Contrato de encargo del tratamiento

Contrato entre el cliente de Ablalo, como responsable del tratamiento, y Naxia, como encargada. Los clientes institucionales lo firman; los demás lo aceptan con las Condiciones generales de contratación y licencia de uso (apartado 14.2).

En …………………, a …… de ………………… de 20……

REUNIDOS

De una parte, D./D.ª ………………………, con DNI ……………, en nombre y representación de ………………………, con NIF ……………… y domicilio en ………………………, en su condición de ………………… (en adelante, «el Responsable»).

De otra parte, D. ………………………, con DNI ……………, en su condición de administrador solidario de NAXIA SMART SOLUTIONS, S.L., con NIF B71541692 y domicilio social en la calle Martín Azpilcueta, 22, 4.º B, 31011 Pamplona (Navarra), inscrita en el Registro Mercantil de Navarra, hoja NA-44602, inscripción 1.ª (en adelante, «Naxia»).

INTERVIENEN

Ambas partes intervienen en la representación indicada, se reconocen capacidad suficiente para obligarse en este acto y

EXPONEN

I. Que Naxia es titular de Ablalo, software de dictado por voz en español para profesionales, formado por aplicaciones de escritorio para Windows y macOS, una aplicación para iOS en desarrollo y componentes en la nube.

II. Que el Responsable ha contratado Ablalo conforme a las Condiciones generales de contratación y licencia de uso, al Acuerdo de nivel de servicio y soporte y, en su caso, a la Orden de pedido de fecha ……………… (en conjunto, el «Contrato principal»).

III. Que el dictado y la transcripción de reuniones y vistas se ejecutan en el dispositivo del Usuario sin intervención de Naxia, mientras que el Asistente (Modo Profesional), la Sincronización y el soporte con acceso a contenido requieren que Naxia trate datos personales por cuenta del Responsable.

IV. Que esos datos pueden incluir categorías especiales de datos, datos relativos a condenas e infracciones penales e información amparada por el secreto profesional de la abogacía (artículo 542.3 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial).

V. Que, para regular ese encargo conforme al artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y al artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), las partes otorgan este contrato con arreglo a las siguientes

CLÁUSULAS

PRIMERA. Objeto

1.1. Este contrato regula los tratamientos de datos personales que Naxia realiza por cuenta del Responsable para prestarle Ablalo conforme al Contrato principal, descritos en el Anexo I.

1.2. Forman parte del contrato sus anexos: I, Descripción del tratamiento; II, Medidas técnicas y organizativas; III, Subencargados autorizados; y IV, Instrucciones documentadas y contactos.

1.3. En materia de protección de datos, este contrato prevalece sobre el Contrato principal y sobre cualquier otro acuerdo entre las partes, salvo que estos ofrezcan una protección mayor.

1.4. Los términos definidos en el artículo 4 RGPD tienen ese significado. Se denomina «brecha» a la violación de la seguridad de los datos personales y «subencargado» al tercero al que Naxia encarga parte del tratamiento. Los demás términos con mayúscula inicial tienen el significado que les atribuyen las Condiciones generales de contratación y licencia de uso.

SEGUNDA. Tratamientos excluidos del encargo

2.1. El audio del dictado y de la transcripción de reuniones y vistas, y los textos resultantes, se procesan en el dispositivo del Usuario con modelos de reconocimiento de voz locales y no se transmiten a Naxia ni se almacenan en sus servidores. Naxia no accede a ellos ni puede recuperarlos. En esos tratamientos Naxia se limita a suministrar el Software y no actúa como encargada: el Responsable los realiza con sus propios medios y bajo su exclusiva responsabilidad. Lo mismo se aplica a cualquier archivo que permanezca solo en los dispositivos del Usuario; una grabación de la aplicación para iOS queda sujeta a este contrato cuando el Usuario la sincroniza.

