Acuerdo de tratamiento de datos

Versión 1.6. Última actualización: 24 de octubre de 2026. Contacto de Contracko: [email protected].

Este DPA está redactado en inglés. Si Contracko facilita una traducción, prevalece la versión en inglés en caso de conflicto o discrepancia, salvo cuando las Cláusulas Contractuales Tipo exijan otra cosa.

1. Partes, funciones y relación con el contrato principal

Este Acuerdo de tratamiento de datos («DPA») forma parte del contrato entre el Cliente («Responsable del tratamiento» o «Cliente») y Velocity Ventures B.V., Mauritskade 9, 2514 HD La Haya, Países Bajos (KvK 87321432) («Encargado del tratamiento» o «Contracko»), en virtud del cual Contracko presta el servicio Contracko («Servicio»), es decir, el Common Paper Cloud Service Agreement (Standard Terms v2.1) tal como lo haya aceptado el Cliente o según se establezca en una Portada (Cover Page) firmada (el «Contrato»), y se incorpora a él.

Respecto de los datos personales que Contracko trata por cuenta del Cliente al prestar el Servicio, el Cliente es el responsable del tratamiento y Contracko es el encargado del tratamiento. Cuando Contracko trata datos para sus propias finalidades (por ejemplo, administración de cuentas, facturación y seguridad), actúa como responsable independiente respecto de ese tratamiento limitado, regido por la política de privacidad de Contracko.

En caso de conflicto, el orden de prelación es: (1) las Cláusulas Contractuales Tipo del Anexo 3 (en la medida en que se apliquen a una transferencia restringida), (2) este DPA, (3) el Contrato.

2. Definiciones

Los términos «datos personales», «tratamiento», «interesado», «responsable del tratamiento», «encargado del tratamiento», «subencargado» y «autoridad de control» tienen el significado que se les atribuye en el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, «RGPD»). «Derecho aplicable en materia de protección de datos» designa el RGPD junto con la ley neerlandesa de desarrollo (UAVG) y, cuando proceda, el UK GDPR y la LPD suiza. «Transferencia restringida» designa una transferencia de datos personales a un país fuera del EEE que no esté amparada por una decisión de adecuación.

3. Objeto, duración, naturaleza y finalidad (art. 28.3)

• Objeto: el tratamiento de datos personales contenidos en los contratos, documentos y datos de cuenta que el Cliente envía al Servicio, o relacionados con ellos.
• Duración: la vigencia del Contrato, más el periodo de supresión/devolución previsto en la Sección 11.
• Naturaleza y finalidad: almacenamiento, organización, análisis sintáctico, análisis y extracción asistidos por IA, consulta, firma electrónica y gestión de los datos contractuales del Cliente, con la única finalidad de prestar el Servicio.
• Los detalles completos del tratamiento figuran en el Anexo 1.

4. Tipos de datos personales y categorías de interesados

• Tipos (a título ilustrativo, determinados por el Cliente): nombres, datos de contacto, firmas, condiciones financieras y comerciales, información laboral y cualesquiera otros datos personales que el Cliente incluya en los documentos subidos y en los datos de cuenta.
• Categorías de interesados: los empleados, clientes, proveedores, contrapartes del Cliente y otras personas nombradas en los documentos del Cliente.

Corresponde al Cliente asegurarse de que dispone de una base jurídica para los datos personales que envía y para las instrucciones que imparte. El Cliente no debe enviar datos de categorías especiales, salvo cuando sean accesorios al contenido contractual, y es responsable de cualesquiera datos de ese tipo que decida enviar.

5. Obligaciones del encargado del tratamiento (art. 28.3.a a h)

Contracko se obliga a:

1. tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente (también en cuanto a las transferencias), instrucciones que comprenden este DPA, el Contrato y el uso del Servicio configurado por el Cliente, salvo que lo exija la ley, en cuyo caso Contracko informará previamente al Cliente, salvo que la ley lo prohíba;
2. garantizar que las personas autorizadas para tratar los datos personales estén sujetas a un deber de confidencialidad;
3. aplicar las medidas técnicas y organizativas del Anexo 2 (MTO) (art. 32);
4. respetar las condiciones de la Sección 6 para recurrir a subencargados;
5. asistir al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, en las solicitudes de los interesados (Sección 7);
6. asistir al Cliente en materia de seguridad, notificación de violaciones de la seguridad de los datos personales, evaluaciones de impacto relativas a la protección de datos y consulta previa (Secciones 8 y 9), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga Contracko;
7. a elección del Cliente, suprimir o devolver los datos personales al finalizar el Servicio (Sección 11);
8. poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías (Sección 10); y
9. no utilizar los datos personales del Cliente para entrenar ningún modelo de IA, y recurrir a subencargados de IA únicamente en condiciones que excluyan el entrenamiento con datos del Cliente y que, cuando se ofrezca, apliquen la no conservación de datos.

