CONTRATO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES

(Artículo 28 del Reglamento (UE) 2016/679 — RGPD)

Versión 1.1 — 14 de septiembre de 2026

Contrato de encargo del tratamiento en el que Socialite Agency actúa como ENCARGADO y el Cliente como RESPONSABLE, en relación con el servicio de Chatbot IA. Puede anexarse a las Condiciones de Contratación o firmarse por separado.

Partes

RESPONSABLE DEL TRATAMIENTO (el «Cliente» o «Responsable»):

• Nombre / razón social: [CAMPO POR RELLENAR]
• NIF/CIF: [CAMPO POR RELLENAR]
• Domicilio: [CAMPO POR RELLENAR]
• Email de contacto (privacidad): [CAMPO POR RELLENAR]

ENCARGADO DEL TRATAMIENTO (el «Encargado»):

• Titular: Georgina Palma Castillo (autónoma) — nombre comercial «Socialite Agency»
• NIF: 46981988A
• Domicilio: Carrer Països Catalans 10, 08980 Sant Feliu de Llobregat (Barcelona), España
• Email de contacto (privacidad): info@socialiteagency.com

Ambas partes se reconocen capacidad suficiente y acuerdan el presente contrato, que regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable con ocasión de la prestación del servicio de Chatbot IA (en adelante, el «Servicio»), conforme al art. 28 RGPD y a la LOPDGDD.

1. Objeto y ámbito

El presente contrato tiene por objeto habilitar al Encargado para tratar, por cuenta del Responsable, los datos personales necesarios para prestar el Servicio contratado, en los términos y con el alcance descritos en el Anexo I. El Encargado tratará dichos datos únicamente conforme a las instrucciones documentadas del Responsable, incluido el presente contrato, y no para fines propios.

Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará de inmediato al Responsable.

2. Duración

Este contrato estará vigente mientras dure la prestación del Servicio (relación contractual principal). Finalizada esta, el Encargado procederá conforme a la cláusula 9 (devolución o supresión).

3. Instrucciones y no uso para fines propios

El Encargado tratará los datos personales solo según las instrucciones documentadas del Responsable. En particular, no tratará los datos para finalidades propias, ni los cederá a terceros salvo por obligación legal o autorización del Responsable. El Encargado podrá tratar datos agregados y anonimizados —de forma que no permitan identificar a personas ni al Responsable— con fines estadísticos y de mejora del Servicio; dichos datos anonimizados dejan de estar sujetos a este contrato.

Tratamiento exigido por el Derecho de la UE o de un Estado miembro (art. 28.3.a RGPD). Cuando el Encargado esté obligado a tratar o a comunicar datos personales en virtud del Derecho de la Unión o del Estado miembro que le resulte aplicable, informará al Responsable de esa exigencia legal antes de proceder al tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

4. Obligaciones del Encargado

El Encargado se obliga a:

a) Tratar los datos conforme a las instrucciones documentadas del Responsable. b) Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal de confidencialidad. c) Aplicar las medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD (Anexo II). d) Asistir al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, para que este pueda atender las solicitudes de ejercicio de derechos de los interesados (arts. 15 a 22 RGPD). Si un interesado dirige una solicitud directamente al Encargado, este la trasladará al Responsable sin dilación indebida. e) Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto (EIPD) y consultas previas (arts. 32 a 36 RGPD), teniendo en cuenta la información disponible. f) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 y permitir y contribuir a auditorías, en los términos de la cláusula 8. g) No comunicar los datos a terceros salvo instrucción del Responsable u obligación legal; cuando la comunicación venga impuesta por una obligación legal, informar previamente al Responsable de dicha exigencia en los términos de la cláusula 3, salvo prohibición legal por razones importantes de interés público.

