Contrato de Encargo del Tratamiento

1. Partes y funciones

[NOMBRE DE LA EMPRESA], NIF/KvK [NIF/KvK], [DIRECCIÓN], representada por [REPRESENTANTE] (en adelante, «la Empresa»), responsable del tratamiento de los datos de sus clientes;
[RAZÓN SOCIAL], NIF [NIF], [DIRECCIÓN], [CORREO ELECTRÓNICO DE CONTACTO] (en adelante, «Ziqanova»), encargado del tratamiento, que trata dichos datos por cuenta de la Empresa.

Respecto de los datos de la cuenta que necesita para gestionar su relación con la Empresa (correo electrónico de inicio de sesión, seguridad, asistencia, facturación futura), Ziqanova actúa como responsable del tratamiento. [Nota para el abogado: confirmar este reparto de funciones y la necesidad de una política de privacidad de Ziqanova dirigida a las empresas.]

2. Objeto y duración

Ziqanova trata datos personales por cuenta de la Empresa para prestar el servicio descrito en el Acuerdo del Programa Piloto. El presente contrato se aplica mientras esté vigente el Acuerdo del Programa Piloto y hasta la supresión o devolución de los datos (cláusula 11).

3. Naturaleza y finalidad del tratamiento

Recepción, registro, organización, conservación, puesta a disposición del equipo de la Empresa, transmisión (a la Empresa y a los subencargados del tratamiento del anexo 2) y supresión de los datos necesarios para que la Empresa reciba y gestione las solicitudes de sus clientes: recogida en el chat, en la página pública y en WhatsApp; extracción automática de información por el asistente con IA; registro de la solicitud en el panel; avisos a la Empresa; notas, visitas y recordatorios para el equipo; presupuestos; exportación; supresión automática y supresión a petición. Los detalles figuran en el anexo 1.

4. Categorías de datos y de interesados

Interesados: clientes y clientes potenciales de la Empresa que se ponen en contacto con ella a través del asistente, de la página pública o de WhatsApp; miembros del equipo de la Empresa con cuenta en el panel. Datos: los indicados en el anexo 1. Ziqanova no solicita categorías especiales de datos (por ejemplo, datos relativos a la salud) y el asistente pide al cliente que no los comparta; si, aun así, un cliente los escribe, pasan a formar parte de la descripción de la solicitud y la Empresa puede suprimirlos.

5. Instrucciones de la Empresa

Ziqanova tratará los datos únicamente siguiendo las instrucciones documentadas de la Empresa: el presente contrato, el Acuerdo del Programa Piloto, los ajustes que la Empresa elija en el panel (por ejemplo, activar WhatsApp o suprimir una solicitud) y las instrucciones razonables que posteriormente dé por escrito. Si el Derecho de la Unión o de los Estados miembros obliga a Ziqanova a tratar los datos de otro modo, esta informará de ello previamente a la Empresa, salvo que dicho Derecho lo prohíba, y le comunicará si considera que una instrucción infringe el RGPD.

Ziqanova no utilizará los datos de los clientes de la Empresa para fines propios, no los venderá, no los utilizará con fines publicitarios ni para entrenar modelos de IA, y no se pondrá en contacto con dichos clientes por iniciativa propia.

6. Confidencialidad

Solo el operador de Ziqanova tiene acceso a los datos de producción, está sujeto a una obligación de confidencialidad y accede a ellos únicamente cuando es necesario (asistencia, corrección de fallos, solicitudes de la Empresa). Si Ziqanova llegara a contar con otras personas con acceso, las obligará por escrito a guardar confidencialidad.

7. Medidas de seguridad

Ziqanova aplica las medidas técnicas y organizativas apropiadas al riesgo que se recogen en el anexo 3: cifrado en tránsito y en reposo, acceso a la base de datos únicamente a través del servidor, aislamiento entre empresas, límites de uso, registros técnicos sin datos personales y copias de seguridad cifradas. Podrá mejorarlas, pero no las reducirá sin informar a la Empresa.

8. Subencargados del tratamiento

La Empresa otorga una autorización general para recurrir a los subencargados del tratamiento que figuran en el anexo 2. Ziqanova celebra con cada uno de ellos un contrato que impone obligaciones de protección de datos equivalentes a las del presente contrato y sigue siendo responsable ante la Empresa del cumplimiento de las obligaciones de estos.

Ziqanova notificará a la Empresa por correo electrónico, con 30 días de antelación, la incorporación o sustitución de un subencargado del tratamiento. La Empresa podrá oponerse por escrito, por motivos razonables, dentro de dicho plazo; si no se encuentra una solución, podrá poner fin al Acuerdo del Programa Piloto sin coste alguno y solicitar la exportación y la supresión de sus datos.

9. Asistencia a la Empresa

Ziqanova asistirá a la Empresa para responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición). El panel permite a la Empresa consultar, rectificar y suprimir los datos de un cliente en cualquier momento. Si un interesado se dirige directamente a Ziqanova, esta remitirá la solicitud a la Empresa en un plazo de 5 días hábiles y no responderá en nombre de la Empresa salvo que reciba instrucciones en ese sentido. Asimismo, Ziqanova facilitará a la Empresa, a petición de esta, la información que necesite para cumplir sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad de los datos personales, evaluación de impacto relativa a la protección de datos y consulta previa (artículos 32 a 36 del RGPD).

10. Violaciones de la seguridad de los datos personales

Ziqanova informará a la Empresa por correo electrónico, sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos de la Empresa, facilitando la información de que disponga en ese momento: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, posibles consecuencias, medidas adoptadas y un punto de contacto. Completará la información a medida que la obtenga y colaborará en la notificación a la autoridad de control (CNPD o Autoriteit Persoonsgegevens) y en la comunicación a los interesados, decisión que corresponde a la Empresa.

11. Devolución y supresión

Durante la vigencia del presente contrato, la Empresa puede suprimir datos de clientes desde el panel y solicitar una exportación completa de sus datos (solicitudes, notas, visitas, presupuestos, fotografías, ajustes) en un formato de lectura mecánica, que se le entregará a través de un canal seguro en un plazo de 15 días.

A la terminación del Acuerdo del Programa Piloto, Ziqanova entregará dicha exportación si la Empresa la solicita dentro de los 30 días siguientes a la terminación, y suprimirá todos los datos de la Empresa, incluidas las fotografías y las copias en poder de los subencargados del tratamiento cuando sea posible, en un plazo de 30 días a contar desde la terminación o, si fuera posterior, desde la entrega de la exportación. Las copias de seguridad cifradas se suprimen mediante el ciclo normal de rotación, como máximo 30 días después, y nunca se utilizan para restaurar datos suprimidos. Ziqanova confirmará la supresión por correo electrónico y solo conservará lo que la ley le obligue a conservar.

12. Auditorías

Ziqanova pondrá a disposición de la Empresa, previa solicitud por escrito y en un plazo de 15 días hábiles, la información necesaria para demostrar el cumplimiento del presente contrato: descripción de las medidas, lista de subencargados del tratamiento, documentación de los proveedores y respuestas a preguntas razonables.

La Empresa, o un auditor independiente designado por ella y sujeto a una obligación de confidencialidad, podrá realizar una auditoría presencial como máximo una vez al año, con un preaviso de 30 días, en horario de oficina, a su costa y sin acceso a los datos de otras empresas. Asimismo, se aceptará una auditoría siempre que la exija una autoridad de control.

13. Transferencias internacionales

Los datos se almacenan y se tratan en la Unión Europea (Irlanda). Algunos subencargados del tratamiento tratan datos en los Estados Unidos de América, en particular OpenAI y Anthropic (respuestas del asistente y extracción de información), al amparo del Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y/o de las cláusulas contractuales tipo de la Comisión Europea. [Nota para el abogado: para cada subencargado del tratamiento del anexo 2, confirmar la entidad contratante, la certificación conforme al Marco de Privacidad de Datos y la inclusión de las cláusulas contractuales tipo en sus condiciones de tratamiento de datos.] Ziqanova no transferirá datos fuera de la UE/EEE por ninguna otra vía sin garantías adecuadas y sin informar a la Empresa.

14. Responsabilidad

Se aplica la cláusula de responsabilidad del Acuerdo del Programa Piloto (límite de 500 euros durante el programa piloto gratuito). Dicha limitación no afecta a la responsabilidad de ninguna de las Partes frente a los interesados o las autoridades (artículos 82 y 83 del RGPD), ni a la responsabilidad por dolo. La Empresa responde de la licitud de la recogida de los datos y del deber de informar a sus clientes; Ziqanova, del cumplimiento del presente contrato.

