Contrato de encargo del tratamiento

El presente contrato de encargo del tratamiento (en adelante, "DPA") complementa los Términos de uso de Ordik y establece las obligaciones en materia de protección de datos personales entre:

• Responsable del tratamiento: El cliente que contrata Ordik para gestionar su negocio (en adelante, "el Responsable").
• Encargado del tratamiento: [PENDIENTE: Nombre completo del titular], con NIF [PENDIENTE: NIF del titular], domicilio en [PENDIENTE: Dirección fiscal completa], operando bajo la marca comercial Ordik (en adelante, "el Encargado").

1. Objeto del encargo

El Responsable encarga al Encargado el tratamiento de datos personales necesario para la prestación del servicio Ordik, un software de gestión para negocios de reparación.

El tratamiento incluye:

• Almacenamiento y gestión de datos de clientes del negocio
• Gestión de órdenes de reparación, presupuestos, albaranes y facturas
• Control de inventario y movimientos de stock
• Gestión de pagos y facturación electrónica
• Envío de comunicaciones por email en nombre del negocio
• Generación de informes y analíticas de negocio
• Funciones con inteligencia artificial: lectura de facturas y albaranes escaneados, Asistente de negocio, sugerencias en presupuestos, ayuda en la importación de datos y en el alta del negocio
• Asistente conversacional de IA por WhatsApp o Telegram para el Responsable y su personal; en Telegram, solo si el Responsable lo permite (sección 4), y cada miembro del equipo decide si conecta su propio canal
• Asistente de IA por WhatsApp para los clientes del Responsable, solo si el Responsable lo activa (ver más abajo)
• Envío de avisos automáticos a clientes por WhatsApp Business (reparación lista, recordatorios), si el Responsable lo activa

La naturaleza del tratamiento comprende operaciones de recogida, registro, estructuración, conservación, consulta, comunicación y supresión de los datos, realizadas por medios automatizados. La duración se establece en la sección 7.

Asistente de IA para los clientes del Responsable

• Viene desactivado. Solo el propietario de la cuenta puede activarlo o desactivarlo, desde Ajustes, en Avisos y mensajería, en el bloque «Asistente con IA para tus clientes». Ordik registra quién lo cambió y cuándo; esa activación es la instrucción documentada del Responsable para este tratamiento.
• Mientras está desactivado, ningún mensaje de los clientes se envía a un modelo de IA. Los mensajes que llegan se registran para que el equipo del Responsable los vea en Ordik, y el cliente recibe, como mucho una vez cada 24 horas, una respuesta fija que no genera la IA: «Hemos recibido tu mensaje. El equipo de (nombre del negocio) te responderá lo antes posible.».
• Una vez activado, el asistente se presenta en el primer mensaje de cada conversación como asistente virtual con inteligencia artificial del negocio. Solo atiende a quien figura como cliente en la ficha del Responsable, identificado por su número de teléfono, y solo con los datos de ese cliente: el estado de sus reparaciones, lo que tiene pendiente de pago, la disponibilidad de alquiler y de citas del taller, y el registro de solicitudes de cita o de alquiler.
• Lo que no hace: no confirma reservas ni citas (quedan pendientes hasta que una persona del equipo las confirma), no modifica datos, no accede a datos de otros clientes ni toma decisiones con efectos jurídicos o significativos.
• Escalado a una persona: cuando el cliente lo pide, o plantea algo que el asistente no puede resolver (una queja, un precio, un caso especial), el asistente avisa al equipo del Responsable para que le atienda una persona.

Papel de cada parte según el Reglamento de Inteligencia Artificial

A efectos del Reglamento (UE) 2024/1689, el Encargado es el proveedor de los sistemas de IA que ofrece en Ordik, construidos sobre modelos de Anthropic, y el Responsable es el responsable del despliegue cuando los usa en su actividad. Como proveedor, el Encargado hace que los asistentes informen de que son una inteligencia artificial en el primer mensaje de cada conversación, y que los textos que redacta la IA y se muestran en Ordik lleven una etiqueta visible (por ejemplo, «Generado con IA») y una marca técnica legible por máquina en la página, así como en las descargas y correos que contienen texto generado. El marcado integrado en el propio texto depende hoy del proveedor del modelo, que lo está incorporando de forma progresiva: los modelos que usa Ordik todavía no lo aplican, y los mensajes de WhatsApp y Telegram no admiten marcas técnicas.

