Contrato de encargo del tratamiento

1. Partes y objeto

El Responsable es el titular de la cuenta de SyntaxFlow que acepta este contrato; el Encargado es Elam Uceda Herrero, que opera con el nombre comercial SyntaxFlow (anexo I). El Encargado tratará por cuenta del Responsable los datos personales que este guarde en su cuenta, con el único fin de almacenarlos y sincronizarlos entre sus dispositivos, en los términos del anexo II.

Los enlaces que el Responsable envía a sus clientes o proveedores (presupuesto, parte, albarán, pedido) llevan el documento dentro del propio enlace, en la parte que el navegador no envía al servidor, y las respuestas del cliente o proveedor llegan al Responsable por WhatsApp o por correo, sin pasar por el Encargado. Esa parte del servicio no supone tratamiento por el Encargado.

2. Definiciones e interpretación

Los términos definidos en el RGPD tienen el mismo significado en este contrato, que se interpretará de acuerdo con el RGPD y nunca de forma que perjudique los derechos de los interesados.

3. Instrucciones

3.1. El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, salvo que el Derecho de la Unión o de un Estado miembro le obligue; en tal caso le informará antes, salvo que esa norma lo prohíba por razones importantes de interés público.

3.2. Son instrucciones documentadas: este contrato y sus anexos; las condiciones del servicio que el Responsable ha aceptado; y lo que los usuarios del Responsable hacen con las herramientas (guardar, editar, borrar, exportar, emitir un documento o crear un enlace). Cualquier otra instrucción se dará por escrito a la dirección de contacto del anexo I.

3.3. El Encargado no tratará los datos para fines propios: ni análisis, ni publicidad, ni comercialización, ni entrenamiento de modelos de inteligencia artificial.

3.4. El Encargado informará inmediatamente al Responsable si, a su juicio, una instrucción infringe el RGPD u otra norma de protección de datos.

4. Confidencialidad y acceso

4.1. A la fecha de este contrato, la única persona con acceso a los sistemas es el propio Encargado. El acceso al contenido del Responsable se limitará a lo estrictamente necesario para ejecutar sus instrucciones, atender un soporte que el Responsable pida, resolver una incidencia o cumplir una obligación legal.

4.2. Antes de dar acceso a cualquier colaborador futuro, el Encargado lo vinculará por escrito a un deber de confidencialidad.

5. Seguridad del tratamiento

El Encargado aplicará, como mínimo, las medidas técnicas y organizativas del anexo III, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los interesados (artículo 32 del RGPD).

6. Datos sensibles

No se prevé tratar las categorías especiales de datos del artículo 9 del RGPD ni datos de condenas e infracciones penales. El Responsable se compromete a no introducirlos. Si el Encargado detecta que alguno aparece de forma incidental, restringirá su acceso, informará al Responsable y seguirá sus instrucciones.

7. Subencargados

7.1. El Responsable da al Encargado una autorización general para recurrir a los subencargados que figuran en el anexo IV.

7.2. El Encargado informará al Responsable por escrito de cualquier incorporación o sustitución de un subencargado directo con al menos treinta (30) días de antelación, con la información necesaria para que pueda oponerse. Si el Responsable se opone por motivos razonables relacionados con la protección de datos y no hay una alternativa viable, cualquiera de las partes podrá resolver el contrato sin penalización, con la exportación de los datos prevista en la cláusula 13.

7.3. Cuando un subencargado del anexo IV comunique cambios en sus propios subencargados, el Encargado trasladará el aviso al Responsable en un plazo máximo de tres (3) días hábiles; el Responsable podrá oponerse en los cinco (5) días naturales siguientes, con el efecto previsto en el apartado anterior.

7.4. El Encargado solo recurrirá a subencargados que ofrezcan garantías suficientes y cuyo contrato les imponga, en esencia, las mismas obligaciones de protección de datos que este contrato impone al Encargado. A petición del Responsable, le facilitará copia de ese contrato o del anexo de tratamiento que lo contenga, pudiendo omitir la información confidencial.

7.5. El Encargado sigue siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones de sus subencargados (artículo 28.4 del RGPD) y le notificará sus incumplimientos.