15. Ley aplicable

Se aplican la ley portuguesa y la competencia de los tribunales de Lisboa, como en el Acuerdo del Programa Piloto. [Nota para el abogado: véase la misma nota sobre las empresas neerlandesas (o españolas).] En materia de datos personales, el presente contrato prevalece sobre el Acuerdo del Programa Piloto.

Anexo 1 — Detalles del tratamiento

Finalidad: recibir y organizar las solicitudes de los clientes de la Empresa y ayudar a la Empresa a darles respuesta (operaciones descritas en la cláusula 3).
Interesados: clientes y clientes potenciales de la Empresa; miembros del equipo de la Empresa.
Datos de los clientes: nombre, teléfono, correo electrónico, dirección o código postal, descripción del problema, fotografías (hasta 3 por conversación, sin datos de localización), mensajes del chat, franjas horarias preferidas, urgencia, idioma, presupuestos (nombre, teléfono, código postal, descripción, importes). Un código irreversible derivado de la dirección IP, destinado a prevenir abusos, que se conserva durante 2 días; la dirección IP en sí no se almacena. Con la verificación antirrobots activada, el primer mensaje de cada conversación del chat pasa por una verificación de Cloudflare, que recibe la dirección IP y datos técnicos del navegador (anexo 2), pero no los mensajes.
Datos de los miembros del equipo: nombre, correo electrónico, teléfono, contraseña (almacenada como hash), logotipo y datos fiscales de la Empresa, ajustes del panel.
Datos enviados a OpenAI: los mensajes del cliente, las respuestas anteriores del asistente y los ajustes del asistente de la Empresa; OpenAI no los utiliza para entrenar modelos ni los guarda como historial (almacenamiento desactivado), pero puede conservarlos hasta 30 días en sus registros de supervisión de abusos, o durante más tiempo cuando la ley lo exija. [Nota para el abogado: contrastar con las condiciones vigentes de OpenAI; la conservación cero de datos (zero data retention) requiere la aprobación de OpenAI y no se ha solicitado.] Ziqanova no conserva la transcripción completa, sino solo la información extraída, la última respuesta y el contexto temporal.
Datos enviados a Anthropic cuando Ziqanova elige Claude para el chat de la Empresa, en lugar de OpenAI, o como reserva, para responder a un mensaje al que OpenAI no pudo responder: los mismos; Anthropic no los utiliza para entrenar modelos y los elimina en un plazo de 30 días, salvo que se marquen por infringir su política de uso (entonces los conserva hasta 2 años) o que la ley exija conservarlos durante más tiempo. [Nota para el abogado: contrastar con las condiciones vigentes de Anthropic (Commercial Terms y Data Processing Addendum); la conservación cero de datos requiere la aprobación de Anthropic y no se ha solicitado.]
Plazos de conservación: contexto de la conversación, 24 horas; código de prevención de abusos, 2 días; fotografías sin solicitud asociada, 2 días; solicitudes sin actividad, 24 meses, con supresión automática; fotografías de una solicitud, hasta la supresión de la solicitud; conversaciones de WhatsApp, 24 horas desde el último mensaje; registros de avisos por WhatsApp, entre 7 y 90 días; mensajes enviados a Ziqanova a través de la página de contacto, 12 meses. La Empresa puede suprimir los datos de un cliente en cualquier momento desde el panel.
Ubicación: base de datos y archivos en la Unión Europea (Irlanda); aplicación en la Unión Europea (Dublín); transferencias conforme al anexo 2.

