Contrato de encargo del tratamiento de datos personales

Anexo I a las Condiciones generales de NotaFiel · Versión 1.0 · 19 de septiembre de 2026

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes

• Responsable del tratamiento: el Usuario de NotaFiel identificado en su cuenta (el profesional, estudio o empresa que contrata el Servicio), en adelante el «Responsable».
• Encargado del tratamiento: Juan S. luijendijk Aracama, titular del servicio NotaFiel, contacto [email protected], en adelante el «Encargado» o «NotaFiel». NotaFiel se encuentra en fase de prueba gratuita (piloto). Los datos fiscales (NIF/CIF) y el domicilio a efectos de notificaciones se publicarán en esta página antes del inicio de la actividad comercial.

Este contrato se acepta electrónicamente junto con las Condiciones generales y queda vinculado a la cuenta del Responsable. NotaFiel conserva la versión aceptada y la fecha.

2. Objeto

El Responsable encarga a NotaFiel el tratamiento de los datos personales contenidos en los Documentos-ejemplo, las Notas de proyecto y los Documentos generados que el Responsable aporta o produce a través del Servicio, con la única finalidad de prestar el Servicio descrito en las Condiciones generales: derivar plantillas y perfiles de estilo, extraer valores, redactar textos, generar documentos, almacenarlos y ponerlos a disposición del Responsable.

3. Duración

Este contrato estará vigente mientras lo esté la relación contractual entre el Responsable y NotaFiel. A su terminación se aplicará lo dispuesto en la cláusula 10.

4. Naturaleza y descripción del tratamiento

5. Obligaciones del Encargado (NotaFiel)

NotaFiel se obliga a:

a) Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se entienden dadas mediante el uso del Servicio (subir archivos, generar, descargar, borrar) y las Condiciones generales. Si NotaFiel considera que una instrucción infringe la normativa, informará inmediatamente al Responsable.

b) No utilizar los datos para fines propios ni para entrenar modelos de inteligencia artificial, propios o de terceros, ni cederlos a terceros salvo a los subencargados autorizados.

c) Garantizar la confidencialidad: solo accederán a los datos las personas autorizadas por NotaFiel que lo necesiten para prestar el Servicio, sujetas a un deber de secreto que subsiste tras la finalización de su relación con NotaFiel. En la práctica, el tratamiento es automatizado; el acceso humano se limita a la resolución de incidencias a petición del Responsable o a la investigación de usos abusivos.

d) Aplicar las medidas de seguridad del artículo 32 RGPD descritas en la cláusula 7.

e) Asistir al Responsable en la atención de las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad) que reciba de los interesados, facilitándole en un plazo máximo de 10 días la información o las acciones necesarias. Si un interesado se dirige directamente a NotaFiel, este lo comunicará al Responsable sin dilación y no responderá por su cuenta salvo instrucción expresa.

f) Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas (arts. 32 a 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

g) Notificar al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos que trate por su cuenta, facilitando la información del artículo 33.3 RGPD disponible en ese momento y completándola a medida que la obtenga.

h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por él, previo aviso razonable de al menos 15 días, en horario laboral, sin perturbar la actividad y sujetas a confidencialidad. NotaFiel podrá cumplir esta obligación facilitando informes o certificaciones de sus proveedores.

i) Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD).

j) No designar Delegado de Protección de Datos por no estar obligado, sin perjuicio de indicar un contacto de privacidad: [email protected].

6. Obligaciones del Responsable (el Usuario)

El Responsable se obliga a:

a) Garantizar que dispone de base legal para tratar los datos personales que aporta y para encargar su tratamiento a NotaFiel, y que ha facilitado a los interesados la información exigida por los artículos 13 y 14 RGPD, incluyendo, cuando proceda, la mención a NotaFiel como encargado.

b) Aportar únicamente los datos necesarios para generar cada documento, evitando en especial las categorías especiales de datos.

c) Realizar, cuando proceda, la evaluación de impacto y la consulta previa a la autoridad de control.

d) Velar por el cumplimiento de este contrato y supervisar el tratamiento.

e) Comunicar a NotaFiel cualquier solicitud de derechos o incidencia que afecte a los datos objeto de este contrato y en la que precise su asistencia.

