Contrato de encargo de tratamiento de datos personales (DPA)

Este contrato es el anexo de los términos y condiciones de uso y contratación de Opineo y regula el tratamiento de datos personales que Opineo hace por cuenta del Cliente conforme a los arts. 28.3 y 28.4 del Reglamento (UE) 2016/679 (RGPD). Se acepta junto con los términos.

Las partes son el Cliente, que actúa como responsable del tratamiento, y NUVELIT, S.L. («Opineo»), con NIF B75912808, domicilio social en Travesía Pico de la Machota, 2, puerta 12, 28293 Zarzalejo (Madrid) e inscrita en el Registro Mercantil de Madrid, hoja M-846120, inscripción 1.ª, que actúa como encargado del tratamiento y presta el Servicio con su marca registrada Opineo. Los términos en mayúscula («Cliente», «Cuenta», «Organización», «Usuario», «Servicio», «Administrador de la Cuenta», «Subencargado», «Canal de notificaciones», «Días hábiles» y los demás) tienen el significado que les dan los términos y condiciones, en su bloque de definiciones.

La lista de Subencargados, con los vigentes, los cambios anunciados y el histórico, está en /legal/subencargados y forma parte de este contrato.

1. Objeto e instrucciones

1.1. Objeto, duración, naturaleza y finalidad

• Objeto. Opineo trata datos personales de los autores de las reseñas que el Cliente gestiona con el Servicio.
• Naturaleza. Importar, almacenar, conservar, organizar y analizar las reseñas del Cliente; enviar su texto minimizado a proveedores de inteligencia artificial («IA») para redactar borradores y respuestas; publicar las respuestas en el Proveedor de reputación; enviar alertas por email al equipo del Cliente; y suprimir los datos cuando el Cliente lo decide.
• Finalidad. Prestar al Cliente el Servicio contratado y ninguna otra.
• Duración. La del contrato y, si la Organización sigue existiendo cuando este termina, hasta que el Cliente la borre y Opineo suprima los datos conforme a la cláusula 5.1.

1.2. Instrucciones documentadas

Opineo trata los datos solo según las instrucciones documentadas del Cliente. Este contrato, la configuración del Servicio y el uso que el Cliente hace de él son sus instrucciones. Las reglas que el Cliente configura, como la automatización, los umbrales o la publicación automática, son instrucciones suyas. Activar una función o empezar a usarla es la instrucción documentada de tratar con ella los datos que requiere (art. 28.3.a RGPD).

Opineo avisa de inmediato al Cliente si considera que una instrucción infringe la normativa de protección de datos, y puede suspender su ejecución hasta que el Cliente la confirme o la modifique. Si el Derecho de la Unión o de un Estado miembro obliga a Opineo a hacer otro tratamiento, se lo comunica al Cliente antes de hacerlo, salvo que la ley lo prohíba.

1.3. Prohibición de fines propios y de entrenamiento

Opineo no trata los datos del Cliente para fines propios, incluido el entrenamiento, la mejora o la evaluación de modelos de IA propios o de terceros. Ninguna versión nueva de este contrato levanta esta prohibición.

1.4. Versiones nuevas del DPA

Las versiones nuevas de este contrato se publican y se aceptan por el procedimiento de la cláusula 8.4 de los términos y condiciones. Además:

• ninguna versión nueva reduce las garantías de los arts. 28.3 y 32 del RGPD, y cada versión declara en sus metadatos que no las reduce;
• cada versión declara si cambia las finalidades o las categorías de datos, y el aviso destaca ese cambio aparte;
• una finalidad o una categoría de datos nueva solo se aplica a los datos de las funciones que el Cliente active o empiece a usar después de que la versión rija. Si el cambio no es separable por funciones, solo puede entrar cuando una norma o una autoridad lo imponga;
• las versiones nuevas no dan de alta ni cambian Subencargados, ni dejan sin efecto las oposiciones vigentes. Esos cambios siguen la cláusula 4.

1.5. Cliente que actúa como encargado de un tercero

Si el Cliente trata los datos como encargado de otro responsable, por ejemplo cuando es una agencia que gestiona los negocios de sus clientes, este contrato rige como contrato de subencargo (art. 28.4 RGPD). El Cliente garantiza que:

• tiene la autorización previa por escrito de su responsable para contratar a Opineo, también para los Subencargados de la lista;
• sus instrucciones a Opineo son conformes con las de su responsable;
• su contrato con el responsable le permite aceptar las versiones nuevas de este contrato por silencio.

