Contrato de encargado del tratamiento
Lo que firmamos sobre los datos de tus clientes, que son tuyos y no nuestros.
Última actualización: 12/10/2026
Partes
RESPONSABLE DEL TRATAMIENTOEl profesional, autónomo o empresa que contrata el servicio Presupuestados, identificado en su cuenta de usuario mediante los datos facilitados en el alta.En adelante, "el Responsable".
ENCARGADO DEL TRATAMIENTOAdrián Blas García, NIF 03134754S, con domicilio en Los Olivos 4, Santa Cruz de Bezana, 39110, Cantabria, titular del servicio Presupuestados.En adelante, "el Encargado".
Ambas partes se reconocen capacidad suficiente y acuerdan las siguientes
CLÁUSULAS
1. Objeto
El presente contrato regula el acceso y tratamiento por parte del Encargado de los datos personales de los que el Responsable es titular, y que se producen como consecuencia de la utilización del servicio Presupuestados.
Este contrato se acepta de forma electrónica en el momento del alta y forma parte integrante de las Condiciones Generales de Uso.
2. Objeto, naturaleza, finalidad y duración del tratamiento
Objeto: prestación del servicio de generación y gestión de presupuestos, banco de precios y documentación comercial asociada.
Naturaleza: recogida, registro, estructuración, conservación, consulta, extracción de datos de documentos, generación de documentos y supresión.
Finalidad: exclusivamente la prestación del servicio contratado. El Encargado no tratará los datos para fines propios.
Duración: mientras se mantenga vigente la relación contractual, más los plazos de conservación previstos en la cláusula 10.
3. Categorías de interesados y de datos
Se detallan en el Anexo I.
4. Obligaciones del Encargado
El Encargado se compromete a:
4.1. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.
4.2. No utilizar los datos para fines distintos de la prestación del servicio. En particular, el Encargado no accederá al contenido de la cuenta del Responsable, salvo en los supuestos previstos en la cláusula 8.
4.3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido incluso tras finalizar la relación.
4.4. Aplicar las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, detalladas en el Anexo III.
4.5. Asistir al Responsable, en la medida de lo posible, en la atención de las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirigiera directamente al Encargado, este trasladará la solicitud al Responsable sin dilación indebida.
4.6. Asistir al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
4.7. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías conforme a la cláusula 9.
4.8. Llevar registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD.
5. Obligaciones del Responsable
El Responsable se compromete a:
5.1. Disponer de base legítima para el tratamiento de los datos que incorpore al servicio, incluidos los de sus propios clientes.
5.2. Informar a los interesados del tratamiento de sus datos y, en su caso, de la existencia de este encargo.
5.3. No introducir en el servicio categorías especiales de datos del artículo 9 del RGPD (salud, ideología, afiliación sindical, datos biométricos, etc.) ni datos relativos a condenas o infracciones penales. El servicio no está diseñado para tratar dichas categorías.
5.4. Velar por el cumplimiento de la normativa de protección de datos con carácter previo y durante el tratamiento.
5.5. Custodiar adecuadamente sus credenciales de acceso y las de los usuarios de su cuenta.
6. Subencargados
6.1. El Responsable autoriza de forma general al Encargado a recurrir a los subencargados relacionados en el Anexo II, necesarios para la prestación del servicio.
6.2. El Encargado suscribirá con cada subencargado un contrato que le imponga obligaciones equivalentes a las del presente, y responderá ante el Responsable del cumplimiento por parte de aquellos.
6.3. El Encargado informará al Responsable de cualquier incorporación o sustitución de subencargados autorizados con una antelación mínima de treinta (30) días naturales, mediante comunicación al correo electrónico asociado a la cuenta del Responsable o mediante aviso en el panel de la aplicación. El Responsable podrá oponerse por motivos razonables y debidamente justificados, comunicándolo por escrito en el mismo plazo. Si la oposición no pudiera ser atendida sin comprometer técnicamente la prestación del Servicio, cualquiera de las partes podrá resolver el contrato sin penalización alguna, con un preaviso de quince (15) días naturales. La mera falta de respuesta del Responsable en el plazo indicado se entenderá como aceptación tácita del nuevo subencargado.
