Contrato de encargo del tratamiento (DPA)

1. PartesCopy Anchor Link

1.1. Responsable del tratamiento: el cliente que acepta los Términos del servicio de Constaia o firma un contrato Empresa («Responsable»).

1.2. Encargado del tratamiento: Add On Sport S.L., NIF [COMPLETAR: NIF], con domicilio en [COMPLETAR: domicilio social completo], inscrita en el Registro Mercantil de [COMPLETAR: datos registrales], que presta el servicio Constaia («Encargado»).

1.3. Este contrato forma parte de los Términos del servicio y se entiende aceptado con ellos. Si el Responsable necesita una versión firmada, puede solicitarla en [COMPLETAR: email de privacidad].

2. ObjetoCopy Anchor Link

El Encargado trata datos personales por cuenta del Responsable para prestarle el servicio Constaia: recibir documentos, reconocer su texto (OCR), clasificarlos, extraer campos, aplicar comprobaciones, emitir un veredicto y, si el Responsable lo pide, generar exportaciones y enviar notificaciones por webhook a las URL que el Responsable configure.

3. DuraciónCopy Anchor Link

Mientras el Responsable use el servicio. Al terminar se aplica el apartado 13.

4. Naturaleza y finalidadCopy Anchor Link

4.1. Naturaleza: recepción, almacenamiento temporal o persistente según las instrucciones, reconocimiento de texto, análisis con modelos de IA, extracción, validación, consulta, exportación, comunicación al Responsable y supresión.

4.2. Finalidad: la que determine el Responsable (por ejemplo, comprobar la documentación de una inscripción o de una licencia deportiva). El Encargado no trata los datos para fines propios.

5. Tipos de datos y categorías de interesadosCopy Anchor Link

5.1. Tipos de datos, según los documentos que envíe el Responsable:

• Identificativos y de contacto: nombre, apellidos, número de documento, fecha y lugar de nacimiento, sexo, nacionalidad, domicilio, firma, fotografía impresa en el documento.
• Documentos de identidad y de residencia (DNI, NIE/TIE, pasaportes, documentos de identidad de la UE, permisos de conducir).
• Datos económicos: IBAN, importes, conceptos de pago, facturas.
• Datos académicos y profesionales: titulaciones, licencias federativas, número de colegiado del médico firmante.
• Categorías especiales (art. 9 RGPD): datos de salud contenidos en certificados médicos o de discapacidad.
• Datos relativos a condenas e infracciones penales (art. 10 RGPD): certificados de delitos de naturaleza sexual y de antecedentes penales.

5.2. El Responsable debe enviar solo los documentos necesarios y, cuando sea posible, pedir solo los campos imprescindibles (por ejemplo, apto, fecha y número de colegiado en un certificado médico, sin diagnósticos).

5.3. Categorías de interesados: las personas cuyos datos figuran en los documentos (por ejemplo, deportistas, socios, alumnos, empleados, clientes, proveedores, menores representados por sus tutores, médicos o firmantes).

6. Instrucciones documentadasCopy Anchor Link

6.1. El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable. Son instrucciones del Responsable, entre otras:

• las opciones de cada petición a la API: storage (none, temporary o persistent), ttl_hours, keep_results, extract, checks, export y metadata;
• las peticiones de borrado (DELETE /v1/analyses/{id});
• la configuración de la cuenta (retención por defecto, webhooks, miembros).

6.2. Efecto de las opciones de conservación:

• storage: "none" (por defecto): el fichero se borra en cuanto termina el análisis.
• storage: "temporary": el fichero se borra a las ttl_hours horas (de 1 a 720; 24 por defecto).
• storage: "persistent": el fichero se conserva hasta que el Responsable lo borre.
• keep_results: false: tampoco se guardan los campos extraídos; solo se conservan los datos necesarios para la facturación.

6.3. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente al Responsable.

6.4. Si el Derecho de la UE o de un Estado miembro obliga al Encargado a tratar los datos de otro modo, informará al Responsable antes del tratamiento, salvo que la ley lo prohíba.

7. ConfidencialidadCopy Anchor Link

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando es necesario para prestar el servicio, dar soporte a petición del Responsable o resolver incidencias.