El Cliente traslada esas versiones a su responsable. Las notificaciones, la asistencia, las auditorías, los avisos y las oposiciones de este contrato se canalizan a través del Cliente.

1.6. Obligaciones y derechos del Cliente

El Cliente, como responsable del tratamiento:

• garantiza que tiene una base jurídica para tratar los datos de las reseñas y para encargar su tratamiento a Opineo, y, para las categorías especiales que aparezcan en ellas, una excepción del art. 9.2 del RGPD, por ejemplo la del art. 9.2.e para los datos que su autor ha hecho manifiestamente públicos;
• informa a los interesados conforme al art. 14 del RGPD;
• da instrucciones lícitas y decide la configuración del Servicio, y se asegura de poder tratar los datos personales que él mismo incluya en ella, como la firma de las respuestas o los datos de contacto oficiales del local;
• atiende los derechos de los interesados, decide sobre las evaluaciones de impacto y las consultas previas y, en su caso, notifica las brechas de seguridad a la autoridad de control y a los interesados;
• decide cuándo se suprimen los datos, borrando la Organización, y guarda antes lo que quiera conservar, porque no hay exportación ni devolución (cláusula 5.1).

El Cliente tiene derecho a dar instrucciones (cláusula 1.2), a recibir la información y a hacer las auditorías de la cláusula 5.2, a oponerse a los Subencargados (cláusula 4.2), a recibir la notificación de las brechas (cláusula 3.6) y a que Opineo suprima sus datos al terminar el Servicio (cláusula 5.1).

2. Datos e interesados

2.1. Tipos de datos

Los datos que trata Opineo por cuenta del Cliente son los que contienen las reseñas: el nombre visible del autor, la valoración, el texto, la fecha, el identificador de la reseña en el Proveedor de reputación, la respuesta que ya exista, el tono que Opineo infiere y las respuestas generadas. También son datos del encargo los datos personales que el Cliente incluya en la configuración del negocio, como la firma de las respuestas, el nombre comercial de un autónomo o los datos de contacto oficiales del local.

Cada Subencargado recibe el subconjunto que necesita:

• Proveedores de IA (el agregador y los proveedores de modelos), solo esto:
  • del autor, su nombre de pila, o ninguno si parece un alias o un email;
  • de la reseña, la valoración, el tono que Opineo infiere y el texto minimizado, sin emails, teléfonos ni URLs y recortado;
  • del local, lo que el Cliente configura: nombre del negocio y del local, tipo de negocio, tono, contexto, frases preferidas y prohibidas, las instrucciones del perfil de voz y los datos de contacto oficiales (teléfono, email y web);
  • del encargo, el idioma de la respuesta, su longitud máxima y si el local tiene datos de contacto oficiales.
• Alojamiento y ejecución del Servicio: todos los datos del Servicio en tránsito y en los registros técnicos, de los que Opineo excluye el texto de las reseñas y los emails.
• Base de datos: todos los datos que el Servicio almacena.
• Envío de email: en las alertas, la valoración, el nombre del local, un extracto minimizado del texto de la reseña (sin emails, teléfonos ni URLs y recortado) y un enlace a la reseña en la aplicación. El email del destinatario es un dato del Cliente como Usuario y queda fuera de este contrato.

La minimización reduce los datos que van a la IA, pero no impide que el texto de la reseña nombre a terceros ni que, junto con el nombre del negocio, permita encontrar la reseña en su origen.

2.2. Categorías especiales de datos

El texto de una reseña puede contener, de forma incidental y por decisión de su autor, datos de las categorías especiales del art. 9 del RGPD, como la salud o las creencias. Opineo no trata los datos con la finalidad de revelar esas categorías ni las usa para decidir nada. Las medidas de seguridad de la cláusula 3.2 se aplican igual a todo el texto.

2.3. Categorías de interesados

Los interesados son:

• los autores de las reseñas;
• las personas mencionadas en el texto de las reseñas o de las respuestas, por ejemplo empleados del Cliente o acompañantes del autor;
• las personas cuyos datos incluya el Cliente en la configuración del negocio o en las respuestas, por ejemplo el nombre con el que se firman.

2.4. Datos de los Usuarios

Los datos de los Usuarios del Cliente (identidad, email y actividad en la aplicación) quedan fuera de este encargo. Opineo los trata como responsable, conforme a la cláusula 7.1 de los términos y condiciones. Lo que el Cliente escriba en la configuración del negocio sobre otras personas sí está dentro del encargo (cláusula 2.3).

