Contrato de encargo del tratamiento

Borrador para revisión del fundador y después del abogado. No es todavía un contrato válido. Los huecos van marcados con [PENDIENTE] y las dudas con [REVISAR]. La estructura sigue las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915 y las directrices de la AEPD sobre contratos de encargo; el texto está adaptado a Esmartina y escrito en llano. [REVISAR: decidir con el abogado si se incorporan las cláusulas tipo de la Comisión literalmente (como permite su cláusula 2) con estos anexos, o se mantiene un texto propio. Incorporarlas literalmente simplifica la revisión.]

Se acepta en el alta (F1) con un clic. Esmartina registra versión, fecha y hora, persona que acepta y correo al que se envía la copia (orgs.dpa_version, orgs.dpa_accepted_at, orgs.dpa_accepted_by_member_id).

Partes

• Responsable del tratamiento («la empresa»): la empresa cliente cuya razón social y NIF constan en la aceptación, representada por quien acepta, que declara tener facultades para ello.
• Encargado del tratamiento («Esmartina»): [PENDIENTE: nombre y apellidos del fundador], persona trabajadora autónoma, con NIF [PENDIENTE] y domicilio en [PENDIENTE], que presta el servicio con el nombre comercial Esmartina. Contacto de protección de datos: [PENDIENTE: correo].

1. Objeto

1.1. Este contrato regula el tratamiento de datos personales que Esmartina hace por cuenta de la empresa para prestarle el servicio Esmartina: el agente que escribe al fundador y a los managers, el archivo de la empresa, las guías de conversación, la importación del equipo y las conexiones que la empresa active.

1.2. La descripción del tratamiento está en el Anexo II. Los Anexos I a IV forman parte del contrato.

1.3. Lo que no es encargo. Nora, el agente de cada persona del equipo, trabaja para esa persona y no para la empresa. El espacio privado de cada persona y su pasaporte (credenciales aceptadas, avales, narrativa) no se tratan por cuenta de la empresa: la empresa no puede leerlos ni dar instrucciones sobre ellos, y Esmartina los trata con la persona según su propia política de privacidad. Solo lo que la persona decide dar a la empresa (el pulso etiquetado, un mensaje que confirma que le llegue a su manager, lo que presenta de su pasaporte) entra en el tratamiento por cuenta de la empresa. [REVISAR: el abogado valida esta separación de papeles; es la duda principal del contrato.]

2. Instrucciones

2.1. Esmartina trata los datos solo siguiendo las instrucciones documentadas de la empresa. Son instrucciones este contrato, la configuración que la empresa elige en el servicio (capacidades activadas, conexiones y campos permitidos de cada conexión, visibilidad de la retribución para managers) y lo que la empresa confirma en la conversación.

2.2. Esmartina avisa inmediatamente a la empresa si cree que una instrucción infringe la normativa de protección de datos.

2.3. Lo que llega a Esmartina en un fichero, un correo, una nota de voz, una foto o una integración se trata como dato, nunca como instrucción.

3. Finalidad

3.1. Esmartina trata los datos solo para prestar el servicio descrito en el Anexo II. No los usa para entrenar modelos de IA, para publicidad ni para fines propios.

3.2. Agregados de red (opcional). Si la empresa lo autoriza marcando la casilla correspondiente en el alta o en /archivo, Esmartina puede calcular indicadores agregados de varias empresas (por ejemplo, bandas salariales por familia de rol) siempre con al menos cinco empresas y diez observaciones; por debajo no se calcula nada. Los agregados no permiten identificar a ninguna persona ni a ninguna empresa. [REVISAR: el abogado valora si calcular agregados convierte a Esmartina en responsable de ese tratamiento (LOPDGDD art. 33.2) y qué base y qué información hacen falta. Hasta su dictamen, la capacidad network.read y la contribución quedan apagadas.]

4. Duración

Mientras dure la relación de servicio. Al terminar se aplica la cláusula 12.

5. Seguridad

5.1. Esmartina aplica, como mínimo, las medidas técnicas y organizativas del Anexo III, teniendo en cuenta el estado de la técnica, el coste y los riesgos (RGPD art. 32).

5.2. Las personas autorizadas a tratar los datos se comprometen por escrito a la confidencialidad. Hoy es solo el titular; si se suma alguien, firma ese compromiso antes de tener acceso.

