Contrato de encargado del tratamiento

CONTRATO DE ENCARGO DEL TRATAMIENTO — ConfIA5 · Versión 2026-10-28

Partes

• Responsable del tratamiento («el Cliente»): la persona o entidad que acepta este contrato al darse de alta en ConfIA5, con los datos identificativos que constan en su cuenta (razón social o nombre, NIF y domicilio), representada por quien realiza la aceptación.
• Encargado del tratamiento («Data5»): Data Profesional, S.L.U., NIF B09600669, domicilio en Calle de Europa 5, bajo, 09001 Burgos, email de contacto de privacidad hola@confia5.es. Contacto de protección de datos: direccion@data5.es.

Forma y aceptación. Este contrato se celebra por medios electrónicos y forma parte de las Condiciones del servicio ConfIA5. Se acepta expresamente en el alta (en la web, marcando la casilla correspondiente, o por WhatsApp, pulsando el botón «Acepto» desde el teléfono verificado). La aceptación tiene el mismo valor que la firma manuscrita (art. 28.9 RGPD; art. 23 LSSI; art. 25 Reglamento eIDAS). Quien acepta declara actuar en nombre propio o con facultades suficientes para representar al Cliente. Data5 archiva el contrato aceptado y envía al Cliente una copia. Idioma: español.

1. Objeto

Data5 tratará, por cuenta del Cliente, los datos personales necesarios para prestar el servicio ConfIA5 (asistente administrativo por WhatsApp y panel web): recibir e interpretar instrucciones de texto, voz e imagen; preparar y, cuando el Cliente lo apruebe, emitir facturas, presupuestos y albaranes a través de su programa de facturación; gestionar sus contactos; gestionar documentos de control del transporte (DeCA); y, si el Cliente los activa, gastos, correo, equipo, avisos, recados a terceros, exportaciones y preparación de documentos a partir de modelos. La descripción detallada está en el Anexo I.

2. Duración

La del contrato de servicio ConfIA5. Al terminar se aplica la cláusula 12.

3. Naturaleza, finalidad, datos e interesados

Según el Anexo I. No se tratarán categorías especiales de datos (art. 9 RGPD) ni datos de infracciones penales (art. 10). El Cliente se compromete a no enviarlos a través del servicio; si llegan, Data5 los tratará solo para suprimirlos.

4. Instrucciones (art. 28.3.a)

Data5 tratará los datos únicamente siguiendo instrucciones documentadas del Cliente, que son: este contrato; la configuración del servicio elegida por el Cliente (incluido el nivel de autonomía); y las órdenes dadas por WhatsApp o el panel por las personas que el Cliente autorice. Si Data5 considera que una instrucción infringe la normativa de protección de datos, lo avisará de inmediato y podrá no ejecutarla (art. 28.3, último párrafo). Data5 no usará los datos para fines propios ni para entrenar modelos de inteligencia artificial, ni permitirá que sus subencargados lo hagan. Si el Derecho de la UE o de España obligara a Data5 a tratarlos, lo comunicará antes al Cliente salvo prohibición legal.

5. Obligaciones del Cliente (art. 28.3, primer párrafo)

El Cliente: (a) garantiza que tiene base jurídica para los tratamientos que encarga y que informa a sus clientes, proveedores, conductores y personal del uso de ConfIA5 (Data5 le facilita un texto modelo); (b) solo autoriza a personas de su confianza y mantiene actualizada la lista de teléfonos autorizados; (c) revisa lo que aprueba antes de emitirlo; (d) conserva sus facturas y documentos durante los plazos legales en su programa de facturación; (e) supervisa el tratamiento y responde a los interesados que ejerzan sus derechos.

6. Confidencialidad (art. 28.3.b)

Las personas de Data5 autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y acceden solo a lo necesario, con registro de acceso.

El personal de soporte de Data5 solo accederá al portal del Cliente cuando el Cliente lo pida o sea necesario para resolver una incidencia. Lo hará con un acceso de un solo uso, limitado a una hora, sin poder cambiar credenciales, pagos ni dar de baja el servicio, y quedará registrado en "Accesos" y en la actividad del portal como realizado por Data5 en nombre del Cliente.

7. Seguridad (art. 28.3.c y art. 32)

Data5 aplica las medidas del Anexo II y las revisa periódicamente. Podrá sustituirlas por otras de nivel igual o superior sin reducir la protección.

8. Subencargados (art. 28.2 y 28.4)

El Cliente da autorización general a Data5 para recurrir a los subencargados del Anexo III, cuya versión actualizada está siempre disponible para el Cliente en su portal de ConfIA5 y se le envía por email si la pide en direccion@data5.es. Data5 avisará al Cliente por email y en el panel de cualquier alta o sustitución prevista con al menos 30 días de antelación. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo; las partes buscarán una alternativa y, si no la hay, el Cliente podrá resolver el contrato sin penalización. Data5 impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato y seguirá respondiendo ante el Cliente de su cumplimiento.

