Contrato de encargo del tratamiento

1. Partes y objeto

El estudio Cliente (responsable) encarga a [RAZÓN SOCIAL] (en adelante, «Croquilia» o «el Prestador»), con NIF [NIF/CIF] y domicilio en [DOMICILIO SOCIAL COMPLETO] (encargado) el tratamiento de los datos personales necesarios para prestar el servicio Croquilia, según las Condiciones del servicio, de las que este contrato forma parte.

2. Datos y tratamientos

• Interesados: clientes y contactos del estudio, colaboradores, proveedores, usuarios del estudio y personas que aparezcan en documentos o fotos de obra.
• Datos: identificativos y de contacto, direcciones de obra, datos de proyectos y presupuestos, facturas, documentos, imágenes, mensajes y aprobaciones. El servicio no está pensado para categorías especiales de datos; el Cliente no debe subirlas salvo que sea imprescindible y bajo su responsabilidad.
• Tratamientos: alojamiento, organización, consulta, generación de documentos (también mediante IA), envío de notificaciones, copia de seguridad, exportación y supresión.

3. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente (las que da al usar el servicio y este contrato).
• Garantizar la confidencialidad del personal autorizado.
• Aplicar las medidas de seguridad del anexo.
• No acceder al contenido del Cliente salvo para prestar soporte con su autorización expresa (registrada y revocable) o por obligación legal.
• Ayudar al Cliente a atender los derechos de los interesados (exportación, rectificación y supresión desde la propia aplicación).
• Notificar al Cliente cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que se tenga conocimiento, con la información disponible.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y a cargo del Cliente.

4. Subencargados

El Cliente autoriza a los siguientes subencargados:

• Google Cloud EMEA Ltd.: Alojamiento, base de datos, almacenamiento de ficheros y copias de seguridad. Ubicación: Unión Europea (región de Google Cloud en la UE).
• Google Cloud (Vertex AI) — modelos Claude de Anthropic: Funciones de IA (borradores de informes, presupuestos, memorias, asistente). Ubicación: Unión Europea; sin uso de los datos para entrenar modelos.
• [Proveedor de email transaccional]: Envío de emails del servicio (invitaciones, avisos, enlaces de acceso). Ubicación: [UE].
• Stripe Payments Europe, Ltd.: Cobro de las suscripciones (solo datos de facturación del estudio). Ubicación: Unión Europea / transferencias con cláusulas contractuales tipo.

El encargado informará con 30 días de antelación de cualquier cambio de subencargados. El Cliente podrá oponerse y, si no hay alternativa, cancelar el servicio. Los subencargados asumen obligaciones equivalentes a las de este contrato.

5. Fin del encargo

• El Cliente puede exportar todos sus datos en cualquier momento.
• Tras la baja confirmada y un plazo de gracia de 30 días, el encargado suprime los datos y los ficheros, también de las copias de seguridad cuando caduquen (como máximo 35 días después).
• Excepción: las facturas emitidas y los registros de facturación se conservan bloqueados, sin otro uso, durante el plazo legal de conservación (art. 30 del Código de Comercio y normativa tributaria), junto con los datos mínimos que contienen. Pasado ese plazo, se suprimen.

Anexo: medidas de seguridad

• Alojamiento en centros de datos de la UE con certificaciones ISO 27001 y SOC 2.
• Aislamiento de los datos de cada estudio en la base de datos (seguridad a nivel de fila).
• Cifrado en tránsito (TLS) y en reposo. Secretos de integraciones cifrados.
• Verificación en dos pasos, obligatoria para el personal de la plataforma.
• Registro de auditoría inmutable de las acciones del estudio y de la plataforma.
• Copias de seguridad diarias con recuperación a un momento dado.
• Validación del contenido de los ficheros subidos y protección de las integraciones salientes.

Versión 2026-10-19.