Contrato de encargo del tratamiento

Partes

• Responsable del tratamiento («el Cliente»): la organización que contrata Aliteria, identificada por el nombre y el NIF que constan en su cuenta.
• Encargado del tratamiento («VisibleSoft»): VisibleSoft, S.L., NIF B88425285, Calle los Brezos, 72-2, 28978 Cubas de la Sagra (Madrid), inscrita en el Registro Mercantil de Madrid, tomo 39413, folio 60, hoja M-699782. Presta el servicio con el nombre comercial Aliteria.

Este contrato forma parte de las condiciones de contratación de Aliteria. Se aplica desde que el Cliente crea su organización (también durante la prueba gratuita) y mientras VisibleSoft trate datos por su cuenta.

1. Objeto

VisibleSoft trata por cuenta del Cliente los datos personales de su personal que el Cliente introduce en Aliteria, con el único fin de prestarle el servicio: invitar a las personas, darles acceso, registrar el acuse de la política de uso de IA y los cursos, y generar el registro de evidencias del artículo 4 del Reglamento (UE) 2024/1689. El anexo I describe el tratamiento.

Quedan fuera de este contrato los datos que VisibleSoft trata como responsable: los de la cuenta del administrador como cliente, la facturación, la lista de espera y la seguridad del servicio. Se rigen por la política de privacidad de Aliteria.

2. Duración

Mientras dure la relación con el Cliente, incluida la prueba, y, después, el tiempo necesario para devolver y suprimir los datos según la cláusula 11.

3. Instrucciones

1. VisibleSoft trata los datos solo siguiendo instrucciones documentadas del Cliente. Son instrucciones este contrato, las condiciones de contratación y lo que el Cliente hace en el panel (invitar, quitar el acceso, guardar una política, exportar, pedir una supresión).
2. Si una instrucción infringe a juicio de VisibleSoft el RGPD u otra norma de protección de datos, se lo dirá al Cliente de inmediato (art. 28.3, último párrafo).
3. VisibleSoft no usa los datos para fines propios. En particular, no los usa para entrenar modelos de IA, para publicidad ni para elaborar perfiles.

4. Obligaciones del Cliente

1. Tener una base jurídica para tratar los datos de su personal en Aliteria y para registrar la IP y la fecha del acuse.
2. Informar a su personal (arts. 13 y 14 RGPD). VisibleSoft le facilita un texto modelo (anexo IV) y lo muestra también en la invitación y en el panel.
3. Introducir solo los datos necesarios: correos de trabajo y, en la política, solo los datos de personas que deban figurar.
4. Dar instrucciones lícitas y atender a las personas que ejerzan sus derechos.

5. Confidencialidad

VisibleSoft garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b RGPD y art. 5 LOPDGDD), también después de terminar su relación con VisibleSoft.

6. Seguridad

VisibleSoft aplica las medidas técnicas y organizativas del anexo II, apropiadas al riesgo (art. 32 RGPD). Puede actualizarlas si no reduce el nivel de protección.

7. Subencargados

1. El Cliente da una autorización general para que VisibleSoft recurra a los subencargados del anexo III.
2. VisibleSoft avisará al Cliente por correo, con al menos 30 días de antelación, de cualquier alta o sustitución de un subencargado. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos. Si no se llega a un acuerdo, el Cliente puede terminar el contrato y VisibleSoft le devolverá la parte del precio no consumida.
3. VisibleSoft impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este documento y responde ante el Cliente de su cumplimiento (art. 28.4 RGPD).

8. Transferencias internacionales

VisibleSoft solo transferirá datos fuera del Espacio Económico Europeo con una garantía del capítulo V del RGPD: decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades certificadas) o cláusulas contractuales tipo de la Comisión. El anexo III indica la ubicación y la garantía de cada subencargado.

9. Derechos de las personas

1. Si una persona se dirige a VisibleSoft para ejercer sus derechos sobre datos de este encargo, VisibleSoft trasladará la solicitud al Cliente en un plazo de 5 días hábiles y no responderá sobre el fondo salvo instrucción del Cliente.
2. VisibleSoft ayuda al Cliente, con las funciones del panel y, si hace falta, a mano, a responder en plazo (art. 28.3.e RGPD): exportar los datos de una persona, rectificarlos, quitarle el acceso o suprimirlos.

