Contrato de Encargado del Tratamiento

1. Partes y roles

Este acuerdo se celebra entre:

• El Cliente (la empresa titular de la cuenta), que actúa como Responsable del Tratamiento de los datos personales que introduce y trata en la plataforma.
• [RAZÓN SOCIAL], CIF [CIF/NIF] («ElementoLabs»), que actúa como Encargado del Tratamiento, tratando dichos datos por cuenta del Cliente.

El Cliente es el único responsable de determinar los fines y medios del tratamiento y de garantizar que dispone de base jurídica y de las informaciones/consentimientos necesarios respecto de los interesados.

2. Objeto e instrucciones

ElementoLabs tratará los datos personales únicamente para prestar el servicio contratado y siguiendo las instrucciones documentadas del Cliente. El uso de las funcionalidades de la plataforma por parte del Cliente constituye una instrucción documentada.

3. Naturaleza del tratamiento

• Objeto: prestación del CRM SaaS.
• Duración: mientras esté vigente la cuenta del Cliente.
• Tipos de datos: datos identificativos y de contacto (nombre, teléfono, email, dirección), datos comerciales del lead y cualquier otro que el Cliente decida introducir.
• Categorías de interesados: clientes potenciales, contactos y terceros gestionados por el Cliente.

[El Cliente debe abstenerse de introducir categorías especiales de datos (art. 9 RGPD) salvo que exista base jurídica y se acuerde expresamente.]

4. Obligaciones de ElementoLabs (Encargado)

• Tratar los datos solo conforme a las instrucciones documentadas del Cliente.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar las medidas de seguridad técnicas y organizativas adecuadas (art. 32 RGPD).
• Respetar las condiciones para recurrir a otros encargados (subencargados).
• Asistir al Cliente para atender las solicitudes de ejercicio de derechos de los interesados.
• Asistir al Cliente en el cumplimiento de las obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• Notificar al Cliente sin dilación indebida las violaciones de seguridad de las que tenga conocimiento.
• A elección del Cliente, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservación.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

5. Subencargados

El Cliente autoriza a ElementoLabs a recurrir a los siguientes subencargados para la prestación del servicio, obligándose ElementoLabs a que estos ofrezcan garantías equivalentes:

• Supabase — base de datos y alojamiento ([REGIÓN DE ALOJAMIENTO — p. ej. UE / Frankfurt]).
• Vercel — alojamiento y entrega de la aplicación.
• OpenAI y Anthropic — funcionalidades de inteligencia artificial.
• Twilio — mensajería WhatsApp/SMS.
• Resend — envío de correo electrónico transaccional.
• Stripe — procesamiento de pagos (si aplica).
• fal.ai y Replicate — generación de contenido/imagen/vídeo (Estudio IA).

ElementoLabs informará al Cliente de cualquier cambio previsto en la incorporación o sustitución de subencargados, dándole la oportunidad de oponerse. [Mantener esta lista actualizada.]

6. Transferencias internacionales

Algunos subencargados pueden tratar datos fuera del EEE. Dichas transferencias se ampararán en un mecanismo válido del RGPD (Data Privacy Framework y/o Cláusulas Contractuales Tipo). [Confirmar el mecanismo concreto de cada subencargado con asesoría legal.]

7. Obligaciones y garantías del Cliente (Responsable)

• Garantiza que dispone de base jurídica lícita para el tratamiento de los datos que introduce.
• Garantiza haber informado a los interesados y, cuando proceda, obtenido su consentimiento.
• Es responsable de la exactitud y licitud de los datos y de las instrucciones que imparte.
• Atenderá, como Responsable, las solicitudes de ejercicio de derechos de los interesados.

8. Responsabilidad e indemnización

Cada parte responderá conforme al RGPD por los daños causados por el incumplimiento de sus obligaciones. El Cliente mantendrá indemne a ElementoLabs frente a reclamaciones de terceros o sanciones derivadas de la ilicitud de los datos introducidos por el Cliente o del incumplimiento de sus obligaciones como Responsable.

9. Ley aplicable

Este acuerdo se rige por el RGPD, la LOPDGDD y demás normativa española y europea aplicable.