Versión 1.3
Acuerdo de Encargado del Tratamiento
Vigente desde 20 de septiembre de 2026
Introducción
El Cliente es responsable del tratamiento de datos personales en el espacio de trabajo; el Proveedor es el encargado del tratamiento para estos fines. Para la gestión de cuentas, facturación, seguridad y obligaciones legales propias, el Proveedor puede ser responsable del tratamiento de forma independiente.
Objeto, duración y jerarquía
Este Acuerdo de Encargado del Tratamiento forma parte del Contrato entre el Cliente («Responsable del Tratamiento») y el Proveedor («Encargado del Tratamiento»). Será válido mientras el Encargado del Tratamiento trate datos personales en nombre del Responsable del Tratamiento y posteriormente mientras los datos no hayan sido eliminados o devueltos de forma lícita.
En caso de conflicto sobre la protección de datos personales, este Acuerdo de Encargado del Tratamiento prevalecerá sobre las Condiciones Generales y el Formulario de Pedido, excepto cuando una disposición escrita específica demuestre ofrecer mayor protección a los interesados. Nada en este Acuerdo de Encargado del Tratamiento limita los derechos de los interesados ni las facultades de una autoridad de control.
Funciones e instrucciones
El Encargado del Tratamiento trata datos personales únicamente conforme a instrucciones documentadas del Responsable del Tratamiento, incluidas las instrucciones que se deriven del uso del Servicio y del Contrato, a menos que la legislación de la Unión o la legislación nacional aplicable requiera el tratamiento. En tal caso, el Encargado del Tratamiento informará previamente, a menos que la ley lo prohíba por razones imperiosas.
El Encargado del Tratamiento informará inmediatamente al Responsable del Tratamiento si una instrucción, en su opinión, infringe el RGPD u otra legislación aplicable de protección de datos, y podrá suspender la ejecución hasta que la instrucción sea confirmada, modificada o revocada.
El Responsable del Tratamiento determina los fines y medios, dispone de una base legal válida, proporciona la información requerida a los interesados y garantiza que los datos e instrucciones sean lícitos, proporcionados y correctos. El Encargado del Tratamiento decide de forma independiente sobre medidas organizativas y de seguridad puramente internas en la medida en que no modifiquen la instrucción.
Confidencialidad y personal
El Encargado del Tratamiento garantiza que las personas con acceso a datos personales se encuentren vinculadas contractual o legalmente por obligaciones de confidencialidad, tengan acceso únicamente según sea necesario y reciban instrucciones y formación adecuadas. El acceso se evaluará periódicamente y se revocará oportunamente.
Seguridad
Teniendo en cuenta el estado de la técnica, los costes de implementación, la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos para los interesados, el Encargado del Tratamiento implementará medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 del RGPD. Los aspectos principales se recogen en el Anexo B y podrán mejorarse siempre que el nivel de protección no disminuya materialmente.
El Encargado del Tratamiento no garantiza seguridad absoluta. El Responsable del Tratamiento sigue siendo responsable de la configuración segura, gestión de usuarios, puntos finales, cuentas vinculadas, minimización de datos, exportaciones locales y procedimientos propios.
Violación de seguridad en relación con datos personales
El Encargado del Tratamiento informará al Responsable del Tratamiento sin demora indebida después de que se descubra una violación de seguridad confirmada en relación con datos personales tratados en nombre del Cliente. Cuando sea práctico, el Encargado del Tratamiento se esforzará por proporcionar una notificación inicial en el plazo de 48 horas después de la confirmación. Una notificación no constituye reconocimiento de responsabilidad.
La notificación incluirá, en la medida en que esté disponible: naturaleza y alcance presunto, categorías de datos e interesados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información faltante se proporcionará de forma escalonada. El Encargado del Tratamiento documentará el incidente, apoyará la evaluación razonable y preservará la integridad forense.