8. Transferencias internacionales

8.1. Los datos se guardan en la Unión Europea: la base de datos y el almacén de archivos se han creado con la jurisdicción de la Unión Europea del subencargado (anexo IV). El código del servicio se ejecuta, sin embargo, en la red mundial de ese subencargado, de modo que los datos de una petición pueden transitar por centros situados fuera del Espacio Económico Europeo (EEE). Ese tránsito se ampara en la certificación del subencargado en el Marco de Privacidad de Datos UE-EE. UU. y, subsidiariamente, en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 que recoge su anexo de tratamiento.

8.2. Fuera de lo anterior, el Encargado solo transferirá datos a un tercer país o a una organización internacional siguiendo instrucciones documentadas del Responsable o por exigencia del Derecho de la Unión o de un Estado miembro, y siempre de acuerdo con el capítulo V del RGPD.

8.3. Si el Responsable está establecido fuera del EEE, en un país sin decisión de adecuación de la Comisión Europea, la devolución de sus datos a sus dispositivos se rige por las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, módulo cuatro (transferencia de encargado a responsable), que las partes incorporan por referencia, con el Encargado como exportador y el Responsable como importador, y con los datos de los anexos I a III de este contrato.

9. Ayuda al Responsable

9.1. El Encargado notificará con presteza al Responsable las solicitudes que reciba de los interesados y no las responderá por sí mismo salvo que el Responsable le autorice.

9.2. El Responsable puede atender por sí mismo el acceso, la rectificación, la supresión y la portabilidad desde sus herramientas. Cuando eso no baste, el Encargado le ayudará por escrito en un plazo máximo de diez (10) días hábiles.

9.3. Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, el Encargado ayudará también al Responsable a cumplir sus obligaciones de seguridad (artículo 32), de notificación de violaciones de la seguridad (artículos 33 y 34), de evaluación de impacto y de consulta previa (artículos 35 y 36), y le informará sin demora si descubre que los datos que trata son inexactos o han quedado obsoletos.

10. Violaciones de la seguridad de los datos

10.1. El Encargado notificará al Responsable cualquier violación de la seguridad que afecte a los datos de este contrato sin dilación indebida desde que tenga constancia de ella y, en todo caso, en un plazo máximo de cuarenta y ocho (48) horas. Ese plazo máximo no autoriza a retrasar una notificación que pueda hacerse antes.

10.2. La notificación se enviará al correo de la cuenta, si lo hay, y mediante un aviso destacado en la cuenta, e incluirá como mínimo: la naturaleza de la violación (con las categorías y el número aproximado de interesados y de registros afectados, cuando sea posible); un punto de contacto; sus consecuencias probables; y las medidas adoptadas o propuestas para remediarla y mitigar sus efectos, además de la cronología de los hechos y los sistemas afectados. Si no puede darse toda la información a la vez, se dará por fases sin dilación indebida.

10.3. El Encargado colaborará con el Responsable para que este pueda notificar a la autoridad de control y comunicarlo a los interesados cuando proceda (artículos 33 y 34 del RGPD).

11. Documentación y auditorías

11.1. Las partes deberán poder demostrar el cumplimiento de este contrato. El Encargado atenderá con presteza las consultas del Responsable y pondrá a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD; responderá a los cuestionarios razonables en un plazo máximo de treinta (30) días naturales, sin coste por esa información ordinaria.

11.2. El Encargado permitirá y contribuirá a las auditorías e inspecciones del Responsable o de un auditor independiente que este designe, a intervalos razonables o cuando haya indicios de incumplimiento, con un preaviso razonable que por regla general será de treinta (30) días naturales, salvo urgencia justificada o requerimiento de una autoridad de control. La auditoría no dará acceso a datos de otros clientes ni a secretos comerciales. Los honorarios del auditor corren a cargo del Responsable; la asistencia extraordinaria del Encargado se acordará antes por un importe razonable y no disuasorio, y la asumirá el Encargado si la auditoría acredita un incumplimiento material suyo.

11.3. Respecto de la infraestructura del subencargado, el Encargado facilitará los informes de auditoría independientes y las certificaciones vigentes que este ponga a disposición de sus clientes y, si resultan motivadamente insuficientes, ejercerá frente a él los derechos de información y auditoría que le reconozca su anexo de tratamiento.

11.4. Las partes pondrán esta información y los resultados de las auditorías a disposición de las autoridades de control que lo pidan.