5. Sub-encargados (autorización general por escrito)

El Responsable autoriza con carácter general al Encargado a recurrir a los sub-encargados necesarios para prestar el Servicio. En el momento de la firma, los sub-encargados son los relacionados en el Anexo III. El Encargado impondrá a cada sub-encargado, mediante contrato, las mismas obligaciones de protección de datos que las del presente contrato (art. 28.4 RGPD), y responderá ante el Responsable del incumplimiento de sus sub-encargados.

El Encargado informará al Responsable de cualquier alta o sustitución de sub-encargados con una antelación razonable (mínimo 15 días), dando al Responsable la posibilidad de oponerse por motivos razonables y fundados relacionados con la protección de datos. Si el Responsable se opone y la objeción es fundada, las partes buscarán de buena fe una solución; de no alcanzarse, el Responsable podrá resolver la parte del Servicio afectada, sin más responsabilidad para el Encargado.

Actualización del Anexo III. Transcurrido el plazo de preaviso sin que el Responsable haya formulado oposición fundada, el alta o sustitución comunicada quedará incorporada al Anexo III y lo modificará automáticamente, sin necesidad de nueva firma, manteniéndose inalterado el resto del contrato. El Encargado conservará en todo momento la relación vigente y actualizada de sub-encargados y la facilitará al Responsable a simple solicitud. Este mecanismo no menoscaba el derecho de oposición regulado en el párrafo anterior.

6. Transferencias internacionales

Determinados sub-encargados tratan datos fuera del Espacio Económico Europeo (ver Anexo III). El Encargado garantiza que dichas transferencias cuentan con las garantías adecuadas del Capítulo V del RGPD (Cláusulas Contractuales Tipo de la Comisión Europea y/o adhesión del importador al EU-U.S. Data Privacy Framework, según el proveedor). El Encargado no realizará transferencias internacionales distintas de las derivadas del uso de dichos sub-encargados sin instrucción o autorización del Responsable.

Solicitudes de acceso de autoridades de terceros países. Si el Encargado o alguno de sus sub-encargados recibe de una autoridad pública de un tercer país una solicitud jurídicamente vinculante de acceso a los datos personales tratados por cuenta del Responsable, el Encargado: (i) notificará al Responsable sin dilación indebida, salvo que el Derecho aplicable lo prohíba —en cuyo caso empleará sus mejores esfuerzos por obtener la dispensa de esa prohibición y documentará las gestiones realizadas—; (ii) impugnará la solicitud cuando existan motivos razonables para considerarla ilícita bajo el Derecho del país requirente o contraria al Derecho de la Unión, incluidos, en su caso, los recursos provisionales disponibles; (iii) limitará la divulgación al mínimo imprescindible, atendiendo a una interpretación razonable de la solicitud; y (iv) conservará registro de las solicitudes recibidas y de la respuesta dada, y lo pondrá a disposición del Responsable y, cuando proceda, de la autoridad de control competente. Esta cláusula refleja las obligaciones de la cláusula 15 de las Cláusulas Contractuales Tipo y se aplica con independencia de lo previsto en la cláusula 3, que se refiere al Derecho de la Unión o de sus Estados miembros.

7. Notificación de violaciones de seguridad

El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las 48 horas naturales siguientes al momento en que el Encargado tenga conocimiento de una violación de la seguridad de los datos. A los efectos de esta cláusula, el plazo se computa en horas naturales (incluidos fines de semana y festivos) y comienza en el momento del conocimiento efectivo por el Encargado, no en el momento en que la violación se produjo. La notificación facilitará la información de que disponga (naturaleza de la brecha, categorías y número aproximado de interesados y registros afectados, posibles consecuencias y medidas adoptadas o propuestas). Esta notificación permite al Responsable cumplir, en su caso, con los arts. 33 y 34 RGPD. La obligación de notificar por el Responsable a la autoridad de control y/o a los interesados corresponde al Responsable.

