Contrato de Encargado del Tratamiento

01. Identificación de las partes

• Encargado: Canaia Tech SL, NIF B19476001, domicilio en Avenida Monteros de Castilla 49, 28210 Valdemorillo, Madrid (España). Contacto: contacto@tuasistenteconia.es.
• Responsable: el Cliente que contrata el Servicio, cuyos datos identificativos constan en su cuenta y en el proceso de contratación.

02. Objeto y normativa

El objeto es habilitar al Encargado para tratar, por cuenta del Responsable, los datos personales necesarios para prestar el Servicio, con pleno respeto al RGPD, a la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa aplicable. El detalle del tratamiento figura en el Anexo I.

03. Duración

Este Contrato estará vigente mientras lo esté la relación contractual del Servicio. Finalizada esta, el Encargado procederá conforme a la cláusula 12 (devolución o supresión de datos).

04. Instrucciones del Responsable

El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales cuando proceda. Se considera instrucción documentada la propia configuración y uso del Servicio por parte del Responsable. Si el Encargado considera que una instrucción infringe la normativa, informará de inmediato al Responsable.

05. Obligaciones del Encargado

De conformidad con el art. 28.3 del RGPD, el Encargado se obliga a:

• Tratar los datos solo conforme a las instrucciones documentadas del Responsable.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas del art. 32 del RGPD (Anexo II).
• Respetar las condiciones para recurrir a otros encargados (subencargados), cláusula 07.
• Asistir al Responsable, en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36).
• A elección del Responsable, suprimir o devolver los datos al finalizar la prestación.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.
• No tratar los datos para finalidades propias distintas de la prestación del Servicio.

06. Confidencialidad

El Encargado mantendrá el deber de secreto respecto de los datos, deber que subsistirá tras el fin de la relación. Garantizará la formación y el compromiso de confidencialidad de su personal.

07. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados relacionados en el Anexo III para la prestación del Servicio. El Encargado impondrá a dichos subencargados las mismas obligaciones de protección de datos mediante contrato. El Encargado informará de cualquier cambio previsto de subencargados, dando al Responsable la posibilidad de oponerse por motivos razonables.

08. Transferencias internacionales

Cuando la prestación implique transferencias de datos fuera del Espacio Económico Europeo, el Encargado garantizará que se realicen con las debidas garantías (decisión de adecuación o cláusulas contractuales tipo de la Comisión Europea, y medidas complementarias cuando resulten necesarias).

09. Violaciones de la seguridad

El Encargado notificará al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos de la que tenga conocimiento, junto con la información relevante disponible para que el Responsable pueda cumplir, en su caso, con sus obligaciones de notificación ante la autoridad de control y los interesados.

10. Asistencia en derechos de los interesados

Si un interesado dirige al Encargado una solicitud de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación o portabilidad), el Encargado lo comunicará al Responsable a la mayor brevedad y le prestará la asistencia razonable, sin dar curso por sí mismo a la solicitud salvo instrucción expresa.

11. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de sus obligaciones y colaborará en las auditorías o inspecciones que el Responsable, o un auditor por él designado, lleve a cabo, con preaviso razonable y sin comprometer la seguridad de otros clientes.

13. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de sus respectivas obligaciones bajo la normativa de protección de datos, en los términos del art. 82 del RGPD.

Anexo I — Descripción del tratamiento

• Objeto y naturaleza: tratamiento automatizado de comunicaciones y gestiones a través del asistente de IA (atención al cliente, reservas, pedidos, captación de contactos).
• Finalidad: prestar al Responsable las funcionalidades del Servicio contratado.
• Duración: la de la relación contractual.
• Categorías de interesados: clientes finales, contactos y usuarios que interactúan con el asistente del Responsable.
• Categorías de datos: datos identificativos y de contacto (nombre, teléfono, email), contenido de las conversaciones, datos de pedidos y reservas, dirección de entrega y demás información que el interesado facilite. El Responsable se compromete a no introducir categorías especiales de datos salvo pacto expreso y con las garantías adecuadas.
• Tipo de tratamiento: recogida, registro, conservación, consulta, uso, comunicación por transmisión y supresión.

Anexo II — Medidas de seguridad (art. 32)

• Cifrado de las comunicaciones en tránsito (HTTPS/TLS) y control de acceso a la información.
• Autenticación de usuarios y gestión de permisos por roles.
• Alojamiento en infraestructura de proveedores con garantías de seguridad y ubicación en la Unión Europea cuando resulte aplicable.
• Copias de seguridad y medidas para restaurar la disponibilidad y el acceso a los datos.
• Registro de actividad y procedimientos de gestión de incidentes.
• Medidas organizativas: confidencialidad del personal, principio de mínimo privilegio y evaluación periódica de la eficacia de las medidas.

Anexo III — Subencargados autorizados

El Encargado recurre, entre otros, a los siguientes subencargados para prestar el Servicio (lista orientativa a confirmar y mantener actualizada):

• Google Cloud — infraestructura de alojamiento y procesamiento (IA Gemini).
• Anthropic — modelos de lenguaje (Claude) para análisis y generación de respuestas.
• OpenAI — transcripción de audio a texto (conversaciones de voz).
• Meta Platforms — canal de WhatsApp Business, Instagram y Facebook.
• Twilio — telefonía (numeración y voz) y envío de SMS.
• Stripe — pasarela de pago para el procesamiento de cobros.
• HubSpot — CRM y soporte.

Nota: según nuestros acuerdos, los proveedores de IA no utilizan la información suministrada a través de las APIs empresariales para entrenar modelos públicos.

Aceptación

Este Contrato se entiende aceptado por ambas partes con la contratación y el uso del Servicio. A petición del Responsable, podrá formalizarse una copia firmada. Contacto para asuntos de protección de datos: contacto@tuasistenteconia.es.