Contrato de encargo del tratamiento

Responsable del tratamiento: el despacho que contrata SailOS, identificado con los datos de su cuenta.

Encargado del tratamiento: Marcel Carreras i Almeda, con NIF 41716151Q y domicilio en Disseminat Creu de Palau 4, 17003 Girona, titular de SailOS. Contacto: team@sailos.es.

El encargado presta al responsable un software de gestión en la nube (CRM, agenda, facturación, contabilidad, comunicaciones y herramientas relacionadas). Para ello aloja, almacena, organiza, consulta, modifica, comunica por los canales que el responsable active y suprime los datos personales que el responsable incorpora a la plataforma, con la única finalidad de prestar el servicio.

Este contrato está vigente mientras dure la relación de servicio. Sus obligaciones de confidencialidad se mantienen después de terminarla.

Datos: identificativos y de contacto, económicos y fiscales, de facturación y cobro, movimientos bancarios que el responsable importe, comunicaciones, citas, notas y documentos que el responsable suba.

Interesados: clientes y potenciales clientes del despacho, sus contactos y representantes, y los usuarios del despacho en la plataforma.

Si el responsable incorpora categorías especiales de datos (por ejemplo, datos de salud contenidos en un expediente), lo hace bajo su responsabilidad y solo cuando sea necesario para su actividad profesional.

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las que resultan de este contrato y del uso que el responsable hace de la plataforma. Si una instrucción infringe la normativa, lo comunicará de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del punto 7 o por obligación legal.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre otras: cifrado de las comunicaciones, separación de los datos de cada despacho mediante control de acceso a nivel de base de datos, copias de seguridad del proveedor de base de datos y registro de actividad.
• Ayudar al responsable a atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), incluida la exportación de datos desde el panel.
• Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus propias obligaciones de notificación.
• Ayudar al responsable, cuando proceda, en las evaluaciones de impacto y consultas previas a la autoridad de control.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y a cargo del responsable.

• Disponer de una base jurídica para tratar los datos que incorpora a la plataforma e informar a los interesados.
• Gestionar los usuarios y permisos de su despacho y custodiar sus credenciales.
• Supervisar el tratamiento y el cumplimiento de este contrato por parte del encargado.

El responsable autoriza de forma general al encargado a recurrir a los siguientes subencargados, que ofrecen garantías equivalentes a las de este contrato:

• Supabase, Inc.: Base de datos, autenticación y almacenamiento de archivos (región de la Unión Europea).
• Vercel, Inc.: Alojamiento y ejecución de la aplicación.
• Stripe Payments Europe, Ltd.: Pagos de la suscripción y, si el despacho lo activa, cobro de facturas a sus clientes.
• Resend (Plus Five Five, Inc.): Envío de correos electrónicos transaccionales y de las campañas del despacho.
• OpenAI, L.L.C. y Anthropic, PBC: Funciones de inteligencia artificial, solo con el contenido que el usuario envía a esas funciones.
• Twilio, Inc.: Envío de SMS y mensajes de WhatsApp, si el despacho lo activa.
• Meta Platforms Ireland, Ltd.: WhatsApp Business, si el despacho lo conecta.
• Vapi, Inc.: Agente de voz telefónico, si el despacho lo activa.
• Google Ireland, Ltd.: Sincronización con Google Calendar, si el usuario la conecta.
• Functional Software, Inc. (Sentry): Registro de errores técnicos de la aplicación.

El encargado informará al responsable, con al menos 15 días de antelación, de cualquier incorporación o sustitución de subencargados, para que pueda oponerse de forma motivada.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo aprobadas por la Comisión Europea.

Al terminar el servicio, el responsable puede exportar sus datos desde el panel. Transcurridos 30 días, el encargado suprimirá los datos, salvo los que deba conservar por obligación legal, que mantendrá bloqueados durante el plazo que corresponda.

Este contrato se rige por la legislación española y el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Barcelona.