5.3. El acceso operativo a datos personales (consola /ops) exige un motivo y queda registrado.

6. Datos especialmente sensibles

6.1. El servicio no está pensado para tratar categorías especiales de datos (salud, afiliación sindical, origen, religión, vida u orientación sexual). La importación descarta salario, DNI, número de Seguridad Social, IBAN, dirección, fecha de nacimiento y teléfono.

6.2. Aun así, la empresa puede mencionar datos de salud en una nota de voz o en un mensaje («está de baja»). Esmartina enseña siempre el destilado antes de registrarlo y la empresa decide qué se registra. [REVISAR: decidir con el abogado si el destilado debe filtrar por defecto menciones de salud y si las ausencias de las integraciones se guardan sin su tipo (por ejemplo, «ausencia» en vez de «baja médica»).]

7. Documentación y auditoría

7.1. Esmartina pone a disposición de la empresa la información necesaria para demostrar el cumplimiento de este contrato y permite auditorías razonables, con preaviso de [REVISAR: 30] días, a cargo de la empresa salvo que se descubra un incumplimiento. [REVISAR: frecuencia máxima.]

7.2. Esmartina publica en /confianza el estado de los tests que comprueban la frontera de memoria y el canal.

8. Subencargados

8.1. La empresa da una autorización general a Esmartina para recurrir a los subencargados del Anexo IV (subencargados.md).

8.2. Esmartina avisa por escrito con al menos [REVISAR: 30] días de antelación de cualquier alta o sustitución. La empresa puede oponerse de forma motivada en ese plazo; si no se resuelve, puede terminar el contrato sin coste.

8.3. Esmartina impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos y responde ante la empresa de su cumplimiento.

8.4. Los canales y fuentes que la empresa elige y conecta (WhatsApp, Slack, Teams, Google Calendar, Factorial, Holded y otros) se rigen por la relación entre la empresa y cada proveedor y se describen en el Anexo IV aparte. [REVISAR: papel de Meta en la Cloud API de WhatsApp.]

9. Transferencias internacionales

Esmartina no transfiere datos fuera del Espacio Económico Europeo con sus subencargados. Si en el futuro hiciera falta, solo con las garantías del capítulo V del RGPD y previo aviso según la cláusula 8. Los canales elegidos por la empresa pueden implicar transferencias por parte de su proveedor (Anexo IV).

10. Asistencia a la empresa

10.1. Esmartina ayuda a la empresa a responder a las solicitudes de las personas (acceso, rectificación, supresión, limitación, portabilidad, oposición) y le reenvía sin dilación cualquier solicitud que reciba directamente sobre datos del registro de la empresa.

10.2. Esmartina ayuda a la empresa en la evaluación de impacto y la consulta previa si fueran necesarias, con la información de que disponga. [REVISAR: el abogado valora si la empresa necesita una evaluación de impacto para usar Esmartina (LOPDGDD art. 28.2 menciona perfiles sobre rendimiento en el trabajo).]

11. Violaciones de seguridad

11.1. Esmartina notifica a la empresa sin dilación indebida, y en todo caso en un plazo de [REVISAR: 48] horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información del art. 33.3 RGPD disponible en ese momento.

11.2. La notificación a la AEPD y a las personas afectadas corresponde a la empresa. Esmartina le ayuda.

12. Fin del servicio

12.1. Al terminar el servicio, la empresa puede exportar su archivo durante 30 días. Pasado ese plazo, Esmartina suprime los datos del registro de la empresa, incluidas las copias, salvo que una norma obligue a conservarlos; en ese caso los conserva bloqueados el tiempo que exija la norma (LOPDGDD art. 33.4). [REVISAR: plazo de las copias de seguridad de Scaleway.]

12.2. Al revocar una conexión, Esmartina borra en 24 horas los datos sincronizados desde ella; se conserva lo que la empresa confirmó como hecho.

12.3. El espacio privado y el pasaporte de cada persona no se borran con la baja de la empresa (cláusula 1.3).

13. Responsabilidad

Cada parte responde de sus incumplimientos según el RGPD (art. 82). [REVISAR: límite de responsabilidad; el abogado lo propone.]

