Borrador pendiente de revisión por un abogado. Los datos entre corchetes ([…]) deben completarse antes de publicar la plataforma.
Este contrato forma parte de los términos de uso y se aplica cuando SMflow trata datos personales por cuenta de tu empresa (art. 28 del Reglamento (UE) 2016/679, RGPD). Responsable: la empresa titular del proyecto. Encargado: [NOMBRE LEGAL], NIF [NIF].
1. Objeto y duración
El encargado trata los documentos que el responsable sube a SMflow y los datos extraídos de ellos, con la única finalidad de prestar el servicio (lectura con IA, revisión, almacenamiento y exportación). Dura mientras el proyecto esté activo y hasta el borrado indicado en la cláusula 8.
2. Datos y personas afectadas
Tipos de datos: los que contengan los documentos subidos (por ejemplo, nombres, matrículas, firmas, direcciones o datos de empresas) y los campos que el responsable defina.
Personas afectadas: trabajadores, conductores, proveedores, clientes y otros terceros que aparezcan en los documentos, y los usuarios de la plataforma.
El responsable no debe subir categorías especiales de datos (salud, ideología, etc.) salvo que sea imprescindible y lo haya valorado.
3. Obligaciones del encargado
Tratar los datos solo siguiendo las instrucciones documentadas del responsable (estos términos y el uso normal de la plataforma). Si una instrucción infringe la normativa, avisará.
Garantizar que las personas con acceso están sujetas a confidencialidad.
No usar los datos para fines propios ni cederlos a terceros, salvo a los subencargados autorizados.
Mantener medidas de seguridad adecuadas (cláusula 5).
Ayudar al responsable a atender los derechos de las personas afectadas y a cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas a la autoridad, dentro de lo razonable.
4. Subencargados
El responsable autoriza con carácter general a los siguientes subencargados:
Subencargado
Servicio
Ubicación
Supabase
Base de datos, archivos y autenticación
UE (Irlanda)
Anthropic
Lectura de documentos con IA
[completar] · [garantías de transferencia]
Vercel
Alojamiento de la aplicación
[completar]
El encargado informará de cualquier alta o cambio de subencargado con al menos [15] días de antelación; el responsable podrá oponerse por motivos razonables y, si no hay alternativa, cancelar el servicio. Impondrá a cada subencargado obligaciones equivalentes a las de este contrato.
5. Medidas de seguridad
Aislamiento de datos entre proyectos y entre perfiles mediante reglas de acceso en la base de datos.
Archivos en almacenamiento privado, servidos con enlaces temporales.
Contraseñas cifradas y comunicaciones cifradas (HTTPS).
Acceso del administrador limitado a resúmenes de uso: no lee los documentos de los perfiles.
Borrado automático de imágenes a los días configurados.
Claves de servicio solo en el servidor; copias de seguridad según el plan del proveedor de base de datos.
6. Brechas de seguridad
El encargado avisará al responsable sin dilación indebida y, si es posible, en menos de [48] horas desde que tenga conocimiento, con la información disponible para que pueda notificar a la autoridad.
7. Transferencias internacionales
Los datos se guardan en la Unión Europea. Cuando un subencargado los trate fuera del Espacio Económico Europeo, se hará con garantías adecuadas (decisión de adecuación o cláusulas contractuales tipo). [Detallar tras verificarlo con cada proveedor.]
8. Devolución y borrado
El responsable puede exportar sus datos a Excel en cualquier momento.
Al cancelar el proyecto, los datos se conservan 30 días para poder recuperarlos y después se borran de forma definitiva, junto con los archivos.
Se pueden conservar copias de seguridad cifradas hasta [X] días más y datos que obligue a conservar la ley.
9. Auditoría
El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, avisadas con antelación y sin perjudicar a otros clientes.
10. Contacto
Para cualquier cuestión sobre protección de datos: [CORREO DE CONTACTO].