Contrato de encargado del tratamiento

Servicio Chatbot IA de Garber Web Solutions S.L. · Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD)

Partes

Responsable del tratamiento (el «Cliente»): [por completar], con NIF [por completar] y domicilio en [por completar].

Encargado del tratamiento (el «Proveedor»): Garber Web Solutions S.L., con NIF B42704130 y domicilio en Alicante, España, representada por Jesús García Berenguer. Contacto para asuntos de protección de datos: hola@garberlabs.es.

Este contrato forma parte inseparable de las condiciones del servicio Chatbot IA (el «Servicio») contratado por el Cliente a través de la plataforma del Proveedor.

1. Objeto

El Proveedor presta al Cliente un servicio de asistente conversacional (chatbot) que el Cliente instala en su sitio web. Para prestarlo, el Proveedor trata por cuenta del Cliente los datos personales de las personas que conversan con el chatbot (los «Visitantes»). El Cliente decide los fines y medios del tratamiento y es, por tanto, Responsable; el Proveedor actúa como Encargado y trata los datos únicamente conforme a este contrato y a las instrucciones documentadas del Cliente.

2. Datos tratados

Categorías de interesados: Visitantes del sitio web del Cliente que interactúan con el chatbot; personas de contacto del Cliente que gestionan el panel.

Categorías de datos:

• Datos identificativos y de contacto que el Visitante facilita voluntariamente en la conversación: nombre, correo electrónico, teléfono, empresa y motivo de contacto.
• Contenido íntegro de las conversaciones mantenidas con el chatbot.
• Datos técnicos de la sesión: identificador de sesión, dirección IP anonimizada mediante hash irreversible, tipo de navegador, fecha y hora.
• Datos de los usuarios del panel del Cliente: nombre, correo electrónico y actividad en el panel.

Datos de categorías especiales: el Servicio no está diseñado para tratar datos de salud, ideología, religión, orientación sexual, origen étnico, datos biométricos o genéticos ni datos de menores de 14 años. El Cliente se obliga a configurar las instrucciones del chatbot para que no los solicite y a no destinar el Servicio a ese fin. Si un Visitante los aporta espontáneamente, el Cliente puede eliminar la conversación desde el panel o solicitarlo al Proveedor.

Naturaleza y finalidad del tratamiento: recogida, almacenamiento, consulta, comunicación al Cliente y supresión de los datos, con la finalidad exclusiva de atender las consultas de los Visitantes, captar solicitudes de contacto para el Cliente y permitir al Cliente su gestión desde el panel.

3. Duración

Este contrato entra en vigor con su aceptación electrónica y permanece vigente mientras el Cliente mantenga una cuenta activa en el Servicio, incluido el periodo de prueba. Las obligaciones de confidencialidad subsisten tras su finalización.

4. Obligaciones del Proveedor (Encargado)

El Proveedor se obliga a:

1. Tratar los datos solo según las instrucciones del Cliente, documentadas en este contrato y en la configuración que el Cliente establece en el panel. Si considera que una instrucción infringe la normativa, informará al Cliente de inmediato.
2. No utilizar los datos para fines propios ni comunicarlos a terceros salvo a los subencargados autorizados en la cláusula 6 o por obligación legal, en cuyo caso informará al Cliente antes de la comunicación siempre que la ley lo permita.
3. Garantizar la confidencialidad: las personas autorizadas a tratar los datos se han comprometido por escrito a respetar la confidencialidad y han recibido la formación necesaria.
4. Aplicar las medidas de seguridad del Anexo I y las que resulten exigibles conforme al artículo 32 del RGPD, revisándolas periódicamente.
5. Asistir al Cliente en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Cuando un Visitante ejerza un derecho directamente ante el Proveedor, este lo comunicará al Cliente en un plazo máximo de 3 días laborables. El panel permite al Cliente consultar, exportar y eliminar conversaciones y contactos por sí mismo.
6. Notificar al Cliente las violaciones de seguridad de los datos personales de las que tenga conocimiento sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas, facilitando la información disponible sobre la naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.
7. Apoyar al Cliente en la realización de evaluaciones de impacto y consultas previas a la autoridad de control cuando proceda, en lo relativo al Servicio.
8. Llevar un registro de las actividades de tratamiento efectuadas por cuenta del Cliente con el contenido exigido por el artículo 30.2 del RGPD.
9. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, con un preaviso mínimo de 15 días, una vez al año como máximo salvo incidente de seguridad o requerimiento de la autoridad de control, y a cargo del Cliente.
10. Destino de los datos al finalizar el Servicio: en los 30 días siguientes a la baja, el Proveedor suprimirá las conversaciones, contactos y datos de configuración del Cliente, salvo que este solicite antes su devolución en formato de uso común (CSV o JSON), que el Proveedor facilitará. Las copias de seguridad se eliminan por rotación automática en un plazo adicional de 30 días. El Proveedor conservará únicamente los datos necesarios para el cumplimiento de obligaciones legales (facturación) y la prueba de la relación contractual, debidamente bloqueados.