7. Medidas de seguridad

NotaFiel aplica, y se compromete a mantener y actualizar, al menos las siguientes medidas:

• Cifrado en tránsito: todas las comunicaciones entre el navegador y el Servicio, y entre el Servicio y sus subencargados, se realizan mediante TLS.
• Control de acceso: autenticación por contraseña (almacenada solo como hash con sal); un espacio de trabajo por cliente, aislado lógicamente del resto; el titular del espacio controla quién accede.
• Minimización y supresión automática: los archivos de origen (notas, fotos, PDF, audio/vídeo) se eliminan automáticamente 30 días después de la última actividad del trabajo; los trabajos abandonados se eliminan íntegramente; el borrado de un documento por el Responsable es inmediato y permanente.
• Infraestructura: servidor en la Unión Europea en un proveedor certificado ISO 27001/27701, con actualizaciones de seguridad automáticas, cortafuegos y acceso administrativo restringido y protegido por clave; proxy de seguridad frente a ataques de denegación de servicio.
• Copias de seguridad: periódicas, cifradas y almacenadas en un proveedor distinto del de alojamiento, con ciclo de retención que garantiza que un dato suprimido desaparece de las copias en un máximo de 30 días.
• Registro: registros técnicos de acceso y de operaciones, conservados un máximo de 12 meses.
• Proveedores: contratos de encargo con todos los subencargados y revisión de sus garantías.
• Personal: acceso humano a los datos limitado a lo imprescindible y sujeto a deber de secreto.

NotaFiel podrá modificar estas medidas siempre que no reduzca el nivel de seguridad garantizado.

8. Subencargados y transferencias internacionales

8.1. El Responsable autoriza de forma general a NotaFiel a recurrir a los siguientes subencargados, que tratan los datos por su cuenta y con los que NotaFiel ha suscrito contratos que imponen las mismas obligaciones de protección de datos que este contrato:

Los datos de facturación del Responsable (no los datos objeto de este contrato) los trata Stripe conforme a la Política de privacidad.

8.2. NotaFiel informará al Responsable con al menos 30 días de antelación de cualquier incorporación o sustitución de subencargados, mediante correo electrónico y actualización de esta lista. El Responsable podrá oponerse por motivos razonables dentro de ese plazo; si no se alcanza una solución, podrá resolver el contrato sin penalización, con devolución de la parte proporcional del periodo pagado.

8.3. NotaFiel responderá frente al Responsable del cumplimiento de las obligaciones de sus subencargados.

8.4. Las transferencias a terceros países se realizan al amparo de una decisión de adecuación de la Comisión Europea o de las Cláusulas Contractuales Tipo, con las medidas complementarias necesarias. NotaFiel facilitará copia de las garantías a solicitud del Responsable.

9. Confidencialidad

Las partes tratarán como confidencial toda información a la que accedan en ejecución de este contrato. Esta obligación subsiste indefinidamente tras su terminación.

10. Devolución y supresión al finalizar

A la terminación de la relación contractual, y una vez transcurrido el plazo de 30 días que las Condiciones generales conceden al Responsable para descargar sus Documentos generados (que constituye la devolución de los datos en formato de uso común), NotaFiel suprimirá todos los datos personales objeto de este contrato, incluidas las copias existentes, en un plazo máximo de 30 días adicionales, salvo que una norma exija su conservación, en cuyo caso los mantendrá bloqueados y solo a disposición de las autoridades competentes durante el plazo legal. A petición del Responsable, NotaFiel certificará la supresión por escrito.

11. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que este contrato y el RGPD le imponen, en los términos del artículo 82 RGPD. En las relaciones entre las partes, la responsabilidad de NotaFiel queda sujeta a los límites de la cláusula 16 de las Condiciones generales, que no se aplicarán en caso de dolo o culpa grave.

12. Ley y jurisdicción

Este contrato se rige por la ley española y le es aplicable la cláusula 20 de las Condiciones generales.

Texto pendiente de revisión legal: los datos marcados en cursiva se completan antes de la publicación.