Contrato de encargo de tratamiento

Versión 2026-11-02. Este contrato forma parte de las condiciones generales de contratación de NoExpertise y lo aceptas con ellas, por escrito en formato electrónico. Regula cómo Veleta Comercializaciones y Servicios SLU (CIF B87534855, domicilio en Calle Lima 44, 5.º B, 28945 Fuenlabrada (Madrid), España; «nosotros» o «el Encargado») trata, por cuenta tuya, los datos personales de otras personas que guardas en tus webs, aplicaciones y correo («tú» o «el Responsable»).

1. Quién es quién

Cuando guardas en tus aplicaciones datos personales de terceros (tus clientes, proveedores, empleados, contactos, visitantes de tu web o remitentes de tu correo), tú decides para qué y cómo se usan: eres el responsable del tratamiento. Nosotros solo los alojamos y los tratamos para prestarte el servicio, siguiendo tus instrucciones: somos el encargado del tratamiento (artículo 28 del Reglamento (UE) 2016/679 y artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre). Nuestro acceso a esos datos para prestarte el servicio no es una cesión de datos.

Los datos que tú nos das como cliente (tu cuenta, tu facturación) los tratamos como responsables; eso lo explica la política de privacidad, no este contrato.

2. Objeto, duración, naturaleza y finalidad del tratamiento

• Objeto: alojar tus webs, aplicaciones, bases de datos y buzones de correo en nuestros servidores, hacer y guardar copias de seguridad, aplicar los cambios que pides desde el panel, mantener la plataforma y darte soporte.
• Operaciones: almacenamiento, conservación, copia de seguridad, restauración, transmisión por internet a quien tú decidas (tus visitantes, tus usuarios), modificación cuando pides un cambio, consulta por nuestro personal solo para soporte o seguridad, y supresión al final.
• Finalidad: únicamente prestarte el servicio contratado. Nunca usamos esos datos para fines propios, ni para analítica, ni para publicidad, ni para entrenar modelos de inteligencia artificial.
• Duración: mientras dure tu contrato con nosotros y, después, el tiempo necesario para devolver o suprimir los datos (cláusula 10).
• Datos y personas: los que tú decidas guardar. Normalmente, datos identificativos y de contacto, comerciales, de facturación, de pedidos y el contenido de los correos, de tus clientes, proveedores, empleados, usuarios y contactos. Las aplicaciones de nuestro catálogo no están pensadas para datos de categorías especiales (salud, ideología, religión, afiliación sindical, datos genéticos o biométricos, vida sexual) ni de condenas e infracciones penales: si necesitas guardarlos, consúltanos antes para acordar medidas adicionales; si no lo haces, el riesgo de ese tratamiento es tuyo.

El detalle del tratamiento está en el anexo I.

3. Instrucciones (artículo 28.3, letra a)

Tratamos los datos únicamente siguiendo tus instrucciones documentadas, que son: este contrato, las condiciones generales, la configuración que haces en el panel y los cambios que pides y validas. Esto incluye las transferencias a otros países: solo las de la cláusula 7. Si una ley de la Unión Europea o de España nos obliga a tratar los datos de otra forma, te lo comunicaremos antes, salvo que esa ley lo prohíba. Si una instrucción tuya infringe, a nuestro juicio, la normativa de protección de datos, te lo diremos inmediatamente y podremos no ejecutarla hasta que la aclares.

4. Confidencialidad (artículo 28.3, letra b)

Las personas que trabajan con nosotros y pueden acceder a los datos están obligadas por escrito a guardar secreto sobre ellos, también cuando dejen de trabajar con nosotros (artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre), han recibido formación en protección de datos y solo tratan los datos siguiendo nuestras instrucciones (artículo 29 del Reglamento (UE) 2016/679). Acceden solo a lo necesario para atender tu soporte o una incidencia de seguridad, y ese acceso queda registrado.

5. Medidas de seguridad (artículo 28.3, letra c, y artículo 32)

Aplicamos las medidas técnicas y organizativas del anexo II, adecuadas al riesgo de los datos que normalmente se guardan en una web o una aplicación de empresa, y las revisamos al menos una vez al año y cuando cambia la plataforma. Si tu tratamiento tiene un riesgo mayor (por ejemplo, muchas personas afectadas o datos sensibles), puedes pedirnos medidas adicionales: las valoramos y, si suponen un coste, te lo presupuestamos.

