Contrato de encargado del tratamiento de datos personales

Reunidos

De una parte, el RESPONSABLE del tratamiento (la inmobiliaria cliente):
Razón social:
NIF:
Domicilio:
Representante:

De otra parte, el ENCARGADO del tratamiento (el prestador de InmobilIA Pro):
Titular:
NIF:
Domicilio:
Contacto de privacidad: inmobilia.support@gmail.com

Ambas partes acuerdan las siguientes cláusulas, que completan los Términos de uso de InmobilIA Pro.

1. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales necesarios para prestar el servicio de software de gestión inmobiliaria InmobilIA Pro (CRM, agenda, facturación, comunicaciones, portales y funciones de inteligencia artificial), en los términos de este contrato.

2. Duración

Este contrato estará vigente mientras el Responsable tenga una suscripción activa a InmobilIA Pro. Las obligaciones de confidencialidad continúan tras su finalización.

3. Naturaleza, finalidad y tratamientos

Alojamiento, registro, organización, consulta, modificación, comunicación por orden del Responsable (emails, SMS o WhatsApp que el Responsable envía desde la plataforma), generación de documentos y facturas, análisis mediante inteligencia artificial cuando el Responsable lo solicite, copia de seguridad y supresión.

4. Datos y personas afectadas

• Personas: clientes compradores y vendedores, propietarios, inquilinos, interesados (leads), avalistas y empleados o colaboradores del Responsable.
• Datos: identificativos y de contacto (nombre, DNI/NIE, email, teléfono, dirección); económicos y de transacciones (precios, rentas, facturas, IBAN para recibos); datos de los inmuebles; comunicaciones; firma electrónica y documentos que el Responsable suba.
• El Responsable no introducirá categorías especiales de datos (salud, ideología, etc.) salvo que sea imprescindible y con base legal suficiente.

5. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable (este contrato y el uso que haga de la plataforma) y no utilizarlos para fines propios. Si una instrucción infringiera el RGPD, lo comunicará inmediatamente.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
3. Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el Anexo II.
4. Recurrir a subencargados solo con la autorización general que el Responsable otorga con este contrato para los listados en el Anexo I. Informará de cualquier cambio con al menos 30 días de antelación para que el Responsable pueda oponerse; si se opone, podrá cancelar sin penalización. El Encargado exigirá a cada subencargado las mismas obligaciones de protección de datos.
5. Ayudar al Responsable a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), entre otros mediante las herramientas de exportación y edición de la plataforma.
6. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto.
7. Notificar al Responsable sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que el Responsable pueda notificarla a la AEPD en el plazo legal de 72 horas.
8. Al terminar el servicio, permitir al Responsable exportar sus datos durante 30 días y después suprimirlos, salvo los que una norma obligue a conservar. Las copias de seguridad se eliminarán en su ciclo ordinario de rotación.
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con un preaviso de 30 días y sin acceso a datos de otros clientes.

6. Obligaciones del Responsable

• Disponer de base legal para tratar los datos que introduce e informar a los interesados.
• Gestionar los accesos de su equipo (roles, altas y bajas) y custodiar sus credenciales. Se recomienda activar la verificación en dos pasos obligatoria.
• Usar las funciones de mensajería y de inteligencia artificial conforme a la normativa.

7. Transferencias internacionales

Algunos subencargados tienen su sede fuera del Espacio Económico Europeo (Anexo I). Las transferencias se realizan con las garantías del capítulo V del RGPD: cláusulas contractuales tipo aprobadas por la Comisión Europea o adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU., según su acuerdo de tratamiento de datos.

8. Ley aplicable

Este contrato se rige por el RGPD, la LOPDGDD y la legislación española.

Anexo I · Subencargados autorizados

Anexo II · Medidas técnicas y organizativas

• Cifrado en tránsito: HTTPS obligatorio con HSTS en toda la plataforma.
• Cifrado en reposo: base de datos cifrada en disco por el proveedor de alojamiento.
• Contraseñas: almacenadas con bcrypt; longitud mínima de 10 caracteres; rechazo de contraseñas comunes.
• Autenticación: verificación en dos pasos (TOTP) disponible para todos los usuarios y exigible por el Responsable a todo su equipo; códigos de recuperación de un solo uso.
• Protección del acceso: bloqueo tras intentos fallidos, renovación de la sesión al iniciarla, caducidad de sesiones, revocación del acceso en menos de un minuto al desactivar un usuario.
• Control de acceso: siete roles con permisos por sección; aislamiento de los datos de cada cliente; portal de inquilinos limitado a su información.
• Trazabilidad: registro de inicios de sesión, intentos fallidos, cambios de seguridad, altas, modificaciones y borrados de datos, exportaciones y cambios de permisos, con fecha, usuario e IP.
• Protección de la aplicación: comprobación del origen de las peticiones, cabeceras de seguridad, registros del servidor sin contraseñas ni secretos.
• Pagos: gestionados por Stripe; el Encargado no almacena datos de tarjetas.

Firmas