Contrato de encargo del tratamiento
Versión de 31 de octubre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD)
Este contrato forma parte de las condiciones del servicio y se acepta con ellas. Regula cómo trata Quantifica, por cuenta del Cliente, los datos personales que hay en sus obras.
1. Partes
| Responsable del tratamiento | El Cliente que contrata Quantifica, identificado en la propuesta o en el alta («el Responsable»). |
|---|---|
| Encargado del tratamiento | Javier Bernal Jiménez, NIF 29206483W, con domicilio en [DIRECCIÓN: domiciliación o local, pendiente] y correo hola@quantifica.es («el Encargado»). |
2. Objeto, duración y finalidad
El Encargado trata los datos personales necesarios para prestar el servicio Quantifica al Responsable, con la única finalidad de prestarlo, durante el tiempo que dure el contrato de servicio y el plazo de devolución y supresión del apartado 8.
Los tratamientos son: alojar y conservar los datos, mostrarlos a los usuarios autorizados, hacer los cálculos y documentos de la aplicación, enviar los correos del servicio (por ejemplo, para elegir una contraseña), hacer copias de seguridad y suprimir los datos al terminar.
3. Datos y personas afectadas
| Personas | Datos |
|---|---|
| Usuarios del Responsable y de las empresas que este invita a sus obras (constructora, asistencia técnica, dirección facultativa) | Nombre, correo electrónico, empresa, parte y permiso en cada obra, y registro de su actividad en la aplicación (qué mediciones, comentarios, propuestas y aprobaciones hace y cuándo) |
| Personas que aparezcan en la documentación de la obra | Los datos identificativos que el Responsable o sus invitados incluyan en descripciones, comentarios o documentos |
No se tratan categorías especiales de datos. El Responsable se compromete a no introducirlas.
4. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato, las condiciones del servicio y el uso que hace de la aplicación. Si una instrucción le parece contraria a la ley, se lo dirá de inmediato.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 5 o cuando lo exija la ley.
- Garantizar que quienes acceden a los datos por su parte se han comprometido a guardar confidencialidad.
- Aplicar las medidas de seguridad del anexo, adecuadas al riesgo (artículo 32 del RGPD).
- Ayudar al Responsable a atender las solicitudes de las personas afectadas (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si una persona se dirige al Encargado, se lo trasladará en un máximo de 5 días hábiles.
- Avisar al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga conocimiento, de cualquier violación de seguridad de los datos, con la información disponible para que pueda notificarla a la autoridad y a los afectados si procede.
- Ayudar al Responsable, cuando sea necesario, en las evaluaciones de impacto y consultas previas.
- Poner a disposición del Responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisadas con al menos 30 días, a cargo del Responsable y sin acceso a datos de otros clientes.
- Llevar el registro de las actividades de tratamiento que hace por cuenta de sus clientes.
5. Subencargados
El Responsable autoriza al Encargado a recurrir a estos subencargados, que tienen contrato con él con las mismas obligaciones de protección de datos:
| Subencargado | Para qué | Dónde |
|---|---|---|
| Clever Cloud SAS | Alojamiento de la aplicación y de la base de datos (cifrada en disco) y copias diarias | Francia (UE) |
| Sendinblue SAS (Brevo) | Envío de los correos del servicio a los usuarios | Francia (UE) |
| Apple Distribution International (iCloud) | Custodia de copias de seguridad adicionales, cifradas antes de salir de los equipos del Encargado (Apple no puede leerlas) | UE, con posibles transferencias a EE. UU. bajo el Marco de Privacidad de Datos UE-EE. UU. |
El Encargado avisará al Responsable con al menos 30 días de cualquier cambio de subencargados. Si el Responsable se opone por motivos razonables de protección de datos, podrá darse de baja sin penalización antes de que el cambio se aplique.
6. Transferencias internacionales
Los datos de la aplicación se alojan en la Unión Europea. No se transfieren fuera del Espacio Económico Europeo salvo en los casos del apartado 5, siempre con las garantías del capítulo V del RGPD.
7. Obligaciones del Responsable
- Tener una base legal para tratar los datos que introduce y para dar de alta a las personas de su empresa y de las empresas que invita a sus obras.
- Informar a esas personas de que sus datos se tratan en Quantifica, por ejemplo remitiéndolas a quantifica.es/privacidad.
- Dar al Encargado instrucciones conformes con la ley y supervisar el tratamiento.
8. Fin del encargo: devolución y supresión
Al terminar el contrato de servicio, las obras del Responsable quedan en solo lectura durante 3 meses para que pueda descargar sus datos en PDF y Excel (o pedir una exportación completa a hola@quantifica.es). Después, el Encargado suprime los datos, salvo los que deba conservar por ley, que mantendrá bloqueados. Las copias de seguridad se suprimen en su ciclo normal, como máximo en 3 meses más. A petición del Responsable, el Encargado certificará la supresión.
9. Responsabilidad
Cada parte responde de los daños que cause por incumplir el RGPD o este contrato, en los términos del artículo 82 del RGPD y de las condiciones del servicio.
Anexo: medidas de seguridad
- Acceso solo con usuario y contraseña personales. Las contraseñas se guardan con un algoritmo (scrypt) que no permite recuperarlas; la cuenta se bloquea tras 5 intentos fallidos y se restablece con un enlace al correo del usuario, de un solo uso y válido una hora.
- Sesión en una cookie no accesible desde el código de la página, que caduca a los 30 días o al salir.
- Cada usuario solo ve las obras de cuyo equipo forma parte, con su parte y permiso (administrador, trabajo o solo lectura). Las empresas no ven los datos de otros clientes. El panel de gestión de la plataforma no da acceso al contenido de las obras.
- Registro de quién hace cada medición, comentario, propuesta y aprobación, y de los cambios en las mediciones.
- Comunicaciones cifradas (HTTPS) y cabeceras de seguridad del navegador.
- Base de datos en la Unión Europea, cifrada en disco, con copia diaria conservada 7 días y copias semanales adicionales cifradas con AES-256, conservadas 12 semanas. La restauración de copias se comprueba periódicamente.
- Acceso técnico a los servidores solo por el Encargado, con clave SSH personal.