Contrato de encargo de tratamiento (art. 28 RGPD) — Anexo 1 de las Condiciones del Servicio Inmocapta

1. Partes

• Responsable del tratamiento: el Cliente (razón social, NIF/CIF y domicilio que constan en el alta), en adelante "el Responsable".
• Encargado del tratamiento: Hugo Nienhausen, empresario individual con el nombre comercial Inmocapta, NIF/CIF 41603555M, domicilio Rosellón 281 bis, 6, 08037 Barcelona, España, email de protección de datos [email protected], en adelante "el Encargado". Delegado de protección de datos: no designado.

2. Objeto del encargo

Mediante el presente contrato se habilita al Encargado para tratar, por cuenta del Responsable, los datos personales necesarios para prestar los servicios descritos en las Condiciones del Servicio: alojamiento y gestión del CRM, bandeja omnicanal (web, email, WhatsApp), asistente conversacional de cualificación, gestión de visitas, firma electrónica de documentos, seguimiento automático, generación de textos y dossiers, panel de actividad y, cuando se activen, los módulos Alertas, Voz y Escucha (Anexo III).

Tratamientos: recogida, registro, estructuración, conservación, consulta, comunicación por transmisión al propio Responsable y a sus destinatarios, cotejo, limitación, supresión y destrucción. Incluye el tratamiento automatizado por sistemas de IA para clasificar, resumir y redactar, bajo supervisión del Responsable.

3. Identificación de la información afectada

• Interesados: clientes y potenciales clientes del Responsable (propietarios, compradores, arrendadores, arrendatarios, visitantes de inmuebles), personal del Responsable (usuarios de la plataforma), terceros que contactan al Responsable.
• Categorías de datos: identificativos (nombre, apellidos, número de documento de identidad, teléfono, email, dirección); datos de inmuebles (dirección, referencia catastral, características, precio); contenido de conversaciones (texto; voz y transcripciones si se activa el módulo); datos de firma (trazo, IP, dispositivo, OTP, sello de tiempo); datos comerciales (interés, visitas, ofertas, encargos, cierres); datos de uso de la plataforma por el personal del Responsable (actividad, métricas).
• No se tratarán categorías especiales de datos (art. 9 RGPD) ni datos de menores; el Responsable se abstendrá de introducirlos. No se recogen copias de documentos de identidad.

4. Duración

La del contrato de servicio. A su finalización se aplicará la cláusula 10.

5. Obligaciones del Encargado

El Encargado y todo su personal se obligan a:

a) Utilizar los datos solo para la finalidad del encargo y conforme a las instrucciones documentadas del Responsable (las Condiciones del Servicio, la configuración que el Responsable realice en la plataforma y las instrucciones escritas adicionales). Si el Encargado considera que una instrucción infringe el RGPD u otra norma, informará inmediatamente al Responsable.

b) Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD), disponible a petición.

c) No comunicar los datos a terceros, salvo autorización expresa del Responsable, en los supuestos legalmente admisibles, o a los subencargados autorizados (cláusula 7). El Encargado podrá comunicar datos a otros encargados del mismo Responsable según las instrucciones de este.

d) Subcontratación: regulada en la cláusula 7.

e) Mantener el deber de secreto respecto a los datos, incluso después de finalizar el encargo.

f) Garantizar que las personas autorizadas para tratar datos se comprometen por escrito a respetar la confidencialidad y reciben la formación necesaria.

g) Mantener a disposición del Responsable la documentación acreditativa del cumplimiento de la obligación anterior.

h) Garantizar la formación necesaria en protección de datos de las personas autorizadas.

i) Asistir al Responsable en la respuesta al ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas: cuando los interesados ejerzan sus derechos ante el Encargado, este lo comunicará al Responsable por email en un plazo máximo de 2 días hábiles desde la recepción, junto con la información relevante, y proporcionará en la plataforma herramientas de exportación, rectificación y supresión por registro.

j) Notificación de violaciones de seguridad: el Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 24 horas desde que tenga constancia, las violaciones de la seguridad de los datos a su cargo, con la información del art. 33.3 RGPD disponible (naturaleza, categorías y número aproximado de interesados y registros, contacto, consecuencias probables, medidas adoptadas o propuestas), completándola gradualmente si no es posible facilitarla toda. Corresponde al Responsable notificar a la AEPD y, en su caso, a los interesados; el Encargado le asistirá y, si el Responsable lo solicita, redactará el borrador de comunicación a los interesados.

k) Dar apoyo al Responsable en la realización de evaluaciones de impacto y consultas previas a la autoridad de control cuando proceda, facilitando la documentación técnica de la plataforma (Anexo II).

l) Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir auditorías (una vez al año, con 15 días de preaviso, mediante cuestionario y documentación; auditoría in situ solo ante incidente grave o requerimiento de autoridad, a cargo del Responsable).

m) Implantar las medidas de seguridad del Anexo II, que garantizan en todo caso: seudonimización y cifrado cuando proceda; confidencialidad, integridad, disponibilidad y resiliencia permanentes; restauración de la disponibilidad y el acceso tras incidente físico o técnico; verificación, evaluación y valoración regulares de la eficacia de las medidas.

n) Designar, en su caso, delegado de protección de datos y comunicar su identidad y datos de contacto al Responsable.

o) Destino de los datos al finalizar: cláusula 10.