5. Obligaciones del Cliente (Responsable)

El Cliente se obliga a:

1. Disponer de una base jurídica válida para el tratamiento de los datos de los Visitantes y facilitarles la información exigida por los artículos 13 y 14 del RGPD. El Proveedor pone a disposición del Cliente un texto orientativo para su política de privacidad en la guía de inicio del panel.
2. Configurar el chatbot y las instrucciones del asistente conforme a la normativa, en particular no solicitar datos de categorías especiales ni datos de menores.
3. Incluir en «Orígenes permitidos» únicamente los dominios de sitios web de su titularidad.
4. Custodiar las credenciales de acceso al panel y comunicar al Proveedor cualquier acceso no autorizado.
5. Atender los derechos de los Visitantes que le sean dirigidos y las consultas de la autoridad de control.
6. Si opta por aportar sus propias credenciales del proveedor de inteligencia artificial, contratarlo directamente y garantizar que cuenta con las condiciones de tratamiento adecuadas con dicho proveedor. Ver cláusula 7.

6. Subencargados

El Cliente autoriza con carácter general al Proveedor a recurrir a los siguientes subencargados, que tratan los datos bajo obligaciones equivalentes a las de este contrato:

Subencargado	Servicio	Datos afectados	Ubicación
Cloudi NextGen S.L. (Clouding.io), NIF B66356528, Ronda General Mitre 25, 08017 Barcelona	Alojamiento del servidor y de la base de datos, copias de seguridad	Todos los datos del Servicio	España (Unión Europea)
Anthropic PBC	Generación de las respuestas del chatbot cuando el Servicio se presta con créditos del Proveedor	Contenido de las conversaciones	Estados Unidos
OpenAI, L.L.C.	Íd., cuando el modelo utilizado sea de este proveedor	Contenido de las conversaciones	Estados Unidos
Google Ireland Ltd.	Íd., cuando el modelo utilizado sea de este proveedor	Contenido de las conversaciones	Irlanda y Estados Unidos

Los proveedores de inteligencia artificial solo intervienen como subencargados cuando el Servicio se presta con créditos del Proveedor (cláusula 7). Si el Cliente aporta sus propias credenciales, no lo son.

Los avisos por correo electrónico al Cliente (nuevo contacto, incidencias) se envían a través del servicio de correo del Proveedor, que puede incluir el nombre, el correo y el mensaje del Visitante. La lista actualizada de subencargados se publica en la política de privacidad del Proveedor, en garberlabs.es/privacidad.

El Proveedor comunicará al Cliente cualquier cambio en la lista de subencargados con al menos 15 días de antelación por correo electrónico y en el panel. El Cliente podrá oponerse por motivos razonables; en tal caso, las partes buscarán una solución y, de no alcanzarse, el Cliente podrá resolver el Servicio sin penalización.

Stripe Payments Europe, Ltd. procesa los pagos y los datos de facturación del propio Cliente. Respecto de esos datos, el Proveedor actúa como Responsable y Stripe como su encargado; no se trata de datos de Visitantes.

7. Proveedor de inteligencia artificial

El chatbot genera sus respuestas mediante un modelo de lenguaje de un proveedor externo. Para prestar el Servicio, el contenido de cada conversación se envía a dicho proveedor. Hay dos formas de contratarlo y las consecuencias en materia de protección de datos son distintas:

(a) Con créditos del Proveedor (modalidad por defecto). El Proveedor pone la tecnología y el Cliente consume créditos. En esta modalidad el proveedor de inteligencia artificial actúa como subencargado del Proveedor, figura en la tabla de la cláusula 6 y queda sujeto a las obligaciones de este contrato. El Proveedor mantiene con dichos proveedores condiciones de tratamiento por API que excluyen el uso del contenido para entrenar modelos.

