Contrato de Encargado del Tratamiento

Este contrato (DPA) forma parte de las condiciones de GOexperto y regula el tratamiento de datos personales que GOexperto realiza por cuenta del cliente cuando este usa la plataforma para gestionar los expedientes de sus propios clientes.

1. Roles

• Responsable del tratamiento: el cliente (gestoría, despacho o profesional).
• Encargado del tratamiento: Daniel Álvarez Torres (NIF 30245179H), titular de GOexperto.

2. Objeto, naturaleza y finalidad

El encargado trata los datos únicamente para prestar el servicio: gestión de clientes y expedientes, generación de formularios oficiales, firma, cobros, alertas e importación de notificaciones. La duración coincide con la de la relación contractual.

3. Tipos de datos y categorías de interesados

Datos identificativos y de contacto, documentación de identidad y de extranjería, situación administrativa y datos económicos de los clientes del responsable, que pueden incluir categorías especiales y datos de menores. Interesados: las personas cuyos expedientes gestiona el responsable.

4. Obligaciones del encargado

• Tratar los datos solo según las instrucciones documentadas del responsable (el uso de la plataforma constituye dichas instrucciones).
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• No destinar los datos a finalidades propias ni cederlos.

5. Medidas de seguridad (art. 32)

• Aislamiento de datos por despacho (arquitectura multi-inquilino con seguridad a nivel de fila).
• Cifrado de las comunicaciones (HTTPS) y control de acceso.
• Acceso a los documentos mediante enlaces temporales y autorizados.
• Registro de auditoría de las acciones sobre los datos.
• Copias de seguridad y revisiones de seguridad periódicas.

6. Subencargados

El responsable autoriza con carácter general el recurso a los siguientes subencargados, con los que se han suscrito las garantías del artículo 28:

• Supabase, para la base de datos y la autenticación.
• Vercel, para el alojamiento.
• Stripe, para los pagos de la suscripción.
• Resend, para el envío de los correos del servicio.
• Anthropic (Claude), para el análisis por IA (no se usan los datos para entrenar modelos).
• Telegram, únicamente si el responsable elige ese canal para recibir los avisos del asistente: el aviso incluye el nombre y el teléfono del contacto captado. Es opcional y se activa desde la propia aplicación.
• Meta Platforms Ireland Limited, por la plataforma de WhatsApp Business, únicamente si el responsable conecta su número para usar el asistente. La cuenta de WhatsApp Business es del propio responsable, que la contrata con Meta a su nombre; el encargado trata esos mensajes por cuenta suya. Sin esa conexión, Meta no interviene.

El encargado informará de cualquier cambio de subencargados, dando al responsable la posibilidad de oponerse.

7. Asistencia al responsable

El encargado asistirá al responsable para atender los derechos de los interesados (acceso, rectificación, supresión, etc.) y para cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.

8. Notificación de violaciones de seguridad

El encargado notificará al responsable, sin dilación indebida, cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información necesaria para que el responsable cumpla sus obligaciones.

9. Devolución o supresión

Finalizada la prestación, el encargado, a elección del responsable, devolverá o suprimirá los datos y las copias existentes, salvo obligación legal de conservación.

10. Auditoría

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá auditorías razonables.

11. Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE, se aplicarán garantías adecuadas conforme al RGPD, como las Cláusulas Contractuales Tipo.

12. Estadísticas agregadas y anónimas

El responsable instruye al encargado para elaborar estadísticas agregadas y anónimas sobre el funcionamiento de los procedimientos administrativos (por ejemplo, plazos medios de resolución o frecuencia de requerimientos), con la finalidad de publicarlas de forma agregada y de mejorar el servicio.

Esta instrucción se somete a las siguientes garantías, que forman parte del contrato:

• Anonimización irreversible previa. El proceso elimina cualquier identificador directo o indirecto antes de la agregación, de modo que el resultado no permite reidentificar a ninguna persona ni por el encargado ni por un tercero. Solo se publica el resultado agregado, nunca el conjunto de datos subyacente.
• Umbral mínimo de agregación. No se publica ninguna cifra que se calcule sobre menos de 50 expedientes ni sobre menos de 5 organizaciones distintas. Los cruces que no alcancen ese umbral se suprimen en lugar de publicarse.
• Sin identificación de despachos. No se publican datos atribuibles a un responsable concreto, ni se comunica a terceros información que permita deducir la actividad, la cartera o los resultados de un despacho identificable.
• Sin categorías especiales. Quedan excluidos del proceso los datos de las categorías del artículo 9 del RGPD y los datos de menores.
• Revocable en cualquier momento. El responsable puede retirar esta instrucción comunicándolo por escrito a hola@goexperto.com, sin coste ni consecuencia sobre el servicio. La retirada surte efecto para los cálculos posteriores.

Fuera de esta instrucción y de sus garantías, se mantiene íntegra la obligación de la cláusula 4: el encargado no destina los datos a finalidades propias.

Para solicitar una copia firmada de este contrato, escribe a hola@goexperto.com.