14. Prevalencia, ley y jurisdicción

14.1. En materia de protección de datos, este contrato prevalece sobre las condiciones del servicio.

14.2. Ley española. Juzgados de [PENDIENTE: domicilio del titular], salvo norma imperativa.

Anexo retributivo (pendiente)

Se añade en el D6 (SPEC §9): regula el tratamiento de la retribución individual y las bandas internas, con base en la obligación legal del registro retributivo (ET art. 28.2; RD 902/2020). Activa bands.internal con un clic registrado.

---

Anexo I · Partes

	Responsable	Encargado
Nombre	[razón social del cliente, desde el alta]	[PENDIENTE: nombre del fundador], nombre comercial Esmartina
NIF	[desde el alta]	[PENDIENTE]
Domicilio	[desde el alta, PENDIENTE: el alta hoy no lo pide]	[PENDIENTE]
Contacto	[correo de quien acepta]	[PENDIENTE: correo de privacidad]
Aceptación	[nombre de quien acepta, fecha y hora, versión]	—

Anexo II · Descripción del tratamiento

Personas afectadas: personas trabajadoras de la empresa, en activo y que ya se fueron (si la empresa las importa); fundador y managers; candidatos en procesos de selección, solo como etiqueta libre en las notas de entrevista, sin crear ficha.

Datos

• Identificativos y de contacto de trabajo: nombre, correo de trabajo, identificador de Slack o Teams; teléfono solo de fundador y managers.
• Laborales: puesto, familia de rol, nivel, fechas de alta y baja, responsable, ausencias (fecha y duración), si la salida se lamentó.
• De conversación: hechos y promesas que la empresa confirma; resúmenes de notas de voz confirmados; transcripciones (30 días como máximo); audio (se borra al confirmar y como mucho a los 7 días).
• De calendario (si se activa): identificadores, horas y estado de las reuniones 1:1. Nunca títulos, descripciones ni adjuntos.
• Pulsos que la persona da etiquetados para su manager (carga, claridad, reconocimiento, del 1 al 5).
• Horas (solo si se activa signals.hours, apagada por defecto): horas totales y facturables por semana.
• Retribución (solo con el anexo retributivo): salario bruto anual y bandas.

Nunca: salario de una importación, DNI, número de Seguridad Social, IBAN, dirección, fecha de nacimiento ni teléfono de las personas del equipo; ninguna puntuación, ranking o probabilidad sobre personas.

Naturaleza y operaciones: recogida (importación, conversación, integraciones), estructuración, conservación, consulta, generación de señales deterministas y de textos con IA, comunicación al fundador y managers, supresión.

Finalidad: preparar y recordar conversaciones del fundador y los managers con su equipo; llevar el archivo del equipo; preparar búsquedas, Kits e informes.

Duración: la del servicio, con los plazos de conservación de la cláusula 12 y de /confianza.

Anexo III · Medidas técnicas y organizativas

[REVISAR: comprobar cada medida contra el código antes de publicar; las marcadas (*) están en el diseño pero no verificadas en producción a 17/10/2026.]

• Alojamiento, base de datos, almacenamiento e inferencia en la UE (alojamiento y datos en Ámsterdam, Países Bajos; inferencia de reserva en París), con empresas europeas.
• Separación del registro de la empresa, el pasaporte y el espacio privado en tres esquemas con tres roles de base de datos; seguridad por filas por organización; tests automáticos de frontera en cada cambio.
• Minimización: lista de campos permitidos por conexión; descarte de campos sensibles antes de que ningún modelo los vea; original de cada importación borrado al confirmar y como mucho a las 24 h.
• Proveedor de IA con retención cero (*); el contenido de las entradas se pasa al modelo como dato delimitado, nunca como instrucción.
• Cifrado en tránsito (TLS); credenciales de integraciones cifradas (); cifrado en reposo del proveedor ().
• Autenticación por enlace mágico; el fundador ve su org y cada manager su equipo; la retribución solo la ve el fundador salvo que decida otra cosa.
• Registro de accesos operativos con motivo (audit_reads) (*).
• Conservación limitada: audio, transcripciones, calendario, horas y registros con plazos automáticos (*).
• Copias de seguridad automáticas de la base de datos (*).
• Verificación en dos pasos en las cuentas de proveedores.

Anexo IV · Subencargados

La lista vigente es docs/legal/subencargados.md, publicada en /confianza.