Encargo de tratamiento de datos

Actualizado el 1 de octubre de 2026

Este documento es el contrato de encargo del tratamiento previsto en el artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de las condiciones del servicio y está en vigor desde que el Cliente empieza a usar el servicio, sin necesidad de firma adicional. Si el Cliente necesita una copia firmada, puede pedirla en hector@iariss.ai.

1. Partes y papeles

El Cliente es el responsable del tratamiento de los datos personales de sus propios contactos, clientes potenciales, clientes y empleados que introduce o conecta en la plataforma. Héctor Luengo Guerra (Iariss) (en adelante, el Encargado) actúa como encargado del tratamiento y trata esos datos únicamente por cuenta del Cliente.

Respecto de los datos de las personas que usan la plataforma —altas, accesos, facturación—, el Encargado actúa como responsable, y eso se rige por la política de privacidad, no por este documento.

2. Objeto, duración y naturaleza

El Encargado tratará los datos para prestar el servicio contratado: alojarlos y organizarlos, mostrar métricas y agenda, registrar y transcribir llamadas y reuniones cuando el Cliente active esa función, enviar las comunicaciones que el Cliente configure por los canales que conecte, ejecutar automatizaciones y ofrecer las funciones de asistente basadas en inteligencia artificial, además del soporte técnico y las copias de seguridad.

El encargo dura mientras esté vigente la suscripción, más el plazo de supresión del apartado 9.

3. Interesados y tipos de datos

Interesados: contactos, clientes potenciales, clientes y empleados del Cliente. Datos: identificativos y de contacto, datos comerciales y de la relación, comunicaciones mantenidas y, únicamente si el Cliente activa esas funciones, grabaciones y transcripciones de llamadas y reuniones.

El Cliente no introducirá categorías especiales de datos —salud, ideología, afiliación sindical, biometría y demás del artículo 9 RGPD— ni datos de menores, salvo acuerdo previo y por escrito que fije medidas adicionales.

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo instrucciones documentadas del Cliente. Este documento y la configuración que el Cliente haga de la plataforma constituyen esas instrucciones. Si una instrucción infringe la normativa de protección de datos, el Encargado lo advertirá.
2. No usar los datos para fines propios, ni cederlos, ni venderlos, ni emplearlos para entrenar modelos de inteligencia artificial. Los proveedores de modelos se contratan en modalidad que excluye el entrenamiento con los datos enviados.
3. Garantizar que quien accede a los datos está sujeto a deber de confidencialidad.
4. Aplicar las medidas de seguridad del apartado 7.
5. Asistir al Cliente en la atención de los derechos de los interesados y, si el Cliente lo necesita, en sus evaluaciones de impacto y consultas previas.
6. Notificar cualquier violación de seguridad que afecte a datos del Cliente sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, con la información necesaria para que el Cliente cumpla su propia obligación de notificar.
7. Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento y permitir una auditoría anual, con preaviso de treinta (30) días, que podrá atenderse mediante cuestionarios o certificaciones.

5. Obligaciones del Cliente

1. Garantizar que tiene base jurídica para tratar los datos que introduce y para los envíos que realiza, y haber informado a los interesados.
2. Cumplir la normativa de comunicaciones comerciales. En España, el artículo 21 de la LSSI exige consentimiento previo o una relación contractual anterior para enviar comunicaciones comerciales por correo electrónico o mensajería, y ofrecer siempre una forma sencilla de oponerse.
3. Informar a quienes participen en llamadas o reuniones de que se están grabando y transcribiendo, cuando active esas funciones, y recabar el consentimiento cuando sea exigible.
4. Atender los derechos de sus interesados, con la asistencia del Encargado.
5. Mantener la confidencialidad de las credenciales de acceso y gestionar las altas y bajas de sus usuarios.

6. Subencargados

El Cliente autoriza con carácter general que el Encargado recurra a subencargados. La lista vigente está publicada en jarvis.app/legal/subencargados y cualquier alta o sustitución se anuncia allí con treinta (30) días de antelación, pudiendo el Cliente oponerse por motivos razonables. Si la oposición hace imposible prestar el servicio afectado, cualquiera de las partes podrá resolverlo respecto de esa funcionalidad.

Los subencargados quedan sujetos por contrato a obligaciones equivalentes a las de este documento. El Encargado responde de su actuación.

7. Medidas de seguridad

• Cifrado en tránsito mediante TLS en todas las comunicaciones.
• Cifrado en reposo de la base de datos y de las copias de seguridad.
• Credenciales de las integraciones almacenadas cifradas; nunca en el navegador.
• Control de acceso por roles y reglas de acceso a nivel de fila en la base de datos.
• Autenticación por email y contraseña, con enlaces de recuperación de un solo uso.
• Registro de la actividad administrativa sensible.
• Registro centralizado de errores para detectar incidentes.
• Copias de seguridad periódicas con capacidad de restauración.
• Acceso del personal limitado a lo necesario y sujeto a deber de confidencialidad.
• Revisión de los accesos y de las dependencias de forma periódica.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos subencargados están establecidos fuera del Espacio Económico Europeo, principalmente en Estados Unidos; esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está adherido, en el marco de privacidad de datos entre la Unión Europea y Estados Unidos.

9. Fin del encargo

Al terminar la suscripción, el Cliente dispone de treinta (30) días naturales para exportar sus datos. Transcurrido ese plazo, el Encargado los suprimirá o anonimizará de forma irreversible, incluidas las copias de seguridad conforme a su ciclo de rotación, salvo que deba conservarlos por obligación legal, en cuyo caso quedarán bloqueados.

10. Contacto

Para cualquier asunto relativo a este encargo: hector@iariss.ai.