Legal

Contrato de encargado de tratamiento

Versión de 5 de octubre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Este contrato regula el tratamiento de datos personales que ECOPRIME MEDITERRANEO SL realiza por cuenta de sus clientes al prestarles el servicio de agentes (Carmen, Pablo y Marta). Se entiende aceptado al contratar el servicio. Si necesitas una copia firmada, pídela en ecoprimemediterraneo@gmail.com.

1. Partes

  • Responsable del tratamiento: el cliente, es decir, el negocio que contrata los agentes (en adelante, «el Responsable»).
  • Encargado del tratamiento: ECOPRIME MEDITERRANEO SL, NIF B21991559, con domicilio en Calle Ramón Gómez de la Serna 22, PTA 308, 29602 Marbella (Málaga), España; email ecoprimemediterraneo@gmail.com; web cristobalserrano.tech (en adelante, «el Encargado»).

2. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable con el único fin de prestarle el servicio: atender por WhatsApp, por teléfono y por Instagram a las personas que contactan con el negocio, gestionar su agenda de citas, enviar confirmaciones y recordatorios, y preparar y publicar contenido en sus redes. El contrato dura lo que dure la relación de servicio.

3. Datos y personas afectadas

  • Personas afectadas: clientes, pacientes y contactos del Responsable, y el personal del Responsable que usa el panel.
  • Datos identificativos y de contacto: nombre, teléfono, correo electrónico y usuario de Instagram.
  • Datos de la relación: citas (servicio, profesional, fecha y hora), historial de visitas, preferencias que la persona comunica y contenido de los mensajes.
  • Llamadas telefónicas: grabación de audio, transcripción y resumen de las llamadas atendidas por la asistente de voz.
  • Datos de salud (categoría especial, art. 9 RGPD): solo cuando el Responsable es una clínica o un centro sanitario o de estética, y limitados a lo que la persona comunica para pedir cita (motivo de la consulta o tratamiento). El servicio no es una historia clínica y no debe usarse como tal.

4. Obligaciones del Encargado

  • Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y la configuración que el Responsable hace en su panel.
  • No usar los datos para fines propios ni para entrenar modelos de inteligencia artificial.
  • Garantizar que las personas autorizadas a tratar los datos están sujetas a confidencialidad.
  • Aplicar las medidas de seguridad del apartado 7.
  • Ayudar al Responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una persona se dirige directamente al Encargado, este se lo traslada al Responsable sin demora.
  • Notificar al Responsable las violaciones de seguridad que afecten a sus datos sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia, con la información disponible para que pueda cumplir sus propias obligaciones de notificación.
  • Ayudar al Responsable, cuando proceda, en las evaluaciones de impacto y en las consultas previas a la autoridad de control.
  • Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, avisadas con antelación.
  • Avisar al Responsable si considera que una instrucción suya infringe la normativa de protección de datos.

5. Obligaciones del Responsable

  • Tener una base legal para tratar los datos de sus clientes y pacientes e informarles de ese tratamiento, incluido el uso de una asistente virtual y la grabación de las llamadas.
  • Cuando trate datos de salud, contar con la base del artículo 9 del RGPD que corresponda a su actividad.
  • Obtener el consentimiento que exija la normativa para los mensajes comerciales (felicitaciones, peticiones de reseña, campañas).
  • No introducir en el servicio más datos de los necesarios para gestionar citas y atender a sus clientes.
  • Mantener la confidencialidad de su usuario y contraseña.

6. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, con los que el Encargado mantiene un contrato que les impone las mismas obligaciones de protección de datos:

  • Vercel: alojamiento de la aplicación y del panel.
  • Supabase: base de datos y almacenamiento de ficheros.
  • Anthropic: modelo de lenguaje que redacta las respuestas de los agentes, con contrato que prohíbe entrenar con datos de clientes.
  • OpenAI: transcripción de notas de voz y generación de imágenes, con contrato que prohíbe entrenar con datos de clientes.
  • Meta Platforms (WhatsApp e Instagram): envío y recepción de mensajes, comentarios y publicaciones.
  • Retell AI: asistente de voz: atiende las llamadas, las graba y las transcribe.
  • Zadarma: telefonía: números de teléfono y transporte de las llamadas.
  • Resend: envío de correos (confirmaciones, avisos e informes), con servidores en la Unión Europea.
  • Google: solo si el cliente conecta su cuenta: calendario, correo y perfil de empresa.

El Encargado avisará al Responsable, con al menos 15 días de antelación, antes de añadir o sustituir un subencargado. El Responsable puede oponerse por motivos razonables; si no hay acuerdo, puede dar de baja el servicio sin penalización.

7. Medidas de seguridad

  • Cifrado de las comunicaciones (HTTPS/TLS).
  • Acceso al panel con usuario y contraseña; las contraseñas se guardan cifradas de forma irreversible.
  • Separación lógica de los datos de cada cliente.
  • Acceso del personal del Encargado limitado a lo necesario para dar soporte.
  • Copias de seguridad gestionadas por el proveedor de base de datos.

8. Transferencias internacionales

Algunos subencargados tienen su sede o parte de su infraestructura fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las garantías del capítulo V del RGPD: decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.

9. Fin del servicio

Al terminar el servicio, el Encargado devolverá al Responsable los datos en un formato de uso común si este lo pide en los 30 días siguientes y, pasado ese plazo, los suprimirá, salvo los que deba conservar por obligación legal, que quedarán bloqueados. Las grabaciones y transcripciones de llamadas se conservan como máximo 12 meses.

10. Responsabilidad y ley aplicable

Cada parte responde de los incumplimientos que le sean imputables. Este contrato se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Málaga.

Documento relacionado: Política de privacidad.

← Volver a la fábrica de ideas