Contrato de encargo del tratamiento

Este contrato regula el tratamiento de datos personales que Subvenciona-IA realiza por cuenta de sus clientes, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los Términos y condiciones y se acepta con ellos al crear la cuenta: no hace falta firmarlo aparte. Si tu organización necesita un ejemplar firmado, pídelo a soporte@subvenciona-ia.com.

1. Partes

• Responsable del tratamiento (el «Cliente»): la entidad, empresa, profesional o asesoría titular de la cuenta.
• Encargado del tratamiento (el «Prestador»): CASMAR TECH, S.L., CIF B70962675, con domicilio social en C/ del Carme 79, 2n 3a, 17004 Girona, España, inscrita en el Registro Mercantil de Girona, hoja GI-74012. Contacto: soporte@subvenciona-ia.com.

Asesorías y gestorías. Quien lleva las subvenciones de otras entidades (sus clientes) puede ser, respecto de los datos de esas entidades, encargado del tratamiento de cada una de ellas. En ese caso el Prestador actúa como subencargado, y el Cliente declara que cuenta con la autorización de cada entidad para tratar sus datos con el Servicio y para recurrir al Prestador y a los subencargados de la cláusula 6, y que les ha trasladado las obligaciones de este contrato en lo que les afecta.

Los datos de la propia cuenta (el email y el nombre de quien accede, la facturación y los registros técnicos) los trata el Prestador como responsable, según la Política de privacidad. Este contrato no se aplica a ellos.

2. Objeto, duración, naturaleza y finalidad

• Objeto y finalidad: prestar el Servicio descrito en los Términos: construir el perfil de cada entidad, cruzarlo con las convocatorias de subvenciones, avisar de las que encajan y preparar el material de la solicitud (requisitos, memoria, declaraciones, presupuesto y exportaciones).
• Naturaleza del tratamiento: recogida, registro, almacenamiento, consulta, extracción de texto de los documentos, análisis automatizado con modelos de lenguaje, generación de borradores, comunicación al propio Cliente por correo electrónico y supresión.
• Duración: mientras exista la cuenta, incluido el periodo en que quede en solo lectura, y hasta que los datos se supriman conforme a la cláusula 9.

3. Datos e interesados

Categorías de interesados. Representantes legales, personas de contacto, miembros de los órganos de gobierno, personal y colaboradores de las entidades gestionadas; empresarios individuales y autónomos cuando la entidad es una persona física; y cualquier otra persona que aparezca en los documentos que el Cliente suba.

Categorías de datos. Datos identificativos y de contacto (nombre, DNI o NIE, cargo, dirección); datos profesionales; datos económicos y de actividad de la entidad cuando esta es una persona física (NIF, actividad, facturación, plantilla, ayudas recibidas); y los que contengan los documentos subidos (estatutos, poderes, cuentas, certificados, memorias) y el texto de los expedientes.

Categorías especiales. El Servicio no está pensado para tratar datos de salud, de discapacidad, de situación social u otras categorías especiales del art. 9 RGPD, ni datos de menores o de personas beneficiarias de los programas de una entidad. El Cliente no los subirá salvo que sea imprescindible para la solicitud y disponga de base jurídica para ello; siempre que pueda, los aportará agregados o anonimizados.

4. Obligaciones del Cliente

• Disponer de una base jurídica para tratar los datos y para ponerlos en el Servicio, y haber informado a los interesados.
• Subir solo los datos necesarios para la finalidad y mantenerlos exactos.
• Dar sus instrucciones a través del propio Servicio (lo que crea, edita, analiza, exporta o elimina) y, para lo que el Servicio no permita, por escrito a soporte@subvenciona-ia.com.
• Custodiar las credenciales de acceso y decidir qué personas de su organización las utilizan.
• Revisar los borradores y análisis generados antes de usarlos: se generan con inteligencia artificial y la decisión y la presentación de cada solicitud son siempre del Cliente.

5. Obligaciones del Prestador

• Tratar los datos solo para prestar el Servicio y siguiendo las instrucciones documentadas del Cliente, también respecto de las transferencias internacionales, salvo que una norma de la Unión o española le obligue a otra cosa; en ese caso avisará antes al Cliente, si la norma lo permite.
• No utilizar los datos para fines propios, ni venderlos, ni cederlos a terceros distintos de los subencargados de la cláusula 6.
• Avisar al Cliente si considera que una instrucción infringe la normativa de protección de datos.
• Garantizar que las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 7.
• Ayudar al Cliente, con las funciones del Servicio y en lo que estas no cubran por correo, a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados. Si un interesado se dirige al Prestador, este lo comunicará al Cliente y no responderá por su cuenta.
• Ayudar al Cliente a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, cuando proceda, de evaluación de impacto y consulta previa (arts. 32 a 36 RGPD), con la información de que disponga.
• Llevar un registro de las actividades de tratamiento realizadas por cuenta del Cliente cuando el art. 30.2 RGPD lo exija.

