Contrato de encargado de tratamiento

Versión 1 · 19 de septiembre de 2026 · Anexo a las condiciones del servicio

Al contratar el Servicio, la empresa cliente (el «Responsable») encarga a Francisco José Matías Olivares, NIF ES23800078T, domicilio Avda. de Europa, 15, 18690 Almuñécar (Granada) (el «Encargado» o «Nazari») el tratamiento de los datos personales necesarios para prestarlo, en los términos del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Este contrato forma parte de las condiciones del servicio y se entiende aceptado con ellas.

1. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales que este introduzca en su instalación de Nazari, con la única finalidad de prestar el Servicio: alojarlos, hacer copias de seguridad, mantener y actualizar el programa, y dar soporte cuando el Responsable lo pida.

2. Datos y personas afectadas

Datos de identificación y contacto, datos profesionales y laborales (categoría, coste hora, fichajes, documentación de coordinación de actividades), datos bancarios (cuentas, mandatos SEPA), datos económicos de la relación (presupuestos, certificaciones, facturas, recibos), firmas manuscritas digitalizadas, imágenes y fotografías de la obra, y datos de localización solo si el Responsable activa esa función. Afectan a empleados, operarios de subcontratas, clientes, proveedores, direcciones facultativas y demás personas de contacto del Responsable. El Responsable decide qué datos introduce y garantiza que tiene base legítima para tratarlos.

3. Duración

La del Servicio. A su terminación se aplica lo previsto en la cláusula 8.

4. Obligaciones del Encargado

• Tratar los datos solo conforme a las instrucciones documentadas del Responsable, que son las que resultan de la contratación del Servicio y de su uso normal; si considera que una instrucción infringe la normativa, se lo comunicará de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal, en cuyo caso informará al Responsable si la ley lo permite.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad y han recibido formación.
• Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable.
• Asistir al Responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados, comunicándole en un máximo de 5 días laborables cualquier solicitud que reciba directamente, y facilitándole las herramientas del programa para atenderlas.
• Notificar al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible sobre su naturaleza, los afectados, las consecuencias probables y las medidas adoptadas.
• Apoyar al Responsable en las evaluaciones de impacto y en las consultas previas a la autoridad de control cuando proceda.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías que el Responsable o un auditor autorizado por él realicen, con aviso razonable y sin comprometer la seguridad de otros clientes.

5. Medidas de seguridad

El Encargado aplica, como mínimo: alojamiento en centros de datos de la Unión Europea; una instalación y una base de datos separadas por cliente; cifrado de las comunicaciones (HTTPS); control de acceso con usuarios y claves individuales, con roles definidos por el Responsable; registro de accesos administrativos; copias de seguridad diarias cifradas con retención de 30 días; actualizaciones de seguridad del sistema y del programa; y procedimiento de respuesta a incidentes. El Responsable es quien administra sus usuarios, sus permisos y los dispositivos autorizados de la app de obra.

El certificado electrónico del Responsable. Para que el programa pueda hacer en su nombre lo que la ley le obliga a hacer por medios electrónicos —el registro de facturación de Verifactu y, si procede, el suministro inmediato de los libros de IVA (SII)— el Responsable instala su certificado en su propia instalación, desde Administrador → Empresas, y ese certificado y su contraseña quedan guardados en ella. No se copian a ningún otro sitio, no se usan para nada distinto de los envíos que el Responsable ordena desde el programa, y se borran con el resto de sus datos al terminar el contrato. El Responsable puede sustituirlo o retirarlo cuando quiera desde la misma pantalla, y es quien decide qué certificado usa: lo prudente es uno de representante acotado a estos trámites, y no uno personal de quien administra.

6. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados necesarios para prestar el Servicio, que en la fecha de esta versión son: el proveedor del alojamiento (centro de datos en la Unión Europea), el proveedor del almacenamiento de los ficheros de obra —planos, fotografías y documentos firmados— (OVHcloud, contratado a través de OVH Hispano, S.L., con los datos alojados en su centro de París, Francia, replicados en tres zonas de disponibilidad), el proveedor de correo saliente (IONOS SE, Unión Europea) y, solo si el Responsable ha contratado a Zagal, el asistente de IA, el proveedor del modelo de lenguaje (Mistral AI SAS, sociedad francesa, que trata los datos en el Espacio Económico Europeo y cuenta con las certificaciones ISO/IEC 27001, ISO/IEC 27701 y SOC 2 Tipo II), al que se envían únicamente los datos de la obra necesarios para cada petición, estando el programa diseñado para no incluir datos personales en ellas. El tratamiento por este subencargado se rige por su Data Processing Addendum, que forma parte del contrato que Nazari tiene suscrito con él, y en el que el Encargado tiene desactivado el uso de los datos para el entrenamiento de modelos y activada la retención cero, de modo que el subencargado no conserva ni lo enviado ni lo respondido más allá del tiempo necesario para generar la respuesta. El Encargado informará al Responsable de cualquier cambio con 30 días de antelación, para que pueda oponerse; si se opone y no hay alternativa, cualquiera de las partes podrá resolver el Servicio. El Encargado impone a sus subencargados obligaciones equivalentes a las de este contrato y responde de su cumplimiento.

7. Transferencias internacionales

Los datos se tratan en el Espacio Económico Europeo, incluidas las consultas de Zagal, el asistente de IA: su proveedor es una sociedad francesa y atiende las peticiones desde sus infraestructuras en la Unión Europea y el EEE. Si alguna transferencia fuera de él llegara a ser imprescindible, se haría con las garantías del capítulo V del RGPD —cláusulas contractuales tipo de la Decisión (UE) 2021/914 o decisión de adecuación— y previa información al Responsable.

8. Terminación

Al terminar el Servicio, el Encargado devolverá al Responsable los datos en los formatos previstos en las condiciones del servicio (BC3, CSV o Excel, adjuntos, volcado completo) durante los 30 días siguientes y, después, los destruirá junto con sus copias en un máximo de 30 días, certificándolo al Responsable. Podrá conservar bloqueados los datos que una obligación legal le exija.

9. Obligaciones del Responsable

• Facilitar al Encargado los datos e instrucciones necesarios y garantizar que los datos que introduce se han obtenido lícitamente y que ha informado a los interesados.
• Realizar, cuando proceda, la evaluación de impacto y la consulta previa; en particular, antes de activar la geolocalización de los fichajes, y de tratar datos de trabajadores de empresas subcontratistas.
• Velar por el cumplimiento de la normativa de protección de datos por su parte, incluida la supervisión del tratamiento.

10. Responsabilidad

Cada parte responde de los daños que cause por incumplir sus obligaciones bajo el RGPD y este contrato. Si el Encargado determina por sí los fines y medios de un tratamiento, será considerado responsable de ese tratamiento.