Contrato de encargo del tratamiento

1. Partes y aceptación

Responsable del tratamiento (el «Responsable»)

La empresa o el profesional que registra una organización en Faenko y acepta las Condiciones, identificado con los datos facilitados en su cuenta.

Encargado del tratamiento (el «Encargado» o «Faenko»)

[PENDIENTE: nombre y apellidos o razón social del titular], con NIF/CIF [PENDIENTE: NIF/CIF] y domicilio en [PENDIENTE: domicilio completo]. Contacto: [PENDIENTE: email para ejercicio de derechos, p. ej. [email protected]] y [email protected].

El Responsable acepta este contrato al registrarse, junto con las Condiciones generales, y Faenko registra la versión aceptada y la fecha. La Política de privacidad, que se le muestra en el registro, informa de los tratamientos de los que Faenko es responsable y no forma parte de este contrato. El Responsable puede descargar o imprimir esta página para conservarla.

2. Objeto

Faenko tratará por cuenta del Responsable los datos personales necesarios para prestarle el servicio de software de gestión Faenko (el «Servicio»), descrito en las Condiciones.

Quedan fuera de este contrato los datos que Faenko trata como responsable para sus propios fines (gestión de la relación contractual con el cliente, seguridad de los accesos a la plataforma, registro de auditoría, metadatos de uso de la IA y facturación), que se rigen por la Política de privacidad.

3. Duración

Este contrato estará vigente mientras el Responsable utilice el Servicio. Al terminar, se aplicará lo previsto en la cláusula 14. Las obligaciones de confidencialidad se mantienen después de su finalización.

4. Naturaleza y finalidad del tratamiento

Finalidad: exclusivamente prestar el Servicio al Responsable —gestión de clientes, catálogo, trabajos, presupuestos, facturas, cobros, citas y documentación— y realizar el soporte, el mantenimiento y la seguridad necesarios para ello.

Operaciones de tratamiento que puede realizar Faenko:

• recogida y registro de los datos que introducen el Responsable y sus usuarios;
• organización, estructuración, conservación, consulta, modificación y extracción;
• generación de documentos (por ejemplo, presupuestos y facturas en PDF);
• puesta a disposición de los datos en la forma que decida el Responsable, por ejemplo, mediante enlaces públicos de presupuestos o mediante la exportación de datos;
• transcripción de notas de voz y procesamiento de texto mediante inteligencia artificial, solo cuando un usuario lo solicita;
• copias de seguridad, supresión y destrucción.

5. Tipos de datos personales

• Datos identificativos y de contacto de los clientes del Responsable: nombre y apellidos o razón social, teléfono, correo electrónico, dirección postal y del lugar del servicio y, en su caso, NIF.
• Datos de los servicios: descripciones de trabajos, notas, fotografías, transcripciones de notas de voz y citas (fecha, hora y lugar). El audio de las notas de voz se trata solo de forma transitoria para su transcripción y no se almacena.
• Datos económicos y de transacciones: presupuestos, facturas y cobros (conceptos, importes, fechas, forma de pago y estado).
• Datos del personal del Responsable: los de las cuentas de usuario que crea su administrador (nombre, correo electrónico, teléfono y rol) y los relativos a su trabajo dentro del Servicio, como la asignación de trabajos y citas.
• Cualquier otro dato que el Responsable o sus usuarios incluyan en campos de texto libre, fotografías o documentos.

El Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales (art. 10 RGPD). El Responsable se compromete a no introducirlos salvo que sea imprescindible y cuente con una base jurídica válida, en cuyo caso será el único responsable de esa decisión.

6. Categorías de interesados

• Clientes del Responsable: particulares y personas de contacto de clientes que sean empresas, actuales o potenciales.
• Personal del Responsable: administradores y técnicos, sean empleados o colaboradores.
• Otras personas que puedan aparecer en notas, fotografías o documentos, como los ocupantes del lugar donde se presta un servicio.