8. Auditorías

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones, incluidas certificaciones vigentes de sus proveedores (p. ej. ISO/IEC 27001, SOC 2, PCI-DSS) cuando estén disponibles. El Responsable podrá realizar auditorías o inspecciones, por sí o mediante un tercero independiente sujeto a confidencialidad, con las siguientes condiciones razonables: (i) preaviso mínimo de 30 días; (ii) como máximo una vez al año, salvo requerimiento de una autoridad de control o tras una brecha que afecte al Responsable; (iii) en horario laboral, sin interrumpir de forma desproporcionada la actividad del Encargado; y (iv) asumiendo el Responsable los costes razonables de la auditoría, salvo que esta revele un incumplimiento grave del Encargado.

9. Devolución o supresión de los datos al finalizar

Finalizada la prestación del Servicio, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales tratados por su cuenta, así como las copias existentes, salvo que la conservación sea exigida por el Derecho de la UE o de un Estado miembro. El Responsable dispondrá de un plazo de 30 días desde la finalización para solicitar la devolución en un formato de uso común; transcurrido dicho plazo sin instrucción en contrario, el Encargado suprimirá los datos de forma segura.

Alcance real de la devolución (importante). La devolución comprende los datos que en ese momento se conserven conforme a los plazos declarados en el Anexo II, y no un histórico completo del Servicio. En particular:

• Conversaciones: solo las de los últimos 30 días, porque se suprimen automáticamente al cumplirse ese plazo mediante un proceso periódico. Las anteriores ya no existen y no pueden devolverse.
• Leads y reservas: se conservan mientras dura la prestación, por lo que se devuelven íntegros.
• Datos de facturación: quedan sujetos a los plazos legales de conservación mercantil y fiscal y no se suprimen a petición.

Si el Responsable necesita conservar un histórico más amplio de conversaciones, debe exportarlo durante la vigencia del contrato o acordar por escrito un plazo de conservación distinto. La supresión efectiva por parte de los sub-encargados se realizará conforme a los plazos de sus respectivas políticas.

10. Obligaciones del Responsable

El Responsable se obliga a: (i) determinar los fines y medios del tratamiento y disponer de una base jurídica válida para el tratamiento de los datos que gestione a través del Servicio; (ii) facilitar a sus interesados la información exigida por los arts. 13 y 14 RGPD y, cuando proceda, recabar su consentimiento; (iii) impartir instrucciones lícitas al Encargado; (iv) cumplir el régimen sobre categorías especiales de datos (art. 9 RGPD) y datos de menores que se detalla a continuación; y (v) no incluir datos personales en los ficheros que suba a su base de conocimiento (documentos de FAQ, catálogos o similares), en su logotipo u otros activos de marca, ni en la imagen que utilice como avatar del asistente, que deben limitarse a información de negocio. En particular, el avatar no será una fotografía de una persona física identificable. El Responsable reconoce que dichos ficheros se almacenan en un proveedor declarado en la Política de Privacidad del Encargado y no relacionado en el Anexo III, precisamente porque no está previsto que contengan datos personales. Si el Responsable necesitara incorporar datos personales a esos ficheros, deberá comunicarlo previamente por escrito al Encargado para que el proveedor correspondiente se incorpore al Anexo III con su ubicación y garantías de transferencia antes de la subida.

10 bis. Categorías especiales de datos (art. 9 RGPD)

El Servicio no está diseñado para tratar categorías especiales de datos. Ello no impide que el Responsable opere en sectores en los que ese tipo de información pueda aparecer. El régimen aplicable es el siguiente:

(a) Configuración — obligación del Responsable. El Responsable no configurará el asistente para solicitar, inducir ni recopilar categorías especiales de datos (art. 9 RGPD): en particular, no incluirá preguntas, formularios, campos de captación ni instrucciones dirigidas a obtener información sobre estado de salud, diagnósticos, tratamientos, medicación, discapacidad, vida u orientación sexual, origen étnico, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos. La finalidad legítima de una cita o consulta puede recabarse en términos neutros (por ejemplo, «motivo de la visita» como texto libre y opcional), sin requerir detalle clínico.