Anexo 2 — Subencargados del tratamiento

Supabase — base de datos, autenticación y archivos — datos en la UE (Irlanda, eu-west-1); sede en EE. UU. — siempre.
Vercel — alojamiento y ejecución de la aplicación — funciones en la UE (Dublín), red global de distribución de contenidos estáticos; sede en EE. UU. — siempre.
OpenAI — respuestas del asistente con IA y extracción de información, mediante API, sin entrenamiento y con el almacenamiento desactivado; registros de supervisión de abusos durante un máximo de 30 días — EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo [pendiente de confirmación por el abogado] — siempre que se utiliza el chat; si Ziqanova ha elegido Claude para él, solo para responder a un mensaje al que Claude no pudo responder.
Anthropic (Claude) — respuestas del asistente con IA y extracción de información, mediante API, sin entrenamiento, en lugar de OpenAI en las empresas cuyo chat Ziqanova pasa a Claude, o como reserva, para responder a un mensaje al que OpenAI no pudo responder; datos eliminados en un plazo de 30 días (hasta 2 años si se marcan por infringir la política de uso de Anthropic) — EE. UU.; cláusulas contractuales tipo (Data Processing Addendum de Anthropic, módulos 2 y 3) [pendiente de confirmación por el abogado] — solo cuando Ziqanova elige Claude para el chat de la Empresa, como proveedor principal o de reserva.
Resend — correos electrónicos a la Empresa con los datos de las solicitudes, recordatorios, invitaciones y resúmenes — envío desde la UE; sede en EE. UU.; cláusulas contractuales tipo [pendiente de confirmación por el abogado] — siempre.
Meta (WhatsApp Business Platform) — avisos a la Empresa con el nombre y el teléfono del cliente y la descripción de la solicitud, y conversaciones de los clientes por WhatsApp — Irlanda, con tratamiento en EE. UU. conforme a las condiciones de Meta [pendiente de confirmación por el abogado] — solo cuando la Empresa activa WhatsApp en el panel.
Cloudflare (Turnstile) — verificación antirrobots en el primer mensaje de cada conversación del chat; recibe la dirección IP del cliente y datos técnicos del navegador, no los mensajes — sede en EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo [pendiente de confirmación por el abogado] — solo mientras la verificación esté activada.
Paddle (Paddle.com Market Limited) — reventa de los planes de pago como vendedor registrado («merchant of record»): cobra, calcula el IVA y emite las facturas en nombre propio; datos de la Empresa (como pagadora), no de sus clientes; la tarjeta queda en Paddle y Ziqanova nunca la ve — Reino Unido (decisión de adecuación de la UE) [pendiente de confirmación por el abogado] — solo cuando se active la facturación, después del programa piloto gratuito.
Google (Google Workspace) — buzón de correo de Ziqanova para asistencia y solicitudes relativas a la privacidad; solo lo que la Empresa o los interesados envíen por correo electrónico — UE y EE. UU. [pendiente de confirmación por el abogado] — cuando se intercambian correos electrónicos de asistencia.

Los servicios de monitorización y de alojamiento del código fuente no reciben datos personales y, por tanto, no figuran en esta lista.

Anexo 3 — Medidas de seguridad

Cifrado en tránsito (HTTPS, TLS 1.3, HSTS) y en reposo (base de datos, archivos y copias de seguridad cifrados por los proveedores).
Acceso a los datos de producción limitado al operador de Ziqanova, con credenciales personales.
Base de datos cerrada al exterior: todas las tablas con seguridad a nivel de fila y sin permisos para roles públicos; solo el servidor tiene acceso, con la clave de servicio; el navegador nunca se comunica directamente con la base de datos.
Aislamiento entre empresas: la empresa se determina siempre a partir de la sesión verificada en el servidor; se rechazan los identificadores procedentes del navegador.
Cuentas del panel: registro solo por invitación, confirmación del correo electrónico, contraseñas de 12 a 128 caracteres con rechazo de las contraseñas filtradas, segundo factor opcional (TOTP).
Límites de uso que, si fallan, deniegan el acceso (fail closed), por visitante, por empresa y para toda la plataforma; tamaño limitado del cuerpo de las peticiones; campos trampa (honeypot) en los formularios; verificación antirrobots (Cloudflare Turnstile) en el primer mensaje del chat, cuando está activada.
Fotografías redimensionadas en el navegador con eliminación de los datos de localización, formato verificado en el servidor, almacenamiento privado, visibles solo para los miembros de la Empresa.
Registros técnicos solo con códigos de error, sin mensajes, datos de contacto ni otros datos personales; secretos solo en el servidor y ausentes de los entornos de vista previa.
Llamadas a OpenAI con el almacenamiento desactivado y a Anthropic mediante su API de mensajes, que no guarda historial de conversaciones; salida del modelo validada en el servidor antes de almacenarse.
Copias de seguridad diarias cifradas, con pruebas periódicas de restauración; supresión automática según los plazos de conservación (anexo 1).
Incidentes: alertas operativas, análisis, subsanación y aviso a la Empresa conforme a la cláusula 10.