6. Subencargados

El Cliente autoriza con carácter general al Prestador a recurrir a los siguientes proveedores, con los que tiene un contrato que les impone obligaciones de protección de datos equivalentes a las de este contrato. El Prestador responde ante el Cliente del cumplimiento de cada uno.

Stripe (pagos) y Google (inicio de sesión con Google y, solo con consentimiento, Google Analytics) tratan datos de la cuenta y de su facturación, no los datos de las entidades gestionadas ni el contenido de los documentos: se describen en la Política de privacidad.

Antes de añadir o sustituir un subencargado, el Prestador actualizará esta página y avisará al Cliente por correo electrónico con al menos 30 días de antelación. Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una alternativa, podrá cancelar el Servicio antes de que el cambio entre en vigor, sin penalización.

7. Medidas de seguridad

• Cifrado de las comunicaciones (TLS) y de los datos en reposo en la base de datos y en el almacenamiento de archivos.
• Separación por cuenta aplicada en la propia base de datos (políticas de seguridad a nivel de fila): un usuario solo lee y escribe los datos de su cuenta, y cada entidad gestionada tiene sus propios datos, documentos y expedientes.
• Archivos en almacenamiento privado, accesibles solo para los usuarios de la cuenta; las descargas se sirven con enlaces temporales.
• Contraseñas guardadas cifradas con una función resumen; inicio de sesión alternativo con Google.
• Claves y credenciales de los sistemas guardadas fuera del código, con acceso restringido al Prestador.
• Acceso del Prestador a los datos de una cuenta limitado a lo necesario para el soporte, el mantenimiento y la seguridad.
• Exportación de los datos de la cuenta y supresión de la cuenta disponibles para el propio Cliente (cláusula 9).

El Prestador revisará estas medidas cuando cambien el Servicio o los riesgos, sin reducir el nivel de protección.

8. Violaciones de seguridad

El Prestador notificará al Cliente, sin dilación indebida desde que tenga conocimiento de ella, cualquier violación de la seguridad que afecte a los datos tratados por su cuenta, al email de acceso de la cuenta. La notificación incluirá lo que se conozca en ese momento: qué ha ocurrido, qué datos e interesados están afectados, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde al Cliente decidir si debe notificarla a la autoridad de control y a los interesados.

9. Devolución y supresión

• Durante el contrato. El Cliente puede descargar en cualquier momento los datos de la cuenta en un archivo JSON desde Cuenta, y los expedientes exportados desde cada expediente. Si necesita una copia de los archivos que subió, el Prestador se la facilitará a petición. Puede eliminar una entidad gestionada, con todo lo que contiene, o la cuenta entera.
• Al terminar. Cuando termina la suscripción la cuenta queda en solo lectura, a disposición del Cliente, para que pueda consultar y descargar sus datos. Los datos se suprimen cuando el Cliente elimina la cuenta desde Cuenta (la supresión de la base de datos, de los archivos y del usuario de acceso es inmediata) o cuando lo pide por escrito a soporte@subvenciona-ia.com, en el plazo máximo de un mes desde la petición.
• Lo que se conserva. Solo los datos que una norma obligue a conservar (en particular, los de facturación, que el Prestador trata como responsable) y, bloqueados, los necesarios para atender posibles responsabilidades durante sus plazos de prescripción.

10. Información y auditorías

El Prestador pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y responderá a sus preguntas razonables por escrito. Si esa información no basta, el Cliente podrá realizar una auditoría, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, como máximo una vez al año salvo que haya habido una violación de seguridad o lo exija una autoridad, avisando con al menos 30 días de antelación, en horario laboral y sin acceder a datos de otros clientes. Cada parte asume sus costes.

11. Transferencias internacionales

La base de datos y los archivos se alojan en la Unión Europea (Irlanda). Algunos subencargados de la cláusula 6 están establecidos en EE. UU. o pueden tratar datos allí. Esas transferencias se amparan en la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), cuando esté certificado, y en todo caso en las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD), con medidas adicionales como el cifrado en tránsito. El Cliente autoriza estas transferencias al aceptar este contrato.

12. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD o este contrato, en los términos del art. 82 RGPD. Entre las partes se aplica la limitación de responsabilidad de los Términos y condiciones, que no limita los derechos de los interesados ni las sanciones que una autoridad pueda imponer a cada una.

13. Vigencia, cambios y ley aplicable

Este contrato está en vigor mientras el Prestador trate datos por cuenta del Cliente. Si entra en conflicto con los Términos en materia de protección de datos, prevalece este contrato. Los cambios se comunican como los de los Términos, con al menos 30 días de antelación cuando sean sustanciales. Se rige por la legislación española y, para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Barcelona.

Versión de 12 de octubre de 2026.