(b) Sectores en los que ese dato es inherente — notificación previa. Si por su actividad (por ejemplo, sanitaria, sociosanitaria o asistencial) el Responsable prevé que el Servicio vaya a tratar de forma habitual o previsible categorías especiales de datos, deberá comunicarlo por escrito al Encargado con carácter previo. El Responsable deberá disponer de una base jurídica válida del art. 9.2 RGPD (y, en su caso, de la LOPDGDD) y ser capaz de acreditarla. Recibida la comunicación, las partes valorarán antes de que comience ese tratamiento si son necesarias medidas adicionales —evaluación de impacto (art. 35 RGPD), garantías reforzadas, revisión de la adecuación de los sub-encargados afectados, o limitaciones de funcionalidad— y las documentarán como instrucción escrita anexa a este contrato. Mientras esa valoración no se complete, el Responsable se abstendrá de configurar el Servicio para ese tratamiento.

(c) Revelación espontánea por el usuario final — reconocimiento realista. Las partes reconocen expresamente que, por la naturaleza conversacional del Servicio, un usuario final puede facilitar por iniciativa propia información que constituya una categoría especial de datos (por ejemplo, mencionar una dolencia al pedir una cita), sin que ello haya sido solicitado por el Responsable ni por el Encargado y sin que ninguno pueda impedirlo técnicamente. Respecto de esa información, el Encargado: (i) no la solicita ni la induce; (ii) no la utiliza para ninguna finalidad distinta de generar la respuesta y prestar el Servicio, y en ningún caso para elaborar perfiles, segmentar, entrenar modelos ni con fines comerciales; (iii) la trata con las medidas del Anexo II; y (iv) la suprime dentro del plazo de conservación declarado para las conversaciones (30 días). Este plazo de 30 días se refiere al registro de la conversación; si el Responsable configura campos de captación adicionales conforme al Anexo I, la información que se almacene en ellos seguirá el plazo de conservación de leads y reservas, y no el de las conversaciones — razón adicional para no configurar campos que puedan recoger categorías especiales de datos. Esta revelación espontánea no constituye incumplimiento del apartado (a) por parte del Responsable.

Datos de menores. El Responsable no dirigirá el Servicio a menores ni configurará la captación de sus datos sin disponer de base jurídica y de las garantías exigidas por el art. 8 RGPD y el art. 7 LOPDGDD.

11. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de sus obligaciones conforme al art. 82 RGPD y a la legislación aplicable. El Responsable mantendrá indemne al Encargado frente a reclamaciones, sanciones o daños derivados de: (i) instrucciones ilícitas del Responsable; (ii) la falta de base jurídica o de información a los interesados; o (iii) el incumplimiento por el Responsable de sus obligaciones como responsable del tratamiento.

Límite de responsabilidad (aplicable aunque este contrato se firme por separado). En la máxima medida permitida por la ley, la responsabilidad total acumulada del Encargado frente al Responsable por cualquier concepto derivado de este contrato queda limitada a la mayor de estas dos cantidades: (a) el importe efectivamente abonado por el Responsable por el producto o módulo concreto al que se refiera la reclamación durante los doce (12) meses anteriores al hecho que origine la responsabilidad; o (b) quinientos euros (500 €).

Se pactan expresamente las dos precisiones anteriores: (i) el importe se mide por producto, de modo que la responsabilidad derivada de un módulo se calcula sobre lo abonado por ese módulo y no sobre la facturación total del Responsable con el Encargado, que podría incluir servicios ajenos al hecho reclamado; y (ii) se fija un importe mínimo para que la limitación conserve contenido económico real también durante periodos de uso gratuito o de prueba, en los que el importe abonado podría ser cero. Se aplica siempre la mayor de ambas cantidades, nunca la menor. El Encargado no responderá de daños indirectos, lucro cesante, pérdida de negocio, de oportunidades, de ingresos o de fondo de comercio.

