Contrato de Encargo del Tratamiento de Datos Personales (art. 28 RGPD)

Versión de la plantilla: v2.0 — julio 2026.

Qué es y para qué: cuando OjoLote presta un servicio a un cliente (control de calidad por foto, prospección de leads, extracción de pedidos del correo…), trata datos personales por cuenta del cliente. El RGPD (art. 28) exige un contrato que regule ese encargo. Este documento es esa plantilla: se firma con cada cliente antes de tratar sus datos (aplica también en pilotos gratuitos — el RGPD no depende de que se cobre). Cómo usarlo: rellena los campos entre [corchetes], revisa los Anexos I–III (son los que cambian por cliente/servicio) y fírmalo con el cliente (vale firma electrónica). Aviso honesto: redactado con criterio informado y actualizado a julio 2026, NO es asesoría jurídica. Si el cliente es grande o los datos son sensibles, que lo revise un abogado/DPO. Para la mayoría de pilotos de OjoLote cubre el 28.3 del RGPD de sobra.

¿Cuándo y dónde se firma? (encaje en el alta del cliente)

• Regla legal: debe estar firmado **antes de que OjoLote trate el primer dato personal

del Cliente (subir una foto de QC, conectar el buzón, lanzar prospección). No depende del pago**: un piloto gratuito ya trata datos → también necesita el DPA.

• Momento en el flujo: en el alta/activación de la cuenta, junto con la **Política de

Privacidad y las Condiciones del Servicio, antes del primer uso. El pago con Stripe es un evento posterior e independiente (solo al convertir a un plan de pago) — el DPA va antes**, no atado al cobro.

• Cómo incorporarlo sin fricción: lo habitual en SaaS B2B es que las Condiciones del

Servicio incorporen este DPA por referencia ("se aplica el contrato de encargo de tratamiento disponible en [enlace], que el Cliente acepta"). Aceptar las Condiciones = aceptar el DPA. Se registra quién acepta, cuándo y qué versión.

• Secuencia recomendada: (1) alta del usuario cliente → (2) **primer acceso: aceptar

Privacidad + DPA** (casilla o firma) *antes* de usar los módulos → (3) uso del Servicio → (4) *[más adelante]* pago con Stripe al pasar a plan de pago.

• Para los primeros clientes (p. ej. Cyan): basta con enviar este DPA firmado por

correo o firma electrónica antes de empezar. La pantalla de aceptación dentro de la app es la versión escalable, para cuando haya varios clientes.

REUNIDOS

De una parte, [NOMBRE / RAZÓN SOCIAL DEL CLIENTE], con NIF/CIF [·] y domicilio en [·] (en adelante, el "Responsable" o "Cliente"), representada por [·]. Contacto del Cliente en materia de protección de datos (al que OjoLote dirigirá las notificaciones de brecha y los traslados de solicitudes de derechos): [nombre, cargo, email].

De otra parte, Álvaro Manso Rojas, empresario individual (autónomo) que opera bajo la marca "OjoLote", con NIF 29517702P y domicilio en calle Siracusa 1, 2ºB, 41007 Sevilla (Sevilla), España, contacto en materia de protección de datos privacidad@ojolote.com (en adelante, el "Encargado" u "OjoLote").

Ambas partes se reconocen capacidad para contratar y ACUERDAN suscribir el presente contrato de encargo del tratamiento (el "Contrato"), que se rige por el Reglamento (UE) 2016/679 ("RGPD"), la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales ("LOPDGDD") y demás normativa aplicable.

1. Objeto

El Cliente encarga a OjoLote el tratamiento de datos personales necesario para prestar los servicios contratados (los "Servicios"), descritos en el Anexo I. OjoLote trata esos datos únicamente por cuenta del Cliente, que es el responsable del tratamiento y quien determina sus fines y medios esenciales.

Este Contrato prevalece sobre cualquier condición contradictoria en materia de protección de datos. En todo lo no previsto, se aplica directamente el art. 28 RGPD.

2. Duración y entrada en vigor

El encargo entra en vigor en la fecha de firma (o, si es anterior, en la del inicio efectivo del tratamiento) y dura mientras esté vigente la relación de Servicios entre las partes. Al finalizar —por cualquier causa—, OjoLote procederá conforme a la cláusula 5.g (devolución o supresión). Las obligaciones de confidencialidad y las relativas a datos que deban conservarse por obligación legal subsisten tras la terminación.

3. Naturaleza, finalidad, datos e interesados

La naturaleza y finalidad del tratamiento, el tipo de datos personales y las categorías de interesados afectados se detallan en el Anexo I. OjoLote no tratará los datos para fines propios ni distintos de la prestación de los Servicios.

