Contrato de encargado del tratamiento

Este contrato, celebrado conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), es un anexo de las condiciones de uso de Dintel. Vincula a ZX Consulting LLC («Dintel», el encargado del tratamiento) con la empresa cliente («el Cliente», el responsable del tratamiento). Se acepta junto con las condiciones de uso al crear la cuenta, sin firma aparte.

1. Objeto

Dintel trata, por cuenta del Cliente, los datos personales que el Cliente introduce, importa o recibe en Dintel, con el único fin de prestarle el servicio descrito en las condiciones de uso. Los tratamientos de los que Dintel es responsable (cuenta, contrato, facturación de la suscripción, seguridad, soporte) se explican en la Política de privacidad y no forman parte de este contrato.

2. Duración

Este contrato se aplica mientras el Cliente use el servicio y, después, hasta la supresión o devolución de los datos prevista en el apartado 9.

3. Naturaleza y finalidad del tratamiento

Alojamiento, registro, organización, consulta, presentación (presupuestos, facturas, pedidos y actas en PDF), cálculo, comunicación por instrucción del Cliente (envío de un documento, recordatorio de pago), lectura automática con inteligencia artificial de los contenidos que el Cliente decide enviar (voz, documentos, tickets, peticiones recibidas), copia de seguridad y supresión.

4. Datos y personas afectadas

• Clientes y posibles clientes del Cliente: identidad, datos de contacto, dirección de la obra, mensajes y peticiones recibidas, presupuestos, facturas, cobros, fotos y documentos.
• Trabajadores, eventuales, subcontratas y colaboradores del Cliente: identidad, coste por hora, horas, planning, fotos de obra.
• Proveedores del Cliente y sus contactos: identidad, datos de contacto, pedidos, facturas y pagos.
• Usuarios invitados por el Cliente (equipo, gestoría): identidad, correo y función.

El servicio no está pensado para categorías especiales de datos (salud, ideología…): el Cliente se compromete a no introducirlas.

5. Obligaciones de Dintel

• Instrucciones documentadas. Dintel solo trata los datos siguiendo las instrucciones documentadas del Cliente: estas condiciones, la configuración del servicio y lo que el Cliente hace en la app. Si una instrucción le parece contraria al RGPD o a la LOPDGDD, Dintel se lo comunica. Si el Derecho de la Unión o de un Estado miembro le obliga a otro tratamiento, se lo comunica antes, salvo que la ley lo prohíba.
• Confidencialidad. Las personas autorizadas a acceder a los datos en Dintel tienen un deber de confidencialidad (art. 5 LOPDGDD) y solo acceden cuando es necesario (soporte pedido por el Cliente, seguridad, incidencia).
• Ninguna otra finalidad. Dintel no usa los datos del Cliente para sus propios fines, no los vende y no los usa para entrenar modelos de inteligencia artificial.
• Asistencia. Dintel ayuda al Cliente, en lo posible y según la naturaleza del tratamiento, a atender el ejercicio de los derechos de las personas (casi todo se hace en la app: consultar, corregir, exportar, suprimir) y a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD). Si una persona afectada se dirige directamente a Dintel, Dintel traslada la petición al Cliente sin contestarla por su cuenta.

6. Seguridad (art. 32 RGPD)

Entre otras, Dintel aplica estas medidas:

• aislamiento de cada empresa en la propia base de datos (seguridad a nivel de fila);
• cifrado de las comunicaciones (HTTPS/TLS) y de los datos almacenados en el proveedor de alojamiento;
• ficheros privados, que solo se sirven con enlaces temporales firmados;
• claves de acceso a servicios de terceros (facturación electrónica) cifradas;
• permisos por función en la app (un operario no ve costes por hora ni importes);
• base de datos alojada en la Unión Europea (París);
• registro de errores sin el contenido de los documentos.

Estas medidas pueden cambiar, pero nunca para dar menos protección.

7. Subencargados

El Cliente autoriza a Dintel a recurrir a los subencargados de la tabla. Dintel les impone por contrato obligaciones de protección de datos equivalentes a las de este contrato y sigue siendo responsable ante el Cliente de que las cumplan.

Aviso previo y derecho de oposición. Dintel avisa al Cliente por correo al menos 30 días antes de añadir o sustituir un subencargado, y actualiza esta tabla. El Cliente puede oponerse por un motivo razonable relacionado con la protección de datos escribiendo a support@dintel.eu; si no hay solución, puede terminar el contrato borrando su empresa, sin coste.