Instrucciones ilícitas. Contracko informará al Cliente sin dilación indebida si, en su opinión, una instrucción infringe el Derecho aplicable en materia de protección de datos. El Cliente dispondrá entonces de un plazo razonable (al menos 30 días) para impartir una instrucción revisada y lícita. Mientras se resuelve, Contracko podrá suspender el tratamiento afectado y, si el Cliente no facilita una instrucción lícita dentro de ese plazo, Contracko podrá resolver la parte afectada del Servicio sin incurrir en responsabilidad.

6. Subencargados (art. 28.2 y 28.4)

Autorización general. El Cliente otorga autorización general por escrito para que Contracko recurra a subencargados para tratar datos personales al prestar el Servicio, en categorías que incluyen alojamiento y almacenamiento, base de datos, análisis asistido por IA, firma electrónica, envío de correo electrónico, analítica, pagos y operaciones internas y alertas. La lista actual de subencargados, designados por su nombre, figura en el Anexo 1.

Notificación de cambios. Contracko mantiene una lista actual de subencargados designados por su nombre. Con al menos catorce (14) días de antelación a la autorización de un nuevo subencargado para tratar datos personales, Contracko actualizará la lista y notificará activamente al Cliente por correo electrónico.

Oposición. El Cliente podrá oponerse a un nuevo subencargado por motivos razonables relacionados con la protección de datos, mediante notificación escrita dentro de los siete (7) días siguientes a la notificación. Si el Cliente no se opone dentro de ese plazo, el subencargado se entenderá aceptado. El nuevo subencargado no tratará los datos personales del Cliente antes de que expire el plazo de preaviso de catorce (14) días. Si el Cliente se opone y Contracko no puede facilitar una alternativa comercialmente razonable en un plazo razonable, el único remedio del Cliente será resolver la parte afectada del Servicio mediante preaviso escrito razonable.

Traslado de obligaciones y responsabilidad. Contracko impone a cada subencargado, mediante contrato escrito, obligaciones de protección de datos no menos protectoras que las de este DPA (en particular las medidas del art. 32), y sigue siendo plenamente responsable ante el Cliente del cumplimiento por cada subencargado de sus obligaciones.

7. Derechos de los interesados (art. 28.3.e)

Teniendo en cuenta la naturaleza del tratamiento, Contracko asistirá al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición), incluso a través de las funciones de exportación y supresión de autoservicio del Servicio. Si un interesado se dirige directamente a Contracko, Contracko lo remitirá al Cliente.

8. Violación de la seguridad de los datos personales (art. 33)

Contracko notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos personales del Cliente, y facilitará la información razonablemente disponible para asistir al Cliente en sus propias obligaciones de notificación, incluyendo, cuando esté disponible, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Cuando la información no pueda facilitarse de una sola vez, podrá facilitarse de manera escalonada sin más dilación indebida. Como encargado del tratamiento, Contracko no notifica a la autoridad de control ni a los interesados; esa obligación corresponde al Cliente como responsable del tratamiento.

9. Seguridad, EIPD y consulta previa (art. 32, 35 y 36)

Contracko aplica y mantiene las medidas del Anexo 2, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y el riesgo del tratamiento. Contracko no garantiza que estas medidas sean eficaces en todas las circunstancias; de conformidad con el artículo 82.2 del RGPD, Contracko solo responde cuando el daño resulte del incumplimiento por Contracko de las obligaciones dirigidas específicamente a los encargados del tratamiento conforme al Derecho aplicable en materia de protección de datos, o de las instrucciones lícitas del Cliente. Contracko asiste al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, en las evaluaciones de impacto relativas a la protección de datos y en la consulta previa a la autoridad de control cuando resulte necesaria. Contracko podrá cobrar una tarifa razonable por la asistencia prevista en las Secciones 7 a 9 que exceda sustancialmente la funcionalidad ordinaria del Servicio, salvo cuando dicha asistencia sea necesaria por un incumplimiento de este DPA por parte de Contracko.

10. Auditorías (art. 28.3.h)

Contracko pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA. Contracko podrá atender las solicitudes de auditoría facilitando sus informes de auditoría de terceros, certificaciones o autoevaluaciones disponibles (como ISO 27001, SOC 2 o CSA STAR, en la medida en que Contracko disponga de ellos), y sus MTO, que el Cliente acepta como satisfacción del derecho de auditoría cuando atiendan razonablemente la solicitud. Cuando estos no sean razonablemente suficientes, el Cliente (o un auditor mandatado, sujeto a confidencialidad y que no sea competidor de Contracko) podrá realizar una inspección no más de una vez al año, con preaviso escrito de al menos 30 días, en horario laboral, sin perturbación irrazonable y a cargo del Cliente.

11. Devolución y supresión (art. 28.3.g)

Al finalizar el Servicio, Contracko procederá, a elección del Cliente, a suprimir o devolver todos los datos personales y a suprimir las copias existentes, salvo que la conservación sea legalmente exigible. Contracko completa la supresión sin dilación indebida y, en todo caso, en un plazo de 90 días desde la finalización o desde una solicitud de supresión verificada; las copias residuales en las copias de seguridad se purgan en el ciclo normal de copias de seguridad.