6. Obligaciones del Responsable

a) Entregar o permitir la recogida de los datos con base jurídica suficiente; informar a los interesados (art. 13/14) y obtener los consentimientos exigibles, en particular para comunicaciones comerciales electrónicas (art. 21 LSSI) y para el seguimiento posterior a visitas.

b) Realizar, en su caso, la evaluación de impacto y la consulta previa.

c) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del Encargado.

d) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

e) Configurar la plataforma (usuarios, permisos, plantillas, plazos de conservación) y usarla conforme a la cláusula de uso aceptable de las Condiciones; abstenerse de introducir datos de particulares obtenidos de anuncios para fines de comunicación electrónica sin consentimiento.

f) Cumplir, respecto de su personal, la información exigida cuando active grabación o transcripción de llamadas (art. 64.4.d ET).

7. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados listados en el Anexo I (publicado con este contrato en inmocapta.com/dpa), con indicación de servicio, país y mecanismo de transferencia. El Encargado informará al Responsable de cualquier cambio previsto (incorporación o sustitución) con al menos 30 días de antelación por email y en el panel; el Responsable podrá oponerse por motivos razonables en ese plazo y, de no alcanzarse solución, resolver el contrato sin penalización. El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las de este contrato, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento de aquellas.

8. Transferencias internacionales

Determinados subencargados se encuentran o pueden acceder a los datos desde fuera del Espacio Económico Europeo (Estados Unidos). Las transferencias se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado y, en todo caso, en Cláusulas Contractuales Tipo (Decisión 2021/914) con medidas suplementarias (cifrado en tránsito y en reposo, minimización, seudonimización de identificadores en los sistemas de IA). El Encargado prioriza regiones de la UE (Frankfurt) para almacenamiento y procesamiento, y ofrecerá al Responsable, bajo petición y con el recargo indicado en las Condiciones, el uso de endpoints de IA con residencia en la UE.

9. Medidas de seguridad (Anexo II)

Resumen de las medidas implantadas (detalle en el Anexo II): cifrado TLS 1.2+ en tránsito y AES-256 en reposo; aislamiento por cliente mediante políticas de seguridad a nivel de fila (RLS por agency_id); autenticación con contraseña robusta y segundo factor opcional, roles y permisos por usuario; registro de accesos y acciones (12 meses); copias de seguridad diarias cifradas con retención 30 días y prueba de restauración trimestral; gestión de vulnerabilidades y actualizaciones; principio de mínimo privilegio para el personal del Encargado; acuerdos de confidencialidad; plan de continuidad con proveedor alternativo de infraestructura en la UE; borrado seguro al finalizar.

10. Destino de los datos al finalizar el encargo

Al finalizar la prestación, el Encargado devolverá al Responsable los datos personales (exportación en formato estructurado JSON/CSV y PDF de documentos firmados, disponible en el panel durante 30 días) y, transcurrido ese plazo o antes si el Responsable lo solicita, suprimirá los datos y cualquier copia, salvo que deba conservarlos bloqueados para atender responsabilidades legales (facturación: 4-6 años; documentos de firma, si el Responsable lo solicita: 5 años). El Encargado emitirá un certificado de supresión.

11. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al art. 82 RGPD. Si el Encargado infringe el RGPD al determinar fines y medios, será considerado responsable respecto de ese tratamiento.

12. Ley aplicable y fuero

Los de las Condiciones del Servicio.

Anexo I — Lista de subencargados (a 23-10-2026)

Anexo II — Medidas técnicas y organizativas (detalle)

1. Control de acceso: autenticación por email + contraseña (≥12 caracteres) o enlace mágico; 2FA opcional (obligatorio para administradores desde [PENDIENTE: fecha]); cierre de sesión automático; roles (administrador, agente, lectura).
2. Segregación: RLS por agency_id en todas las tablas; una cuenta de Chatwoot por agencia; un WABA por agencia.
3. Cifrado: TLS 1.2+; AES-256 en reposo (Supabase, Object Storage); claves gestionadas por el proveedor de infraestructura; secretos en gestor de secretos.
4. Registro: auditoría de accesos a fichas, exportaciones y cambios de configuración (12 meses); registro de consentimientos solo-append.
5. Copias y continuidad: backups diarios cifrados, retención 30 días, restauración probada trimestralmente; infraestructura replicable en proveedor alternativo UE (Terraform).
6. Seguridad del software: dependencias actualizadas, revisión de código, pruebas automatizadas, política de divulgación de vulnerabilidades ([email protected]).
7. Personal: acuerdos de confidencialidad; formación anual; mínimo privilegio; el Encargado opera con asistencia de sistemas de IA bajo supervisión humana y sin acceso de terceros a datos en claro salvo subencargados autorizados.
8. Minimización: no se almacenan copias de DNI; teléfonos de particulares procedentes de anuncios no se persisten salvo acción explícita del usuario y por 30 días; grabaciones 30-90 días.
9. Gestión de incidentes: protocolo documentado (detección, evaluación 24 h, aviso al Responsable 24 h, soporte para la notificación a la AEPD en 72 h), registro de incidentes.
10. Borrado: supresión lógica inmediata y física en ≤30 días; certificado.

Anexo III — Módulos opcionales (se activan por el Responsable; condiciones adicionales)

• Inmocapta Alertas: el Responsable es responsable del contacto con los anunciantes; la herramienta no envía comunicaciones; checklist legal obligatorio (Lista Robinson con credencial propia, identificación, oposición); DPIA disponible.
• Inmocapta Voz / Escucha: locución de identificación de IA y grabación no desactivable; conservación de grabaciones 30-90 días configurable; el Responsable informa a su plantilla; DPIA disponible.