Contrato de encargo del tratamiento

Este contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta junto con los Términos al activar la cuenta y dura lo mismo que ellos.

• Responsable del tratamiento: la empresa o profesional cliente de DOCTUM («el cliente»).
• Encargado del tratamiento: NEWTEX ESPJ, NIF E26701060, C/ Río Jaranda 7, Bajo C, 10004 Cáceres, info@newtex.es («NEWTEX»).

1. Qué se trata y para qué

• Objeto y finalidad: leer con IA los documentos que el cliente sube o reenvía al buzón, sacar los datos que pide, guardarlos, enseñárselos, generar documentos PDF, exportarlos y enviarlos a sus integraciones (API y webhooks). Nada más.
• Operaciones: recogida, almacenamiento, lectura automatizada, estructuración, consulta, modificación por el cliente, comunicación a las integraciones que él configura, conservación y supresión.
• Datos: los que aparezcan en los documentos del cliente. Por lo general, datos identificativos y de contacto (nombre, NIF o DNI, dirección, teléfono, correo), económicos y de facturación (importes, cuentas bancarias), y laborales si sube nóminas o contratos.
• Personas afectadas: proveedores, clientes, empleados y otros contactos del cliente que aparezcan en sus documentos.
• Duración: mientras exista la cuenta del cliente; al terminar, se aplica el apartado 9.

2. Datos especialmente protegidos

DOCTUM no está pensado para categorías especiales de datos (salud, afiliación sindical, origen étnico, datos biométricos y las demás del art. 9 RGPD) ni para datos penales (art. 10). Algunos documentos pueden traerlos de forma incidental: una nómina con una baja médica o una cuota sindical, por ejemplo. Si el cliente los sube:

• el cliente garantiza que tiene una base legal para tratarlos (art. 9.2 RGPD) y que es necesario hacerlo con DOCTUM;
• valora si necesita una evaluación de impacto (art. 35 RGPD) y, si puede, oculta o no extrae los campos que no necesita;
• NEWTEX los trata con las mismas medidas que el resto de datos, sin medidas reforzadas añadidas, y solo para lo que el cliente pide.

No subas datos de menores salvo que tu actividad lo requiera y tengas base legal para ello.

3. Instrucciones del cliente

NEWTEX trata los datos solo siguiendo las instrucciones documentadas del cliente: estos Términos, este contrato y lo que el cliente configura en el panel (plantillas, buzón, retención, integraciones). Activar el tratamiento con IA es la instrucción de enviar los documentos a Anthropic para leerlos (apartado 6). Si una instrucción infringe la normativa, NEWTEX avisará al cliente. NEWTEX no usa los datos para fines propios ni para entrenar modelos de IA.

4. Confidencialidad

Solo acceden a los datos las personas de NEWTEX que lo necesitan para prestar o mantener el servicio (por ejemplo, para resolver una incidencia que pide el cliente), y todas tienen deber de confidencialidad, también después de terminar su relación con NEWTEX. Las entradas de soporte en la cuenta de un cliente quedan registradas.

5. Medidas de seguridad (art. 32 RGPD)

• Cifrado en tránsito (TLS) y en reposo en la base de datos y el almacenamiento.
• Separación por empresa: cada operación comprueba que el dato es de la empresa que lo pide.
• Archivos en almacenamiento privado, servidos solo a usuarios con sesión de esa empresa; sin enlaces públicos.
• Verificación en dos pasos, sesiones revocables, bloqueo por intentos fallidos y contraseñas cifradas (bcrypt).
• Roles con permisos distintos y registro de auditoría de las acciones sensibles.
• El contenido de los documentos se trata como datos, nunca como instrucciones para la IA.
• El generador de PDF trabaja aislado y sin acceso a la red.
• Registros de errores sin el contenido de los documentos ni las credenciales.
• Revisiones de seguridad periódicas y corrección de lo que encuentran.

Más detalle en Seguridad y protección de datos. NEWTEX puede mejorar estas medidas; no las rebajará por debajo de lo descrito.