9. Transferencias internacionales

Data5 solo transferirá datos fuera del Espacio Económico Europeo a los destinos del Anexo III y con las garantías del capítulo V del RGPD allí indicadas (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o cláusulas contractuales tipo de la Decisión (UE) 2021/914). Cuando el subencargado no esté amparado por una decisión de adecuación, Data5 suscribirá directamente con él las cláusulas contractuales tipo (módulo 3, de encargado a encargado) y facilitará copia al Cliente si la pide.

10. Derechos de los interesados (art. 28.3.e)

Si un interesado ejerce ante Data5 sus derechos sobre datos del Cliente, Data5 lo trasladará al Cliente en un plazo máximo de 5 días hábiles y le ayudará con las herramientas del servicio (exportación, rectificación, supresión, revocación de accesos). La respuesta al interesado corresponde al Cliente.

11. Colaboración (art. 28.3.f)

• Brechas: Data5 avisará al Cliente sin dilación indebida y, como objetivo, en menos de 24 horas desde que tenga constancia, con la información del art. 33.3 RGPD de que disponga, completándola por fases (art. 33.2 y 33.4). La notificación a la AEPD y la comunicación a los afectados corresponden al Cliente, salvo que le encargue a Data5 hacerlo por escrito.
• EIPD y consulta previa: Data5 pondrá a disposición del Cliente la evaluación de impacto del servicio y la información necesaria (arts. 35 y 36).

12. Fin del servicio (art. 28.3.g)

Al terminar el contrato, el Cliente dispondrá de 30 días para descargar sus datos desde el panel. Después, Data5 suprimirá los datos personales tratados por cuenta del Cliente, a más tardar a los 60 días de la baja, salvo los que deba conservar bloqueados por obligación legal (art. 32 LOPDGDD), que suprimirá al vencer ese plazo. Si el Cliente lo pide, Data5 le entregará un certificado de supresión. La copia de las facturas y documentos en el programa de facturación del Cliente se rige por el contrato del Cliente con ese proveedor.

13. Información y auditoría (art. 28.3.h)

Data5 pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato (en primer lugar, documentación e informes) y permitirá auditorías, incluidas inspecciones, del Cliente o de un auditor que este designe, sujeto a confidencialidad, con preaviso de 30 días, en horario laboral, sin acceso a datos de otros clientes y a cargo del Cliente, salvo que la auditoría revele un incumplimiento relevante de Data5.

14. Decisiones automatizadas

Ninguna factura, presupuesto, albarán ni comunicación a terceros se emite sin la aprobación de una persona autorizada por el Cliente, salvo reglas automáticas que el Cliente haya activado expresamente (nivel de autonomía) y que puede revocar en cualquier momento.

15. Registro

Data5 mantiene el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

16. Responsabilidad

16.1. Cada parte responde de los daños y perjuicios que cause a la otra por incumplir este contrato o la normativa de protección de datos. Conforme al art. 82.2 RGPD, Data5 responde como encargado cuando no cumpla las obligaciones que el RGPD le impone específicamente o cuando actúe al margen o en contra de las instrucciones lícitas del Cliente.

16.2. Nada de este contrato limita los derechos de los interesados frente a cualquiera de las partes (art. 82.4 RGPD). Si una parte indemniza a un interesado por un daño del que la otra es total o parcialmente responsable, podrá reclamarle la parte correspondiente a su responsabilidad (art. 82.5 RGPD).

16.3. El Cliente responde de la licitud de las instrucciones que da, de los datos que envía al servicio (incluidos los que no deberían enviarse según la cláusula 3), de informar a los interesados y de las decisiones que aprueba, y mantendrá indemne a Data5 frente a reclamaciones de terceros derivadas de ello.

16.4. Salvo en caso de dolo o culpa grave, y salvo en las obligaciones de confidencialidad y seguridad de los datos, la responsabilidad total de Data5 frente al Cliente por este contrato, por todos los conceptos, se limita a la cantidad pagada por el Cliente por ConfIA5 en los doce (12) meses anteriores al hecho que la origina. En las obligaciones de confidencialidad y seguridad, el límite será de tres (3) veces esa cantidad. La responsabilidad por dolo no es renunciable (art. 1102 Código Civil).

16.5. Ninguna de las partes responde frente a la otra del lucro cesante ni de daños indirectos, salvo dolo o culpa grave.

16.6. Las sanciones administrativas son personales de quien las recibe. Si una parte es sancionada por un hecho causado por el incumplimiento de la otra, podrá reclamarle el perjuicio sufrido conforme a esta cláusula.