El Responsable del Tratamiento decidirá sobre las notificaciones a autoridades de control e interesados, a menos que el Encargado del Tratamiento esté obligado legalmente a hacerlo de forma independiente. Los costes de apoyo se incluyen en la medida en que el incidente sea imputable al Encargado del Tratamiento; en caso contrario, se aplicarán tarifas profesionales razonables previa coordinación.
Derechos de los interesados, EIPD y supervisión
El Encargado del Tratamiento asistirá, teniendo en cuenta la naturaleza del tratamiento e información disponible, con medidas técnicas y organizativas apropiadas en las solicitudes de los interesados y en las obligaciones relativas a seguridad, violaciones de datos, evaluaciones de impacto sobre la protección de datos y consulta previa. Una solicitud recibida directamente será reenviada y no será resuelta de forma independiente en cuanto al fondo, a menos que sea legalmente requerido.
Encargados del tratamiento (subencargados)
El Responsable del Tratamiento otorga consentimiento escrito general para los encargados del tratamiento en la Lista de Encargados del Tratamiento actual. El Encargado del Tratamiento impondrá a cada encargado del tratamiento, por escrito, esencialmente las mismas obligaciones de protección de datos y seguirá siendo responsable ante el Responsable del Tratamiento de su cumplimiento conforme al artículo 28 del RGPD.
Un nuevo encargado del tratamiento principal o uno sustitutivo previsto será anunciado, cuando sea razonable, con al menos treinta días de anticipación. El Responsable del Tratamiento podrá presentar objeciones motivadas en el plazo de catorce días sobre bases concretas de privacidad o seguridad. Las partes buscarán una solución razonable; si no la hay, el Responsable del Tratamiento podrá únicamente rescindir la parte sustancialmente afectada. Esto no lo exime de los importes ya adeudados.
Transferencias internacionales
Los datos personales solo se transferirán fuera del EEE si se cumple el Capítulo V del RGPD, por ejemplo, sobre la base de una decisión de adecuación, normas corporativas vinculantes o las cláusulas contractuales tipo aplicables de la Comisión Europea con medidas complementarias cuando sea necesario.
Si las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 son necesarias, el módulo apropiado, anexos y autoridad de control competente se incorporarán por referencia a este Acuerdo de Encargado del Tratamiento. Las disposiciones comerciales adicionales no podrán contradecir esas cláusulas tipo ni afectar los derechos de los interesados.
Auditoría e información
El Encargado del Tratamiento proporcionará información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Si la garantía de conformidad independiente, certificaciones, resúmenes de pruebas de penetración o cuestionarios estandarizados son insuficientes, el Responsable del Tratamiento podrá realizar una auditoría complementaria una vez cada doce meses, y con mayor frecuencia después de un incidente confirmado relevante o por orden de una autoridad de control.
Las auditorías serán anunciadas con al menos treinta días de anticipación, se realizarán durante el horario de oficina por un experto independiente bajo confidencialidad, comenzarán de forma remota y no podrán dañar la seguridad, continuidad, privacidad de otros clientes o información confidencial. El Responsable del Tratamiento asumirá los costes razonables, excepto en caso de incumplimiento material del Encargado del Tratamiento.
Devolución, eliminación y prueba
Tras la finalización del servicio, el Encargado del Tratamiento eliminará o devolverá los datos personales según la elección del Responsable del Tratamiento, dentro de las posibilidades técnicas y contractuales de exportación, a menos que la legislación aplicable requiera su conservación. El espacio de trabajo permanecerá en retención de recuperación durante un mínimo de sesenta días después del final del acceso operacional. Posteriormente se realizará una evaluación de eliminación controlada; las retenciones legales u obligaciones legales bloquean la eliminación.
Las copias de seguridad se sobrescribirán según su ciclo asegurado y no se reutilizarán para fines comerciales normales. Las aceptaciones de contrato, registros de auditoría, facturas, pruebas de seguridad y datos limitados de supresión o prueba podrán conservarse por separado para obligaciones legales o procedimientos judiciales.