2.2. Naxia trata como responsable, conforme a su política de privacidad, los datos de la web, de las cuentas y Licencias, de facturación y cobro, del soporte ordinario y de las comunicaciones con el Responsable y sus Usuarios. Esos tratamientos no forman parte del encargo.

2.3. Si Naxia destinara los datos del Responsable a finalidades propias o determinara por sí misma los fines y medios del tratamiento, será considerada responsable de ese tratamiento (artículo 28.10 RGPD y artículo 33.2 LOPDGDD).

TERCERA. Duración

3.1. Este contrato tiene la misma duración que el Contrato principal. Sus obligaciones subsisten mientras Naxia conserve datos personales del Responsable, hasta su devolución y supresión conforme a la cláusula décima.

CUARTA. Naturaleza, finalidad y operaciones del tratamiento

4.1. Naxia trata los datos con la única finalidad de prestar Ablalo al Responsable, en concreto para: (a) transmitir al modelo de lenguaje del Asistente el texto que el Usuario decide enviar, devolverle el resultado y conservar ambos textos durante un máximo de 14 días; (b) almacenar y sincronizar el audio y las transcripciones que el Usuario sube desde la aplicación para iOS, para que disponga de ellos en sus dispositivos; (c) acceder al Contenido del Cliente en el soporte, solo con autorización expresa del Responsable o del Usuario y para resolver la incidencia; y (d) proteger la seguridad de esos tratamientos.

4.2. Las operaciones son la recepción, el registro, la conservación, la transmisión al subencargado del Asistente, la sincronización con los dispositivos del Usuario, la consulta en el soporte autorizado, la extracción para su exportación y la supresión. El tratamiento es automatizado.

4.3. Naxia no trata los datos para fines propios: no los usa para entrenar, ajustar o evaluar modelos de inteligencia artificial, no elabora perfiles y no los comunica a terceros salvo a subencargados autorizados o por obligación legal (apartado 6.4).

QUINTA. Tipos de datos y categorías de interesados

5.1. Naxia trata los siguientes tipos de datos:

(a) datos de los Usuarios: identificador del Usuario y del dispositivo, nombre y correo profesional asociados al contenido, fecha y hora de las peticiones y sincronizaciones, y datos técnicos de la conexión, como la dirección IP y la versión del Software;

(b) texto del Asistente: el texto dictado o seleccionado que el Usuario envía al Asistente y el texto que este devuelve, que puede contener cualquier dato personal;

(c) audio y transcripciones sincronizados: la voz de los Usuarios y de terceros y el contenido de reuniones, entrevistas y vistas grabadas con la aplicación para iOS, cuando la Sincronización esté disponible y el Usuario la utilice; y

(d) contenido facilitado en el soporte: el que el Responsable o el Usuario decidan aportar o permitan consultar para resolver una incidencia.

5.2. El contenido de las letras (b) a (d) puede incluir categorías especiales de datos (artículo 9 RGPD), datos relativos a condenas e infracciones penales (artículo 10 RGPD), información amparada por el secreto profesional y datos de menores u otras personas vulnerables. Ablalo no trata la voz para identificar a las personas.

5.3. El Responsable decide qué contenido trata con Ablalo. Naxia no puede conocerlo de antemano y aplica a todo el contenido las medidas adecuadas al nivel de riesgo más alto (Anexo II).

5.4. Los interesados son los Usuarios del Responsable (socios, empleados y colaboradores); los clientes del Responsable y sus representantes; las partes contrarias, sus abogados y representantes; los testigos, peritos y demás intervinientes en procedimientos; los participantes en reuniones, entrevistas y vistas grabadas o transcritas; y cualquier otra persona mencionada en el contenido.

SEXTA. Obligaciones de Naxia

6.1. Instrucciones. Naxia trata los datos personales solo siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales: este contrato, el Anexo IV, el Contrato principal, la configuración que el Responsable y sus Usuarios eligen en el Software y las instrucciones escritas de los contactos designados en el Anexo IV o, a falta de designación, del administrador de cuenta. Si el Derecho de la Unión o de un Estado miembro le obliga a otro tratamiento, Naxia informará al Responsable antes de realizarlo, salvo que ese Derecho lo prohíba por razones importantes de interés público (artículo 28.3.a) RGPD).