12. Incumplimiento y resolución

12.1. Sin perjuicio del RGPD, si el Encargado incumple este contrato, el Responsable podrá ordenarle que suspenda el tratamiento hasta que vuelva a cumplirlo, o resolver el contrato. El Encargado informará con presteza al Responsable si no puede cumplirlo por cualquier motivo.

12.2. El Responsable podrá resolver el contrato si el tratamiento suspendido no vuelve a cumplir este contrato en un plazo razonable y, en todo caso, en un mes; si el Encargado lo incumple de forma sustancial o persistente; o si incumple una resolución vinculante de un tribunal o de una autoridad de control sobre estas obligaciones.

12.3. El Encargado podrá resolver el contrato si, tras advertir al Responsable de que una instrucción infringe la normativa (cláusula 3.4), este insiste en que se cumpla.

13. Duración, devolución y supresión

13.1. Este contrato dura mientras la cuenta exista y tenga la sincronización activada o el Plan Taller contratado.

13.2. Fin del Plan Taller: si la sincronización sigue activa, el encargo continúa para los documentos. Las fotos y los archivos del Plan Taller se conservan treinta (30) días desde que el plan termina, por instrucción del Responsable para poder reactivarlo o descargarlos sin necesidad de renovarlo; pasado ese plazo sin reactivación, se suprimen de los sistemas activos. El Responsable puede pedir en cualquier momento que se supriman antes.

13.3. Fin del encargo: al borrar la cuenta o desactivar la sincronización, el Responsable elige entre exportar sus datos (en un formato estructurado de uso común, con sus archivos originales) o su supresión directa. Hecha la elección, los datos se suprimen de los sistemas activos sin dilación indebida, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. Hasta su supresión, el Encargado sigue cumpliendo este contrato.

13.4. Copias de restauración: para garantizar la disponibilidad del servicio (artículo 32.1.c del RGPD), la base de datos guarda puntos de restauración durante un máximo de treinta (30) días. Lo suprimido permanece en ellos, inactivo y sin uso ordinario, hasta que el plazo se cumple. Si hubiera que restaurar una copia para reparar un fallo, el Encargado volverá a aplicar las supresiones posteriores antes de restablecer el servicio.

13.5. A petición del Responsable, el Encargado confirmará por escrito la supresión de los sistemas activos e indicará la fecha en que desaparecerán las copias de restauración.

13.6. Continuidad: el Responsable puede exportar sus datos en cualquier momento desde su cuenta. Si el Encargado decide cesar el servicio, lo avisará con al menos treinta (30) días de antelación, mantendrá la exportación disponible durante ese plazo y suprimirá después los datos.

14. Responsabilidad

Frente a los interesados, cada parte responde según el artículo 82 del RGPD. Entre las partes, cada una responde de los daños que causen sus propios incumplimientos, y el Encargado responde plenamente ante el Responsable de los incumplimientos de sus subencargados (artículo 28.4 del RGPD).

15. Comunicaciones y modificaciones

15.1. Las comunicaciones del Encargado se envían al correo de la cuenta, si lo hay, y mediante aviso en la cuenta; las del Responsable, a la dirección de contacto del anexo I. Para proteger a sus clientes, el Responsable no debe enviar al soporte documentos con datos personales de terceros salvo que sea imprescindible para resolver una incidencia.

15.2. El Encargado puede actualizar sus datos de contacto y mejorar las medidas de seguridad sin rebajar el nivel de protección. Los cambios de subencargados siguen la cláusula 7.

15.3. Cualquier otro cambio sustancial exige el acuerdo documentado de las partes. Los cambios que imponga una norma se comunicarán cuanto antes y, si es posible, con treinta (30) días de antelación. Si un cambio perjudica al Responsable y este no lo acepta, podrá resolver el contrato sin penalización y exportar sus datos.

16. Responsables en Brasil

Si el Responsable está establecido en Brasil o le aplica la Ley 13.709/2018 (LGPD), este contrato tiene también el valor de instrucciones del controlador al operador (artículo 39 de la LGPD), sin perjuicio de las garantías del RGPD. La transferencia de datos desde Brasil al EEE se ampara en la adecuación recíproca entre Brasil y la Unión Europea (Decisión de Ejecución (UE) 2026/179 de la Comisión y Resolución CD/ANPD n.º 32/2026), que no cubre por sí sola el tránsito descrito en la cláusula 8.1, amparado en los instrumentos allí citados.