3. Obligaciones de Opineo

3.1. Confidencialidad del personal

Opineo garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a los datos cuando es necesario para prestar el Servicio.

3.2. Medidas de seguridad

Opineo aplica las medidas técnicas y organizativas del art. 32 del RGPD que describe el Anexo I, que forma parte de este contrato. Opineo lo mantiene al día, y una reducción de sus medidas exige una versión nueva de este contrato (cláusula 1.4). Entre ellas:

• aislamiento de los datos de cada Cuenta y de cada Organización;
• control de acceso por roles, con denegación por defecto;
• cifrado en tránsito;
• registro de las acciones críticas;
• exclusión de emails, textos de reseñas, secretos y tokens de los registros técnicos;
• minimización del texto que se envía a los proveedores de IA.

3.3. Asistencia al Cliente

Opineo asiste al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, para que cumpla las obligaciones de los arts. 32 a 36 del RGPD: seguridad, notificación de brechas, evaluaciones de impacto y consulta previa. La asistencia se pide por el Canal de notificaciones (cláusula 8.3 de los términos), escribiendo a legal@nuvelit.com.

3.4. Solicitudes de los interesados

Si un interesado se dirige a Opineo para ejercer un derecho sobre los datos de una reseña, Opineo se lo traslada al Cliente en un máximo de 5 Días hábiles y no lo atiende directamente, salvo instrucción del Cliente. Opineo asiste al Cliente con medidas técnicas y organizativas apropiadas para que atienda esas solicitudes.

3.5. Supresión de reseñas

Cuando el Cliente se lo indique, Opineo suprime cualquier reseña, o una respuesta concreta, de los datos de la Cuenta.

Si el autor de una reseña la retira en el Proveedor de reputación, Opineo no propaga esa retirada automáticamente: la copia que ya figura en la Cuenta se conserva hasta que el Cliente, como responsable, indique su supresión o hasta que se suprima la Cuenta tras la baja.

3.6. Brechas de seguridad

Opineo notifica al Cliente toda violación de la seguridad de los datos que le afecte sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia de ella. La notificación contiene, al menos, lo que exige el art. 33.3 del RGPD: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, el punto de contacto (legal@nuvelit.com), las consecuencias probables y las medidas adoptadas o propuestas. Si no puede darla entera de una vez, la completa por fases sin más dilación.

Opineo documenta cada incidente en su registro de incidentes.

4. Subencargados

4.1. Autorización general y avisos

El Cliente autoriza de forma general a Opineo a contratar a los Subencargados de la lista de /legal/subencargados. Opineo avisa a los Administradores de la Cuenta, por email y en la aplicación, de toda alta o cambio de función, ubicación o mecanismo de transferencia de un Subencargado con al menos 30 días de antelación a su fecha de efecto.

El Subencargado de IA es vigente para cada Cuenta desde la más tardía de dos fechas: su fecha de efecto, o el primer aviso efectivo a esa Cuenta más 30 días. Hasta entonces Opineo no le envía datos de esa Cuenta. Los Subencargados que la lista declara vigentes lo son para la Cuenta desde que acepta este contrato.

4.2. Oposición

El Cliente puede oponerse a un alta o a un cambio de Subencargado hasta que sea vigente para su Cuenta, y retirar después su oposición.

• Subencargado de IA. Opineo lo excluye de los datos de la Cuenta hasta la baja de la Cuenta o hasta que el Cliente retire la oposición. Como un cambio se aplica a la vez a todas las Cuentas, oponerse a un cambio excluye al Subencargado entero desde la fecha de efecto del cambio. Si la exclusión deja sin proveedor autorizado alguna función de IA, su falta no es un incumplimiento de Opineo, y el Cliente puede resolver el contrato con reembolso de la parte no consumida.
• Subencargado que no se puede excluir para una sola Cuenta (alojamiento, base de datos y email). El único remedio es resolver el contrato con efecto, como tarde, en la fecha de efecto del cambio, con supresión de los datos en esa fecha y reembolso de la parte no consumida. La supresión se completa como tarde en la fecha de efecto, antes de cualquier tratamiento en el Subencargado nuevo. Los datos de la Cuenta, incluidos los bloqueados y sus copias de seguridad, no se tratan en él.
• Plazos. La solicitud de resolución se hace por el Canal de notificaciones (cláusula 8.3 de los términos) al menos 10 días antes de la fecha de efecto. Opineo suprime los datos de la Cuenta en la fecha de efecto en todo caso. No hay exportación ni devolución: las reseñas siguen disponibles en su origen.
• Decaimiento. Si el Cliente no pide la resolución antes de la fecha de efecto, la oposición decae, y seguir usando el Servicio desde entonces supone autorizar el Subencargado.
• Ejecución. Opineo comprueba que quien pide la resolución es Administrador de la Cuenta y deja constancia de la operación.

