Contrato de encargado del tratamiento

Modelo de contrato conforme al artículo 28 del RGPD. Se aplica cuando CatalogPulse trata datos personales por cuenta de un cliente. Para necesidades distintas (p. ej. plan Agencia), escríbenos y lo adaptamos.

1. Partes y objeto

Responsable: el cliente que contrata CatalogPulse. Encargado: Five Is Blue, S.L. (NIF/CIF B66269903). El encargado tratará datos personales por cuenta del responsable únicamente para prestarle el servicio descrito en las Condiciones del servicio. Este contrato forma parte de ellas.

2. Naturaleza de los datos

El servicio está diseñado para trabajar con datos de catálogo y cifras agregadas de ventas (incluidos el número de clientes nuevos y de pedidos pendientes de enviar, sin identificarlos), y no accede a datos identificativos de los clientes finales del responsable (nombre, email, teléfono, dirección). En la medida en que información personal llegara a formar parte de los datos conectados, el tratamiento tendría esta naturaleza:

Duración: la de la prestación del servicio.
Operaciones: lectura, consulta, agregación, almacenamiento temporal en memoria y en caché, y supresión.
Categorías de interesados y datos: las que el responsable decida conectar; el servicio no las requiere.

3. Obligaciones del encargado

Tratar los datos solo siguiendo instrucciones documentadas del responsable, incluidas estas condiciones.
Garantizar que las personas autorizadas se han comprometido a la confidencialidad.
Aplicar medidas de seguridad adecuadas (art. 32 RGPD), entre ellas: cifrado en tránsito (HTTPS), credenciales de la tienda cifradas en reposo, acceso de solo lectura a la tienda, aislamiento entre cuentas, control de intentos de acceso y copias de seguridad.
Asistir al responsable para atender las solicitudes de los interesados y en el cumplimiento de los artículos 32 a 36 del RGPD.
Notificar al responsable cualquier violación de seguridad de los datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento de ella.
Al terminar el servicio, suprimir los datos en un máximo de 30 días, salvo obligación legal de conservarlos, o devolverlos si el responsable lo solicita.
Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin interferir en la operativa.
Informar al responsable si considera que una instrucción infringe la normativa de protección de datos.

4. Subencargados

El responsable autoriza con carácter general la contratación de los siguientes subencargados. Informaremos de cualquier alta o cambio con antelación razonable, y el responsable podrá oponerse; si no hay acuerdo, podrá cancelar el servicio. Los subencargados quedan sujetos a obligaciones equivalentes a las de este contrato.

Subencargado	Función	Ubicación
Clouding.io	Alojamiento del servidor, la aplicación, la base de datos y el correo	España (Barcelona, UE)
Stripe Payments Europe, Ltd.	Cobro de las suscripciones (cuando se active el pago online)	Irlanda (UE)
Anthropic, PBC	Funciones de inteligencia artificial (valoración de productos y auditoría de fichas)	Estados Unidos (transferencia internacional con garantías adecuadas)

5. Transferencias internacionales

Las transferencias fuera del Espacio Económico Europeo solo se realizan con garantías adecuadas conforme al capítulo V del RGPD (por ejemplo, cláusulas contractuales tipo de la Comisión Europea).

6. Obligaciones del responsable

El responsable garantiza que tiene base legítima para el tratamiento y para conectar su tienda, y que ha informado a los interesados cuando proceda. Se compromete a no conectar categorías especiales de datos.

7. Contacto

Para ejercer derechos, notificar incidencias o solicitar una versión firmada o adaptada de este contrato: info@catalogpulse.ai.