(b) Con credenciales propias del Cliente. Si el Cliente aporta su propia clave de API, el proveedor de inteligencia artificial actúa como encargado del tratamiento del Cliente, en virtud de las condiciones que este acepta al obtener dichas credenciales, y no como subencargado del Proveedor. Corresponde al Cliente verificar esas condiciones. Esta modalidad está disponible a petición del Cliente.

El Proveedor informará al Cliente, con la antelación prevista en la cláusula 6, de cualquier cambio en los proveedores de inteligencia artificial que utilice en la modalidad (a).

8. Transferencias internacionales

El alojamiento y el almacenamiento de los datos se realizan en España.

En la modalidad de créditos del Proveedor (cláusula 7.a), el contenido de las conversaciones se transmite a proveedores de inteligencia artificial establecidos en Estados Unidos para generar la respuesta. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando resulte aplicable, en la certificación del proveedor en el EU–U.S. Data Privacy Framework, con las medidas complementarias que correspondan. El contenido se transmite para generar la respuesta y no se utiliza para entrenar modelos.

Si el Cliente prefiere que no se produzcan estas transferencias, puede solicitar la modalidad de credenciales propias (cláusula 7.b) o el uso de un proveedor con tratamiento en la Unión Europea, cuando esté disponible.

Cualquier subencargado nuevo establecido fuera de la Unión Europea se incorporará únicamente con las garantías del Capítulo V del RGPD y previa comunicación al Cliente conforme a la cláusula 6.

9. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que le impone el RGPD y este contrato. El Proveedor responde únicamente de los tratamientos realizados en el marco del Servicio y conforme a este contrato, y no de los tratamientos que el Cliente realice con los datos una vez exportados del panel ni de los efectuados por el proveedor de inteligencia artificial cuando sea el Cliente quien lo haya contratado directamente (cláusula 7.b).

10. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de los juzgados de Novelda (Alicante), salvo que la normativa aplicable establezca un fuero imperativo distinto.

11. Aceptación electrónica

El Cliente acepta este contrato mediante el mecanismo de aceptación de la plataforma. El Proveedor conserva como prueba: la identidad del usuario que acepta, la razón social y el NIF del Cliente declarados, la fecha y hora, la dirección IP y la versión del documento aceptado. Ambas partes reconocen la validez de esta forma de aceptación conforme a la Ley 34/2002 de servicios de la sociedad de la información y al Reglamento (UE) 910/2014. El Cliente puede descargar o imprimir una copia desde el panel en cualquier momento.

---

Anexo I — Medidas técnicas y organizativas

• Cifrado en tránsito: todas las comunicaciones entre el sitio web del Cliente, el panel y el servidor del Proveedor se realizan mediante HTTPS (TLS).
• Control de acceso: cada Cliente accede únicamente a los datos de sus propios chatbots; el acceso al panel requiere usuario y contraseña individuales. El personal del Proveedor accede a los datos solo para soporte y mantenimiento, con cuentas nominales.
• Aislamiento del chatbot: el chatbot solo responde a solicitudes procedentes de los dominios que el Cliente ha autorizado.
• Minimización: la dirección IP de los Visitantes se almacena únicamente como hash irreversible; el chatbot se configura para solicitar solo los datos de contacto necesarios.
• Copias de seguridad: copia diaria de la base de datos con retención de 30 días y acceso restringido al personal autorizado.
• Registro y trazabilidad: registro de las acciones del personal del Proveedor sobre los datos desde el panel de administración, y trazabilidad de la aceptación de este contrato (usuario, fecha, IP y versión).
• Gestión de incidentes: procedimiento interno de detección, contención, evaluación y notificación al Cliente en el plazo de la cláusula 4.6.
• Confidencialidad del personal: compromiso de confidencialidad firmado por el personal con acceso a los datos.
• Subencargados: contratos de encargo con cada subencargado y verificación de sus garantías.

Anexo II — Texto orientativo para la política de privacidad del Cliente

Asistente conversacional. En nuestro sitio web utilizamos un asistente conversacional (chatbot) prestado por Garber Web Solutions S.L., que actúa como encargado del tratamiento. Los datos que nos facilites en la conversación (nombre, correo electrónico, teléfono y el contenido de tus mensajes) se utilizan para atender tu consulta y, si lo solicitas, para que nos pongamos en contacto contigo. Las respuestas del asistente se generan mediante un servicio de inteligencia artificial de [proveedor elegido por el Cliente], al que se envía el contenido de la conversación. No introduzcas en el chat datos de salud ni otra información especialmente protegida. Puedes ejercer tus derechos de acceso, rectificación, supresión y demás derechos escribiendo a [correo del Cliente].