Contrato de encargado del tratamiento

Este contrato regula el tratamiento de datos personales que Vecindoc realiza por cuenta de sus clientes, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones del servicio y se entiende aceptado al contratar la Plataforma.

1. Partes

• Responsable del tratamiento: la comunidad de propietarios o, cuando gestiona varias comunidades, la administración de fincas que contrata Vecindoc («el Cliente»). El Cliente decide qué datos se cargan en la Plataforma y con qué fin.
• Encargado del tratamiento: Iván Quintas Velasco, titular de Vecindoc («Vecindoc»), contactohola@vecindoc.es.

2. Objeto

Vecindoc presta al Cliente un servicio en la nube de gestión documental y comunicación con los vecinos: almacenamiento y consulta de documentos, gestión de propietarios e invitaciones, avisos por correo, incidencias, finanzas y asistente virtual. Vecindoc solo trata los datos para prestar ese servicio.

3. Duración

Este contrato dura lo mismo que la relación de servicio. Al terminar se aplica el apartado 9 (devolución y supresión).

4. Datos y personas afectadas

• Personas afectadas: propietarios, residentes, miembros de la junta y personal de la administración; proveedores de la comunidad.
• Datos: identificativos y de contacto (nombre, email, teléfono, vivienda o local), rol en la comunidad, documentos de la comunidad y los datos que contengan (actas, presupuestos, contratos…), movimientos económicos, incidencias y el registro de accesos a documentos.
• Datos especialmente protegidos: la Plataforma no está pensada para ellos. El Cliente se compromete a no subir documentos con categorías especiales de datos (art. 9 RGPD) salvo que sea imprescindible y lo haya valorado.

5. Obligaciones de Vecindoc

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato y el uso que hace de la Plataforma.
• Guardar confidencialidad y exigirla a cualquier persona autorizada a acceder a los datos.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito (HTTPS), contraseñas cifradas, acceso a documentos solo a través de la aplicación y con sesión de un miembro de la comunidad, separación entre comunidades y entre administraciones y enlaces de invitación de un solo uso con caducidad.
• Llevar un registro de accesos a documentos (quién abrió cada documento y cuándo, sin dirección IP), consultable por la administración y la presidencia, que se conserva 2 años y después se borra automáticamente.
• Ayudar al Cliente a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Notificar al Cliente sin dilación indebida, y en todo caso en menos de 48 horas desde que tenga conocimiento, cualquier brecha de seguridad que afecte a sus datos, con la información necesaria para que el Cliente pueda notificarla a la autoridad.
• Ayudar al Cliente en evaluaciones de impacto y consultas previas cuando proceda.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso.
• No ceder los datos a terceros ni usarlos para fines propios.

6. Obligaciones del Cliente

• Disponer de base jurídica para tratar los datos que carga y haber informado a los interesados.
• Cargar solo los datos necesarios y mantenerlos actualizados.
• Gestionar los permisos de su equipo y de los miembros de la junta dentro de la Plataforma.

7. Subencargados

El Cliente autoriza a Vecindoc a usar estos subencargados. Vecindoc les impone por contrato las mismas obligaciones de protección de datos y avisará al Cliente con 30 días de antelación de cualquier cambio, para que pueda oponerse.

• Hostinger (Hostinger International Ltd., Chipre): alojamiento de la aplicación, la base de datos y los ficheros en un servidor ubicado en Francia (UE).
• Resend (Resend Inc., EE. UU.): envío de correos (invitaciones y avisos).
• Stripe (Stripe Payments Europe Ltd., Irlanda): cobros con tarjeta, si se usan.
• Google (Google Ireland Ltd., Irlanda): procesado del texto de los documentos para el buscador del asistente virtual.
• OpenAI (OpenAI Ireland Ltd., Irlanda): respuestas del asistente virtual.
• n8n (n8n GmbH, Alemania): automatización de avisos y recordatorios.

Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en Cláusulas Contractuales Tipo.

8. Ejercicio de derechos

Si un interesado se dirige a Vecindoc para ejercer sus derechos sobre datos del Cliente, Vecindoc lo trasladará al Cliente en un plazo máximo de 5 días hábiles y no lo atenderá directamente salvo instrucción suya.

9. Devolución y supresión de los datos

Al terminar el servicio, el Cliente puede descargar sus documentos y la lista de miembros desde la Plataforma (exportación en ZIP). Pasados 30 días desde la baja, Vecindoc suprime los datos, salvo los que deba conservar bloqueados por obligación legal y solo durante ese plazo.

10. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD.

Para firmar una copia de este contrato o resolver dudas, escribe ahola@vecindoc.es.