4. Obligaciones y garantías del Responsable (Cliente)

El Cliente, como responsable del tratamiento, garantiza y se obliga a:

a) Licitud del tratamiento. Dispone de una base jurídica válida (art. 6, y art. 9 si hubiera categorías especiales) para cada tratamiento que encarga, y ha informado a los interesados conforme a los arts. 13 y 14 RGPD.

b) Licitud del origen de los datos. Garantiza la legalidad del origen y la obtención de todo lo que aporta o autoriza a tratar. En particular:

• Buzón de correo (Email → documento): es titular o tiene autoridad sobre el buzón cuyo

acceso autoriza, ha informado a su personal de que ese correo se procesa, y determina la base jurídica de dicho tratamiento.

• Prospección de leads: fija el perfil de cliente ideal / segmento objetivo, asume la

base de licitud (típicamente interés legítimo, con su propio análisis de ponderación documentado) y el deber de información del art. 14 RGPD frente a los contactos descubiertos.

• Fotos de QC: procura que las imágenes no capten datos personales innecesarios (personas

identificables, matrículas, etiquetas con datos) y, si los captan, asume su base jurídica.

c) Instrucciones lícitas. Sus instrucciones son lícitas y responde de su legalidad.

d) Punto de contacto de los interesados. Es el interlocutor de los interesados para el ejercicio de sus derechos y para cualquier información sobre el tratamiento.

e) Derechos del Responsable. Tiene derecho a impartir instrucciones documentadas, a recibir la asistencia de la cláusula 5 y a auditar conforme a la cláusula 5.h.

f) Indemnidad. Mantendrá indemne a OjoLote frente a reclamaciones, sanciones o daños que deriven del incumplimiento por el Cliente de las garantías de esta cláusula (en especial, la falta de base jurídica válida, de información a los interesados o de licitud del origen de los datos, buzón, listas o imágenes que aporte o autorice tratar).

5. Obligaciones del Encargado (art. 28.3 RGPD)

OjoLote se obliga a:

a) Tratar solo bajo instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo que el Derecho de la Unión Europea o del Estado miembro aplicable a OjoLote le obligue a tratar los datos; en tal caso, OjoLote informará al Cliente de esa exigencia legal antes del tratamiento, salvo que la norma lo prohíba por motivos importantes de interés público. Este Contrato y la contratación de los Servicios constituyen las instrucciones iniciales; las posteriores se cursarán por escrito (correo válido). Si OjoLote considera que una instrucción infringe la normativa, lo informará sin dilación.

b) Confidencialidad. Garantiza que las personas autorizadas a tratar los datos (el propio Álvaro Manso Rojas y, en su caso, colaboradores) se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, también tras el fin de la relación. OjoLote limita el acceso a los datos del Cliente al personal que lo necesite para prestar el Servicio.

c) Seguridad (art. 32). Aplicará las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo.

d) Subencargados. El Cliente autoriza con carácter general que OjoLote recurra a los subencargados listados en el Anexo III. OjoLote les impondrá por contrato las mismas obligaciones de protección de datos de este Contrato y responde ante el Cliente de su cumplimiento. Informará al Cliente de cualquier alta o sustitución con una antelación mínima de 15 días, durante los cuales el Cliente podrá oponerse por motivos razonables de protección de datos; de mantenerse la objeción, cualquiera podrá resolver la parte del Servicio afectada.

e) Derechos de los interesados. Asistirá al Cliente, con medidas técnicas y organizativas apropiadas y en la medida de lo posible, para responder a las solicitudes de ejercicio de derechos. Si un interesado se dirige directamente a OjoLote, esta trasladará la solicitud al Cliente sin dilación indebida y no responderá por su cuenta salvo instrucción del Cliente.

f) Apoyo en seguridad, brechas y evaluaciones. Asistirá al Cliente en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, brechas, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible. La asistencia ordinaria y razonable se presta sin coste; los esfuerzos desproporcionados o repetidos (p. ej. gestión de solicitudes masivas o elaboración de una EIPD a medida) podrán facturarse a una tarifa horaria razonable, previa comunicación y aceptación del Cliente.

g) Devolución o supresión al finalizar. A elección del Cliente, suprimirá o le devolverá todos los datos personales una vez concluida la prestación y suprimirá las copias, en un plazo máximo de 30 días para los datos activos. Las copias de seguridad se eliminan conforme al ciclo normal de rotación del proveedor de infraestructura (hasta ~35 días), quedando bloqueadas y sin uso hasta su borrado. Por defecto OjoLote no conserva datos tras la terminación; el bloqueo posterior a la supresión (art. 32 LOPDGDD) corresponde al Cliente como responsable en sus propios sistemas. Solo si una norma obligara a OjoLote a conservar algún dato, lo bloqueará hasta que prescriba la obligación.

h) Acreditación y auditoría. Pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Contrato. La verificación se realizará preferentemente de forma documental o remota (cuestionario, evidencias). Las inspecciones presenciales se limitan a una al año como máximo —salvo brecha real o requerimiento de autoridad—, con preaviso mínimo de 30 días, en horario laboral, a costa del Cliente, bajo confidencialidad y sin acceso a datos ni instalaciones de otros clientes.