6. Otros encargados (artículos 28.2 y 28.4)

Nos autorizas de forma general a usar los proveedores del anexo III (subencargados) para prestar el servicio. A cada uno le imponemos por contrato las mismas obligaciones de protección de datos que asumimos contigo y seguimos respondiendo ante ti de lo que hagan. Si queremos añadir o cambiar un subencargado, te lo comunicamos por email al menos 30 días antes, con su identidad, el servicio que prestará y dónde tratará los datos; en ese plazo puedes oponerte por motivos justificados y, si no encontramos una alternativa, puedes terminar el contrato sin ningún coste y con devolución de la parte del mes no disfrutada. La lista vigente está siempre en el anexo III y en la política de privacidad.

7. Transferencias internacionales (artículos 44 a 46)

Los datos se alojan en la Unión Europea (Francia). Solo salen de la Unión Europea en los casos del anexo III, cada uno con su garantía: una decisión de adecuación de la Comisión Europea o las cláusulas contractuales tipo aprobadas por ella, con la evaluación del país de destino y las medidas adicionales que procedan. En particular, cuando pides un cambio con inteligencia artificial, el texto de tu orden, las imágenes que adjuntas y el fragmento de contenido necesario se envían al proveedor de inteligencia artificial del anexo III para ese único fin; no enviamos contraseñas ni datos de pago, y puedes pedirnos los cambios sin inteligencia artificial escribiéndonos (valoración a mano). Si un proveedor deja de ofrecer garantías suficientes, suspendemos esa transferencia y te avisamos.

8. Ayuda con los derechos de las personas y con tus obligaciones (artículo 28.3, letras e y f)

• Si una persona nos pide directamente ejercer sus derechos (acceso, rectificación, supresión, limitación, oposición, portabilidad) sobre datos que están en tus aplicaciones, le indicamos que tú eres el responsable y te lo reenviamos en un máximo de 3 días laborables, sin responderle en tu nombre.
• Te ayudamos a atender esas peticiones en lo que dependa de nosotros (por ejemplo, localizar o exportar datos de tus copias de seguridad). Tienes además las herramientas de cada aplicación para hacerlo tú.
• Te ayudamos, con la información que tengamos sobre nuestras medidas y nuestros subencargados, a cumplir tus obligaciones de seguridad, a notificar brechas, a hacer evaluaciones de impacto y, si procede, a consultar a la Agencia Española de Protección de Datos (artículos 32 a 36 del Reglamento (UE) 2016/679). Esta ayuda es gratuita salvo que requiera un trabajo extraordinario, que te presupuestaríamos antes.

9. Brechas de seguridad (artículo 33.2)

Si sufrimos una violación de la seguridad que afecte a datos tuyos, te la notificamos por email a la dirección de tu cuenta sin dilación indebida y, como máximo, en 48 horas desde que la conozcamos, con la información del anexo IV (qué ha pasado, qué datos y personas se ven afectados, las consecuencias probables y las medidas tomadas o propuestas), aunque todavía no tengamos todos los detalles, que completaremos después. Te ayudamos a documentarla y a notificarla a la autoridad y a las personas afectadas, si procede. Solo te corresponde a ti decidir y comunicar a la autoridad y a los afectados; nosotros no lo haremos en tu nombre salvo que nos lo pidas o la ley nos obligue.

10. Fin del servicio: devolución o supresión (artículo 28.3, letra g)

• Cuando termina tu contrato (o un proyecto), eliges entre que te entreguemos una copia completa de los datos (ficheros, base de datos y correo, en formatos de uso común) o que los suprimamos directamente. Te lo preguntamos en el aviso de borrado y puedes pedir la copia en cualquier momento antes del borrado.
• Si no dices nada, los suprimimos en los plazos de las condiciones generales (30 días desde la pausa), también de las copias de seguridad.
• Podemos conservar bloqueados (sin acceso salvo para jueces, fiscales y administraciones) los datos imprescindibles mientras puedan derivarse responsabilidades de nuestra relación (artículos 32 y 33 de la Ley Orgánica 3/2018, de 5 de diciembre), y los destruimos al pasar ese plazo. Si una ley te obliga a ti a conservar algo, te lo devolvemos en vez de destruirlo.
• Te certificamos la supresión por escrito si nos lo pides.