4.3. Sustitución urgente

Cuando la seguridad o la continuidad del Servicio lo exijan, Opineo puede sustituir un Subencargado sin esperar los 30 días. Lo avisa en cuanto sea posible y justifica la sustitución en el histórico de la lista. El Cliente que se oponga puede resolver el contrato con efecto inmediato y con reembolso de la parte no consumida.

4.4. Obligaciones de los Subencargados y responsabilidad

Opineo impone por contrato a cada Subencargado con el que contrata directamente las mismas obligaciones de protección de datos que este contrato (art. 28.4 RGPD).

En la cadena de IA no existe ese traslado. Opineo contrata con el agregador de IA, y el agregador reenvía las solicitudes al proveedor del modelo. El contrato con el agregador no obliga al proveedor del modelo a las obligaciones de este contrato: el agregador no se las traslada y el proveedor del modelo no es parte de ese contrato. Para limitar ese riesgo, Opineo solo envía datos minimizados a destinos que aprueba uno a uno, cierra el enrutado a proveedores que declaran que no conservan los datos ni entrenan con ellos y mantiene desactivados en la cuenta del agregador el registro de las solicitudes y el uso de los datos. Son declaraciones de esos proveedores y ajustes de la cuenta de Opineo, no obligaciones contractuales de ellos frente a Opineo.

Opineo responde ante el Cliente de toda la cadena, también de los actos y omisiones de los Subencargados.

4.5. Transferencias internacionales

El Cliente instruye a Opineo para que transfiera datos a los Subencargados de la lista situados fuera del Espacio Económico Europeo, con el mecanismo de transferencia que cada entrada declara: una decisión de adecuación (art. 45 RGPD), la certificación vigente del Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Decisión (UE) 2021/914 con evaluación del impacto de la transferencia. La lista indica, para cada Subencargado, los países del tratamiento, incluidos los de acceso remoto y soporte que el Subencargado declara, y el mecanismo que cubre cada uno. Cuando un Subencargado solo ofrece las cláusulas contractuales tipo del módulo 2 (de responsable a encargado), la lista indica el módulo que recoge su contrato.

5. Fin del encargo y control

5.1. Supresión de los datos

• Elección. Al aceptar este contrato, el Cliente elige la supresión como destino de los datos al terminar el Servicio (art. 28.3.g del RGPD) y la ejecuta borrando la Organización, como describe la cláusula 7.2 de los términos. El borrado es definitivo.
• Sin devolución. Opineo no devuelve los datos del Cliente ni ofrece su exportación. Lo suprimido no se puede recuperar.
• Mientras exista la Organización. Aunque no tenga plan, porque se canceló o por impago, Opineo no la borra por iniciativa propia: conserva sus datos, que siguen bajo este contrato hasta que el Cliente borre la Organización.
• Copias de seguridad. Los datos suprimidos desaparecen de las copias de seguridad en un máximo de 6 horas desde su supresión.
• Bloqueo. Opineo puede conservar bloqueados los datos estrictamente necesarios mientras puedan derivarse responsabilidades de su relación con el Cliente, solo para la defensa frente a reclamaciones (art. 33.4 de la Ley Orgánica 3/2018).
• Excepción. La resolución por oposición a un Subencargado que no se puede excluir para una sola Cuenta sigue la cláusula 4.2: los datos se suprimen en la fecha de efecto.

5.2. Demostración del cumplimiento y auditorías

Opineo pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permite las auditorías, incluidas las inspecciones, del Cliente o de un auditor obligado a confidencialidad. Se atienden primero con documentación y exigen:

• un preaviso de 30 días;
• como máximo una al año, salvo brecha de seguridad o requerimiento de una autoridad;
• que el auditor firme un compromiso de confidencialidad y no sea competidor de Opineo;
• que se limiten a los sistemas y registros que tratan datos del Cliente, sin acceso a datos de otros clientes ni pruebas de intrusión sin acuerdo previo por escrito;
• que se hagan en horario laborable y sin perturbar el Servicio;
• que el Cliente abone los costes razonables del tiempo que dedique el personal de Opineo más allá de ocho horas por auditoría, salvo que la auditoría revele un incumplimiento grave de Opineo.