12. Transferencias internacionales (Capítulo V del RGPD)

El alojamiento y el almacenamiento principal de Contracko se encuentran en la UE. La relación entre el Cliente y Contracko es intra-EEE y no constituye en sí misma una transferencia restringida. Cuando la prestación del Servicio implique una Transferencia restringida a un subencargado situado fuera del EEE, dicha transferencia se realizará al amparo de un mecanismo de transferencia adecuado, aplicado en el siguiente orden: (a) una decisión de adecuación o, cuando el destinatario esté certificado, el Marco de Privacidad de Datos UE-EE. UU.; en su defecto (b) las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión), Módulo Tres para transferencias ulteriores de encargado a subencargado (y Módulo Dos cuando el Cliente sea el exportador de datos), junto con el Addendum de Transferencia Internacional de Datos del Reino Unido y las adaptaciones suizas cuando proceda, así como cualesquiera medidas complementarias exigidas tras una evaluación de impacto de la transferencia. La ubicación de cada subencargado consta en la lista de subencargados (Anexo 1). Las CCT se incorporan por referencia y, cuando resulten aplicables, prevalecen sobre este DPA (el Anexo 3 recoge los módulos elegidos y los apéndices cumplimentados).

13. Responsabilidad y legislación aplicable

La responsabilidad de cada parte en virtud de este DPA queda sujeta a las limitaciones y exclusiones de responsabilidad del Contrato (Common Paper CSA Standard Terms v2.1), que se aplican a este DPA. El Cliente indemnizará a Contracko frente a reclamaciones y pérdidas de terceros en la medida en que deriven de instrucciones de tratamiento ilícitas del Cliente, de contenido ilícito del Cliente, o del incumplimiento por el Cliente de este DPA o del Derecho aplicable en materia de protección de datos. Este DPA se rige por la legislación de los Países Bajos, y los tribunales de La Haya o Ámsterdam son competentes, en consonancia con el Contrato, sin perjuicio de las protecciones imperativas de los interesados y de cualquier legislación aplicable o fuero exigidos por las CCT.

14. Idioma

Este DPA está redactado en inglés. Si Contracko facilita una traducción, prevalece la versión en inglés en caso de conflicto o discrepancia, salvo cuando las Cláusulas Contractuales Tipo exijan otra cosa.

Anexos

• Anexo 1 - Detalles del tratamiento y lista de subencargados: los detalles del tratamiento de las Secciones 3 y 4, junto con la lista de subencargados que figura a continuación.
• Anexo 2 - Medidas técnicas y organizativas (MTO): las medidas de seguridad técnicas y organizativas vigentes de Contracko, puestas a disposición del Cliente previa solicitud.
• Anexo 3 - Cláusulas Contractuales Tipo: cuando una Transferencia restringida se base en las CCT, se aplicarán las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión), con los Módulos Dos y Tres elegidos según proceda, siendo la autoridad de control competente la Autoriteit Persoonsgegevens cuando Contracko sea el exportador de datos (Módulo Tres) y la autoridad de control competente del Cliente cuando el Cliente sea el exportador de datos (Módulo Dos), y sirviendo las medidas del Anexo 2 como apéndice de medidas técnicas y organizativas.
• Anexo 4 - Declaración sobre seguridad y tratamiento: una declaración estructurada del estándar de seguridad, las certificaciones, los subencargados y las prácticas de conservación y supresión de Contracko, puesta a disposición del Cliente previa solicitud.

Anexo 1 - Lista de subencargados

Los subencargados a los que Contracko recurre para tratar datos personales al prestar el Servicio. Los cambios se notifican conforme a la Sección 6. La ubicación de la empresa es el lugar donde tiene su sede la entidad con la que Contracko contrata.

Subencargado	Finalidad	Ubicación de la empresa	Ubicación del alojamiento
Hetzner	Alojamiento	Alemania (UE)	UE
UpCloud	Alojamiento	Finlandia (UE)	UE
PlanetScale	Alojamiento de bases de datos	Estados Unidos	UE
Cloudflare	Servicios de almacenamiento y red	Estados Unidos	UE
Google	Análisis con IA	Irlanda (UE)	Estados Unidos
Mistral AI	Análisis con IA	Francia (UE)	UE
OpenAI	Análisis con IA	Estados Unidos	Estados Unidos
TypeSafe	Análisis con IA	Estados Unidos	Estados Unidos
Inception	Análisis con IA	Estados Unidos	Estados Unidos
LlamaIndex	Procesamiento de documentos	Estados Unidos	UE
DocuSeal	Firmas electrónicas	Estados Unidos	UE
Mailgun (Sinch)	Procesamiento de correo electrónico	Estados Unidos	UE
Bento	Correo electrónico y atención al cliente	Australia	Australia
Stripe	Pagos	Irlanda (UE)	UE y Estados Unidos
PostHog	Analítica	Estados Unidos	UE
Slack	Comunicación interna	Irlanda (UE)	Estados Unidos

Atribución

Este Acuerdo de tratamiento de datos ha sido adaptado, con modificaciones, por Velocity Ventures B.V. a partir del Common Paper Data Processing Agreement, © Common Paper, bajo licencia CC BY 4.0.