6.2. Instrucciones contrarias a la normativa. Si Naxia considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicará inmediatamente al Responsable y podrá suspender su ejecución hasta que este la confirme por escrito, la modifique o la retire.

6.3. Confidencialidad. Solo acceden a los datos las personas autorizadas que lo necesitan para prestar el Servicio. A la fecha, el acceso a los sistemas de producción y a los datos del Responsable está limitado a los dos administradores de Naxia; el resto del personal no tiene acceso. Naxia exige a todas las personas autorizadas un compromiso de confidencialidad que subsiste tras el fin de su relación con Naxia (artículo 28.3.b) RGPD y artículo 5 LOPDGDD).

6.4. Secreto profesional y requerimientos de terceros. Naxia reconoce que el contenido puede estar amparado por el secreto profesional y no accede a él salvo en el soporte, con autorización expresa del Responsable o del Usuario y limitado a lo necesario, o por obligación legal. Si una autoridad, un tribunal u otro tercero le requiere datos del Responsable, Naxia comprobará que el requerimiento procede de autoridad competente y tiene base legal; remitirá al requirente al Responsable cuando sea posible; informará al Responsable antes de entregar nada, salvo prohibición legal, para que pueda oponerse; entregará solo los datos estrictamente exigidos y recurrirá el requerimiento cuando existan motivos fundados; y documentará el requerimiento y la respuesta. Los requerimientos de autoridades de terceros países solo se atenderán si se basan en un acuerdo internacional vigente entre ese país y la Unión o España (artículo 48 RGPD).

6.5. Seguridad. Naxia aplica las medidas del artículo 32 RGPD descritas en el Anexo II (artículo 28.3.c) RGPD). Las revisa al menos una vez al año y puede actualizarlas siempre que no reduzca el nivel de protección.

6.6. Derechos de los interesados. Naxia traslada al Responsable, en un máximo de 5 días hábiles, toda solicitud de ejercicio de derechos que reciba sobre los datos de este contrato, y no responde al interesado salvo instrucción del Responsable. Naxia asiste al Responsable, mediante medidas técnicas y organizativas apropiadas, para atender esas solicitudes (artículo 28.3.e) RGPD).

6.7. Asistencia en seguridad, evaluación de impacto y consulta previa. Naxia ayuda al Responsable a cumplir los artículos 32 a 36 RGPD (artículo 28.3.f) RGPD) con la información de que dispone: los Anexos I a III, la lista de subencargados, la evaluación de transferencias internacionales, el análisis de riesgos de apoyo a la evaluación de impacto y el dossier de seguridad y privacidad. Colabora en la consulta previa a la Agencia Española de Protección de Datos (AEPD) si el Responsable la necesita.

6.8. Brechas. Naxia notifica al Responsable las brechas que afecten a sus datos sin dilación indebida y como máximo en 48 horas desde que tenga constancia de ellas (artículo 33.2 RGPD). La notificación se envía por correo electrónico al contacto administrativo y al delegado de protección de datos o contacto de privacidad del Anexo IV y, si la brecha es grave, se acompaña de una llamada telefónica al contacto administrativo. Contiene, como mínimo, la información del artículo 33.3 RGPD: la naturaleza de la brecha, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados; el punto de contacto de Naxia; las consecuencias probables; y las medidas adoptadas o propuestas. Si no es posible facilitarla toda a la vez, se facilitará de forma gradual sin dilación indebida (artículo 33.4 RGPD). Naxia contiene la brecha, conserva las evidencias, colabora con el Responsable y documenta la brecha en su registro. No notifica a la AEPD ni a los interesados en nombre del Responsable salvo instrucción escrita de este. Las brechas de los subencargados que afecten a los datos del Responsable se notifican en los mismos términos.

