Contrato de encargo del tratamiento de datos personales

Este contrato se incorpora a las condiciones de uso de CarpiNeo cuando la plataforma trata datos personales por cuenta de una empresa suscriptora. Debe aceptarse junto con el contrato de servicio y conservarse en una versión que permita acreditar las condiciones acordadas.

1. Partes del acuerdo

Responsable del tratamiento: la empresa o profesional que contrata CarpiNeo, identificado en sus datos de facturación y cuenta administrativa (en adelante, «Cliente» o «Responsable»).

Encargado del tratamiento: PROKUBIX TECH, S.L., NIF B42628594, domicilio en Avenida de la Industria 19, 03690 San Vicente del Raspeig (Alicante), correo info@prokubix.com (en adelante, «Encargado»).

El Encargado trata los datos personales de los clientes, empleados, instaladores, comerciales o contactos que el Responsable incorpora al sistema para cumplir la prestación contratada, de acuerdo con los artículos 28 y 29 del RGPD.

2. Objeto, duración, naturaleza y finalidades

El objeto es el alojamiento, organización y tratamiento técnico de los datos necesarios para presupuestos, gestión de clientes, pedidos, obras, facturas, cobros, comunicaciones, fabricación e instalaciones, incluidas las funciones específicas del plan contratado.

La duración comprende la vigencia de la relación contractual y las operaciones finales de devolución, supresión o conservación obligatoria previstas en este acuerdo.

La naturaleza del tratamiento puede incluir recogida, registro, estructuración, consulta, conservación, actualización, envío, generación de documentos, limitación, extracción, devolución y supresión, siempre siguiendo las instrucciones documentadas del Responsable.

3. Datos y categorías de personas interesadas

Personas interesadas: clientes finales y potenciales clientes de la carpintería, personas de contacto, representantes, proveedores, comerciales, personal de taller, instaladores y otras personas cuyos datos el Responsable incorpore lícitamente.

Categorías de datos: identificación y contacto, direcciones de obra, fotografías del emplazamiento, datos de presupuestos y pedidos, medidas, información de facturación, pagos y saldos, agenda de instalaciones, firmas de conformidad, notas de atención y metadatos necesarios para el seguimiento.

Las funciones ordinarias no están diseñadas para tratar categorías especiales de datos personales. El Responsable deberá evitar introducirlas salvo que exista una necesidad legítima, base jurídica y garantías adecuadas.

4. Instrucciones documentadas y uso limitado

El Encargado sólo tratará los datos personales para prestar las funciones contratadas, ejecutar las instrucciones documentadas del Responsable y atender las obligaciones legales que le resulten exigibles. Las configuraciones de usuario, envíos, permisos, importaciones y solicitudes válidas realizadas dentro de la plataforma constituyen instrucciones dentro de ese marco contractual.

Si el Encargado considera que una instrucción infringe el RGPD u otra normativa de protección de datos, informará al Responsable sin dilación indebida, salvo prohibición legal. El Encargado no utilizará los datos de los clientes finales para su propia publicidad, para vender bases de datos o para otros fines incompatibles con este acuerdo.

5. Personal autorizado y confidencialidad

El Encargado garantizará que las personas autorizadas a tratar los datos asuman obligaciones de confidencialidad o estén sujetas a un deber legal equivalente, reciban instrucciones apropiadas y accedan sólo en la medida necesaria para su función. Las obligaciones de confidencialidad subsistirán mientras la ley o la naturaleza de la información lo exijan.

El acceso extraordinario a cuentas empresariales por personal de soporte o superadministración deberá responder a una finalidad legítima y administrarse con controles adecuados; no habilita un uso indiscriminado de los datos.

6. Medidas técnicas y organizativas

El Encargado aplicará medidas apropiadas conforme al artículo 32 del RGPD y al riesgo real de los tratamientos, incluyendo según resulte pertinente: segregación de datos de empresas, autenticación y permisos por rol, protección de credenciales y secretos, seguridad en el transporte de comunicaciones, gestión de actualizaciones, procedimientos de copias y recuperación, control de accesos administrativos, revisión de vulnerabilidades y gestión de incidentes.

Anexo II recoge la descripción de los controles del servicio que debe verificarse y mantenerse actualizada contra la implantación técnica real. Este acuerdo no debe utilizarse para declarar implantadas medidas que no estén operativas.

7. Subencargados

El Responsable podrá conceder autorización general por escrito para contratar subencargados que participen en la prestación, siempre que se le facilite previamente la relación actualizada de proveedores, sus funciones y localizaciones relevantes, conforme al Anexo III. El Encargado impondrá contractualmente obligaciones de protección de datos equivalentes a las de este acuerdo y responderá de los incumplimientos de sus subencargados en los términos legales.

En caso de autorización general, el Encargado informará de incorporaciones o sustituciones previstas con antelación suficiente para que el Responsable pueda oponerse por razones justificadas de protección de datos. La lista definitiva, la vía de notificación y el procedimiento de oposición deberán estar operativos al iniciar el tratamiento.

8. Transferencias internacionales

El Encargado no realizará transferencias internacionales de datos fuera de las instrucciones documentadas o de una obligación legal. Si alguna transferencia fuera del Espacio Económico Europeo resulta necesaria, se aplicará una decisión de adecuación o las garantías del capítulo V del RGPD y se informará al Responsable de los elementos esenciales correspondientes.