Estas limitaciones no excluyen ni limitan la responsabilidad por dolo (art. 1102 del Código Civil) ni por culpa grave, por daños personales causados por negligencia, ni la responsabilidad frente a los interesados o frente a las autoridades de control que la normativa de protección de datos atribuya imperativamente a cada parte (art. 82 RGPD), ni cualquier otro supuesto que legalmente no pueda limitarse.

Relación con las Condiciones Generales de Contratación y orden de prelación. Si las partes han suscrito además las Condiciones Generales de Contratación del Encargado, ambos documentos se interpretarán de forma conjunta y coherente; el límite anterior y el de dichas Condiciones no son acumulativos, sino que constituyen un único límite global por los mismos hechos. Si ambos límites arrojasen cuantías distintas para un mismo hecho, se aplicará la mayor de ellas, de modo que la limitación nunca opere por debajo del mínimo pactado en esta cláusula. En todo lo relativo a la protección de datos personales prevalecerá el presente contrato; en lo demás, prevalecerán las Condiciones Generales de Contratación. Si este contrato se firma por separado, el límite de responsabilidad establecido en esta cláusula resulta plenamente aplicable por sí mismo, sin necesidad de remisión a ningún otro documento.

12. Legislación aplicable y jurisdicción

Este contrato se rige por la normativa de protección de datos de la UE y España y, supletoriamente, por la legislación española. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Barcelona, salvo norma imperativa en contrario.

ANEXO I — Descripción del tratamiento

• Objeto del tratamiento: prestación del Servicio de Chatbot IA (asistente conversacional integrado como widget en el sitio web del Responsable).

• Naturaleza y finalidad: recepción y procesamiento de las conversaciones de los usuarios finales del Responsable para generar respuestas automatizadas, y, en los planes que lo incluyan, captación de contactos y gestión de reservas.

• Duración: la de la prestación del Servicio.

• Tipo de datos personales:

  • Datos identificativos y de contacto que el usuario final facilite voluntariamente en la conversación: nombre, email y teléfono.
  • Contenido de los mensajes intercambiados con el asistente.
  • En los planes con reservas: nombre, email, teléfono y hora de la cita de la persona que reserva.
  • Identificador técnico de sesión del visitante, generado únicamente cuando este envía su primer mensaje.
  • Datos técnicos de conexión tratados de forma inherente a la prestación y a la seguridad del Servicio: dirección IP, agente de usuario y marcas de tiempo, utilizados para el enrutado, la protección frente a abusos y la trazabilidad de incidentes.

  Si el Responsable configura la captación de campos adicionales, estos quedarán igualmente sujetos a este contrato sin necesidad de modificarlo.

  Categorías especiales de datos (art. 9 RGPD). El Servicio no está diseñado para tratarlas y el Responsable no configurará el asistente para solicitarlas. No obstante, las partes reconocen que un usuario final puede revelarlas espontáneamente en la conversación; en tal caso se aplica íntegramente el régimen de la cláusula 10 bis, incluida su supresión dentro del plazo de conservación declarado para las conversaciones. Si por su actividad el Responsable prevé un tratamiento habitual de estas categorías, se aplica la notificación previa de la cláusula 10 bis (b).

• Categorías de interesados:

  • Usuarios finales/visitantes del sitio web del Responsable (clientes potenciales o existentes del Responsable) — categoría principal del encargo.
  • Personal autorizado del Responsable que accede al portal de cliente (datos de cuenta y de sesión), en la medida estrictamente necesaria para dar acceso al Servicio y facturarlo.