7. Transferencias internacionales
Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. En tales casos, el Encargado garantiza que existen las garantías adecuadas previstas en el Capítulo V del RGPD.
El detalle por proveedor figura en el Anexo II.
8. Acceso de soporte
8.1. El Encargado no accederá al contenido de la cuenta del Responsable salvo que este lo autorice expresamente mediante la funcionalidad de acceso de soporte disponible en la aplicación.
8.2. Dicha autorización caduca automáticamente transcurrida una hora desde que se concede, y el Responsable puede revocarla en cualquier momento desde su cuenta. Mientras está activa, la aplicación muestra un aviso permanente en todas las pantallas del Responsable.
8.3. El acceso así autorizado permite consultar y también actuar sobre la cuenta, dado que su finalidad es resolver la incidencia del Responsable. Las modificaciones realizadas durante el acceso figuran en el historial del documento afectado a nombre del titular de la cuenta, por realizarse con su propia sesión.
8.4. Todo acceso queda registrado con indicación de quién accedió, cuándo entró y cuándo salió, siendo dicho registro consultable por el Responsable desde su cuenta.
8.5. Excepcionalmente, el Encargado podrá acceder sin autorización previa cuando resulte estrictamente imprescindible para resolver una incidencia crítica que afecte a la seguridad, la integridad o la disponibilidad de los datos. En tal caso el acceso se limita a lo estrictamente necesario, caduca automáticamente transcurrida una hora, queda igualmente registrado y se comunica al Responsable sin dilación.
9. Auditoría
El Responsable podrá verificar el cumplimiento de este contrato mediante solicitud de información documental o, con preaviso razonable de 30 días y no más de una vez al año, mediante auditoría. Los costes serán asumidos por el Responsable salvo que se detecten incumplimientos sustanciales.
10. Violaciones de seguridad
10.1. El Encargado notificará al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales. La notificación inicial podrá realizarse de forma provisional cuando aún no se disponga de información completa, completándose en fases sucesivas. El cómputo del plazo se iniciará desde el momento en que el Encargado tenga indicios razonables y verificados de que se ha producido una violación de seguridad, y no desde el momento de la mera detección de una alerta técnica no confirmada.
10.2. La notificación incluirá, en la medida de lo posible: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas y datos de contacto para obtener más información.
10.3. Corresponde al Responsable, en su caso, notificar la violación a la autoridad de control y a los interesados.
11. Devolución y supresión de los datos
11.1. Finalizada la relación contractual, el Responsable dispondrá de 30 días para solicitar la devolución de los datos personales tratados por cuenta suya, conforme al artículo 28.3.g del Reglamento General de Protección de Datos. La solicitud se dirige al correo de soporte y el Encargado la atiende en el plazo legalmente previsto, facilitando los datos en formato estructurado y de uso común.
11.2. Transcurrido dicho plazo, el Encargado suprimirá los datos, salvo aquellos que deba conservar bloqueados para atender posibles responsabilidades legales y durante el plazo de prescripción de estas.
11.3. La supresión alcanzará también a las copias existentes en los subencargados, conforme a los plazos técnicos de sus respectivas políticas de copias de seguridad.
12. Responsabilidad
Cada parte responderá de los daños que cause por incumplimiento de sus obligaciones conforme al artículo 82 del RGPD y demás normativa aplicable.
Sin perjuicio de lo anterior, y en el marco de la contratación entre profesionales, la responsabilidad total del Encargado frente al Responsable derivada de este contrato quedará limitada al importe abonado por el Responsable al Encargado en los doce (12) meses anteriores al hecho generador de la reclamación, salvo en los supuestos de dolo o culpa grave del Encargado. Esta limitación no se aplicará a los supuestos de responsabilidad directa frente a autoridades de control o interesados, que se regirán en todo caso por el artículo 82 del RGPD.