7. Instrucciones del responsable

Faenko tratará los datos solo siguiendo las instrucciones documentadas del Responsable. Son instrucciones documentadas este contrato, las Condiciones y la configuración y el uso que el Responsable y sus usuarios hacen del Servicio (por ejemplo, crear, modificar, compartir, exportar o eliminar datos). Cualquier instrucción adicional deberá darse por escrito y ser compatible con el funcionamiento del Servicio.

• Faenko no utilizará los datos para fines propios ni distintos de los previstos en este contrato, y no los comunicará a terceros salvo a los subencargados autorizados o cuando lo exija la ley.
• Si Faenko considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicará de inmediato al Responsable.
• Si una norma obligara a Faenko a tratar los datos de otra forma, informará previamente al Responsable, salvo que esa norma lo prohíba por razones de interés público.

8. Confidencialidad

Faenko garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando es necesario para prestar el Servicio, darle soporte o mantener su seguridad.

9. Medidas de seguridad

Faenko aplica medidas técnicas y organizativas adecuadas al riesgo, conforme al artículo 32 del RGPD. En la fecha de esta versión, entre ellas:

• cifrado de las comunicaciones en tránsito (HTTPS/TLS);
• aislamiento lógico de los datos por organización, de forma que cada organización solo accede a sus propios datos;
• control de acceso por roles (administrador y técnico) dentro de cada organización;
• contraseñas guardadas únicamente como resumen cifrado con bcrypt;
• sesiones de corta duración: token de acceso válido durante minutos, renovación segura de la sesión, caducidad a los 30 días sin actividad y, en todo caso, a los 90 días, y revocación al cerrar sesión o desactivar a un usuario;
• enlaces de restablecimiento de contraseña de un solo uso y de corta caducidad;
• limitación de intentos de inicio de sesión y de registro;
• registro de auditoría de las acciones relevantes;
• base de datos principal alojada en la Unión Europea;
• copias de seguridad automáticas y cifradas, guardadas separadas de la base de datos principal, con conservación limitada (diarias durante 7 días, semanales durante 4 semanas y mensuales durante 3 meses) y comprobación periódica de que se pueden restaurar;
• acceso del personal de Faenko a los datos limitado a lo necesario y sujeto a confidencialidad.

Faenko puede actualizar estas medidas para adaptarlas a la evolución técnica, siempre que no se reduzca el nivel de seguridad global.

10. Subencargados

El Responsable otorga a Faenko una autorización general para recurrir a los subencargados que figuran en el Anexo I.

• Faenko informará al Responsable de cualquier cambio previsto (incorporación o sustitución de subencargados) con al menos 15 días de antelación, por correo electrónico a los administradores o mediante un aviso en la aplicación, y actualizará el Anexo I.
• Durante ese plazo, el Responsable podrá oponerse al cambio por motivos razonables relacionados con la protección de datos. Las partes buscarán una solución de buena fe; si no es posible, el Responsable podrá resolver el contrato sin penalización, tras exportar sus datos.
• Faenko impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este contrato, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento de esas obligaciones por parte de sus subencargados.

11. Transferencias internacionales

Algunos subencargados tienen su sede en Estados Unidos o tratan allí parte de los datos (ver Anexo I). El Responsable autoriza esas transferencias internacionales, que Faenko solo realizará con las garantías exigidas por el capítulo V del RGPD: la adhesión del subencargado al Marco de Privacidad de Datos UE-EE. UU., cuando esté certificado, o las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas adicionales que resulten necesarias.

12. Asistencia al responsable

• Ejercicio de derechos: el Servicio permite al Responsable buscar, corregir, exportar y eliminar los datos de sus clientes y de su personal. Si un interesado se dirige directamente a Faenko, Faenko trasladará la solicitud al Responsable sin dilación indebida y no la contestará por su cuenta, salvo instrucción del Responsable.
• Evaluaciones de impacto y consultas previas: Faenko ayudará al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, a realizar evaluaciones de impacto relativas a la protección de datos y, en su caso, consultas previas a la autoridad de control.
• Seguridad: Faenko facilitará la información razonable que el Responsable necesite para cumplir sus propias obligaciones de seguridad.