6. Subencargados

El cliente da a NEWTEX una autorización general para usar estos subencargados, a los que NEWTEX impone por contrato las mismas obligaciones de protección de datos (art. 28.4 RGPD):

Anthropic. Según sus condiciones comerciales, no puede entrenar modelos con los datos que se le envían por su API. Borra lo recibido y lo devuelto en un plazo de 30 días, salvo que sus sistemas marquen una petición por posible infracción de su política de uso (en ese caso puede conservarla hasta 2 años) o que la ley le obligue a conservarla. Se compromete a avisar de una brecha en 48 horas.

Cambios. NEWTEX avisará al cliente por correo de cualquier subencargado nuevo o sustituido con al menos 30 días de antelación. El cliente puede oponerse por motivos razonables de protección de datos; si no se encuentra solución, puede darse de baja con devolución de la parte no disfrutada del periodo pagado.

7. Ayuda al cliente

• Derechos de las personas: si alguien ejerce ante NEWTEX un derecho sobre datos del cliente, NEWTEX se lo pasará al cliente en un plazo máximo de 5 días laborables y no lo contestará por su cuenta. El panel permite buscar, corregir, exportar y borrar los datos para atenderlos.
• Seguridad, evaluaciones de impacto y consultas a la autoridad: NEWTEX dará al cliente la información de que disponga para cumplir los artículos 32 a 36 del RGPD.

8. Brechas de seguridad

Si NEWTEX sufre una brecha que afecte a datos del cliente, se lo comunicará sin dilación indebida y, como máximo, en 48 horas desde que la conozca, para que el cliente pueda notificarla a la Agencia Española de Protección de Datos dentro de sus 72 horas (art. 33 RGPD) y, si hace falta, a las personas afectadas (art. 34). La comunicación dirá, con lo que se sepa en ese momento, qué ha pasado, qué datos y cuántas personas pueden estar afectadas, las consecuencias probables, las medidas tomadas y una persona de contacto; lo que falte se enviará en cuanto se conozca. Notificar a la autoridad y a los afectados le corresponde al cliente, como responsable.

9. Al terminar

El cliente puede exportar todos sus datos en cualquier momento desde Mi empresa → Protección de datos. Cuando la persona propietaria elimina la cuenta, NEWTEX suprime los documentos y datos de inmediato; desaparecen de las copias de seguridad cuando estas rotan (hasta 30 días). NEWTEX solo conserva, bloqueado, lo que una ley le obligue a guardar. Mientras la cuenta exista, aunque ya no tenga un plan de pago, los datos se conservan para que el cliente pueda consultarlos y exportarlos, salvo que haya fijado un plazo de borrado automático.

10. Información y auditorías

NEWTEX pondrá a disposición del cliente la información necesaria para demostrar que cumple este contrato. El cliente, o un auditor independiente obligado a confidencialidad, puede auditarlo como mucho una vez al año, avisando con 30 días, en horario laboral, a su cargo y sin acceder a datos de otros clientes; antes, NEWTEX puede ofrecer documentación o respuestas por escrito que lo hagan innecesario. Si hay una brecha o lo pide una autoridad, se puede auditar antes.

11. Obligaciones del cliente

• Tener una base legal para tratar los datos que sube e informar a las personas afectadas cuando la ley lo exija.
• Dar instrucciones lícitas y configurar bien su cuenta (usuarios, permisos, buzón, retención e integraciones).
• Revisar lo que extrae la IA antes de usarlo.
• Supervisar el tratamiento y avisar a NEWTEX si detecta un problema.

12. Responsabilidad

Cada parte responde de los daños y sanciones que se deban a su propio incumplimiento del RGPD o de este contrato (art. 82 RGPD). Si NEWTEX trata los datos para otros fines o fuera de las instrucciones, pasa a ser responsable de ese tratamiento (art. 28.10 RGPD). En lo demás, se aplica el apartado de responsabilidad de los Términos.