Contrato de Encargo del Tratamiento

Anexo de las Condiciones Generales · vigente desde el 2026-10-06 · traducción al español; prevalece la versión checa

El presente contrato, celebrado con arreglo al art. 28 del Reglamento (UE) 2016/679 («RGPD»), se suscribe entre la Organización que utiliza la plataforma Negotiq (el «Responsable») y SynQflows, s.r.o., con número de identificación 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (el «Encargado»), y forma parte de las Condiciones Generales. Se celebra mediante la aceptación de las Condiciones Generales y permanece en vigor mientras dure el Contrato. Los términos escritos con mayúscula inicial tienen el significado que se les atribuye en las Condiciones Generales.

1. Objeto y alcance del tratamiento

2. Instrucciones del Responsable

1. El Encargado trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias a terceros países. Las instrucciones se imparten mediante las Condiciones Generales, el presente contrato y la configuración de la Plataforma; al configurar una Integración (Dirección de Recepción, conexión ERP, Webhook, Clave API para un agente de terceros), el Responsable imparte la instrucción de tratar los datos en la medida en que la Integración lo requiera. Las demás instrucciones las imparte el Administrador de la Organización en forma de texto.
2. Si el Encargado considera que una instrucción infringe el RGPD u otras normas de protección de datos, informará de ello inmediatamente al Responsable y no estará obligado a ejecutar la instrucción hasta que el Responsable se pronuncie.
3. Si el Derecho de la Unión o de un Estado miembro obliga al Encargado a tratar los datos, este informará previamente al Responsable, salvo que dicho Derecho lo prohíba (art. 28.3.a) del RGPD).
4. El Encargado no trata los datos personales del Responsable para fines propios. Las estadísticas anonimizadas y agregadas (artículo 11, apartado 2, de las Condiciones Generales) no contienen datos personales. Las entradas de la Cadena de Auditoría, los Justificantes y los Registros AP2 los trata el Encargado como responsable independiente con arreglo a la Política de privacidad, y no con arreglo al presente contrato.
5. El Responsable responde de la licitud del tratamiento, de informar a los interesados y de estar facultado para introducir los datos personales en la Plataforma y para conceder acceso a los sistemas conectados.

3. Obligaciones del Encargado

1. El Encargado garantiza que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal.
2. El Encargado aplica las medidas técnicas y organizativas conforme al art. 32 del RGPD que se recogen en el Anexo 1. Podrá modificarlas siempre que no se reduzca el nivel general de seguridad.
3. El Encargado asiste al Responsable en la atención de las solicitudes de los interesados, principalmente mediante las herramientas de la Plataforma (exportación de datos en formato JSON, rectificación, eliminación de una cuenta de Usuario o de la Organización). Remitirá al Responsable sin dilación indebida cualquier solicitud que reciba directamente de un interesado y no la contestará por sí mismo en cuanto al fondo.
4. El Encargado asiste al Responsable en el cumplimiento de los arts. 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

4. Subencargados del tratamiento

1. El Responsable otorga al Encargado una autorización general para recurrir a subencargados del tratamiento. Lista actual:

   Subencargado	Actividad	Ubicación, garantías
   Railway Corporation	alojamiento de la aplicación y de la base de datos, copias de seguridad	EE. UU. / UE; cláusulas contractuales tipo (módulo 3) o Marco de Privacidad de Datos UE-EE. UU.
   Anthropic, PBC	conversión de listas de precios no estructuradas en tablas (únicamente cuando se utiliza la función)	EE. UU.; cláusulas contractuales tipo (módulo 3); sin entrenamiento de modelos con los datos
   proveedor de recepción de correo electrónico (el proveedor concreto se añadirá a esta lista antes del lanzamiento de la función)	recepción de los mensajes enviados a las Direcciones de Recepción y su transmisión a la Plataforma	se indicará junto con el proveedor; transferencias fuera del EEE únicamente con garantías conforme al artículo 7
   proveedor de servicio de correo electrónico (SMTP)	envío de facturas, recordatorios y mensajes de servicio (dirección del destinatario y contenido del mensaje)	UE

2. El Encargado informará al Responsable de cualquier incorporación o sustitución prevista de un subencargado con al menos 14 días de antelación, en la Plataforma o por correo electrónico al Administrador de la Organización. Dentro de ese plazo, el Responsable podrá oponerse por motivos razonables relacionados con la protección de datos. Las partes tratarán de encontrar una solución; si no la encuentran, el Responsable podrá resolver el Contrato sin penalización con efectos anteriores a la incorporación del subencargado.
3. El Encargado impone contractualmente a los subencargados las mismas obligaciones de protección de datos que le incumben con arreglo al presente contrato, incluidas garantías suficientes de aplicación de medidas técnicas y organizativas, y sigue siendo responsable ante el Responsable del cumplimiento de las obligaciones de aquellos (art. 28.4 del RGPD).
4. Los sistemas elegidos por el propio Responsable (sistemas ERP conectados, feeds de productos, puntos de destino de Webhooks y agentes de terceros) no son subencargados del Encargado; el Encargado les transmite datos por instrucción del Responsable.

5. Violación de la seguridad de los datos personales

1. El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en el plazo de 48 horas desde que tenga conocimiento de ella, por correo electrónico al Administrador de la Organización y en la Plataforma.
2. La notificación contendrá la información prevista en el art. 33.3 del RGPD de que disponga el Encargado (naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, punto de contacto, consecuencias probables y medidas adoptadas o propuestas); la información que aún no se conozca se facilitará de manera gradual.
3. El Encargado adoptará sin demora medidas para poner remedio a la violación y mitigar sus efectos, cooperará con el Responsable y documentará la violación. La notificación no constituye un reconocimiento de responsabilidad.

6. Información y auditorías

1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD, principalmente a través del documento Seguridad y confianza y de las respuestas a un cuestionario de seguridad razonable.
2. Si dicha información no fuera suficiente, el Encargado permitirá una auditoría por parte del Responsable o de un auditor independiente sujeto a confidencialidad que no sea competidor del Encargado, con un preaviso de al menos 30 días, como máximo una vez por año natural (salvo en caso de violación de la seguridad o a petición de una autoridad de control), a costa del Responsable, sin acceso a los datos de otros clientes y sin comprometer su seguridad.
3. Quedan a salvo los poderes de investigación de las autoridades de control.

7. Transferencias fuera del EEE

1. Las transferencias a terceros países solo se realizan con garantías conforme al capítulo V del RGPD.
2. Cuando el Encargado transfiera datos personales a un subencargado situado en un tercer país respecto del cual no exista una decisión de adecuación (o cuando el destinatario no esté certificado conforme al Marco de Privacidad de Datos UE-EE. UU.), celebrará con él las cláusulas contractuales tipo conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 3 (transferencia de encargado a encargado), evaluará el entorno jurídico del país del destinatario y adoptará medidas complementarias (en particular, cifrado en tránsito y en reposo y minimización de datos).
3. El Responsable autoriza por el presente dichas transferencias. El Encargado facilitará al Responsable, previa solicitud, una copia de las garantías; podrá ocultar en ella las condiciones comerciales.

8. Supresión y devolución de los datos

1. Mientras dure el Contrato, el Responsable podrá exportar en cualquier momento los datos de la Organización en formato JSON y suprimir datos por sí mismo.
2. Tras la extinción del Contrato, el Encargado, a elección del Responsable, devolverá (exportación) o suprimirá los datos personales, incluidas sus copias, en un plazo de 30 días, salvo que la ley exija su conservación ulterior. Las copias de seguridad se sobrescriben en el ciclo ordinario en un plazo máximo de 90 días; hasta entonces están protegidas y no se utilizan.
3. Los mensajes recibidos en la Dirección de Recepción se suprimen automáticamente transcurridos 90 días. El Encargado dejará de utilizar las credenciales de acceso a un sistema conectado inmediatamente después de que se elimine la conexión y las suprimirá a más tardar conforme al apartado 2.
4. El presente artículo no se aplica a los registros a que se refieren las frases segunda y tercera del artículo 2, apartado 4.

9. Responsabilidad, prelación y legislación aplicable

La responsabilidad de las partes se rige por el art. 82 del RGPD y por las Condiciones Generales, incluidas sus limitaciones en la medida en que la ley lo permita. En materia de protección de datos personales, el presente contrato prevalece sobre las Condiciones Generales. El presente contrato se rige por el Derecho checo.

Anexo 1 — Medidas técnicas y organizativas

• Cifrado y seudonimización: cifrado de todas las comunicaciones (TLS) y cifrado de los datos almacenados en el proveedor de alojamiento; credenciales de acceso a sistemas conectados y secretos de firma de Webhooks cifrados con AES-256-GCM; contraseñas en forma de hash Argon2id; códigos de recuperación, sesiones y claves API almacenados únicamente en forma de hash; seudonimización de las entradas de la Cadena de Auditoría tras la eliminación de una cuenta.
• Control de acceso: acceso basado en roles gestionados por el Administrador de la Organización; separación de los datos de las distintas Organizaciones impuesta a nivel de aplicación; archivos adjuntos únicamente para personas autorizadas y siempre como descarga; acceso al entorno de producción únicamente para el personal autorizado del Encargado sujeto a confidencialidad.
• Protección de cuentas y sesiones: cookies HttpOnly, Secure y SameSite; comprobación del origen (Origin) en las solicitudes que modifican datos; bloqueo temporal de la cuenta tras reiterados intentos fallidos de inicio de sesión; el cambio de contraseña pone fin a todas las sesiones; límites de frecuencia de solicitudes en la API.
• Integridad y verificabilidad: Cadena de Auditoría con entradas vinculadas criptográficamente, cuya modificación o supresión impide un disparador (trigger) de la base de datos; firmas Ed25519 de los Mandatos, los Justificantes y los Registros AP2; Webhooks firmados con HMAC-SHA256.
• Disponibilidad y recuperación: copias de seguridad periódicas de la base de datos; sobrescritura de las copias de seguridad en un plazo máximo de 90 días.
• Minimización y supresión: mensajes en la Dirección de Recepción, 90 días; registros operativos, como máximo 90 días; para los proveedores potenciales, únicamente contactos genéricos de empresas; importación automática de correos electrónicos únicamente de Remitentes Verificados.
• Desarrollo seguro: pruebas automatizadas de los invariantes de seguridad (separación de las Organizaciones, límites de los Agentes, confidencialidad de los límites) en cada cambio; dependencias fijadas en versiones exactas; los Agentes no interpretan el contenido de los archivos como instrucciones.
• Incidentes y revisión: procedimiento de gestión y notificación de incidentes conforme al artículo 5; canal para la comunicación de vulnerabilidades; revisión periódica de la eficacia de las medidas.

Encontrará una descripción más detallada en el documento Seguridad y confianza.