Faenko mantiene el registro de actividades de tratamiento que efectúa como encargado (art. 30.2 RGPD). [PENDIENTE: confirmar si se designa Delegado de Protección de Datos y, en su caso, su contacto]

13. Violaciones de la seguridad de los datos

Si Faenko tiene conocimiento de una violación de la seguridad que afecte a los datos del Responsable, se lo notificará sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento de ella, por correo electrónico a los administradores de la organización. La notificación incluirá, en la medida en que se conozca:

• la naturaleza de la violación y, si es posible, las categorías y el número aproximado de interesados y de registros afectados;
• un punto de contacto para obtener más información;
• las consecuencias probables de la violación;
• las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos.

Si no fuera posible facilitar toda la información a la vez, se facilitará de forma gradual. Corresponde al Responsable, como tal, notificar la violación a la autoridad de control y, cuando proceda, a los interesados; Faenko le prestará la colaboración necesaria.

14. Fin del encargo: devolución y supresión de los datos

Cuando termine la prestación del Servicio:

• Devolución: antes de dar de baja la organización, el Responsable puede exportar todos sus datos en formato JSON desde Ajustes. Si la baja la decide Faenko, dará antes al Responsable la oportunidad de exportarlos, salvo que lo impida una obligación legal.
• Supresión: al eliminar la organización, Faenko borra de inmediato del sistema en producción todos sus datos y archivos (clientes, trabajos, fotos, presupuestos, borradores, citas, usuarios, sesiones y registros de actividad), con la única excepción del punto siguiente. Las copias residuales en las copias de seguridad cifradas se eliminan automáticamente en un máximo de 3 meses y, mientras tanto, no se utilizan salvo para restaurar el Servicio tras un incidente, en cuyo caso se volverían a aplicar las eliminaciones.
• Conservación de facturas por cuenta del Responsable (instrucción documentada): la obligación legal de conservar las facturas y los justificantes contables es del Responsable (Código de Comercio, art. 30; Ley General Tributaria; Reglamento de facturación, RD 1619/2012). Para que pueda cumplirla también después de darse de baja, el Responsable instruye a Faenko, mediante este contrato, para que al eliminar la organización conserve una copia de las facturas emitidas (no los borradores) y de los cobros registrados en ellas (importe, método y fecha), junto con los datos fiscales del emisor (nombre, razón social, NIF y domicilio), durante un plazo de 6 años contados desde el cierre del ejercicio de su último movimiento (la factura o su último cobro), o el plazo mayor que proceda. La copia se mantiene con acceso restringido, en condiciones análogas al bloqueo del art. 32 LOPDGDD: aislada del Servicio, sin acceso desde la aplicación ni ningún uso operativo, sin los vínculos a los datos ya suprimidos, y solo se pone a disposición del Responsable o de las autoridades competentes previa solicitud documentada. Al vencer el plazo se elimina automáticamente; el Responsable puede pedir su entrega en cualquier momento y comunicar un plazo mayor si le es exigible. Respecto de esta copia, las obligaciones de Faenko como encargado (confidencialidad, seguridad, subencargados, asistencia y supresión al vencer) subsisten tras la baja.
• Salvo lo anterior, Faenko no conservará ninguna copia, salvo que una norma le obligue a ello; en ese caso, mantendrá los datos bloqueados solo durante el plazo legal.
• Si el Responsable lo solicita, Faenko le confirmará por escrito la supresión.

El Responsable es quien debe conservar, antes de eliminar la organización, la documentación que la ley le obliga a guardar, como sus facturas.

15. Información y auditorías

Faenko pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato. Para ello, en primer lugar facilitará documentación y responderá a cuestionarios razonables.

Si esa información no fuera suficiente, el Responsable podrá realizar una auditoría, directamente o mediante un auditor independiente sujeto a confidencialidad, con estas condiciones:

• aviso por escrito con al menos 30 días de antelación y, como máximo, una vez al año, salvo que haya habido una violación de seguridad o lo requiera una autoridad;
• sin acceder a datos de otros clientes ni comprometer la seguridad del Servicio o las obligaciones de confidencialidad de Faenko con terceros;
• a cargo del Responsable.