11. Información y auditorías (artículo 28.3, letra h)

Te damos la información necesaria para demostrar que cumplimos este contrato (descripción de medidas, lista de subencargados, registro de accesos a tus datos por soporte). Si necesitas más, puedes hacer una auditoría, tú o un auditor independiente obligado a confidencialidad, con un aviso previo de 30 días, una vez al año como máximo (o más si ha habido una brecha), en horario laboral, sin acceder a datos de otros clientes y a tu cargo, salvo que la auditoría revele un incumplimiento nuestro.

12. Registro de actividades y delegado

Llevamos nuestro registro de actividades de tratamiento como encargado (artículo 30.2 del Reglamento (UE) 2016/679). No tenemos obligación de nombrar delegado de protección de datos; para cualquier cuestión de este contrato escríbenos a privacidad@noexpertise.com. Estamos establecidos en España y no necesitamos representante en la Unión Europea.

13. Responsabilidad

Cada parte responde de los daños que cause a las personas afectadas por incumplir las obligaciones que le corresponden según el Reglamento (UE) 2016/679 (artículo 82). Nosotros respondemos de los daños causados por incumplir las obligaciones que el Reglamento impone a los encargados o por actuar al margen de tus instrucciones; tú respondes de la licitud de los datos que guardas, de tener base legal para tratarlos y de informar a las personas afectadas. Si una autoridad nos sanciona o un tercero nos reclama por un incumplimiento tuyo, nos mantendrás indemnes, y al revés. Entre nosotros se aplican además los límites de responsabilidad de las condiciones generales, que nunca limitan lo que la ley no permite limitar.

14. Prevalencia y duración

En materia de protección de datos, este contrato prevalece sobre cualquier otra cláusula. Dura mientras tratemos datos por tu cuenta, y las obligaciones de confidencialidad y de bloqueo siguen después. Si lo cambiamos, se aplica lo que dicen las condiciones generales sobre cambios (aviso de 30 días y derecho a terminar sin coste).

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

• Aislamiento: cada aplicación de cada cliente funciona aislada de las demás, con su propia base de datos y sus propios recursos limitados.
• Cifrado: todas las conexiones con tus aplicaciones, con el panel y con el correo van cifradas (https, certificados que se renuevan solos); las contraseñas se guardan con un cifrado que no permite recuperarlas.
• Control de acceso: acceso a los servidores solo para el personal técnico autorizado, con claves personales y registro; accesos de soporte a datos de clientes solo cuando lo pides o hay una incidencia, y registrados.
• Copias de seguridad: copia de cada proyecto antes de cada cambio y a petición, con la retención del pack contratado (Presencia: 30 días; Negocio: 90 días; Empresa: 180 días); pruebas de restauración periódicas.
• Cambios controlados: los cambios que pides se aplican desde una lista cerrada de operaciones probadas, primero en una copia de prueba, con registro de qué se cambió, cuándo y quién lo validó, y posibilidad de deshacer.
• Separación de la inteligencia artificial: los modelos solo reciben lo necesario para cada orden; nunca contraseñas ni datos de pago; los proveedores no usan los datos para entrenar.
• Seguridad del correo: SPF, DKIM y DMARC en los dominios gestionados, filtrado de correo no deseado y conexiones cifradas.
• Vigilancia y respuesta: supervisión del estado de los servicios, registro de actividad, procedimiento de respuesta a incidentes y de notificación de brechas (cláusula 9).
• Personal: compromiso de confidencialidad por escrito y formación en protección de datos.
• Supresión: borrado de proyectos y de sus copias en los plazos del contrato, con certificado a petición.

Anexo III. Subencargados autorizados

Anexo IV. Contenido del aviso de brecha de seguridad

Por email a la dirección de tu cuenta, en un máximo de 48 horas desde que la conozcamos, con: (1) qué ha ocurrido y cuándo, (2) qué proyectos, categorías de datos y número aproximado de personas afectadas, (3) las consecuencias probables, (4) las medidas tomadas y las propuestas para limitar los efectos, (5) una persona de contacto para más información. Si no tenemos toda la información, la enviamos por partes sin esperar.