17. Prevalencia

En materia de protección de datos, este contrato prevalece sobre las Condiciones del servicio.

18. Ley y jurisdicción

Ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Burgos, salvo que una norma imperativa disponga otra cosa.

Anexo I. Descripción del tratamiento

• Naturaleza: recogida, registro, estructuración, conservación, consulta, transcripción, interpretación automatizada con IA, preparación de documentos, comunicación a terceros por orden del Cliente (emisión y envío de documentos), bloqueo y supresión. Incluye: memoria de empresa con datos cortos confirmados o deducidos y el trato preferido de cada persona; las instrucciones de trabajo y documentos de referencia que el Cliente facilita a Lola; avisos al titular calculados con reglas fijas; recados por WhatsApp a terceros que indique el Cliente, aprobados uno a uno; envío de facturas por correo desde el programa de facturación del Cliente; exportaciones programadas; y acceso de la asesoría que el Cliente autorice.
• Finalidad: prestar ConfIA5 al Cliente.
• Interesados: el Cliente y su personal autorizado; personal del Cliente (módulo Equipo); clientes, proveedores y transportistas/cargadores del Cliente; conductores del Cliente; remitentes y destinatarios de su correo si lo conecta; terceros a los que el Cliente manda recados; la otra parte de los contratos que prepara; compradores de su tienda online; personas que aparecen en las fotos de sus anuncios.
• Datos: identificativos y de contacto, NIF, dirección, datos económicos de facturas, presupuestos, albaranes y gastos, matrículas y datos de servicios de transporte, contenido de mensajes, audios de voz (sin uso para identificar a la persona), imágenes de documentos y firmas de recogida/entrega (como imagen, sin tratamiento biométrico).
• Canales y ubicación principal: WhatsApp (número de producto de Data5) y panel web; datos almacenados en la Unión Europea.
• Plazos por defecto: audios 3 días; textos y transcripciones de mensajes 90 días; memoria de empresa: lo deducido, 180 días sin uso; exportaciones, 30 días; copias en PDF, 12 meses; resto durante el contrato; supresión a los 60 días de la baja (política de conservación publicada en confia5.es/privacidad).
• Servicio DeCA5: lo presta también Data5 (mismo encargado), conectado por instrucción del Cliente.

Anexo II. Medidas de seguridad (art. 32)

• Aislamiento entre clientes: seguridad a nivel de fila en todas las tablas; el identificador de empresa lo fija el sistema, nunca la IA; pruebas automáticas de aislamiento antes de cada publicación.
• Identificación: solo teléfonos autorizados; elección explícita de empresa si una persona tiene varias; confirmación de cada operación con resumen exacto y caducidad; confirmación reforzada en el portal para las operaciones de alto riesgo.
• «La IA propone, el código decide»: cálculos fiscales deterministas y probados; la IA no accede directamente a la base de datos.
• Minimización hacia proveedores de IA: solo lo necesario para cada orden; sin entrenamiento; retención mínima acordada con el proveedor.
• Protección de datos de Privia5 antes del modelo de IA (los datos identificativos se sustituyen por códigos) y registro temporal de lo enviado, ya protegido, para verificarla.
• Cifrado en tránsito (TLS) y en reposo (proveedor); archivos en almacenamiento privado con enlaces firmados de corta duración.
• Credenciales de terceros en almacén cifrado (Vault); secretos fuera del código.
• Registro de auditoría inalterable, con referencias y no contenido.
• Control de acceso del personal de Data5 por roles, mínimo privilegio, doble factor obligatorio, límite de intentos y aviso de accesos nuevos.
• Copias de seguridad periódicas, cifradas, con la clave solo en poder de Data5.
• Conservación y borrado automático según la política de conservación.
• Gestión de brechas e incidencias con procedimiento escrito.
• Revisión de seguridad antes de cada publicación.
• Datos en la UE salvo los proveedores del Anexo III con las garantías indicadas.

Anexo III. Subencargados autorizados

La lista vigente de subencargados, con lo que trata cada uno, su ubicación y sus garantías de transferencia, está disponible para el Cliente en su portal de ConfIA5 y, a petición, en direccion@data5.es. Se incorpora a este contrato por referencia en su versión vigente en cada momento, conforme a la cláusula 8. La política de privacidad pública informa de esos proveedores por categorías.

Anexo IV. Texto modelo para que el Cliente informe a sus clientes y personal (art. 13 RGPD)

«Para gestionar la facturación y la documentación de {empresa} usamos ConfIA5, un servicio de Data5 que actúa como encargado del tratamiento por nuestra cuenta, con proveedores que pueden tratar datos fuera de la UE con garantías adecuadas. Más información: {enlace a la política de privacidad del Cliente}.»