17. Ley aplicable y jurisdicción

Este contrato se rige por el RGPD, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y, en lo demás, por el Derecho español. Las controversias entre las partes se someterán a los juzgados y tribunales que correspondan según las normas legales de competencia, sin pacto de sumisión. Nada de lo anterior limita el derecho de los interesados a reclamar ante la autoridad de control o ante los tribunales competentes.

ANEXO I. Partes

Responsable: el titular de la cuenta de SyntaxFlow que acepta este contrato al activar la sincronización o contratar el Plan Taller, identificado por los datos de su cuenta y, si ha comprado, por los de su factura (nombre o razón social y, si lo indica, su número de identificación fiscal). Quien acepta declara tener facultades para obligarle. Fecha de adhesión: la de la aceptación.

Encargado: Elam Uceda Herrero, empresario individual que opera con el nombre comercial SyntaxFlow, NIF 48228797M, Calle Fresnedillas 25, 28035 Madrid (España). Contacto: [email protected]. No ha designado delegado de protección de datos por no estar obligado (artículo 37 del RGPD y artículo 34 de la Ley Orgánica 3/2018).

ANEXO II. Descripción del tratamiento

Interesados: clientes y contactos del Responsable; proveedores del Responsable y sus personas de contacto; personal del Responsable que figure en sus documentos; personas que aparezcan en las fotografías que suba el Responsable.

Datos: identificativos y de contacto (nombre, dirección de la obra o de entrega, teléfono, correo electrónico); contenido de los documentos del Responsable (presupuestos, hojas de medición, partes de trabajo, albaranes, hojas de pedido y listas de comprobación: referencias, medidas, cantidades, importes y notas); nombre, puesto y horas del personal en los partes; fotografías y archivos que suba el Responsable; y, si el Responsable los anota, los datos de la aceptación o conformidad que haya recibido de sus clientes.

Datos sensibles: no se prevén (cláusula 6).

Naturaleza: almacenamiento en servidor, sincronización entre los dispositivos del Responsable, copia de restauración y supresión.

Finalidad: que el Responsable tenga sus documentos, fotos y archivos en todos sus dispositivos.

Duración: la de la cláusula 13.

Fuera de este contrato: los datos de la propia cuenta del Responsable (nombre de usuario, correo opcional, compras y registro de seguridad) los trata el Encargado como responsable, según su política de privacidad. Por eso los proveedores que solo intervienen en ellos (Stripe para los pagos del servicio, Resend para el correo de recuperación de la cuenta y Google para entrar con Google) no son subencargados de este contrato.

ANEXO III. Medidas técnicas y organizativas

Cifrado: conexiones cifradas en tránsito (TLS/HTTPS). Contraseñas y códigos de recuperación guardados solo como hashes; el correo opcional, cifrado en reposo. La sincronización no es cifrado de extremo a extremo: el servidor puede leer lo que guarda para devolverlo a los dispositivos del Responsable.

Identificación y autorización: acceso con usuario y contraseña, o entrando con Google donde se ofrezca; cookie de sesión no legible por los programas de la página, que solo viaja por HTTPS y termina tras 30 días sin uso o a los 90 días; protección contra la falsificación de peticiones desde otros sitios; límite de intentos de entrada.

Separación: cada cuenta solo accede a sus datos. Límites del Plan Taller: 250 MiB y 2.000 archivos por cuenta, 25 MiB por archivo.

Almacenamiento y ubicación: base de datos y almacén de archivos del subencargado creados con la jurisdicción de la Unión Europea (cláusula 8.1).

Disponibilidad: puntos de restauración de la base de datos de hasta 30 días; los dispositivos del Responsable conservan además su copia local.

Registro: un registro de seguridad anota qué ocurrió (entradas, salidas, sesiones cerradas, exportaciones y borrados) y cuándo, con el número interno de la cuenta, nunca el contenido, la contraseña ni el correo; se conserva 12 meses y solo se usa para la seguridad.

Minimización y retención: el servicio no pide más datos de los que el Responsable decide guardar; supresión según la cláusula 13.

Portabilidad y supresión: exportación de los datos de la cuenta y borrado de documentos, archivos o de la cuenta entera desde el propio servicio.

Gobernanza: acceso administrativo limitado al Encargado; revisión de estas medidas al menos una vez al año y cada vez que cambie la infraestructura; pruebas automáticas del servicio antes de cada publicación.

ANEXO IV. Subencargados autorizados