10. Brechas de seguridad y otras obligaciones de asistencia

1. VisibleSoft notificará al Cliente cualquier violación de seguridad de los datos de este encargo sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información del art. 33.3 RGPD disponible en ese momento. Completará la información según la obtenga.
2. La notificación a la AEPD y a las personas afectadas corresponde al Cliente, salvo que lo encargue por escrito a VisibleSoft.
3. VisibleSoft ayudará al Cliente, si lo pide y en la medida razonable, con la evaluación de impacto y la consulta previa (arts. 35 y 36 RGPD).

11. Fin del encargo: devolución y supresión

1. Al terminar el contrato o la prueba sin contratar, el Cliente tiene 30 días para exportar sus datos desde el panel (registro de evidencias en PDF y exportación completa en formato estructurado). La exportación identifica como bloqueados los registros que ya estuvieran en bloqueo.
2. Pasado ese plazo, VisibleSoft suprimirá los datos de este encargo en un máximo de 60 días más (90 días en total desde el fin), también los de sus subencargados. Las copias de seguridad se borran cuando caducan, según el plazo del proveedor (pendiente de confirmar), y no se usan entre tanto salvo para restaurar el servicio.
3. Mientras el contrato sigue vigente, la instrucción documentada del Cliente es conservar bloqueados los registros de formación de cada persona desde que termina su relación con el Cliente (artículo 32 de la LOPDGDD). El plazo es de cinco años, o de tres si el Cliente lo fija al guardar la política. Al vencer, VisibleSoft seudonimiza esos registros. «Suprimir a esta persona» es la instrucción de seudonimizar ya, sin esperar el plazo.
4. En Ajustes, el Cliente elige la instrucción de fin de contrato. Por defecto se aplica el apartado 2. Si elige conservar la evidencia, VisibleSoft mantiene bloqueados los registros de formación y la identidad de la organización durante el plazo de tres o cinco años ya fijado para cada persona (desde su baja, o desde el fin del contrato si seguía de alta) y los seudonimiza al vencer. A los 90 días suprime el resto (inventario, sesiones, suscripción y acceso). Esos registros bloqueados no están a disposición del Cliente en el panel; VisibleSoft solo los consulta si lo pide una autoridad, un juez o un tribunal. La elección guarda quién la hizo, cuándo y la versión de las condiciones, y puede cambiarse mientras el panel siga accesible.
5. Fuera de esa instrucción y de lo que una norma de la Unión o de España obligue a conservar (en particular, la facturación, que se bloquea el plazo legal), VisibleSoft no conserva datos de este encargo.
6. El Cliente puede pedir en cualquier momento la supresión anticipada de los datos de una persona o de toda la organización.
7. VisibleSoft confirmará por escrito la supresión.

12. Información y auditorías

1. VisibleSoft pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato: este documento, la lista de subencargados y sus certificaciones, y un resumen de las medidas de seguridad.
2. El Cliente puede auditar, por sí o mediante un auditor independiente obligado a confidencialidad, con 30 días de preaviso, en horario laboral y como máximo una vez al año, salvo brecha o requerimiento de una autoridad. Cada parte asume sus costes. La auditoría no da acceso a datos de otros clientes ni a la infraestructura de los subencargados, que se acredita con sus propios informes.

13. Responsabilidad

Cada parte responde de sus incumplimientos según el art. 82 RGPD.

14. Modificaciones, prevalencia y ley

1. Si VisibleSoft cambia este contrato, avisará con 30 días de antelación por correo. Si el cambio reduce las garantías, el Cliente puede terminar el contrato sin penalización.
2. En caso de contradicción, este contrato prevalece sobre las condiciones de contratación en lo relativo a la protección de datos.
3. Ley española y tribunales que indiquen las condiciones de contratación.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

Implantadas (comprobadas en el código a 17/10/2026):

1. Aislamiento entre clientes: seguridad a nivel de fila (RLS) en todas las tablas; las escrituras sensibles solo las hace el servidor con una clave que no llega al navegador.
2. Acceso: sin contraseñas, por enlace de un solo uso enviado al correo; cookies de sesión httpOnly, Secure y SameSite=Lax, de 14 días; las invitaciones caducan a los 7 días.
3. Transporte: HTTPS obligatorio con HSTS.
4. Aplicación web: política de seguridad de contenidos (CSP), protección contra el enmarcado, nosniff; límite de envíos por IP y verificación antispam en formularios públicos.
5. Minimización en la salida: la IP aparece enmascarada en el PDF de evidencias.
6. Integridad de las evidencias: acuses e intentos solo los escribe el servidor; la fecha y la versión de la política las fija la base de datos. Cada aceptación y cada intento se encadenan por su hash. Un cron diario guarda la raíz de ese día. No es un sello de tiempo cualificado: no hay prestador de servicios de confianza contratado.
7. Ciclo de vida: quitar el acceso tiene efecto inmediato. El registro queda bloqueado el plazo de la cláusula 11.3 y después se seudonimiza. «Suprimir a esta persona» seudonimiza en el momento.

