Contrato de Encargado del Tratamiento

1. Partes y objeto (art. 28 RGPD)

Este contrato se celebra entre el Cliente que usa Kano (el «Responsable») y Carlos Miguel López Medina, NIF Z0802518F (el «Encargado»), y forma parte de los Términos y Condiciones. Regula el tratamiento de datos personales de terceros que el Encargado realiza por cuenta del Responsable al prestarle el servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 y a la LOPDGDD.

2. Descripción del tratamiento

• Naturaleza y finalidad: alojamiento, almacenamiento, organización, transcripción, consulta, comunicación (envío de presupuestos y facturas) y supresión de los datos introducidos por el Responsable, con la única finalidad de prestarle Kano.
• Tipos de datos: identificación y contacto (nombre, teléfono, correo, dirección de obra), NIF cuando la factura lo requiere, firma manuscrita digital con IP y dispositivo, fotografías de obra, grabaciones de voz y su transcripción, datos económicos de presupuestos y facturas.
• Categorías de interesados: clientes finales del Responsable, personas de contacto, sus empleados y operarios, y proveedores.
• Duración: la del contrato de servicio; después, los plazos de devolución o supresión de la cláusula 8.

3. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable (este contrato, la configuración del servicio y sus solicitudes), también respecto de transferencias internacionales, salvo obligación legal, que informará al Responsable antes del tratamiento salvo que la ley lo prohíba.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD descritas en la Política de Privacidad (aislamiento por empresa, control de acceso por roles, cifrado en tránsito, contraseñas cifradas, registros).
• Asistir al Responsable, con medidas técnicas y organizativas, para atender las solicitudes de ejercicio de derechos de los interesados, y para cumplir los artículos 32 a 36 RGPD (seguridad, notificación de violaciones, evaluaciones de impacto).
• Notificar al Responsable sin dilación indebida, procurando hacerlo en un máximo de 48 horas desde que tenga conocimiento de ella, cualquier violación de seguridad que afecte a sus datos, con la información disponible, para que pueda cumplir su propio plazo de 72 horas ante la autoridad de control.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables (cláusula 7).
• Informar al Responsable si, a su juicio, una instrucción infringe la normativa de protección de datos.

4. Obligaciones del Responsable

El Responsable garantiza que tiene base legal para tratar los datos que introduce y para encargar su tratamiento; que ha informado a los interesados (incluidos sus clientes finales y operarios) y, cuando sea necesario, ha obtenido su consentimiento (por ejemplo, para las grabaciones de voz o las fotografías); que sus instrucciones son lícitas; y que no introduce categorías especiales de datos ni datos de menores sin necesitarlo. El Responsable es el único responsable del uso que hagan sus operarios en campo.

5. Subencargados

El Responsable autoriza con carácter general la contratación de los subencargados listados en la Política de Privacidad (Supabase, Vercel, Stripe, OpenAI, Resend, Expo, Cloudflare y, en su caso, el proveedor de SMS y el servicio de firma). El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos y responde ante el Responsable de su cumplimiento. Informará de cualquier alta o sustitución con al menos 30 días de antelación (en la página de Privacidad y por correo); el Responsable puede oponerse por motivos razonables escribiendo a info@kanopro.com dentro de ese plazo y, si no hay alternativa viable, resolver el servicio sin penalización.

6. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado los trate fuera del Espacio Económico Europeo, el Encargado se asegurará de que existan garantías adecuadas del artículo 46 RGPD (decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. o Cláusulas Contractuales Tipo) y las documentará a petición del Responsable.

7. Auditoría

El Responsable puede solicitar, una vez al año salvo violación de seguridad o requerimiento de una autoridad, información razonable sobre las medidas aplicadas y, con 30 días de preaviso, una auditoría proporcionada, que se hará en horario laborable, sin acceder a datos de otros clientes, bajo confidencialidad y a su costa. La solicitud se dirige a info@kanopro.com.

8. Fin del encargo: devolución y supresión

Al terminar el servicio, el Responsable puede exportar sus datos (PDF y CSV). El Encargado los suprimirá o anonimizará en un plazo de 90 días desde la baja, salvo los que deba conservar por ley (por ejemplo, registros de facturación), que mantendrá bloqueados durante los plazos legales. A petición, certificará la supresión.

9. Responsabilidad y prelación

La responsabilidad de las partes se rige por el artículo 82 RGPD y por la cláusula de limitación de responsabilidad de los Términos y Condiciones, en lo que la ley permita. En caso de contradicción en materia de protección de datos, prevalece este contrato.