6.9. Registro de actividades. Naxia mantiene el registro de las categorías de actividades de tratamiento que efectúa por cuenta de sus clientes (artículo 30.2 RGPD).

6.10. Información y auditorías. Naxia pone a disposición del Responsable, en los 15 días hábiles siguientes a su petición, la información necesaria para demostrar el cumplimiento de este contrato (artículo 28.3.h) RGPD): el Anexo II, la lista de subencargados, la evaluación de transferencias internacionales, el dossier de seguridad y privacidad, las políticas aplicables y, cuando existan, los informes de pruebas de seguridad. El Responsable puede realizar, por sí o mediante un auditor independiente sujeto a confidencialidad que no sea competidor de Naxia, una auditoría in situ o remota como máximo una vez al año, con 30 días de preaviso y a su cargo. La auditoría se limita a los tratamientos de este contrato, se realiza en horario laboral y no da acceso a datos de otros clientes ni a información que comprometa la seguridad. Cuando trae causa de una brecha que afecte a los datos del Responsable, no computa en el límite anual, el preaviso es de 5 días hábiles y, si la brecha es imputable a Naxia, el coste lo asume Naxia. El cumplimiento de los subencargados se acredita con los informes, certificaciones o auditorías de que dispongan. Naxia corrige las deficiencias detectadas en el plazo que acuerden las partes.

6.11. Delegado de protección de datos. Naxia no ha designado delegado de protección de datos. Su punto de contacto es privacidad@ablalo.com.

6.12. Autoridades de control. Naxia informa al Responsable de cualquier solicitud, inspección o reclamación de una autoridad de control relativa a estos datos, salvo prohibición legal, y coopera con la autoridad a petición de esta.

SÉPTIMA. Subencargados

7.1. El Responsable otorga a Naxia una autorización general para recurrir a los subencargados del Anexo III (artículo 28.2 RGPD). La relación actualizada está disponible para el Responsable que la solicite en privacidad@ablalo.com.

7.2. Naxia comunicará al contacto administrativo del Responsable, por correo electrónico y con al menos 30 días de antelación, cualquier alta, sustitución o cambio de ubicación de un subencargado, con indicación del proveedor, el servicio, los datos afectados, la ubicación, la garantía de transferencia y la fecha prevista. Naxia no tratará datos del Responsable con el nuevo subencargado antes de que venza ese plazo.

7.3. Durante esos 30 días el Responsable puede oponerse de forma motivada, por escrito a privacidad@ablalo.com. Las partes buscarán de buena fe una solución, como no usar el nuevo subencargado para el Responsable o desactivar la función afectada. Si no hay acuerdo, el Responsable podrá resolver este contrato y el Contrato principal antes de que el cambio surta efecto, sin penalización y con reembolso proporcional (apartado 22.5 de las Condiciones generales de contratación y licencia de uso).

7.4. Si la sustitución es urgente por razones de seguridad o de continuidad, como el cese de un proveedor, Naxia podrá efectuarla con una comunicación más breve y justificada. El Responsable conserva sus derechos de oposición y de resolución.

7.5. Naxia impone a cada subencargado, mediante contrato, obligaciones de protección de datos que ofrecen garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas y equivalentes a las de este contrato (artículo 28.4 RGPD). Cuando el subencargado solo ofrezca sus condiciones estándar de tratamiento, Naxia comprobará antes de contratarlo que cumplen el artículo 28.3 RGPD. Naxia responde ante el Responsable del cumplimiento de sus subencargados y, a petición de este, le facilita copia de las cláusulas de protección de datos de esos contratos, sin la información comercial.

7.6. Los subencargados de Naxia recurren a su vez a otros subencargados, relacionados en las listas que publican. Naxia trasladará al Responsable los cambios en esas listas que afecten a sus datos en cuanto tenga conocimiento de ellos, aunque el plazo de preaviso del proveedor sea inferior al del apartado 7.2.

OCTAVA. Transferencias internacionales

8.1. Naxia no transfiere los datos del Responsable fuera del Espacio Económico Europeo (EEE) salvo instrucción documentada del Responsable y con alguna de las garantías del capítulo V RGPD. El Anexo IV autoriza las transferencias descritas en esta cláusula y en el Anexo III.

8.2. Algunos de nuestros proveedores pertenecen a grupos con sede fuera del Espacio Económico Europeo. En esos casos, las transferencias se amparan en decisiones de adecuación de la Comisión Europea, como el Marco de Privacidad de Datos UE-EE. UU., o en cláusulas contractuales tipo. Puede solicitar información y copia en privacidad@ablalo.com.

8.3. Si una decisión de adecuación dejara de ser aplicable, Naxia adoptará sin dilación otra garantía del capítulo V RGPD o dejará de usar el subencargado afectado, y lo comunicará al Responsable.

8.4. La evaluación de las transferencias y de las medidas complementarias está a disposición del Responsable.

NOVENA. Obligaciones del Responsable

9.1. El Responsable:

(a) garantiza que dispone de base jurídica para todos los tratamientos, incluidos los que realiza en local fuera de este contrato, y, cuando trate datos de los artículos 9 o 10 RGPD, de la excepción o habilitación correspondiente;

(b) informa a los interesados conforme a los artículos 13 y 14 RGPD, incluidos los participantes en las grabaciones, y, cuando grabe conversaciones de un profesional de la Abogacía con sus clientes o con los contrarios, obtiene la previa advertencia y conformidad de todos los intervinientes que exige el artículo 22.3 del Estatuto General de la Abogacía Española, aprobado por el Real Decreto 135/2021, de 2 de marzo;

(c) da instrucciones lícitas y por escrito;

(d) realiza la evaluación de impacto cuando proceda (artículo 35 RGPD), con el apoyo del análisis de riesgos que le facilita Naxia;

(e) decide qué texto envía al Asistente y qué contenido sincroniza, y suprime el contenido sincronizado cuando ya no lo necesite;

(f) gestiona las altas y bajas de sus Usuarios y la custodia de sus credenciales, y protege los dispositivos en los que guarda contenido local;

(g) valora la compatibilidad del uso de Ablalo con el secreto profesional y con sus normas deontológicas;

(h) atiende los derechos de los interesados y notifica las brechas a la AEPD y a los interesados cuando proceda; y

(i) mantiene actualizados los contactos del Anexo IV.

DÉCIMA. Destino de los datos al terminar el encargo

10.1. Al terminar el Contrato principal, el Responsable decide si los datos se devuelven mediante su exportación y posterior supresión, si se suprimen directamente o si se entregan al nuevo encargado que designe (artículo 28.3.g) RGPD y artículo 33.3 LOPDGDD), mediante la elección del Anexo IV o comunicación escrita. A falta de elección, Naxia pondrá los datos a disposición del Responsable para su exportación y después los suprimirá.

10.2. La exportación está disponible durante los 30 días siguientes a la terminación. Naxia suprime los datos en los 30 días siguientes al fin de ese periodo. Las copias de seguridad se eliminan por rotación automática en un plazo máximo de 35 días. El contenido sincronizado no figura en esas copias. Si el Responsable cambia de proveedor, se aplican antes de la supresión los periodos transitorio y de recuperación de la cláusula vigesimotercera de las Condiciones generales de contratación y licencia de uso.

10.3. Naxia emite un certificado de supresión a petición del Responsable.

10.4. Naxia solo conserva datos del Responsable cuando una norma de la Unión o de los Estados miembros lo exija, bloqueados y durante el plazo que esa norma fije. Al amparo del artículo 33.4 LOPDGDD, Naxia puede conservar bloqueados, mientras puedan derivarse responsabilidades de su relación con el Responsable, los registros que acrediten la ejecución del encargo, pero no el Contenido del Cliente.

10.5. Con independencia de la terminación, el texto del Asistente se suprime automáticamente a los 14 días de su tratamiento. El contenido guardado solo en los dispositivos del Usuario queda bajo el control del Responsable.

UNDÉCIMA. Responsabilidad

11.1. Cada parte responde de sus incumplimientos de este contrato y de la normativa de protección de datos. Frente a los interesados se aplica el artículo 82 RGPD.

11.2. Naxia responde ante el Responsable de los incumplimientos de sus subencargados.

11.3. La parte que indemnice a un interesado por un daño del que la otra sea total o parcialmente responsable podrá reclamarle la parte correspondiente (artículo 82.5 RGPD).

11.4. Entre las partes se aplica la limitación de responsabilidad de la cláusula vigésima de las Condiciones generales de contratación y licencia de uso, salvo que la Orden de pedido fije otra. La limitación no se aplica en caso de dolo o culpa grave ni afecta a los derechos de los interesados. Cada parte asume las sanciones que se le impongan por sus propios incumplimientos.

DUODÉCIMA. Resolución

12.1. La terminación del Contrato principal pone fin a este contrato, sin perjuicio de la cláusula décima.

12.2. El Responsable puede resolver este contrato y el Contrato principal si Naxia incumple gravemente este contrato o la normativa de protección de datos y no lo subsana en los 15 días siguientes al requerimiento, o de inmediato si la subsanación no es posible, así como en el supuesto del apartado 7.3.

12.3. Naxia no trata datos del Responsable sin un contrato de encargo en vigor. Si este contrato termina y el Contrato principal continúa, Naxia desactivará para el Responsable las funciones que requieren el encargo.

DECIMOTERCERA. Modificación

13.1. Las modificaciones de este contrato requieren acuerdo escrito, salvo la actualización del Anexo II que no reduzca el nivel de protección, la del Anexo III conforme a la cláusula séptima y las adaptaciones obligatorias derivadas de cambios normativos o de cláusulas contractuales tipo adoptadas por la Comisión Europea o por la AEPD (artículo 28.7 y 28.8 RGPD), que Naxia comunicará con 30 días de antelación.

DECIMOCUARTA. Ley aplicable y jurisdicción

14.1. Este contrato se rige por el RGPD y por la ley española.

14.2. Las partes se someten a los juzgados y tribunales de Pamplona, con renuncia a cualquier otro fuero que pudiera corresponderles.

Y en prueba de conformidad, las partes firman este contrato en el lugar y la fecha indicados en el encabezamiento. Se admite la firma electrónica.

Por el Responsable	Por NAXIA SMART SOLUTIONS, S.L.
D./D.ª ………………………	D. ………………………
Cargo: ………………………	Administrador solidario
Firma:	Firma:

ANEXO I. Descripción del tratamiento

Elemento	Descripción
Responsable	El identificado en el encabezamiento
Encargado	NAXIA SMART SOLUTIONS, S.L.
Servicio	Ablalo, conforme al Contrato principal
Finalidad	Prestar al Responsable el Asistente, la Sincronización y el soporte con acceso a contenido (cláusula cuarta)
Duración	La del Contrato principal, más los plazos de la cláusula décima
Frecuencia	Continua, a demanda de los Usuarios
Fuera del encargo	Dictado y transcripción en el dispositivo, sin intervención de Naxia; cuentas, Licencias, facturación y soporte ordinario, de los que Naxia es responsable (política de privacidad)

