Acuerdo de encargo del tratamiento

Este acuerdo regula el tratamiento de datos personales que Prodcenter realiza por cuenta de las organizaciones que usan el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018. Forma parte de los términos del servicio y se acepta al contratar o al usar Prodcenter en nombre de una organización. Si necesitas una copia firmada, pídela en info@prodcenter.net.

1. Partes

• Responsable del tratamiento: la organización cliente que usa Prodcenter (en adelante, «el Responsable»).
• Encargado del tratamiento: Michael Gourion (NIF X2551651P), con domicilio en Calle Panamá 32, Planta 1, Oficina 4, 38009 Santa Cruz de Tenerife, España, titular de Prodcenter (en adelante, «el Encargado»).

El Encargado es responsable del tratamiento, por su cuenta, de los datos de gestión de cuentas, facturación y seguridad del servicio, que se rigen por la política de privacidad y no por este acuerdo.

2. Objeto, naturaleza y finalidad

El Encargado trata los datos personales que el Responsable incorpora o conecta a Prodcenter, con la única finalidad de prestarle el servicio: alojarlos, mostrarlos, analizarlos, organizarlos en tareas, objetivos y actas, gestionar a las personas de su equipo (módulo Talent) y comunicarse por los canales que active, como correo o WhatsApp Business. El tratamiento consiste en recogida, registro, almacenamiento, consulta, organización, transmisión y supresión.

3. Duración

El acuerdo dura mientras el Responsable use el servicio y hasta que se completen la devolución o supresión de los datos prevista en el apartado 10.

4. Datos y personas afectadas

• Categorías de datos: identificación y contacto (nombre, correo, teléfono, foto), datos profesionales (puesto, área, fecha de incorporación), fecha de cumpleaños, ausencias administrativas, formación, registro de jornada si se activa, contenido de actas, tareas y mensajes de WhatsApp recibidos, y datos comerciales y de contacto de clientes y proveedores procedentes de las fuentes conectadas.
• Personas afectadas: miembros y personal del Responsable, sus clientes, contactos y proveedores, y las personas que le escriben por WhatsApp.
• Categorías especiales: no están previstas. El Responsable no debe introducir datos de salud, ni el motivo de una baja, ni otras categorías especiales.

5. Obligaciones del Encargado

• Tratar los datos solo según las instrucciones documentadas del Responsable, que son este acuerdo, la configuración que haga en la plataforma y sus peticiones por escrito. Si una instrucción le parece contraria a la normativa, se lo comunicará.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 8 o por obligación legal.
• Garantizar que las personas con acceso a los datos están sujetas a confidencialidad.
• Aplicar las medidas de seguridad del apartado 6.
• Ayudar al Responsable, teniendo en cuenta la naturaleza del tratamiento, a atender los derechos de las personas afectadas, las evaluaciones de impacto y las consultas a la autoridad de control.
• Llevar un registro de las actividades de tratamiento que realiza por cuenta del Responsable.

6. Medidas de seguridad

• Aislamiento de los datos de cada organización mediante reglas de acceso en la base de datos, comprobadas con pruebas automáticas.
• Control de acceso por rol, por área y, en módulos sensibles, por permiso específico de cada persona.
• Cifrado en tránsito y cifrado de las credenciales y tokens de terceros (AES-256-GCM), accesibles solo desde el servidor.
• Registro de auditoría de los cambios sensibles en Talent.
• Minimización: el registro de mensajes de WhatsApp enviados no guarda texto libre, y el contenido de los recibidos se elimina a los 7 días.
• Revisión de las altas y bajas de miembros por parte del Responsable, que es quien gestiona sus usuarios.

7. Violaciones de seguridad

El Encargado avisará al Responsable, sin dilación indebida y como máximo en 48 horas desde que tenga constancia, de cualquier violación de seguridad que afecte a sus datos personales, con la información disponible: naturaleza, datos y personas afectadas, consecuencias probables y medidas adoptadas o propuestas. La notificación a la autoridad de control y a las personas afectadas corresponde al Responsable.

8. Subencargados y transferencias internacionales

El Responsable autoriza con carácter general los siguientes subencargados, que el Encargado vincula mediante contrato con obligaciones equivalentes a las de este acuerdo:

• Supabase, a través de Lovable Cloud: base de datos, autenticación y almacenamiento de archivos, sobre infraestructura de Amazon Web Services (AWS) en la Unión Europea.
• Lovable: alojamiento de la aplicación, envío de correos del servicio y pasarela de IA.
• Proveedores de IA a través de la pasarela integrada (Google, OpenAI), o el que configure el Responsable con su propia clave (OpenAI, Google Gemini, Anthropic), que contrata con él en ese caso.
• Meta: WhatsApp Business, solo si el Responsable activa esa fuente.
• Stripe: solo para cobrar el servicio; no recibe los datos tratados por cuenta del Responsable.

Los servicios que el Responsable conecta por decisión propia (Google, Holded, CRM, tienda, redes sociales…) no son subencargados del Encargado: intercambian datos con el Responsable bajo sus propias condiciones.

El Encargado avisará de cualquier cambio de subencargados con al menos 15 días de antelación, publicándolo aquí y por correo a las personas administradoras; el Responsable podrá oponerse por escrito dentro de ese plazo y, si no hay alternativa razonable, resolver el servicio. Si algún subencargado trata datos fuera del Espacio Económico Europeo, el Encargado se asegurará de que haya una decisión de adecuación o cláusulas contractuales tipo con las medidas adicionales necesarias.

9. Derechos de las personas afectadas

Si una persona se dirige al Encargado para ejercer un derecho sobre datos tratados por cuenta del Responsable, el Encargado se lo trasladará en un plazo máximo de 5 días laborables y no responderá por su cuenta, salvo instrucción en contrario. El Responsable dispone en la plataforma de las herramientas para consultar, corregir y borrar los datos; cuando no baste, el Encargado le ayudará.

10. Devolución y supresión

Al terminar el servicio, el Responsable puede exportar sus datos desde la plataforma. El Encargado los suprimirá al eliminar la organización o, a petición escrita del Responsable, en un plazo máximo de 15 días, y suprimirá las copias existentes, salvo las copias de seguridad automáticas, que se sobrescriben solas en un máximo de 14 días, y salvo que la ley obligue a conservarlas, en cuyo caso las mantendrá bloqueadas para esa finalidad. Los registros de jornada de los últimos cuatro años requieren que el Responsable descargue antes el historial completo, porque la ley le obliga a conservarlos.

11. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías razonables, avisadas con antelación, sin comprometer la seguridad ni los datos de otras organizaciones.

12. Obligaciones del Responsable

• Tener base jurídica para los datos que incorpora e informar a las personas afectadas.
• Dar instrucciones lícitas y gestionar las altas, bajas y permisos de sus miembros.
• No introducir categorías especiales de datos ni datos que no sean necesarios.
• Cumplir las condiciones de los servicios externos que conecte, incluidas las de WhatsApp Business.

13. Responsabilidad y ley aplicable

Cada parte responde de los daños que cause por incumplir este acuerdo o el RGPD, conforme a la normativa. Se rige por la ley española; para cualquier controversia serán competentes los juzgados que correspondan.