Contrato de Encargado del Tratamiento

Lo exige el artículo 28 del RGPD y es obligatorio para poder usar Kloox con datos de personas. Forma parte del contrato y se acepta al crear la cuenta.

1. Partes y objeto

El Cliente —la empresa o profesional titular de la cuenta— es el responsable del tratamiento de los datos personales que introduce en Kloox. Kloox es el encargado del tratamiento y los trata por cuenta del Cliente con el único fin de prestarle el servicio contratado.

Este documento regula ese tratamiento. Lo que Kloox trata como responsable —los datos de la propia cuenta y de la suscripción— se rige por la Política de Privacidad.

2. Qué se trata

Duración	Mientras la cuenta esté activa, más el plazo de devolución o supresión del punto 9.
Naturaleza y fin	Alojamiento, conservación, consulta, modificación y comunicación de datos para prestar los módulos contratados.
Categorías de interesados	Clientes, proveedores, contactos comerciales, empleados y socios del Cliente; compradores de su tienda online.
Categorías de datos	Identificativos, de contacto, fiscales, comerciales y de transacción; datos laborales y de nómina; registro de jornada.
Categorías especiales	Kloox no está diseñado para tratar datos de salud, ideología, religión, afiliación sindical ni datos biométricos. El Cliente se compromete a no introducirlos en campos de texto libre.

3. Obligaciones de Kloox

Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente. El uso normal de la aplicación constituye esa instrucción.
No usar los datos del Cliente para fines propios, ni para elaborar perfiles, ni para entrenar modelos de inteligencia artificial, ni cederlos a terceros.
Garantizar que quien accede a los datos está sujeto a deber de confidencialidad.
Aplicar las medidas de seguridad del artículo 32 del RGPD, detalladas en Seguridad y compromiso.
Asistir al Cliente en la atención de los derechos de los interesados y en las evaluaciones de impacto y consultas previas que necesite.
Comunicar al Cliente cualquier brecha de seguridad sin dilación indebida y, en todo caso, en un plazo que le permita cumplir su propio deber de notificación de 72 horas, con la información del artículo 33.3.
Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y sin comprometer la seguridad de otros clientes.
Avisar inmediatamente si considera que una instrucción del Cliente infringe la normativa de protección de datos.

4. Obligaciones del Cliente

Disponer de base legal para los datos que introduce e informar a los interesados.
Atender los derechos de sus propios clientes, proveedores y empleados.
Custodiar sus credenciales, revisar los permisos que concede a su personal y dar de baja los accesos de quien deja la empresa.
No introducir datos de categorías especiales en campos no previstos para ello.

5. Subencargados

El Cliente autoriza de forma general a Kloox a recurrir a los subencargados publicados en la lista de subencargados, todos ellos vinculados por obligaciones equivalentes a las de este contrato. Cualquier alta o sustitución se anunciará en esa página y por correo con 30 días de antelación, durante los cuales el Cliente puede oponerse; si se opone y no hay alternativa técnica, podrá resolver el contrato sin penalización.

Kloox responde frente al Cliente del cumplimiento de sus subencargados.

6. Transferencias internacionales

Cuando un subencargado esté fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación o en Cláusulas Contractuales Tipo, según se indica para cada uno en la lista de subencargados.

7. Inteligencia artificial

Las funciones de escáner de facturas y copiloto envían a un proveedor de inteligencia artificial el contenido estrictamente necesario para devolver el resultado pedido. Ese proveedor actúa como subencargado, no conserva el contenido más allá de lo necesario para responder y no lo emplea para entrenar modelos. Son funciones que el Cliente puede no usar.

En el desarrollo y el soporte de la aplicación también se emplean asistentes de inteligencia artificial, siempre sobre código y datos de ejemplo. El acceso a datos reales de producción está restringido a lo imprescindible para resolver una incidencia concreta, se hace con el mínimo dato necesario y queda registrado.

8. Seguridad

Las medidas aplicadas —cifrado en tránsito y en reposo, aislamiento de los datos de cada empresa en la propia base de datos, control de acceso por áreas, registro de operaciones y copias de seguridad— se describen con detalle en Seguridad y compromiso.

9. Fin del contrato

Al terminar la relación, el Cliente dispone de 30 días para exportar sus datos en formato de uso común. Transcurrido ese plazo, Kloox los suprime de los sistemas activos y de las copias de seguridad en los ciclos de rotación previstos, salvo los que deba conservar por obligación legal, que quedarán bloqueados.

10. Responsabilidad y ley aplicable

Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD. Este contrato se rige por el Derecho español y por el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018.

¿Necesitas este contrato firmado en papel o con los datos de tu empresa? Escríbenos a privacidad@kloox.app y te lo mandamos para firmar.