8. Medidas de seguridad (art. 32 RGPD)Copy Anchor Link

• Alojamiento y procesamiento en la Unión Europea.
• Cifrado en tránsito con TLS.
• Cifrado de ficheros en reposo en la aplicación con AES-256-GCM y una clave distinta por cuenta.
• Claves de API y contraseñas guardadas solo como hash; claves de API revocables.
• Control de acceso por roles en el panel y acceso interno restringido según necesidad.
• Registro de auditoría de las acciones (quién, IP, acción y cambios).
• Borrado automático de ficheros según la opción storage.
• URL de exportación firmadas y con caducidad.
• [COMPLETAR: copias de seguridad (cifrado, ubicación y plazo de rotación), gestión de vulnerabilidades, plan de continuidad]

Constaia no utiliza los documentos ni los resultados para entrenar modelos.

9. SubencargadosCopy Anchor Link

9.1. El Responsable autoriza de forma general al Encargado a recurrir a subencargados. Los actuales son:

[COMPLETAR: confirmar con Mistral AI el plan contratado y sus condiciones de retención de datos (retención cero)]

9.2. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato y responde ante el Responsable de su cumplimiento.

9.3. Cambios. El Encargado avisará de cualquier alta o sustitución de subencargados con al menos 30 días de antelación, por email a la dirección de la cuenta y en esta página. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si no se llega a una solución, el Responsable puede dejar de usar el servicio y cerrar su cuenta antes de que el cambio se aplique. [COMPLETAR: confirmar consecuencias económicas de la oposición (p. ej. reembolso proporcional de créditos no usados)]

10. Transferencias internacionalesCopy Anchor Link

Los documentos y resultados se tratan en la UE. El Encargado no transferirá esos datos fuera del Espacio Económico Europeo sin instrucción del Responsable y sin las garantías del capítulo V del RGPD.

11. Asistencia al ResponsableCopy Anchor Link

11.1. Derechos de los interesados. El Encargado ayudará al Responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. La API permite consultar (GET /v1/analyses/{id}) y borrar (DELETE /v1/analyses/{id}) análisis. Si un interesado se dirige directamente al Encargado, este trasladará la solicitud al Responsable sin dilación y no la contestará por su cuenta.

11.2. Evaluaciones de impacto y consultas previas. El Encargado facilitará la información disponible sobre el tratamiento y las medidas de seguridad para que el Responsable realice evaluaciones de impacto (art. 35 RGPD) y, si procede, consultas previas a la autoridad de control (art. 36 RGPD).

12. Violaciones de seguridadCopy Anchor Link

12.1. El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos. [COMPLETAR: confirmar plazo]

12.2. La notificación incluirá, en la medida en que se conozca: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información que no esté disponible se facilitará por fases.

12.3. Corresponde al Responsable notificar, en su caso, a la autoridad de control y a los interesados.

13. Fin del tratamientoCopy Anchor Link

Al terminar el servicio, el Encargado suprimirá los documentos y resultados del Responsable en un plazo de [COMPLETAR: 30 días], salvo que el Responsable pida antes su devolución (por ejemplo, mediante las exportaciones de la API) o que una norma exija conservarlos. Las copias de seguridad se eliminarán en su ciclo ordinario de rotación [COMPLETAR: plazo]. Se conservarán bloqueados solo los datos de facturación necesarios para cumplir obligaciones legales.

14. AuditoríasCopy Anchor Link

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permitirá auditorías, incluidas inspecciones, por el Responsable o por un auditor designado por él y sujeto a confidencialidad, con un preaviso razonable de [COMPLETAR: 30 días], en horario laboral y sin perjudicar a otros clientes. [COMPLETAR: reparto de costes de la auditoría y frecuencia máxima]

15. Inteligencia artificialCopy Anchor Link

15.1. Constaia no realiza identificación ni verificación biométrica, no compara rostros y no trata la fotografía del documento con fines biométricos.

15.2. Los resultados son indicios automatizados. Corresponde al Responsable garantizar la supervisión humana cuando la ley lo exija (en particular, art. 22 RGPD) y cumplir las obligaciones que le correspondan como usuario de un sistema de IA.

16. Obligaciones del ResponsableCopy Anchor Link

El Responsable garantiza que dispone de base legal para el tratamiento (y, para los datos de los arts. 9 y 10 RGPD, de la habilitación correspondiente), que ha informado a los interesados y que sus instrucciones cumplen la normativa.

17. Ley aplicableCopy Anchor Link

Este contrato se rige por la ley española y por el RGPD. Para las controversias se aplica la jurisdicción pactada en los Términos del servicio.

18. FirmaCopy Anchor Link

Para la versión firmada de este contrato: