Contrato de Encargado del Tratamiento

Partes

Responsable del tratamiento: el cliente que contrata WebsApps (la inmobiliaria o agencia), cuyos datos constan en el proceso de contratación («el Responsable»).

Encargado del tratamiento: Cristóbal González Pallares, NIF 73671592Q, domicilio en Calle Vicente Mascarós, n.º 5, piso 1, Siete Aguas (Valencia), correo electrónico gonzalezpallarescristobal@gmail.com, nombre comercial WebsApps («el Encargado»).

Este contrato forma parte integrante de los Términos y Condiciones de Uso y Contratación de WebsApps y se aplica exclusivamente a los tratamientos en los que el Encargado actúe por cuenta del Responsable.

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio de web inmobiliaria y CRM regulado en los Términos y Condiciones de Uso y Contratación aceptados entre las partes.

2. Descripción del tratamiento

• Naturaleza y finalidad: alojamiento, almacenamiento y gestión de los datos introducidos por el Responsable y por los usuarios de su web; herramientas de gestión comercial (CRM) que usa el Responsable: agenda, historial de comunicaciones, visitas y su reserva en línea, hojas de visita y de encargo, operaciones, valoraciones (también la estimación automática que la web muestra al propietario) e informes; firma electrónica de los documentos que el Responsable envía a firmar (envío del enlace, verificación del email del firmante con un código y registro de las evidencias de la firma); herramientas que el Responsable usa para cumplir la normativa de prevención del blanqueo de capitales (fichas de diligencia debida y registro de exámenes especiales); envío, a instancia del Responsable, de los correos electrónicos de la web (respuestas a consultas, respuestas automáticas, alertas con doble confirmación, selecciones de inmuebles, confirmaciones de visitas, documentos para firmar, confirmaciones de cuenta) y recepción de los contactos que el Responsable conecte desde portales u otras herramientas.
• Categorías de interesados: personas que contactan con la inmobiliaria, solicitan valoración o reservan visitas, clientes registrados, suscriptores de alertas, propietarios, compradores e inquilinos, firmantes de documentos, representantes y titulares reales de las sociedades clientes, y personal de la inmobiliaria con acceso al panel.
• Tipos de datos: identificativos y de contacto (nombre, email, teléfono, dirección, número de documento de identidad), firma manuscrita digitalizada (hoja de visita y documentos firmados en pantalla) y evidencias de la firma electrónica (fecha y hora, dirección IP, navegador, verificación del email con un código que se guarda cifrado y huella del documento), datos del inmueble y del encargo, datos económicos de las operaciones (precios, honorarios), preferencias de búsqueda, mensajes e historial de interacciones comerciales, consentimientos, datos de cuenta (contraseña cifrada) y datos técnicos (IP). Para la prevención del blanqueo de capitales, los que exige la Ley 10/2010: nacionalidad, residencia, fecha de nacimiento, actividad profesional, origen de los fondos y medios de pago, condición de persona con responsabilidad pública, titularidad real, nivel de riesgo y, en los exámenes especiales que registre el Responsable (solo accesibles a sus administradores), la información sobre posibles indicios, que se trata por obligación legal del Responsable. El recuento de visitas a los anuncios es anónimo (no guarda datos personales). No se tratan categorías especiales de datos (la firma se guarda como imagen y no se usa para identificar biométricamente a nadie).
• Duración: la del contrato de servicios. Al finalizar, se aplicará la cláusula 8. Los plazos de conservación que la ley impone al Responsable (por ejemplo, diez años para la documentación de prevención del blanqueo) son obligación del Responsable, que debe exportar esos registros antes de la supresión.

El Responsable se compromete a no introducir categorías especiales de datos personales. Si necesitara hacerlo, deberá comunicarlo previamente al Encargado y garantizar que existe una base jurídica adecuada y que se han adoptado las medidas necesarias.

3. Obligaciones del Encargado

El Encargado se compromete a:

a) Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable (este contrato y el uso normal del panel) y no usarlos para fines propios. b) Garantizar que las personas autorizadas a tratar los datos se han comprometido a confidencialidad. c) Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el Anexo A. d) No comunicar los datos a terceros, salvo a los subencargados autorizados (cláusula 5) o por obligación legal; en este último caso, informará previamente al Responsable salvo prohibición legal. e) Asistir al Responsable, con medidas técnicas y organizativas, para atender las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad). Si el interesado se dirige al Encargado, este lo trasladará al Responsable en 3 días hábiles. f) Notificar al Responsable, sin dilación indebida y como máximo en 48 horas, cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información disponible para que el Responsable pueda notificarla a la AEPD en el plazo de 72 horas. g) Asistir al Responsable en las evaluaciones de impacto y consultas previas, si fueran necesarias. h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso de 15 días y sin interferir en el servicio. i) Llevar un registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

4. Obligaciones del Responsable

a) Entregar los datos y tener base jurídica para su tratamiento; informar a los interesados (la web ya incluye política de privacidad y avisos, que el Responsable debe revisar y mantener actualizados). b) Gestionar los accesos de su equipo y no compartir credenciales. c) Atender los derechos de los interesados y las notificaciones a la AEPD y a los afectados cuando proceda. d) Supervisar el cumplimiento del Encargado.

5. Subencargados

El Responsable da autorización general para la contratación de subencargados, que figuran en el Anexo B. El Encargado informará al Responsable de cualquier cambio con 15 días de antelación, pudiendo este oponerse por causa justificada. El Encargado impondrá a los subencargados las mismas obligaciones de protección de datos y responderá ante el Responsable de su incumplimiento.

6. Transferencias internacionales

La base de datos de la plataforma se aloja en la Unión Europea, en Fráncfort (Alemania). Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. Solo se hará con las garantías del capítulo V del RGPD (decisión de adecuación, por ejemplo el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo). El Responsable autoriza estas transferencias en esos términos.

7. Seguridad y continuidad

El Encargado mantendrá las medidas del Anexo A y copias de seguridad. El Responsable podrá exportar todos sus datos en cualquier momento desde el panel (Configuración → Exportar mis datos).

8. Fin de la prestación

Al terminar el contrato, el Encargado, a elección del Responsable, devolverá los datos (exportación completa en CSV/JSON) y suprimirá las copias en un plazo de 30 días desde la finalización, salvo obligación legal de conservarlos. Las copias de seguridad se eliminarán o sobrescribirán conforme a los ciclos técnicos habituales de respaldo.

Cuando exista una obligación legal de conservación, los datos podrán mantenerse debidamente bloqueados durante el plazo legal correspondiente.

9. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o el RGPD, conforme al artículo 82 del RGPD y a las limitaciones de los Términos y Condiciones en lo que la ley permita.

10. Ley aplicable y aceptación

Este contrato se rige por la ley española, con sumisión a los tribunales de Valencia, salvo que la ley imponga otro fuero.

El Responsable acepta este contrato mediante la casilla correspondiente durante el proceso de contratación, conjuntamente con los Términos y Condiciones de WebsApps. La aceptación electrónica, junto con la fecha, hora, plan contratado y datos de la operación, constituye prueba de la aceptación y obliga a ambas partes respecto de los tratamientos incluidos en su ámbito.

Anexo A — Medidas de seguridad

Resumen técnico de las medidas de la plataforma:

• Documentos firmados electrónicamente: el contenido se congela al enviarlo y se guarda su huella (SHA-256); ni el contenido ni las firmas pueden modificarse después (bloqueo en la base de datos). Los enlaces de firma son aleatorios y privados, y los códigos de verificación se guardan cifrados y caducan a los 15 minutos.
• Fichas de prevención del blanqueo: una vez completadas no pueden modificarse ni borrarse; los exámenes especiales solo los ven los administradores del Responsable.
• Comunicaciones cifradas (HTTPS/TLS) y cabeceras de seguridad (HSTS, X-Content-Type-Options, etc.).
• Autenticación de usuarios gestionada por Supabase Auth; contraseñas almacenadas con hash seguro; sesiones con renovación de tokens.
• Aislamiento por inmobiliaria (multi-tenant) mediante políticas de seguridad a nivel de fila (RLS) en la base de datos.
• Control de acceso por roles (administrador, agente, cliente) y comprobación de permisos en el servidor en cada acción.
• La clave de servicio de la base de datos nunca se expone al navegador.
• Copias de seguridad de la base de datos del proveedor de alojamiento.
• Protección antispam en formularios (campo trampa) y validación de datos de entrada.
• Los datos pueden exportarse y suprimirse bajo petición.

Anexo B — Subencargados autorizados

Servicios que activa el Responsable: si el Responsable activa en su web servicios de terceros, como Google Analytics o el Píxel de Meta, lo hace bajo su exclusiva responsabilidad. Esos proveedores actúan por cuenta del Responsable (o como responsables independientes), no como subencargados del Encargado, y corresponde al Responsable informar a los interesados y recabar los consentimientos que exija la normativa.

Traducción: la web ofrece un enlace opcional a Google Translate. Solo si el visitante pulsa el botón, su navegador abre el servicio de Google, que actúa como responsable independiente con su propia política de privacidad; la plataforma no envía datos personales a Google.

Mapas: los mapas de la web se cargan desde OpenStreetMap, que recibe la dirección IP del visitante al mostrarlos.

El Encargado mantendrá actualizada esta relación y comunicará los cambios conforme a la cláusula 5.