6. Notificación de violaciones de seguridad (brechas)

OjoLote notificará al Cliente sin dilación indebida y, como objetivo, dentro de las 72 horas desde que confirme la existencia de una violación de la seguridad que afecte a datos personales del Cliente, siempre que sea factible, aportando al menos: naturaleza de la brecha, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas o propuestas. La obligación de notificar a la autoridad (AEPD) y, en su caso, a los interesados (arts. 33 y 34 RGPD) corresponde al Cliente como responsable; OjoLote le prestará la asistencia razonable.

7. Transferencias internacionales de datos

Los Servicios se prestan preferentemente con infraestructura ubicada en la Unión Europea (región de Google Cloud europe-west1, Bélgica). No obstante, algunos subencargados (Anexo III) pueden implicar tratamiento por entidades de EE.UU. Toda transferencia fuera del EEE se ampara en un mecanismo válido del Capítulo V del RGPD, en cascada: (i) Marco de Privacidad de Datos UE-EE.UU. (DPF) para los importadores certificados en dicho marco; y (ii) Cláusulas Contractuales Tipo (CCT) de la Decisión de Ejecución (UE) 2021/914 —módulo aplicable—, junto con las medidas complementarias que procedan. Si la decisión de adecuación DPF fuese invalidada, suspendida o dejase de aplicar a un importador, la transferencia quedará amparada automáticamente por las CCT 2021/914 ya incorporadas al contrato con dicho subencargado, sin necesidad de nuevo acuerdo. El Encargado verificará, antes de recurrir a cada subencargado, el mecanismo de transferencia aplicable y lo hará constar en el Anexo III. OjoLote prevé, en el marco de su expansión internacional, poder incorporar subencargados o infraestructura fuera del EEE; toda transferencia se amparará en los mecanismos del Capítulo V del RGPD descritos en esta cláusula y se reflejará en el Anexo III con antelación conforme a la cláusula 5.d.

8. Tratamiento asistido por inteligencia artificial

Parte del Servicio emplea modelos de IA (Gemini de Google) para asistir el análisis (p. ej. detección de posibles defectos en fotos, clasificación de la intención de un correo, y generación asistida de borradores de comunicación en prospección). Las partes reconocen que:

(i) No hay decisiones automatizadas del art. 22 RGPD: OjoLote garantiza que ninguna decisión con efectos jurídicos o similarmente significativos sobre un interesado se adopta por medios exclusivamente automatizados; existe intervención humana significativa antes de cualquier actuación, y la salida de la IA es orientativa y de pre-auditoría.

(ii) Rol conforme al Reglamento de IA: OjoLote actúa como **responsable del despliegue (*deployer*)** en el sentido del Reglamento (UE) 2024/1689 —rol distinto del de responsable del tratamiento del RGPD—, con supervisión humana; los sistemas empleados no se clasifican como de alto riesgo para estos usos.

(iii) Uso de la IA en modalidad de pago: los datos del Cliente se procesan a través del servicio de IA en su modalidad de pago para empresas/desarrolladores. Conforme a las condiciones vigentes de la Gemini API de pago y al Cloud Data Processing Addendum de Google, el proveedor no utiliza los datos para entrenar sus modelos y los retiene de forma limitada por seguridad, detección de abuso y cumplimiento legal. OjoLote no utilizará servicios de IA en modalidades gratuitas o de consumo que empleen los datos del Cliente para mejorar los modelos del proveedor. Si el Cliente lo requiere, el tratamiento por IA podrá restringirse a la UE (Vertex AI, región europea) o a retención cero, haciéndolo constar en el Anexo III.

9. Registro de actividades de tratamiento

OjoLote mantiene, como encargado, el registro de las categorías de actividades de tratamiento efectuadas por cuenta de cada responsable (art. 30.2 RGPD) y lo pondrá a disposición de la autoridad de control que lo requiera.

10. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD impone a encargados o responsables (art. 82 RGPD). La responsabilidad total y agregada de OjoLote frente al Cliente derivada de este Contrato se limita a la mayor de estas dos cantidades: (a) el importe total facturado al Cliente por los Servicios en los 12 meses anteriores al hecho causante; o (b) 500 euros cuando no exista facturación (p. ej. pilotos gratuitos). Este límite prevalece cuando el contrato de Servicios no fije otro; no aplica en caso de dolo o culpa grave ni afecta a las responsabilidades indisponibles frente a interesados o autoridades de control, ni a la indemnidad del Cliente de la cláusula 4.f.

11. Ley aplicable y jurisdicción

Este Contrato se rige por la legislación española y por el Derecho de la Unión Europea. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales del domicilio del Encargado (OjoLote), salvo norma imperativa en contrario.

