Encargo del Tratamiento de Datos Personales

El presente documento (en adelante, el «Encargo») regula la relación de tratamiento de datos personales entre el Cliente profesional (típicamente un broker o asesor inmobiliario que utiliza el Servicio en el ejercicio de su actividad económica), en su condición de Responsable del tratamiento, y Dezisio S.L. (en constitución) (en adelante, «Dezisio»), en su condición de Encargado del tratamiento, en el sentido del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y normativa concordante.

Forma parte integrante de los Términos y condiciones y de la Política de Privacidad de Dezisio. La aceptación de los Términos por parte del Cliente implica la aceptación de este Encargo.

1. Definiciones

A los efectos del presente Encargo:

• «Datos» son los datos de carácter personal aportados por el Cliente o por su personal autorizado al utilizar el Servicio, así como los generados como resultado del mismo, incluyendo a título enunciativo: datos de identificación de propietarios o terceros que aparezcan en la información del activo, ubicaciones, referencias catastrales, fotografías, planos y documentos asociados.
• «Servicio» es la plataforma digital ofrecida por Dezisio según se define en los Términos y condiciones.
• «Interesados» son las personas físicas titulares de los datos.
• «Sub-encargados» son los terceros tecnológicos en los que Dezisio se apoya para prestar el Servicio, listados públicamente en /legal/subencargados.
• Las demás definiciones del RGPD se aplican con su significado en dicha norma.

2. Objeto del Encargo

El Cliente, como Responsable, encomienda a Dezisio, como Encargado, el tratamiento de los Datos durante la vigencia de la relación contractual, con la única finalidad de prestar los servicios de análisis financiero, modelización y generación de entregables descritos en los Términos y condiciones.

Dezisio no podrá utilizar los Datos para fines distintos de los descritos, ni cederlos a terceros, salvo obligación legal o instrucción expresa del Responsable.

3. Identificación de la información tratada

A título indicativo y no limitativo, los Datos pueden incluir:

• Categorías de Datos: datos identificativos, datos de contacto, datos económico-financieros, datos catastrales, imágenes y documentos gráficos.
• Categorías de Interesados: clientes del Cliente profesional (propietarios o titulares de derechos sobre los activos analizados), terceros mencionados en la documentación del proyecto, contactos comerciales del Cliente.
• Tipo de tratamiento: recogida, registro, almacenamiento, organización, consulta, estructuración, modificación, extracción, generación de documentos derivados (presentaciones, informes), comunicación al propio Responsable y supresión.

El tratamiento no afecta a categorías especiales de datos del artículo 9 del RGPD ni a datos relativos a condenas e infracciones penales del artículo 10. Si el Cliente identifica que está aportando datos de estas categorías, deberá comunicarlo previamente a Dezisio para acordar las medidas adicionales aplicables.

4. Duración

El Encargo entra en vigor con la aceptación de los Términos y se mantiene vigente mientras dure la relación contractual entre el Cliente y Dezisio.

A su finalización, Dezisio actuará conforme a la cláusula 11 (Devolución y supresión).

5. Obligaciones del Encargado

Dezisio, como Encargado, se obliga a:

1. Tratar los Datos únicamente conforme a las instrucciones documentadas del Responsable, materializadas en los Términos, esta política y la configuración elegida por el Cliente en el Servicio. Si Dezisio considera que alguna instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente al Cliente.
2. Mantener confidencialidad sobre los Datos. Las personas autorizadas para tratarlos asumirán el deber de confidencialidad de manera expresa y por escrito o equivalente vinculante.
3. Implementar medidas técnicas y organizativas apropiadas conforme al artículo 32 RGPD, incluyendo:
   • Cifrado de los Datos en tránsito (HTTPS/TLS) y en reposo cuando lo permite el sub-encargado de almacenamiento.
   • Control de acceso por roles, con acceso administrativo limitado al personal estrictamente necesario.
   • Separación lógica de entornos (desarrollo, pre-producción, producción).
   • Copias de seguridad periódicas y plan de recuperación.
   • Registro de accesos administrativos a la información del Cliente.
   • Revisión periódica de la postura de seguridad de los sub-encargados.
4. No incorporar nuevos sub-encargados sin información previa, conforme a la cláusula 6.
5. Asistir al Responsable, en la medida razonable y mediante medios técnicos apropiados, en:
   • La atención y respuesta al ejercicio de los derechos de los Interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
   • La realización de análisis de impacto en la protección de datos (DPIA) si fueran necesarios.
   • Las consultas previas a la autoridad de control que pudiera realizar el Responsable.
   • El cumplimiento de las obligaciones del Responsable en materia de seguridad y notificación de violaciones.
6. Notificar sin dilación indebida y, en cualquier caso, dentro de las 72 horas siguientes a haber tenido constancia, cualquier violación de la seguridad de los Datos que afecte a información tratada por cuenta del Responsable. La notificación incluirá la información razonablemente disponible sobre la naturaleza de la violación, los datos afectados, las posibles consecuencias y las medidas tomadas o propuestas.
7. Poner a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD, así como permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por él, sujeto a la cláusula 8 (Auditorías).