2. Categorías de datos tratados

No se tratan categorías especiales de datos (art. 9 RGPD).

3. Obligaciones del Encargado

El Encargado se compromete a:

• a)Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al Encargado; en tal caso, el Encargado informará al Responsable de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Son instrucciones documentadas este DPA, los Términos de uso y la configuración que el Responsable elige en Ordik (por ejemplo, activar o desactivar cada función). Al aceptar este DPA, el Responsable autoriza las transferencias a los sub-encargados de la tabla de la sección 5, con las garantías que se indican en las secciones 5 y 6. El canal de Telegram no queda autorizado por la mera aceptación de este DPA: solo se usa si el Responsable lo decide conforme a la sección 4, sabiendo que para él no existen garantías del Capítulo V del RGPD (sección 5). El Encargado informará de inmediato al Responsable si, en su opinión, una instrucción infringe el RGPD, la LOPDGDD u otras normas de protección de datos.
• b)Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
• c)Implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), incluyendo:

• Cifrado de datos en tránsito (TLS 1.3) y en reposo
• Aislamiento multi-tenant a nivel de base de datos (tenantId en todas las consultas)
• Autenticación con sesiones seguras (httpOnly, secure, sameSite)
• Rate limiting y protección contra fuerza bruta
• Copias de seguridad automáticas diarias, guardadas en la UE y conservadas un máximo de 8 semanas
• Monitorización y alertas de errores
• Headers de seguridad HTTP (CSP, HSTS, X-Frame-Options)

• d)No subcontratar el tratamiento sin autorización previa y por escrito del Responsable, salvo los sub-encargados listados en la sección 5. El Encargado impone a dichos sub-encargados, mediante contrato, las mismas obligaciones de protección de datos previstas en este DPA, y responde plenamente ante el Responsable del cumplimiento por parte de aquéllos (art. 28.4 RGPD).
• e)Asistir al Responsable en el cumplimiento de las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación y oposición).
• f)Notificar al Responsable sin dilación indebida (y en todo caso en un máximo de 48 horas) cualquier violación de seguridad que afecte a datos personales.
• g)Suprimir o devolver al Responsable, a su elección, todos los datos personales según la sección 7: de inmediato si el Responsable elimina el negocio desde Ordik, o en un plazo máximo de 30 días desde que lo solicite, salvo obligación legal de conservación.
• h)Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitir y contribuir a auditorías, incluidas inspecciones. Las auditorías podrán realizarse una vez al año, con un preaviso razonable, o cuando existan indicios de incumplimiento, respetando la confidencialidad, la seguridad de otros clientes y la continuidad del servicio.
• i)Control de calidad y seguridad de los asistentes de IA. El Encargado podrá revisar conversaciones de los asistentes de forma limitada y justificada, con el único fin de garantizar el correcto funcionamiento, la calidad y la seguridad del servicio, aplicando seudonimización de los datos de los clientes finales siempre que sea posible y registrando cada acceso (identidad de quien accede, momento y motivo). Ese registro de accesos se conserva 24 meses. El Encargado no accederá de forma masiva o indiscriminada a las conversaciones.
• j)No entrenamiento de modelos de IA. El Encargado no utilizará los datos personales tratados por cuenta del Responsable, ni el contenido de las conversaciones, para entrenar o mejorar modelos de inteligencia artificial ni para ningún fin propio. Anthropic, que presta los modelos, se compromete en sus condiciones comerciales a no entrenar modelos con el contenido que recibe a través de su API.
• k)Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en la realización de evaluaciones de impacto relativas a la protección de datos (art. 35 RGPD) y en las consultas previas a la autoridad de control (art. 36 RGPD) cuando resulten necesarias.

4. Obligaciones del Responsable

El Responsable se compromete a:

• Garantizar que dispone de base jurídica legítima para el tratamiento de los datos que introduce en la plataforma.
• Informar a sus clientes sobre el tratamiento de sus datos, incluyendo la existencia de este encargo de tratamiento y, si activa el asistente de IA para clientes, que les puede responder un asistente con inteligencia artificial y que pueden pedir que les atienda una persona.
• Como responsable del despliegue de los sistemas de IA, usarlos conforme a su finalidad, revisar sus resultados antes de actuar y no emplearlos para usos prohibidos ni de alto riesgo, como seleccionar o evaluar a trabajadores o valorar la solvencia de personas.
• Decidir si su personal puede usar Telegram como canal del asistente, con la información de la sección 5.
• No introducir en la plataforma categorías especiales de datos (salud, orientación sexual, datos biométricos, etc.) salvo acuerdo expreso por escrito.
• Comunicar al Encargado cualquier solicitud de ejercicio de derechos que reciba de sus clientes y requiera la colaboración del Encargado.

