Contrato de encargo del tratamiento (artículo 28 RGPD): servicios Contigo

Partes

El Cliente (responsable del tratamiento): Razón social: ______________________________ · NIF: ______________ · Domicilio: ______________________________ · Representado por: ______________________________, en calidad de ______________________.

El Encargado: Cloud Cost Control SL, NIF B19340702, inscrita en el Registro Mercantil de Barcelona, tomo/IRUS 1000426702250, folio 1, hoja B-620287, inscripción 1.ª, con domicilio social en Passeig d'Àngel Guimerà 67, 08230 Matadepera (Barcelona), correo electrónico damian@contigobot.com, representada por Damian Munafo, administrador. Presta los servicios bajo la marca Contigo.

Este contrato forma parte del contrato de servicio Contigo celebrado entre las partes (el «Contrato principal») y regula el tratamiento de datos personales que el Encargado realiza por cuenta del Cliente, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Si hay contradicción entre ambos en materia de protección de datos, prevalece este contrato.

1. Objeto, duración, naturaleza y finalidad

1.1. El Encargado trata datos personales solo para prestar al Cliente los servicios Contigo que este tenga contratados y activados (Anexo I): Contigo Clínica (agenda, recordatorios, portal del cliente, historia clínica veterinaria, laboratorio, facturación, registro de jornada y, si se activa, asistente de voz) o Contigo Club (fichas de socios y jugadores, equipos, convocatorias, cuotas y pagos, tienda y comunicaciones), y la mensajería por WhatsApp con respuestas automáticas.

1.2. Naturaleza de las operaciones: recogida a través de la aplicación, de WhatsApp, de Telegram (Club) y del asistente de voz (Clínica); registro, organización, conservación, consulta, modificación, envío de mensajes y correos en nombre del Cliente, cobros, generación de registros de facturación, exportación y supresión.

1.3. Duración: la del Contrato principal. Al terminar se aplica la cláusula 11.

2. Datos y personas afectadas

2.1. Las categorías de interesados y de datos son las del Anexo I, según los módulos que el Cliente active.

2.2. Categorías especiales. La aplicación no pide categorías especiales de datos (art. 9 RGPD) salvo en los campos que el Cliente decida usar (por ejemplo, campos de salud de jugadores en Contigo Club). El texto libre que escriben o dicen los interesados por WhatsApp, Telegram o teléfono puede contenerlas. El Cliente determina la base jurídica y la condición del art. 9.2 aplicables y lo informa a los interesados. Los datos de salud de los animales no son categoría especial.

2.3. Menores. Si el Cliente trata datos de menores (por ejemplo, jugadores de un club), es responsable de obtener el consentimiento de quien ejerce la patria potestad o tutela cuando sea necesario (art. 7 LOPDGDD) y de configurar la aplicación de acuerdo con ello. El bot de Telegram de Contigo Club solo se ofrece a personas adultas.

3. Instrucciones del Cliente

3.1. El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Cliente. Son instrucciones documentadas este contrato, el Contrato principal, la configuración que el Cliente hace en la aplicación y las instrucciones escritas que envíe a damian@contigobot.com (art. 28.3.a RGPD).

3.2. Esto incluye las transferencias internacionales descritas en la cláusula 7, que el Cliente autoriza. El Encargado no hará otras transferencias salvo que lo exija el Derecho de la Unión o de un Estado miembro; en tal caso informará antes al Cliente, salvo que ese Derecho lo prohíba.

3.3. Si el Encargado considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicará inmediatamente al Cliente (art. 28.3, párrafo segundo, RGPD).

3.4. El Encargado no utiliza los datos para fines propios, no los vende y no los usa para entrenar modelos de inteligencia artificial.

4. Confidencialidad

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b RGPD y art. 5 LOPDGDD). El acceso del personal del Encargado a los datos de un Cliente requiere un permiso temporal, con motivo, que queda registrado.

5. Seguridad

5.1. El Encargado aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo (art. 32 RGPD; art. 28.3.c).

5.2. El Encargado puede actualizar esas medidas siempre que no reduzca el nivel de protección.

6. Subencargados y otros destinatarios

6.1. El Cliente otorga una autorización general para recurrir a los subencargados del Anexo III (art. 28.2 RGPD). Los que dependen de un módulo solo intervienen si el Cliente activa ese módulo.

6.2. El Encargado informará al Cliente por escrito, con al menos 30 días de antelación, de cualquier alta o sustitución de subencargados. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no se encuentra una solución, el Cliente puede resolver el Contrato principal respecto del servicio afectado sin penalización.

6.3. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos que ofrecen garantías suficientes y equivalentes a las de este contrato (art. 28.4 RGPD) y responde ante el Cliente del cumplimiento del subencargado.