No debe presumirse la ausencia de transferencias por el mero hecho de que la web se aloje en España: servicios de correo, pagos, soporte o infraestructura pueden implicar accesos internacionales que requieren evaluación.

9. Asistencia para atender derechos

Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Encargado asistirá al Responsable para responder a solicitudes de acceso, rectificación, supresión, oposición, limitación o portabilidad. Si recibe directamente una solicitud sobre los datos que controla una carpintería, la trasladará o orientará hacia el Responsable sin decidir unilateralmente sobre su fondo, salvo obligación legal.

10. Incidentes, seguridad y evaluaciones

El Encargado notificará al Responsable sin dilación indebida las violaciones de seguridad de datos personales de las que tenga conocimiento y que afecten al tratamiento encargado, proporcionando la información disponible para evaluar el alcance, consecuencias, personas afectadas y medidas adoptadas o propuestas. Ampliará la comunicación cuando se disponga de nuevos datos.

También colaborará razonablemente en evaluaciones de impacto, consultas previas y otras obligaciones de los artículos 32 a 36 del RGPD, según el tipo de servicio y la información de la que disponga. El Responsable será quien valore y, cuando proceda, comunique la brecha a la autoridad de control o a las personas interesadas.

11. Información, acreditación y auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de sus obligaciones conforme al artículo 28 del RGPD y permitirá o contribuirá a auditorías, incluidas inspecciones, realizadas por el Responsable o un auditor autorizado, bajo medidas razonables que protejan la seguridad, confidencialidad, información de otros clientes y continuidad del servicio.

12. Devolución o supresión al terminar

Una vez finalizada la prestación, el Encargado devolverá o suprimirá los datos personales, a elección del Responsable, salvo que una disposición legal exija conservarlos. La exportación se realizará en formatos técnicamente disponibles y razonables, con medidas de seguridad adecuadas.

Para convertir este documento en un compromiso ejecutable, el Anexo II debe concretar antes de contratar: ventana de exportación, plazo de supresión de sistemas activos, plazo máximo de eliminación de las copias de respaldo y tratamiento de los datos bloqueados por imperativo legal. No se anuncian aquí plazos que aún no se han contrastado con el sistema implantado.

13. Obligaciones del Responsable

El Responsable se compromete a contar con bases jurídicas y avisos de privacidad adecuados, introducir sólo los datos necesarios, configurar permisos correctamente, atender los derechos de sus interesados y comunicar instrucciones lícitas. Asimismo, deberá adoptar medidas de seguridad en los dispositivos y credenciales de las personas que utilicen el sistema.

Anexo I · Ficha del tratamiento

Elemento	Descripción
Servicio	CarpiNeo, software de gestión de empresas de ventanas.
Responsable	Empresa suscriptora identificada en la cuenta.
Encargado	PROKUBIX TECH, S.L.
Finalidad	Gestión de presupuestos, clientes, obras, pedidos, fabricación, instalaciones, facturación y cobros por cuenta del Responsable.
Interesados	Clientes, potenciales clientes, representantes, contactos, trabajadores y colaboradores.
Datos	Identificación, contacto, dirección, fotografías, datos comerciales, económicos y documentos de operaciones.
Duración	Vigencia de servicio y periodo final de devolución o supresión.
Instrucciones	Acciones autorizadas de los usuarios del Responsable y comunicaciones contractuales válidas.

Anexo II · Controles y calendario operativo

Controles funcionales descritos por el producto: espacios separados por empresa; perfiles administrativos, comerciales, taller e instaladores; limitaciones de visualización de costes, márgenes y tarifas; funciones administrativas de soporte; protección de credenciales de Stripe, PayPal, Google y SMTP frente a su exposición en el navegador.

Elementos que deben verificarse antes de utilizar este acuerdo como contrato definitivo: mecanismos de aislamiento entre empresas; control de acceso del superadministrador; cifrado y almacenamiento de claves; copias de seguridad y restauración; auditoría y registros de seguridad; calendario de exportación y eliminación, incluidas copias; procedimiento de gestión de incidentes; ubicación y acceso de proveedores.

Anexo III · Relación de subencargados

Antes de la puesta en producción debe incorporarse aquí una lista actualizada y verificable de los proveedores que realmente actúan como subencargados, con al menos: denominación social, servicio prestado, categoría de datos, país de tratamiento, garantías de transferencia internacional si fueran necesarias y contacto o método de notificación de cambios.

Integraciones previstas que deben analizarse según el flujo concreto: infraestructura de alojamiento (proveedor por confirmar), proveedores de email/SMTP configurados, Google/Gmail cuando la empresa lo conecte, Stripe y PayPal (que pueden intervenir con funciones y roles de protección de datos diferentes según el tratamiento). No se les asigna automáticamente la condición de subencargados sin analizar los contratos correspondientes.

Importante: este anexo debe quedar cerrado y puesto a disposición de las empresas clientes antes de aceptar contratos que impliquen tratamiento de sus datos personales. La versión incluida en este paquete es un texto jurídicamente estructurado, pendiente de esa comprobación operativa.

Versión revisada el 13 de noviembre de 2026. Para consultas relacionadas con este documento, escribe a info@prokubix.com.