5. Sub-encargados autorizados

El Responsable autoriza expresamente al Encargado a subcontratar los siguientes proveedores para la prestación del servicio:

«Marco DPF» = Data Privacy Framework UE-EE.UU. (Decisión de adecuación de la Comisión Europea de 10 de julio de 2023); «SCCs» = Cláusulas Contractuales Tipo (Decisión 2021/914). Para sub-encargados fuera de la UE se garantizan las transferencias internacionales conforme al Capítulo V del RGPD, con SCCs como salvaguarda adicional aun cuando exista adhesión al Marco DPF.

Anthropic Ireland, Limited es la sociedad con la que contratan los clientes del Espacio Económico Europeo según las condiciones comerciales de Anthropic. Los datos se almacenan en EE.UU. y, salvo que se fije una región, el cálculo de las respuestas puede hacerse en cualquier región en la que Anthropic tenga infraestructura; la transferencia se ampara en las cláusulas contractuales tipo que incorpora su acuerdo de tratamiento de datos. Anthropic no entrena sus modelos con estos datos y los borra en 30 días, salvo que sus sistemas automáticos los marquen como posible infracción de su política de uso (entonces los conserva hasta 2 años) o una norma le obligue a conservarlos. Las funciones de IA solo se ejecutan cuando un usuario del Responsable las usa (escanear un documento, el Asistente de negocio o los informes) o cuando se activan: el asistente para sus clientes por WhatsApp y el parte semanal los activa el Responsable en Ajustes, en Avisos y mensajería, y puede desactivarlos en cualquier momento; el canal del asistente por WhatsApp o Telegram lo conecta y desconecta cada miembro del equipo en Mi cuenta. Además, Ordik aplica a cada cuenta un techo mensual de consumo de IA, que solo se amplía si el Responsable recarga créditos.

WhatsApp Business: contrato directo del Responsable con Meta

Para los avisos a clientes y los asistentes por WhatsApp, el Responsable conecta su propia cuenta de WhatsApp Business: crea su app en Meta y acepta directamente las condiciones de Meta (Meta Platforms Ireland Limited distribuye la solución y WhatsApp Ireland Limited presta el servicio a los negocios del Espacio Económico Europeo). En esas condiciones, WhatsApp trata los mensajes como encargado del Responsable y aplica sus propias garantías para las transferencias internacionales. Por eso Meta no figura como sub-encargado del Encargado: Ordik actúa como proveedor de servicios del Responsable dentro de la cuenta de este (lo que las condiciones de Meta llaman «Third Party Service Provider») y usa las credenciales que el Responsable le facilita solo para enviar y recibir mensajes por su cuenta, sin usar esos datos para entrenar modelos de IA ni para fines propios. El Responsable puede desconectar su cuenta desde Ajustes, en Avisos y mensajería, o retirar el acceso de Ordik desde su propia cuenta de Meta.

Telegram: canal opcional sin contrato de encargo

Ordik ofrece un bot de Telegram como canal opcional para que el Responsable y su personal hablen con el asistente de IA y reciban avisos internos. Está desactivado por defecto: solo se usa si un miembro del equipo conecta su propia cuenta de Telegram desde Ajustes, en Mi cuenta, y cada persona puede desconectarla en cualquier momento desde el mismo sitio.