16. Obligaciones del responsable

El Responsable se compromete a:

• contar con una base jurídica válida para tratar los datos que introduce y haber informado a los interesados, incluido el uso de proveedores tecnológicos como Faenko;
• introducir solo los datos adecuados, pertinentes y necesarios para su finalidad;
• dar instrucciones lícitas y compatibles con el Servicio, y supervisar el tratamiento;
• gestionar adecuadamente los usuarios, los permisos y los enlaces públicos que comparte, y proteger sus credenciales;
• atender las solicitudes de ejercicio de derechos de los interesados;
• realizar, cuando proceda, la evaluación de impacto y notificar las violaciones de seguridad a la autoridad de control y a los interesados;
• conservar la documentación que la ley le exija, como sus facturas, antes de eliminar sus datos.

17. Responsabilidad y prevalencia

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. En lo que la ley permita, se aplica la cláusula de responsabilidad de las Condiciones.

En caso de contradicción entre este contrato y las Condiciones en materia de protección de datos, prevalece este contrato. Faenko podrá actualizarlo para adaptarlo a cambios normativos o del Servicio, informando al Responsable en los términos previstos en las Condiciones.

18. Anexo I: subencargados autorizados

Subencargados autorizados en la fecha de esta versión. Cualquier cambio se comunicará conforme a la cláusula 10.

• Render Services, Inc. · Sede: EE. UU.

  Servicio

  Alojamiento y ejecución del servidor de la aplicación (API).

  Datos

  Los datos que se envían a la aplicación o se obtienen de ella mientras se procesan las peticiones.

  Ubicación

  [PENDIENTE: confirmar la región de alojamiento del servicio en Render]

• MongoDB, Inc. (MongoDB Atlas) · Sede: EE. UU.

  Servicio

  Base de datos gestionada donde se guardan los datos de la cuenta y de la organización.

  Datos

  Todos los datos almacenados en la aplicación, salvo los archivos.

  Ubicación

  Unión Europea: Amazon Web Services, región eu-west-3 (París, Francia).

• Cloudflare, Inc. · Sede: EE. UU.

  Servicio

  Alojamiento de la web y de la aplicación web (Cloudflare Pages), almacenamiento de archivos como fotos y logotipos (Cloudflare R2) y almacenamiento de las copias de seguridad cifradas.

  Datos

  Archivos subidos a la aplicación, copias de seguridad cifradas y datos técnicos de conexión (como la dirección IP) necesarios para servir las páginas.

  Ubicación

  Red global de Cloudflare para servir la web y la aplicación web. [PENDIENTE: confirmar la ubicación (jurisdicción) de los buckets de Cloudflare R2]

• Resend · Sede: EE. UU.

  Servicio

  Envío de correos electrónicos transaccionales (por ejemplo, el enlace para restablecer la contraseña).

  Datos

  Dirección de correo electrónico del destinatario y contenido del mensaje.

  Ubicación

  EE. UU.

• OpenAI, L.L.C. · Sede: EE. UU.

  Servicio

  Funciones de inteligencia artificial: transcripción de notas de voz y procesamiento de texto, a través de su API.

  Datos

  El audio de las notas de voz y los textos que el usuario envía a las funciones de IA, que pueden contener datos de sus clientes.

  Ubicación

  EE. UU.

• NVIDIA Corporation · Sede: EE. UU.

  Servicio

  Proveedor alternativo de IA para el procesamiento de texto, solo si se configura como proveedor activo.

  Datos

  Los textos que el usuario envía a las funciones de IA de procesamiento de texto.

  Ubicación

  EE. UU. [PENDIENTE: confirmar si se utiliza]

• GitHub, Inc. · Sede: EE. UU.

  Servicio

  Ejecución automatizada de las tareas que generan, cifran y verifican las copias de seguridad.

  Datos

  Los datos de la base de datos, de forma transitoria durante la generación y verificación de cada copia; no se conservan en GitHub.

  Ubicación

  EE. UU.