Para la resolución de cualquier controversia derivada de la interpretación, cumplimiento o resolución del presente contrato, las partes se someten expresamente a los Juzgados y Tribunales de Santander, con renuncia a cualquier otro fuero que pudiera corresponderles.
13. Jurisdicción y Ley aplicable
Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa española y europea aplicable.
Para la resolución de cualquier controversia derivada de la interpretación, cumplimiento o resolución del presente contrato, las partes se someten expresamente a los Juzgados y Tribunales de Santander, con renuncia a cualquier otro fuero que pudiera corresponderles.
ANEXO I — Categorías de interesados y de datos
Categorías de interesados
Clientes finales del Responsable (particulares, comunidades de propietarios y empresas)
Empleados y colaboradores del Responsable con acceso a la cuenta
Contactos de proveedores que figuren en la documentación aportada
Categorías de datos
Identificativos: nombre y apellidos o razón social, NIF/CIF
De contacto: dirección postal, teléfono, correo electrónico
Datos de la obra: emplazamiento, descripción de los trabajos, fotografías
Datos económicos: importes presupuestados, precios, condiciones de pago
Firma manuscrita digitalizada, en su caso, para la aceptación de presupuestos
Datos derivados de documentos aportados por el Responsable (albaranes, tarifas y facturas de proveedores)
Categorías excluidasNo deben incorporarse categorías especiales de datos del artículo 9 del RGPD ni datos relativos a condenas e infracciones penales.
ANEXO II — Subencargados autorizados
Subencargado
Servicio prestado
Región
Supabase Inc. — base de datos y almacenamiento de archivos — Unión Europea (Irlanda).
Vercel Inc. — alojamiento y ejecución de la aplicación — Unión Europea (Fráncfort).
Stripe Payments Europe, Ltd. — cobro de la suscripción — Unión Europea (Irlanda), con tratamientos en Estados Unidos amparados en Cláusulas Contractuales Tipo.
Resend, Inc. — envío de correo transaccional — Unión Europea (Irlanda).
OpenAI, L.L.C. — transcripción de los dictados de voz — Estados Unidos, con Cláusulas Contractuales Tipo. El audio se suprime tras la transcripción y no se utiliza para entrenar modelos.
Anthropic PBC — generación del borrador de presupuesto — Estados Unidos, con Cláusulas Contractuales Tipo. Los datos no se utilizan para entrenar modelos.
La relación actualizada está disponible en presupuestados.com/legal/subencargados.
ANEXO III — Medidas técnicas y organizativas
Control de acceso
Autenticación individual por usuario
Acceso administrativo limitado a las personas expresamente designadas, con credenciales propias y registro de sus accesos
Verificación en dos pasos obligatoria en las cuentas administrativas
Separación lógica de los datos de cada cliente
Principio de mínimo privilegio
Cifrado
Cifrado de las comunicaciones en tránsito (HTTPS/TLS)
Cifrado de los datos en reposo conforme a las capacidades del proveedor de infraestructura
Trazabilidad
Registro de accesos administrativos con indicación de quién accedió, cuándo entró y cuándo salió
Registro consultable por el Responsable
Continuidad
Copias de seguridad diarias, cifradas, custodiadas fuera del proveedor principal, con retención de 30 días
Procedimiento documentado de recuperación
Gestión de incidentes
Procedimiento de detección, evaluación y notificación de brechas
Registro interno de incidencias de seguridad
Ciclo de vida del dato
Supresión automática de las grabaciones de audio tras su transcripción correcta, con conservación máxima de 30 días cuando la transcripción resulte incompleta
Supresión de los documentos originales aportados transcurridos 6 meses
Procedimiento de supresión al finalizar la relación contractual
Organizativas
Compromiso de confidencialidad de toda persona con acceso a los sistemas
Formación básica en protección de datos
Revisión periódica de las medidas