6.4. xAI. El Encargado usa la API de xAI únicamente con la retención cero de datos (ZDR) activada para su equipo, de modo que xAI no conserva las entradas ni las salidas.

6.5. Meta. Meta puede tratar ciertos datos de la plataforma WhatsApp como responsable independiente con fines de seguridad e integridad, conforme a sus propias condiciones.

6.6. Asistente de voz (Vapi). El Encargado solo activa el asistente de voz para un Cliente que lo solicite por escrito, con la retención cero de datos (ZDR) de Vapi activada, de modo que Vapi no conserva grabaciones, transcripciones, mensajes ni registros de la llamada una vez terminada. Los proveedores de modelo de lenguaje, transcripción y voz que se usen a través de Vapi se añadirán al Anexo III, con el preaviso de la cláusula 6.2, antes de activarlo. La Clínica informará a quien llama, al inicio de la llamada, de que le atiende un asistente automático.

6.7. Stripe. Stripe trata los datos de pago como encargado para procesar los cobros y como responsable independiente para prevenir el fraude, cumplir la normativa de prevención del blanqueo de capitales y de identificación de clientes, atender requerimientos de autoridades y entidades financieras y mejorar sus servicios, conforme a su acuerdo de tratamiento. Los datos de la tarjeta se introducen directamente en las páginas de Stripe y el Encargado no los recibe.

6.8. Telegram (Contigo Club). Si el Club activa el bot de Telegram, solo recibe mensajes por ese canal la persona adulta que inicia el bot por decisión propia. Telegram no actúa como subencargado: trata los datos de su plataforma como responsable independiente, conforme a sus propias condiciones, y no ofrece acuerdo de encargo del tratamiento. La transferencia a Telegram se basa en que es necesaria para atender la comunicación que la propia persona ha pedido por ese canal (art. 49.1.b RGPD). El Encargado limita lo que se envía por Telegram a avisos de actividad del club, sin datos de salud, datos de menores ni datos de pago, y el Club ofrece siempre WhatsApp o correo electrónico como alternativa.

7. Transferencias internacionales

7.1. La base de datos y los archivos del servicio se almacenan en la Unión Europea (Cloudflare D1 y R2 con jurisdicción UE). Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo, como indica el Anexo III.

7.2. Esas transferencias se basan en la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, relativa al Marco de Privacidad de Datos UE-EE. UU., para los importadores certificados, y, en su defecto, en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 incorporadas al contrato con cada subencargado (arts. 45 y 46.2.c RGPD). Telegram se rige por la cláusula 6.8.

7.3. El Encargado informará al Cliente si un importador pierde su certificación o si cambia la garantía aplicable.

8. Derechos de los interesados

8.1. El Encargado ayuda al Cliente, con las funciones de la aplicación y por otros medios razonables, a atender los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas (art. 28.3.e RGPD).

8.2. Si un interesado se dirige al Encargado, este trasladará la solicitud al Cliente en un plazo máximo de 5 días hábiles y no responderá por su cuenta salvo instrucción del Cliente.

9. Asistencia en seguridad, brechas y evaluaciones de impacto

9.1. El Encargado ayuda al Cliente a cumplir los arts. 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone (art. 28.3.f).

9.2. Brechas. El Encargado notificará al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, a la dirección de contacto que indique el Cliente (art. 33.2 RGPD). La notificación incluirá, en la medida en que se conozca: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información que falte se facilitará de forma gradual. La notificación a la AEPD y a los interesados corresponde al Cliente.

9.3. El Encargado facilitará la información que el Cliente necesite para una evaluación de impacto o una consulta previa.

10. Registro de actividades

El Encargado lleva un registro de las actividades de tratamiento que realiza por cuenta del Cliente (art. 30.2 RGPD).

11. Conservación, exportación y supresión

11.1. Durante el contrato los datos se conservan según la configuración del Cliente. El Encargado no suprime datos por iniciativa propia, salvo las supresiones automáticas descritas en el Anexo I.

11.2. Exportación. El Cliente puede pedir en cualquier momento una exportación completa de sus datos en formato estructurado, de uso común y lectura mecánica (CSV o JSON), separada por tablas. El Encargado la entregará en un plazo máximo de 30 días.

11.3. Supresión solo con instrucción escrita. El Encargado solo suprime el conjunto de datos de un Cliente, o una tabla de ese conjunto, cuando recibe una instrucción escrita de su representante, después de haberle entregado la exportación y una relación previa de lo que se va a suprimir. La supresión queda registrada con la fecha, la tabla, el número de registros y la referencia de la instrucción, sin copiar el contenido de los registros suprimidos.

