicio, el encargado pone a disposición del cliente sus pedidos aprobados durante treinta días y después suprime todos los datos personales del cliente, incluidas las copias, salvo que una norma obligue a conservarlos; en ese caso, los mantiene bloqueados solo el tiempo que la norma exija. Las copias de seguridad se borran al completarse su ciclo de rotación. A petición del cliente, el encargado certifica la supresión.
En la prueba previa a la contratación, si el cliente no contrata, los datos se suprimen en un plazo de treinta días desde la entrega del resultado.
12. Ley aplicable
Este contrato se rige por la ley española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Málaga.
Firmado en ______________, a ____ de ______________ de ______.
| Por el cliente | Por el encargado |
|---|---|
| Nombre y firma | Luiz Fernando Brazão |
Anexo I. Subencargados
| Subencargado | Servicio | Ubicación de los datos |
|---|---|---|
| Supabase, Inc. | Base de datos, inicio de sesión y almacenamiento de los documentos | Unión Europea |
| Amazon Web Services EMEA SARL | Modelo de lenguaje Claude por Amazon Bedrock, para leer los pedidos y elegir entre candidatos del catálogo | Regiones de la Unión Europea (perfil de inferencia «eu.»). Según la documentación de AWS, el fabricante del modelo no tiene acceso a las entradas ni a las respuestas, y AWS no las usa para entrenar modelos |
| Cloudflare, Inc. | DNS, entrega del sitio y de la aplicación web, y reenvío del correo de sinteclear.com | Red global |
Anexo II. Medidas de seguridad
- Aislamiento entre clientes en la base de datos. Cada fila lleva la organización a la que pertenece y la base de datos impide, con seguridad a nivel de fila, que una persona vea o modifique datos de otra organización. Este aislamiento tiene pruebas automáticas que se ejecutan con cada cambio.
- Acceso. Solo por invitación del administrador del cliente; inicio de sesión con Google o con enlace al correo; sesiones con caducidad. El cliente puede retirar el acceso de una persona en cualquier momento.
- Mínimo privilegio. Las claves con permisos totales solo se usan en el servidor, nunca en el navegador. La interfaz no puede cambiar un pedido aprobado ni aprobar en nombre de otra persona, y cada aprobación queda registrada con su autor.
- Cifrado. Todo el tráfico va cifrado (TLS). Los datos se guardan cifrados en reposo por el proveedor de la base de datos y del almacenamiento.
- Procesamiento en la UE. El servicio se niega a arrancar en producción si el modelo de lenguaje configurado no procesa en la Unión Europea.
- Integridad de las propuestas. Ninguna referencia que no esté en el catálogo del cliente puede entrar en un pedido; la base de datos lo comprueba.
- Copias de seguridad. Copia diaria de la base de datos.
- Retención. Los ficheros originales se borran al cumplirse el plazo de retención de la cuenta.
- Personal. El acceso a los datos de los clientes está limitado al encargado y, si los hubiera, a colaboradores con compromiso de confidencialidad, solo cuando lo requiera el soporte o una incidencia.