Tratamiento	Datos e interesados	Operaciones	Conservación
1. Asistente (Modo Profesional)	Texto enviado y texto devuelto, identificador del Usuario y metadatos de la petición. Usuarios y personas mencionadas en el texto. Puede incluir datos de los artículos 9 y 10 RGPD y secreto profesional	Transmisión cifrada al proveedor de modelos de lenguaje, generación y devolución del resultado, conservación y supresión automática	Máximo 14 días, con supresión automática; después, hasta su rotación, en las copias de seguridad diarias
2. Sincronización (en desarrollo)	Audio y transcripciones de reuniones, entrevistas y vistas; identificador del Usuario y del dispositivo. Usuarios, clientes, contrarios, testigos, participantes y personas mencionadas. Puede incluir datos de los artículos 9 y 10 RGPD y secreto profesional	Subida cifrada, almacenamiento, descarga en los dispositivos del Usuario y supresión	Mientras el Usuario lo mantenga en su cuenta, con supresión por el Usuario en cualquier momento. No se incluye en las copias de seguridad
3. Soporte con acceso a contenido	Contenido que el Responsable o el Usuario aportan o permiten consultar y datos del Usuario que solicita soporte. Usuarios y personas mencionadas en el contenido	Recepción, consulta para el diagnóstico, respuesta y supresión	Los adjuntos con Contenido del Cliente se suprimen al cerrar la solicitud

Los subencargados de cada tratamiento figuran en el Anexo III.

ANEXO II. Medidas técnicas y organizativas

1. Minimización y tratamiento en el dispositivo

1.1. El dictado y la transcripción de reuniones y vistas se procesan en el dispositivo; el audio no sale del equipo.

1.2. Al Asistente solo se envía texto, nunca audio, y solo cuando el Usuario lo activa. El texto enviado y el devuelto se suprimen automáticamente a los 14 días.

1.3. La Sincronización solo opera cuando el Usuario la utiliza, y el Usuario puede suprimir el contenido sincronizado en cualquier momento.

1.4. El Contenido del Cliente no se usa para entrenar modelos ni con fines analíticos.

2. Cifrado

2.1. Las comunicaciones entre las aplicaciones, los servidores y los subencargados se cifran mediante TLS.

2.2. Los proveedores de infraestructura en la nube y el proveedor de modelos de lenguaje cifran en reposo con AES-256.

2.3. Las claves y secretos se guardan fuera del código fuente y se rotan ante cualquier sospecha de compromiso.

3. Control de acceso

3.1. Las cuentas de administración son nominativas; se prohíben las cuentas compartidas.

3.2. El acceso a producción y a los datos del Responsable se limita a los dos administradores de Naxia, Sergio Valencia Aldunate y Guillermo Azcona Recari. El resto del personal, incluido el becario de marketing, no tiene acceso a producción ni a contenido de clientes.

3.3. Los permisos se revisan cada trimestre y se retiran de inmediato al terminar la relación con una persona.

3.4. Los datos de cada cliente están separados lógicamente por cuenta, y la base de datos tiene activada la seguridad a nivel de fila para impedir el acceso directo desde fuera del servidor de la aplicación.

4. Registros y monitorización

4.1. Se registran los accesos administrativos y los eventos de seguridad, y los registros se conservan 30 días.

4.2. Los registros técnicos no contienen el texto del Asistente ni el contenido sincronizado.

4.3. La disponibilidad se monitoriza con alertas, conforme al Acuerdo de nivel de servicio y soporte.

5. Copias de seguridad y continuidad

5.1. El contenido sincronizado no figura en las copias de seguridad y no puede restaurarse desde ellas.

5.2. Naxia no hace copia del contenido que está solo en los dispositivos del Usuario.

6. Desarrollo seguro y gestión de vulnerabilidades

6.1. Todo cambio, incluido el código generado con asistentes de IA, se revisa por una persona antes de pasar a producción.

6.2. Los entornos de desarrollo, pruebas y producción están separados, y no se usan datos reales del Responsable fuera de producción.

6.3. Las vulnerabilidades se corrigen en los plazos de la cláusula duodécima del Acuerdo de nivel de servicio y soporte.

6.4. El actualizador de la aplicación de escritorio exige la firma de cada actualización y la aplicación verifica esa firma antes de instalarla. El instalador de Windows está firmado digitalmente; la aplicación de macOS se firma y notariza. La distribución se realiza por HTTPS desde releases.ablalo.com.