Firmas

Fecha de entrada en vigor del encargo: [·]

ANEXO I — Descripción del tratamiento

Se marca lo aplicable según los Servicios contratados por este Cliente.

Finalidad del tratamiento: prestar al Cliente los Servicios contratados de OjoLote.

Servicios / operaciones de tratamiento (marcar):

• ☐ Control de calidad por foto (QC): recepción y análisis de fotografías/vídeo de lotes o

piezas para detectar posibles defectos; informe de pre-auditoría con revisión humana; conservación del historial de inspecciones.

• ☐ Prospección de leads: descubrimiento de empresas/organizadores potenciales a partir de

datos abiertos (OpenStreetMap, calendarios públicos) y de la web pública del prospecto; extracción de datos de contacto profesional; borrador de comunicación que revisa y envía una persona del Cliente. *OjoLote actúa únicamente como encargado, ejecutando el perfil/segmento objetivo (ICP) que fija el Cliente; el Cliente asume la base de licitud (interés legítimo con su análisis de ponderación) y el deber de información del art. 14 RGPD.*

• ☐ Extracción de pedidos del correo (Email → documento): lectura, en solo lectura, del

buzón que el Cliente autorice, para convertir los pedidos entrantes en el documento estructurado que necesita. *El Cliente garantiza la titularidad/autoridad sobre el buzón y haber informado a su personal (ver cláusula 4.b).*

• ☐ Otros: [·]

Categorías de datos personales (marcar):

• ☐ Datos identificativos y de contacto (nombre, email, teléfono, empresa, cargo).
• ☐ Datos en pedidos/albaranes (nombre de contacto, referencias, tallas/cantidades).
• ☐ Imágenes de lotes/piezas que de forma incidental pudieran contener personas, matrículas

o etiquetas con datos.

• ☐ Otros: [·]
• No se prevé el tratamiento de categorías especiales (art. 9 RGPD) salvo indicación

expresa del Cliente aquí.

Categorías de interesados: clientes, contactos comerciales, proveedores y/o personal del Cliente cuyos datos aparezcan en las fotos, pedidos o buzón tratados; contactos profesionales de las empresas prospectadas.

Plazo de conservación: durante la prestación; conservación del historial de inspecciones/documentos durante [p. ej. 12 meses] salvo otra instrucción del Cliente.

ANEXO II — Medidas de seguridad (art. 32 RGPD)

Medidas técnicas y organizativas de OjoLote (apropiadas al riesgo de un tratamiento sin categorías especiales y de escala reducida):

• Cifrado en tránsito: todo el acceso a la aplicación y a las APIs es por HTTPS/TLS.
• Cifrado en reposo: los datos residen en Google Cloud (Cloud SQL gestionado y

almacenamiento), cifrados en reposo por la plataforma.

• Control de acceso: acceso mediante enlace de un solo uso por correo (magic link) sin

contraseñas; los tokens se guardan solo como hash; sesiones revocables; el acceso del personal de OjoLote a los paneles de cliente está restringido a cuentas expresamente autorizadas.

• Mínimo privilegio y trazabilidad: el acceso operativo a datos de un cliente se limita a

lo necesario para el Servicio. *(OjoLote implementará un registro de accesos del operador —quién accede a qué cliente y cuándo— como medida de trazabilidad.)*

• Gestión de secretos: las credenciales y claves (IA, base de datos, correo) se custodian

en Google Secret Manager, nunca en el código.

• Separación por cliente: cada cliente accede únicamente a su propio panel y datos; el

sistema comprueba la pertenencia en cada operación.

• Copias de seguridad y recuperación: [describir según configuración].
• Confidencialidad del personal autorizado y procedimiento de gestión de brechas

(cláusula 6).

ANEXO III — Subencargados autorizados

El Cliente autoriza a los siguientes subencargados. OjoLote es responsable de que cada uno ofrezca garantías suficientes y quede vinculado por obligaciones equivalentes a este Contrato. En cada fila el mecanismo de transferencia se lista como DPF (primario, si el importador está certificado) → CCT 2021/914 (respaldo).

*Las altas/sustituciones se comunican conforme a la cláusula 5.d. Si el Cliente requiere IA exclusivamente en la UE o retención cero, se hará constar aquí como instrucción específica.*

*Documento de OjoLote (Álvaro Manso Rojas). Plantilla v2.0. Marco legal de referencia: julio de 2026 — RGPD (UE) 2016/679, LOPDGDD 3/2018, Decisión de adecuación DPF (vigente tras la sentencia del Tribunal General en el asunto Latombe, T-553/23, con recurso pendiente ante el TJUE C-703/25 P), CCT de la Decisión (UE) 2021/914, Reglamento de IA (UE) 2024/1689.*