6. Sub-encargados

El Responsable autoriza con carácter general a Dezisio a recurrir a los sub-encargados listados en /legal/subencargados para la prestación del Servicio.

Si Dezisio se propone incorporar un nuevo sub-encargado o sustituir alguno de los actuales, lo notificará al Responsable con al menos quince (15) días naturales de antelación a través de la página de Sub-encargados y, en su caso, por correo electrónico. El Responsable podrá oponerse motivadamente por razones relacionadas con la protección de datos. En tal caso, ambas partes negociarán de buena fe alternativas, y, si no se alcanza un acuerdo, el Responsable podrá rescindir el contrato sin penalización.

Dezisio se asegurará de que los sub-encargados ofrezcan garantías equivalentes a las del presente Encargo, mediante contratos u otros instrumentos jurídicos vinculantes que cumplan con el artículo 28.4 RGPD.

7. Transferencias internacionales

Algunos sub-encargados tienen su sede o tratan datos fuera del Espacio Económico Europeo. En esos casos, Dezisio aplicará los mecanismos previstos en el Capítulo V del RGPD: decisiones de adecuación, adhesión al Data Privacy Framework UE-EE.UU. o cláusulas contractuales tipo aprobadas por la Comisión Europea, según corresponda.

La página de Sub-encargados detalla, para cada proveedor, la base de la transferencia internacional aplicable.

8. Auditorías

El Responsable podrá auditar el cumplimiento del presente Encargo por parte de Dezisio una (1) vez al año o más, si existieran indicios razonables de incumplimiento o tras una violación de seguridad. Las auditorías se realizarán mediante:

• Cuestionarios escritos al Encargado.
• Revisión de informes de auditoría externa o certificaciones (ISO 27001, SOC 2, etc.) cuando estén disponibles.
• Cuando lo anterior no sea suficiente, inspecciones in situ con preaviso razonable y en horario laboral, asumiendo el Responsable los gastos asociados salvo que se constate un incumplimiento material.

Las personas designadas para realizar la auditoría asumirán obligaciones de confidencialidad equivalentes a las del Encargado.

9. Obligaciones del Responsable

El Cliente, en su condición de Responsable, se obliga a:

1. Disponer de una base legal adecuada para el tratamiento de los datos de los Interesados que aporte al Servicio, incluyendo el consentimiento, la ejecución de un contrato, una obligación legal, un interés legítimo u otra base prevista en el artículo 6 RGPD.
2. Informar a los Interesados, conforme a los artículos 13 y 14 RGPD, de los tratamientos realizados sobre sus datos, incluyendo la existencia del presente Encargo y la identidad de Dezisio como Encargado.
3. Garantizar que los Datos aportados son veraces, exactos y proporcionales a la finalidad del tratamiento. Dezisio no es responsable de la inexactitud de la información de origen.
4. No aportar datos cuyo tratamiento no esté legitimado, ni datos de categorías especiales sin haber comunicado previamente la circunstancia a Dezisio.
5. Atender los derechos de los Interesados como Responsable principal, recurriendo a la asistencia de Dezisio cuando sea necesario.

10. Régimen de responsabilidad

Cada parte responderá frente a terceros y frente a la otra parte por los daños y perjuicios directos derivados de su incumplimiento del presente Encargo y de la normativa aplicable, en los términos del artículo 82 RGPD.

La limitación de responsabilidad establecida en los Términos y condiciones de Dezisio no aplica a las obligaciones derivadas del presente Encargo respecto de los Interesados ni a las multas administrativas que pudieran imponerse por la autoridad de control.

11. Devolución y supresión

A la terminación de la relación contractual, Dezisio:

1. A elección del Responsable, devolverá los Datos en un formato estructurado, de uso común y lectura mecánica, o los suprimirá de sus sistemas y de los de los sub-encargados.
2. Por defecto, suprimirá los Datos en un plazo razonable que no superará los noventa (90) días naturales desde la finalización, salvo que la conservación sea exigida por una norma jurídica.
3. Conservará los datos contables y fiscales estrictamente necesarios para el cumplimiento de obligaciones legales (por ejemplo, facturación), durante los plazos legalmente exigibles.
4. Podrá conservar copias de seguridad cifradas durante los ciclos de rotación habituales (típicamente 30-90 días), tras los cuales serán definitivamente sobrescritas.

A petición del Responsable, Dezisio facilitará un certificado de supresión.

12. Ley aplicable y jurisdicción

El presente Encargo se rige por la legislación española y, en lo no previsto, por la normativa europea sobre protección de datos. Para la resolución de controversias, las partes se someten a los tribunales competentes según los Términos y condiciones de Dezisio.

13. Entrada en vigor

El presente Encargo es vinculante desde el momento de la aceptación de los Términos y condiciones por parte del Cliente.

Contacto

Para cualquier consulta relacionada con el presente Encargo, ejercicio de derechos, comunicación de incidentes o petición de información sobre los sub-encargados: hello@dezisio.com.