7. Proveedores

7.1. Cada subencargado firma un acuerdo de tratamiento de datos antes de tratar datos del Responsable.

8. Personal

8.1. Todo el personal, incluidos becarios y colaboradores, firma un compromiso de confidencialidad.

8.2. El personal recibe formación en protección de datos y seguridad al incorporarse y una vez al año, y en alfabetización en IA, y cumple las normas de uso de equipos.

9. Incidentes y brechas

9.1. Naxia aplica un procedimiento de respuesta a incidentes y de gestión de brechas con funciones asignadas y registro de incidentes.

10. Supresión

10.1. El texto del Asistente se suprime automáticamente a los 14 días y desaparece de las copias de seguridad con su rotación.

10.2. Los soportes se destruyen conforme a los procedimientos de los proveedores de infraestructura.

11. Organización y certificaciones

11.1. Naxia revisa estas medidas una vez al año.

11.2. A la fecha, Naxia no dispone de certificación de conformidad con el Esquema Nacional de Seguridad ni de certificación ISO/IEC 27001. Las certificaciones de los subencargados están disponibles para el Responsable que las solicite en privacidad@ablalo.com.

ANEXO III. Subencargados autorizados

La lista de subencargados autorizados, con el servicio que presta cada uno, los datos que trata, su ubicación, las garantías de las transferencias y sus certificaciones, está disponible para los clientes que la soliciten en privacidad@ablalo.com.

La Sincronización no está en producción. Antes de activarla, Naxia confirmará al Responsable la región, el cifrado y el plazo de conservación con 30 días de antelación (apartado 7.2).

ANEXO IV. Instrucciones documentadas y contactos

Instrucciones

El Responsable instruye a Naxia para que:

• trate los datos solo para prestar Ablalo conforme al Contrato principal y a la configuración que elijan el Responsable y sus Usuarios;
• en el Asistente, transmita al proveedor de modelos de lenguaje solo el texto que el Usuario envíe expresamente, conserve el texto enviado y el devuelto durante un máximo de 14 días y los suprima automáticamente después;
• en la Sincronización, almacene el audio y las transcripciones solo para ponerlos a disposición del Usuario en sus dispositivos, y los suprima cuando el Usuario los borre o venza el plazo de conservación configurado;
• en el soporte, acceda al Contenido del Cliente solo con autorización expresa del Responsable o del Usuario para una incidencia concreta, limitado a lo necesario y durante el tiempo necesario, y preste la asistencia remota sobre dispositivos solo en sesiones iniciadas y supervisadas por el Usuario;
• no use los datos para entrenar modelos, para análisis, para elaborar perfiles ni para fines propios, ni los comunique salvo a subencargados autorizados o por obligación legal;
• realice solo las transferencias descritas en la cláusula octava y en el Anexo III, con sus garantías;
• traslade al Responsable en 5 días hábiles las solicitudes de los interesados; y
• notifique las brechas sin dilación indebida y como máximo en 48 horas.

Destino de los datos al terminar

Opción (marcar una)	Elección
Devolución mediante exportación y posterior supresión
Supresión directa
Entrega al nuevo encargado designado por el Responsable
Certificado de supresión (sí o no)

Instrucciones adicionales

Instrucción	Fecha	Autorizada por

Las instrucciones adicionales se dan por escrito a privacidad@ablalo.com desde los contactos autorizados. Naxia acusa recibo y, si suponen un coste adicional o cambios técnicos, las partes los acuerdan antes de su aplicación.

Contactos

Función	Nombre	Correo electrónico	Teléfono
Contacto administrativo del Responsable (avisos de subencargados y de brechas)
Contacto técnico del Responsable
Delegado de protección de datos del Responsable (obligatorio para los colegios profesionales, artículo 34.1.a) LOPDGDD)
Personas autorizadas para dar instrucciones
Naxia: privacidad e instrucciones		privacidad@ablalo.com	+34 638 346 852
Naxia: seguridad y brechas		seguridad@ablalo.com	+34 638 346 852