Opineo puede atender la auditoría con las certificaciones o los informes de sus Subencargados cuando cubran lo que se quiere comprobar. Las auditorías de los Subencargados se atienden con sus certificaciones e informes, por ejemplo SOC 2 o ISO 27001, que Opineo facilita bajo confidencialidad. Opineo coopera con la autoridad de control cuando esta se lo pida (art. 31 del RGPD).

5.3. Responsabilidad, fuerza mayor y tribunales

La responsabilidad de las partes por este contrato, incluida la de Opineo por sus Subencargados, se rige por la cláusula 6.5 de los términos y condiciones, con sus excepciones: no se limita la responsabilidad por dolo o culpa grave, por tratamientos fuera de las instrucciones del Cliente ni frente a los interesados.

Las cláusulas 6.2, sobre fuerza mayor, y 8.6, sobre ley aplicable, negociación previa de 30 días y tribunales, de los términos y condiciones se aplican también a este contrato. Las partes no pactan arbitraje.

Anexo I. Medidas técnicas y organizativas

Estas son las medidas que Opineo aplica a los datos que trata por cuenta del Cliente (art. 32 del RGPD). Opineo puede mejorarlas en cualquier momento. Reducirlas exige una versión nueva de este contrato, conforme a la cláusula 1.4.

1. Separación de los datos. Cada dato del Servicio pertenece a una Organización y a una Cuenta. Toda lectura y escritura se limita a la Organización a la que el Usuario tiene acceso, y esa limitación la decide el servidor, nunca un dato que envíe el navegador. Pruebas automáticas comprueban que una Cuenta o una Organización no puede leer ni cambiar los datos de otra.
2. Control de acceso. Cada Usuario entra con su propia identidad y tiene un rol con permisos concretos. Lo que no está concedido de forma expresa se deniega. Un Usuario desactivado pierde el acceso aunque conserve una sesión abierta. El personal de Opineo accede al panel interno con roles internos separados de consulta y de modificación, y con un segundo factor de verificación obligatorio, que se exige en el proveedor de autenticación y que el Servicio comprueba en cada petición cuando el proveedor lo informa en la sesión.
3. Cifrado. Todo el tráfico del Servicio, las llamadas a los proveedores y la conexión con la base de datos van cifrados en tránsito (TLS). Las credenciales de acceso a Google se guardan cifradas (AES-256). La base de datos y sus copias de seguridad se guardan cifradas por el proveedor del servicio.
4. Registro de las acciones críticas. Las aceptaciones, los avisos, las oposiciones, las cancelaciones, los cambios de permisos y de facturación y el gobierno de la IA quedan registrados con su fecha y su autor, identificado por un código interno y no por su email. Los registros de la relación contractual solo admiten inserciones: no se pueden modificar.
5. Registros técnicos sin datos personales. Los registros técnicos excluyen los emails, el texto de las reseñas, los secretos y las credenciales.
6. Minimización frente a la IA. Antes de enviar una reseña a un modelo de IA se quitan los emails, los teléfonos y las direcciones web, se recorta el texto y solo se envía el nombre de pila del autor, o ninguno. Opineo solo aprueba destinos de proveedores que declaran no conservar los datos ni entrenar con ellos, y limita lo que se envía a lo descrito en la cláusula 2.1.
7. Integraciones. Los formularios comprueban su origen y los de la gestión legal llevan además un token firmado. Los avisos que llegan del proveedor de pagos se verifican con su firma y no se procesan dos veces.
8. Copias de seguridad y continuidad. La base de datos es un servicio gestionado por un proveedor en Fráncfort (Alemania), con copias de seguridad del proveedor. Los datos suprimidos desaparecen de esas copias en un máximo de 6 horas desde su supresión (cláusula 5.1). Opineo prueba cada seis meses la restauración desde una copia y anota el resultado. Las caídas de un proveedor se tratan como falta de disponibilidad y el Servicio se degrada sin exponer datos.
9. Personal y procedimientos. Las personas que tratan los datos están obligadas a la confidencialidad (cláusula 3.1). Opineo tiene procedimientos escritos para las brechas de seguridad (cláusula 3.6), los cambios de Subencargados (cláusula 4), las solicitudes de los interesados (cláusula 3.4) y las auditorías (cláusula 5.2).
10. Verificación periódica. Opineo comprueba de forma periódica que estas medidas funcionan: un escaneo de seguridad del código al terminar cada versión y al incorporar cambios a la rama principal de desarrollo, la prueba semestral de restauración del punto 8 y la revisión anual de este anexo y después de cada incidente.