11.4. Copias de seguridad. Los datos suprimidos de la base de datos pueden seguir siendo recuperables en las copias de seguridad continuas (Cloudflare D1 Time Travel) durante un máximo de 30 días desde la supresión. Pasado ese plazo dejan de existir de forma definitiva. Durante esos 30 días el Encargado no restaura datos suprimidos salvo instrucción escrita del Cliente o para recuperar el servicio tras un incidente; en este último caso, vuelve a suprimir los datos restaurados que ya se habían suprimido. Los archivos (Cloudflare R2) se suprimen en el momento.

11.5. Plazos legales que el Cliente instruye conservar. Para que el Cliente pueda cumplir sus obligaciones legales, el Cliente instruye al Encargado para que, aun después de una instrucción de supresión o del fin del contrato, conserve bloqueados (sin acceso salvo para el Cliente o una autoridad) estos datos, y los suprima o anonimice al terminar el plazo:

• Facturas, registros de facturación Veri*Factu y registro de eventos: hasta el 31 de diciembre del sexto año siguiente al de su expedición. Fundamento: art. 30 del Código de Comercio (6 años); arts. 29.2.d), 66 y 70 de la Ley 58/2003, General Tributaria, y art. 19 del Real Decreto 1619/2012 (4 años de prescripción tributaria); Real Decreto 1007/2023 y Orden HAC/1177/2024 para los registros de facturación.
• Recetas veterinarias y fichas clínicas que las sustituyen: 5 años desde su emisión. Fundamento: arts. 32.5 y 36.2 del Real Decreto 666/2023.
• Registro de jornada del personal: 4 años. Fundamento: art. 34.9 del Estatuto de los Trabajadores.

El Cliente puede instruir por escrito que, en lugar de conservarlos el Encargado, se le entreguen y se supriman, si asume él su conservación.

11.6. Al terminar el contrato, el Encargado entregará al Cliente la exportación de la cláusula 11.2 y, tras su confirmación escrita, suprimirá los datos y sus copias en un plazo máximo de 90 días, salvo los de la cláusula 11.5 y los que deba conservar por una obligación legal propia (art. 28.3.g RGPD). La cláusula 11.4 se aplica a esa supresión.

11.7. Las facturas que el Encargado emite al Cliente por el servicio no son datos tratados por cuenta del Cliente: el Encargado las conserva como responsable durante los plazos legales.

12. Información y auditorías

El Encargado pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y del art. 28 RGPD, y permite y contribuye a las auditorías e inspecciones del Cliente o de un auditor que este designe y que esté sujeto a confidencialidad (art. 28.3.h). Las auditorías se avisarán con 30 días de antelación, salvo tras una brecha, no darán acceso a datos de otros clientes y serán como máximo una al año, salvo requerimiento de una autoridad. Cada parte asume sus propios costes.

13. Obligaciones del Cliente

El Cliente: a) dispone de base jurídica para los tratamientos y para comunicar los datos al Encargado; b) informa a los interesados (arts. 13 y 14 RGPD), incluido el uso de WhatsApp, Telegram, el asistente de voz y las respuestas automáticas; c) se identifica como remitente en sus comunicaciones; d) da sus instrucciones por escrito y supervisa el tratamiento.

14. Responsabilidad, ley y jurisdicción

14.1. Cada parte responde de sus incumplimientos conforme al art. 82 RGPD y al Contrato principal. El Encargado que trate los datos para fines propios o en contra de las instrucciones será considerado responsable de ese tratamiento (art. 28.10 RGPD y art. 33.3 LOPDGDD).

14.2. Este contrato se rige por la ley española. Las partes se someten a los juzgados y tribunales de Barcelona, salvo que la ley establezca otro fuero de forma imperativa.

Lugar y fecha: ______________________________

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

• Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones.
• Separación de los datos de cada Cliente, con pruebas automáticas de aislamiento entre clientes.
• Acceso por roles; el personal del Encargado solo accede con un permiso temporal, motivado y registrado.
• Contraseñas guardadas con función hash; límite de intentos fallidos; segundo factor de autenticación disponible.
• Cookies de sesión limitadas al propio dominio, Secure, HttpOnly y SameSite=Lax.
• Verificación de firma de los avisos recibidos de WhatsApp.
• Secretos y credenciales cifrados en la plataforma de alojamiento; nunca en el código.
• Registro de accesos y de supresiones.
• Copias de seguridad continuas de la base de datos con Cloudflare D1 Time Travel: permite restaurarla a cualquier minuto de los últimos 30 días. Pasado ese plazo, las copias se eliminan solas.
• Retención cero de datos activada en xAI y, antes de usar el asistente de voz, en Vapi.
• Procedimiento de gestión de brechas con notificación en 48 horas.

Anexo III. Subencargados autorizados

Forma parte de este contrato la lista publicada en www.contigobot.com (versión de 21 de octubre de 2026), que coincide con esta:

Stripe actúa además como responsable independiente para los fines de la cláusula 6.7. Telegram no es subencargado (cláusula 6.8).