Encargo del tratamiento de datos

El presente contrato regula el tratamiento de datos personales por cuenta de terceros conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD, entre:

• La empresa usuaria, que actúa como Responsable del tratamiento (en adelante, «la empresa»).
• Gabriel Maneiro (Gamaia Solutions), con NIE Z1746328N, que actúa como Encargado del tratamiento (en adelante, «el encargado»).

Este acuerdo entra en vigor de forma automática al registrarse la cuenta en EQVORA o cuando el administrador de la empresa acepta las condiciones al acceder por primera vez.

1. Objeto, naturaleza y finalidad del encargo

El encargado tratará los datos personales que la empresa aloje en EQVORA exclusivamente para prestar el servicio de gestión de avisos, partes de trabajo y coordinación de equipo objeto de las Condiciones de uso (alojamiento, procesamiento, visualización y, si la empresa lo solicita, procesamiento puntual mediante IA).

2. Tipo de datos y categorías de interesados

• Categorías de interesados: clientes de la empresa (personas de contacto o titulares), representantes de locales atendidos y personal de la propia empresa (administradores, personal de oficina y técnicos).
• De clientes y locales: nombre y apellidos, dirección postal, teléfono, correo electrónico, cargo y notas operativas.
• De avisos y partes de trabajo: descripción de incidencias, trabajos realizados, fechas e identificación de quién ejecutó el trabajo, y las fotografías que el equipo adjunte (hasta 5 por parte), que pueden mostrar instalaciones, equipos y, accidentalmente, a personas. Se guardan sin metadatos de ubicación, en un almacenamiento privado al que solo accede el personal autorizado de la empresa según el aviso.
• De presupuestos: los que la empresa prepara para sus clientes (conceptos, cantidades, precios e IVA). EQVORA no emite facturas: el presupuesto no es una factura, y lo envía la propia empresa (la aplicación no lo manda por correo).
• De seguimiento comercial: notas de seguimiento de sus clientes, con quién las escribe y la próxima acción. Al borrar una nota se borra su texto, pero queda quién la borró y cuándo.
• Del equipo de la empresa: nombre, correo electrónico, rol asignado y registro de actividad dentro de la aplicación (por ejemplo, quién escribe, corrige, borra o marca como hechas las notas de seguimiento).
• No se contempla el tratamiento de categorías especiales de datos del artículo 9 del RGPD.

3. Obligaciones del encargado del tratamiento

El encargado se compromete a:

1. Instrucciones documentadas: tratar los datos personales únicamente siguiendo las instrucciones de la empresa, que se materializan a través de las acciones que sus usuarios ejecutan dentro de EQVORA, sin destinarlos a ninguna finalidad propia.
2. Deber de confidencialidad: garantizar que todas las personas autorizadas para tratar los datos se hayan comprometido expresamente y por escrito a respetar la confidencialidad o estén sujetas a una obligación legal de secreto profesional.
3. Medidas de seguridad (art. 32 RGPD): aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo como mínimo: cifrado de comunicaciones (TLS), cifrado de bases de datos en reposo, separación lógica estricta de los datos de cada empresa, verificación en dos pasos (2FA) obligatoria para perfiles de administración y validación de contraseñas frente a diccionarios de filtraciones.
4. Asistencia en derechos de los interesados: asistir a la empresa, a través de las funcionalidades de la plataforma o mediante soporte en info@gamaiasolutions.com, para que esta pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad) de sus clientes o empleados.
5. Notificación de violaciones de seguridad: notificar a la empresa sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que el encargado tenga constancia fehaciente, cualquier brecha de seguridad de los datos personales a su cargo, facilitando la información necesaria para que la empresa pueda, si procede, notificarla a la AEPD o a los interesados.
6. Apoyo en el cumplimiento y evaluaciones de impacto: ayudar razonablemente a la empresa a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD (incluyendo la realización de evaluaciones de impacto relativas a la protección de datos cuando proceda), teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado.
7. Auditorías e información: poner a disposición de la empresa la documentación necesaria para demostrar el cumplimiento de las obligaciones de este contrato. En caso de que la empresa requiera una auditoría o inspección adicional, deberá preavisar con al menos 30 días naturales de antelación, se realizará como máximo una vez al año durante el horario laboral sin comprometer la seguridad ni la confidencialidad de otros clientes de EQVORA, y todos los costes generados correrán íntegramente a cargo de la empresa.

4. Subencargados del tratamiento y transferencias internacionales

La empresa otorga autorización general al encargado para subcontratar los servicios de infraestructura estrictamente necesarios para el funcionamiento de EQVORA, quedando autorizados inicialmente los siguientes subencargados:

Si el encargado prevé añadir o sustituir a algún subencargado, informará a la empresa con al menos 15 días naturales de antelación. Si la empresa presenta objeciones fundadas en materia de protección de datos y, por la arquitectura compartida del software, no resulta técnicamente viable mantener el servicio sin dicho subencargado, la empresa podrá resolver el contrato y darse de baja sin penalización alguna antes de que el cambio se haga efectivo.

5. Condiciones específicas del procesamiento con IA

Únicamente cuando un usuario autorizado de la empresa accione voluntariamente la función de lectura con IA en un aviso, se transmitirá a través de OpenRouter al modelo de OpenAI el texto pegado junto con el listado de clientes y locales activos de la empresa (identificador, nombre, dirección y ciudad, persona de contacto, teléfono y correo electrónico) para sugerir la asignación del aviso.

El encargado no almacena el texto ni la respuesta del modelo, y configura la petición exigiendo que solo intervengan subencargados de IA que no conserven los datos ni los utilicen para el entrenamiento de modelos. Corresponde a la empresa decidir si utiliza esta función e informar de ello a sus clientes en su propia política de privacidad.

6. Obligaciones de la empresa (responsable del tratamiento)

La empresa se compromete a:

• Garantizar que cuenta con una base jurídica válida para recabar y alojar en EQVORA los datos personales de sus clientes y de su personal, habiéndoles facilitado la información exigida por los artículos 13 y 14 del RGPD.
• Introducir en la aplicación únicamente los datos pertinentes y limitados a lo necesario para la gestión de sus trabajos, absteniéndose de introducir datos especialmente protegidos (salud, ideología, infracciones penales, etc.), y de fotografiar a personas identificables salvo que sea imprescindible para el trabajo.

7. Duración y destino de los datos al finalizar el servicio

Este encargo del tratamiento mantendrá su vigencia mientras la empresa utilice EQVORA.

Mientras dure el servicio, el administrador de la empresa puede bajar desde «Mi empresa» una planilla Excel con sus datos. Cada descarga queda anotada en el historial de seguridad y, una vez bajada, la planilla queda bajo la responsabilidad de la empresa. La planilla no incluye las fotografías de los partes: si la empresa las necesita, puede solicitarlas al encargado antes de la baja.

Una vez finalizado el servicio por baja de la cuenta, la empresa dispondrá de 15 días naturales para solicitar la entrega de sus datos en un archivo Excel. Finalizado dicho plazo de 15 días, el encargado suprimirá definitivamente los datos alojados en los sistemas, salvo aquellos datos meramente identificativos de la relación mercantil entre la empresa y el encargado que deban conservarse bloqueados por imperativo legal. Las obligaciones de confidencialidad se mantendrán vigentes de forma indefinida incluso tras la terminación del contrato.