Responsabilidad
La responsabilidad mutua de las partes derivada de este Acuerdo de Encargado del Tratamiento se rige por la disposición de responsabilidad de las Condiciones Generales. Esa disposición no limita los derechos de los interesados conforme al artículo 82 del RGPD, el derecho de regresión en la medida en que sea imperativo, o las facultades de las autoridades de control. Ninguna de las partes está obligada a indemnizar a la otra por la parte del daño causado por su propio incumplimiento del RGPD.
Anexo A — Detalles del tratamiento
| Aspecto | Descripción |
|---|---|
| Objeto | Alojamiento y tratamiento de datos del Cliente en el servicio de CRM e inmobiliario REOVA. |
| Duración | La duración del Contrato más los períodos aplicables de recuperación, copia de seguridad, prueba y conservación legal. |
| Fines | CRM, gestión inmobiliaria, contactos, acuerdos, visitas, tareas, documentos, comunicación, feeds/importaciones, auditoría, asistencia y asistencia de IA activada. |
| Interesados | Empleados y representantes del Cliente; vendedores, compradores, inquilinos, arrendadores, clientes potenciales, contactos, proveedores de servicios y otras personas que el Cliente introduzca. |
| Datos | Datos de identificación y contacto, comunicación, datos inmobiliarios y de transacciones, citas, documentos, medios, notas, datos de uso y auditoría y datos en servicios vinculados. |
| Datos especiales | No pretendido como categoría estándar. El Cliente solo los introduce si es necesario, lícito, explícitamente permitido y adecuadamente protegido. |
| Frecuencia | Continua durante el uso activo; exportaciones ocasionales, migraciones, recuperación y asistencia por instrucción. |
| Eliminación | Conforme a la política de Servicio y datos, con un mínimo de 60 días de retención de recuperación después del final del acceso operacional y evaluación controlada posterior. |
Anexo B — Medidas técnicas y organizativas
| Dominio | Medidas |
|---|---|
| Acceso | Aislamiento de clientes, autorización basada en roles, control de sesión del lado del servidor, separación de identidades de autenticación y aplicación, principio de menor privilegio y revocación periódica. |
| Base de datos | Filtros de cliente a nivel de aplicación más seguridad a nivel de fila de PostgreSQL; contexto de cliente controlado para escrituras; privilegios de plano de control separados para acciones de ciclo de vida sensibles. |
| Transporte y almacenamiento | TLS para transporte; cifrado y gestión de claves de proveedores de alojamiento y almacenamiento; cifrado de credenciales de integración seleccionadas. |
| Seguridad del software | Revisión de código, gestión de dependencias, pruebas limitadas, validación de entrada, secretos fuera del código fuente, verificación de webhooks y protección contra acceso entre clientes. |
| Registro | Registros de auditoría y registro de seguridad limitado con contexto de cliente y actor; cargas útiles sensibles y texto libre se minimizan cuando es posible. |
| Disponibilidad | Infraestructura en la nube gestionada, capacidades de recuperación de base de datos, idempotencia de tareas, monitoreo y procedimientos de recuperación apropiados para el Servicio. |
| Incidentes | Detección, clasificación, contención, recuperación, preservación de pruebas, comunicación y evaluación después de incidentes relevantes. |
| Continuidad | Retención de recuperación, exportaciones controladas, monitoreo de dependencias y procedimientos para interrupciones de proveedores o infraestructura. |
| IA | Puerta de enlace de IA central, modelos configurables, registro de uso, autorización antes de la ejecución y confirmación humana para acciones decisivas. |
| Evaluación | Pruebas y ajuste de medidas dirigidas por riesgos; mejoras fundamentadas podrán introducirse sin modificación del contrato. |
Anexo C — Encargados del tratamiento (subencargados)
La Lista de Encargados del Tratamiento actual se incorpora por referencia a este Acuerdo de Encargado del Tratamiento. En caso de discrepancias, la versión más recientemente comunicada válidamente será vinculante para los tratamientos futuros.