8. Brechas de seguridad

Dintel notifica al Cliente sin dilación indebida cualquier brecha de seguridad de los datos personales que le afecte, en cuanto la conozca, para que pueda cumplir su propio plazo de notificación a la Agencia Española de Protección de Datos (72 horas, art. 33 RGPD). La notificación describe, en lo posible, la naturaleza de la brecha, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas tomadas o propuestas. Después, Dintel colabora con el Cliente y le envía la información complementaria en cuanto la tenga, para que pueda notificar a la AEPD y, si procede, a las personas afectadas.

9. Fin del contrato: devolución y supresión

El Cliente puede exportar sus datos en cualquier momento. Después de pedir el borrado de la empresa, sigue pudiendo exportarlos durante 30 días. Sin suscripción, la empresa queda en solo lectura 24 meses como máximo, con dos avisos por correo antes del final. Pasados esos plazos, Dintel suprime los datos, con dos excepciones:

• el archivo legal de las facturas emitidas y de la contabilidad, que Dintel se compromete con el Cliente a conservar para que pueda cumplir sus obligaciones de conservación. Mientras dura el contrato, Dintel lo forma como encargado, por instrucción del Cliente al aceptar este contrato; cuando el contrato termina, lo conserva como responsable del tratamiento, solo para cumplir ese compromiso (entregar una copia al Cliente o a la Administración a petición suya) y para la formulación, el ejercicio o la defensa de reclamaciones (art. 6.1.b y 6.1.f RGPD). Dintel lo conserva 10 años desde el cierre de cada ejercicio: es su política de conservación, más larga que el mínimo mercantil de seis años (Código de Comercio, art. 30), no un plazo que la ley imponga para todos los datos. La obligación legal de conservar sigue siendo del Cliente;
• los datos que Dintel deba conservar por una obligación legal propia (art. 32 LOPDGDD, bloqueo de datos).

10. Transferencias fuera de la Unión Europea

ZX Consulting LLC está establecida en Estados Unidos. En los tratamientos que hace para el Cliente está sujeta directamente al RGPD (art. 3.2), y este contrato se firma en aplicación de su art. 28. Los datos del Cliente se alojan en la Unión Europea; los accesos de Dintel desde fuera de la Unión se limitan a la explotación y el soporte, protegidos por las medidas del apartado 6. La autoridad de control competente es la Agencia Española de Protección de Datos.

Las transferencias a los subencargados situados fuera de la Unión se amparan, cada una, en el mecanismo que indica la tabla del apartado 7: una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para los proveedores certificados) o las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914) firmadas con ellos.

Como garantía adicional, y solo en la medida en que se considere necesario un mecanismo de transferencia entre el Cliente y Dintel, las partes aplican las cláusulas contractuales tipo (módulo 2, de responsable a encargado), con estas opciones: cláusula 7, no se adopta; cláusula 9, opción 2 (autorización general, con el aviso previo del apartado 7); cláusula 11, no se adopta la opción; cláusulas 17 y 18: derecho español y juzgados y tribunales españoles.

11. Auditorías

Dintel pone a disposición del Cliente la información necesaria para demostrar que cumple este contrato (descripción de las medidas, lista de subencargados y, si la pide, los contratos firmados con ellos). Una vez al año, el Cliente puede encargar una auditoría a un auditor independiente sujeto a secreto, a su cargo, con 30 días de preaviso, sin perturbar el servicio y sin acceder a datos de otros clientes. Los límites de frecuencia y de preaviso no se aplican tras una brecha que le afecte, a petición de una autoridad de control o si hay indicios serios de que Dintel incumple este contrato.

12. Obligaciones del Cliente

El Cliente garantiza que tiene una base jurídica para los datos que confía a Dintel, que informa a las personas afectadas (sus clientes, posibles clientes y trabajadores) y que solo introduce los datos necesarios para su actividad.

13. Ley aplicable

Este contrato se rige por el derecho español, y los desacuerdos se resuelven como dicen las condiciones de uso: primero de forma amistosa y, si no, ante los juzgados y tribunales del domicilio del Cliente. Si este contrato y las condiciones de uso se contradicen en materia de protección de datos, prevalece este contrato.