Pendientes de confirmar o implantar:

1. Pendiente de confirmar: Autenticación de dos factores en las cuentas de administración de Supabase, Vercel, Stripe, Cloudflare y DonDominio.
2. Pendiente de confirmar: Copias de seguridad diarias, retención y prueba de restauración.
3. Pendiente de confirmar: Registro de accesos administrativos a la base de datos.
4. Pendiente de confirmar: Procedimiento de gestión de brechas (ver informe, hallazgo RGPD-08).
5. Pendiente de confirmar: Compromisos de confidencialidad firmados por cada persona con acceso.

Anexo III. Subencargados autorizados

Subencargados de segundo nivel: los que publica cada proveedor. Por ejemplo, la lista de Supabase de 12/10/2026 incluye AWS, Cloudflare, Postmark, Sentry, OpenAI y Vercel, en EE. UU.

Stripe no figura: no trata datos del personal del Cliente.

Anexo IV. Texto modelo para informar al personal

Para que el Cliente lo use (por ejemplo, en el correo interno con el que anuncia Aliteria). Aliteria lo muestra también en la invitación y en el panel.

Información sobre protección de datos: Aliteria

[Nombre de la organización], con NIF [NIF] y domicilio en [domicilio], es responsable del tratamiento de sus datos en Aliteria. Contacto: [correo de privacidad de la organización] [y su delegado de protección de datos, si lo tiene].

Para qué. Cumplir el artículo 4 del Reglamento (UE) 2024/1689 (alfabetización en IA): darle acceso a la política de uso de IA y a los cursos, y dejar constancia de la aceptación y de los resultados.

Base. La gestión de la formación (inscripción, impartición y adaptación al puesto) se basa en el artículo 6.1.c del RGPD, por la obligación del artículo 4 del Reglamento (UE) 2024/1689, y en el artículo 6.1.b, por la relación laboral o de prestación de servicios. La conservación del registro (fecha, resultado, intentos, versión y constancia de la aceptación) se basa en el interés legítimo de acreditar esas medidas (artículo 6.1.f). Puede oponerse a esta última finalidad por motivos relacionados con su situación particular (artículo 21 del RGPD). El consentimiento no se usa. El personal de una empresa contratista se informa por el artículo 6.1.f; los autónomos, por el 6.1.b para la formación y el 6.1.f para la evidencia.

Qué datos. Su correo de trabajo, que facilita la organización; la fecha, la versión, la dirección IP, el navegador y el método de autenticación de la aceptación electrónica registrada; y los resultados de los cuestionarios. La nota numérica sirve para adaptar el refuerzo. No se usa para evaluar el desempeño ni con fines disciplinarios.

Aceptación. Registrar la aceptación en el panel es una aceptación mediante firma electrónica simple (artículo 3.10 del Reglamento (UE) 910/2014), con la identidad, el método de autenticación, la fecha y la hora y la versión del documento. No es una firma electrónica avanzada ni equivale a la firma manuscrita.

Quién los trata. VisibleSoft, S.L. (Aliteria), como encargado del tratamiento, y sus subencargados técnicos. Algunos están en EE. UU., con las garantías del RGPD. No se ceden a terceros salvo obligación legal.

Cuánto tiempo. Mientras dure su relación con la organización y, tras su fin, cinco años bloqueados (artículo 32 de la Ley Orgánica 3/2018), o tres si la organización lo fija en la política. Después se suprimen. Si el contrato con Aliteria termina antes, la organización puede exportarlos durante 30 días. Por defecto, después se suprimen a los 90 días del fin de ese contrato. Si la organización eligió conservarlos, siguen bloqueados el plazo indicado, sin acceso al panel, y luego se seudonimizan.

Sus derechos. Acceso, rectificación, supresión, limitación, oposición y portabilidad, ante [contacto de la organización]. Puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).