• Los avisos automáticos al equipo (solicitudes nuevas de cita o de alquiler, un cliente que pide hablar con una persona y cualquier otro aviso interno) no incluyen datos personales de clientes: son un texto genérico con un enlace a Ordik.
• Las consultas que el personal hace al asistente por Telegram, y sus respuestas, sí pasan por los servidores de Telegram y pueden incluir datos de clientes del Responsable (por ejemplo, nombre, teléfono, NIF o importes pendientes). También el parte semanal, si el propietario lo tiene activado y ha conectado Telegram.
• Telegram Messenger Inc. presta el servicio con sus propias condiciones para desarrolladores de bots, que no incluyen un contrato de encargo ni cláusulas contractuales tipo, y se declara responsable de los datos de sus usuarios. Está establecida fuera del Espacio Económico Europeo; según su política de privacidad, guarda los datos de sus usuarios del EEE en los Países Bajos. El Encargado no puede ofrecer para este canal garantías del Capítulo V del RGPD.
• Si el Responsable no quiere que datos de sus clientes pasen por Telegram, debe indicar a su personal que no conecte este canal y usar WhatsApp o el propio Ordik.

Cambios en la lista de sub-encargados

El Encargado informará al Responsable, por email o mediante aviso en el servicio, de cualquier sub-encargado nuevo o sustituido con al menos 15 días de antelación a que empiece a tratar datos, y el Responsable podrá oponerse por motivos razonables de protección de datos. Los proveedores de la tabla usan a su vez sus propios sub-encargados y avisan de sus cambios con plazos que Ordik no controla: de esos cambios, el Encargado informará al Responsable en cuanto reciba el aviso del proveedor. Si una oposición no se resuelve de común acuerdo, el Responsable podrá dejar de usar la función afectada o resolver el contrato.

6. Transferencias internacionales de datos

La base de datos y los servidores principales se alojan en la Unión Europea (Neon y Vercel en Frankfurt, Alemania; Sentry en la UE), y los archivos adjuntos y las copias de seguridad, en Cloudflare R2 dentro de la jurisdicción de la UE. Para los proveedores con sede en EE.UU. (Stripe, Resend, Cloudflare, Upstash y Google), las transferencias se amparan en el Marco de Privacidad de Datos UE-EE.UU. y/o en Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea, según se detalla en la tabla de la sección 5. Con Anthropic se contrata a través de Anthropic Ireland, Limited, y el tratamiento en EE.UU. se ampara en las cláusulas contractuales tipo de su acuerdo de tratamiento de datos. WhatsApp y Telegram siguen lo indicado en la sección 5.

7. Duración y finalización

Este DPA tiene la misma duración que la relación contractual entre el Responsable y el Encargado (la suscripción a Ordik) y, después, sigue aplicándose mientras el Encargado conserve datos del Responsable.

• Conservación: mientras la cuenta exista, aunque la suscripción esté cancelada o el acceso haya caducado, el Encargado conserva los datos para que el Responsable pueda reactivarla o exportarlos. No hay un borrado automático por cancelar la suscripción.
• Exportación: el propietario puede descargar en cualquier momento todos sus datos en un archivo ZIP con ficheros en formato JSON desde Ajustes, en Mi cuenta, Zona de peligro, y también desde la pantalla de elección de plan cuando el acceso ha caducado.
• Supresión: el propietario puede eliminar el negocio desde la Zona de peligro, lo que suprime de inmediato sus datos y archivos adjuntos. Si lo solicita por email a soporte@ordik.es, el Encargado los suprime en un plazo máximo de 30 días desde la solicitud y se lo confirma.
• Obligaciones legales: si el negocio tiene facturas emitidas, la eliminación se hace a través de soporte. Los datos de facturación y los registros fiscales se conservan, bloqueados, durante los plazos que exige la normativa (facturas y registros Verifactu: hasta 6 años conforme a la normativa tributaria y al art. 32 de la LOPDGDD), y se suprime el resto de la cuenta.
• Copias de seguridad: cada copia se conserva un máximo de 8 semanas. Los datos suprimidos desaparecen de ellas cuando caduca la última copia que los contenía y, mientras tanto, solo se usan para recuperar el servicio tras un incidente.

8. Notificación de brechas de seguridad

En caso de violación de seguridad que afecte a datos personales, el Encargado:

• Notificará al Responsable en un plazo máximo de 48 horas desde que tenga conocimiento de la brecha.
• Proporcionará toda la información disponible sobre la naturaleza, alcance y consecuencias de la brecha.
• Colaborará con el Responsable en la notificación a la AEPD y a los interesados cuando sea obligatorio (arts. 33-34 RGPD).
• Adoptará las medidas correctoras necesarias para mitigar los efectos de la brecha.

9. Legislación aplicable

Este DPA se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y la legislación española aplicable.

Para cualquier cuestión relacionada con este contrato:

• Email: soporte@ordik.es