ANEXO II — Medidas de seguridad (art. 32 RGPD)

El Encargado aplica medidas técnicas y organizativas apropiadas al riesgo, apoyándose en proveedores con certificaciones reconocidas, entre otras:

• Cifrado de los datos en tránsito (TLS/HTTPS) y en reposo cuando el proveedor lo soporta.
• Control de acceso basado en roles y credenciales individuales; autenticación reforzada donde esté disponible.
• Alojamiento de la base de datos (Supabase — Irlanda) y del backend (Render — Fráncfort) en la Unión Europea siempre que es posible.
• Registro de actividad y copias de seguridad conforme a las capacidades de los proveedores.
• Proveedores con certificaciones ISO/IEC 27001 y/o SOC 2, y PCI-DSS Nivel 1 en la pasarela de pago.
• Procedimiento de gestión de incidentes y notificación de brechas (cláusula 7).
• Minimización en la monitorización de errores: la herramienta de detección de errores elimina el cuerpo de las peticiones y la cadena de consulta, las cabeceras de IP y de credenciales, y redacta emails y teléfonos antes del envío.
• Supresión programada: las conversaciones se eliminan automáticamente conforme a los plazos de conservación indicados más abajo, mediante un proceso diario.
• Cifrado de las credenciales de acceso de los usuarios del portal y control de sesión con caducidad.

Plazos de conservación aplicados por el Encargado (salvo instrucción distinta y documentada del Responsable, y sin perjuicio de los plazos legales de conservación de la facturación):

Nota sobre la monitorización de errores. La medida relevante no es el plazo de conservación del proveedor, sino que los registros de error no contengan datos personales de los usuarios finales. El Encargado aplica un filtro previo al envío que elimina el cuerpo de la petición, la cadena de consulta, las cookies y las cabeceras de IP y de credenciales, descarta las trazas de navegación y redacta las direcciones de correo y los números de teléfono que pudieran aparecer en los mensajes de excepción. En consecuencia, el plazo de conservación del proveedor opera sobre datos técnicos, no sobre datos personales de los interesados del Responsable.

Si el Responsable exige medidas adicionales o plazos distintos, se harán constar por escrito como instrucción documentada y se anexarán a este contrato.

ANEXO III — Relación de sub-encargados autorizados

Nota sobre el alcance de esta relación. El Anexo III recoge los sub-encargados que tratan datos personales por cuenta del Responsable, en cualquiera de las dos categorías de interesados declaradas en el Anexo I (usuarios finales del Responsable y personal autorizado del Responsable). No incluye proveedores que únicamente almacenan activos de negocio del propio Responsable —por ejemplo el proveedor de imágenes donde se guardan su logotipo y los documentos que él mismo sube a su base de conocimiento—, porque conforme a la cláusula 10(v) esos ficheros no deben contener datos personales. Dichos proveedores se declaran, por transparencia, en la Política de Privacidad del Encargado.

Nota sobre analítica. El Encargado no utiliza Google Analytics ni Google Tag Manager en la prestación del Servicio: el asistente no carga herramientas de analítica en el sitio web del Responsable. La analítica que el Encargado emplea en su propio sitio web corporativo queda fuera del objeto de este contrato, ya que en ese tratamiento el Encargado actúa como responsable y no por cuenta del Responsable.

Las listas de sub-encargados de cada proveedor y sus respectivos acuerdos de tratamiento (DPA) están publicados en los sitios web oficiales de cada proveedor; el Encargado los facilitará al Responsable a solicitud de este y los reconfirmará periódicamente.

Firmas

Las partes firman la Versión 1.1, de fecha 14 de septiembre de 2026, integrada por trece cláusulas (las cláusulas 1 a 12 y la cláusula 10 bis) y los Anexos I, II y III, que forman parte inseparable de este contrato.

Por el Responsable: [CAMPO POR RELLENAR — nombre, cargo, fecha]

Por el Encargado: Georgina Palma Castillo (Socialite Agency) — fecha: [CAMPO POR RELLENAR]

Última actualización: 14 de septiembre de 2026.