Contrato de encargo del tratamiento
Última actualización: 4 de noviembre de 2026 · Hevia es un producto de evioe studio.
Esta versión se ha contrastado con la arquitectura técnica real de Hevia. Aún está pendiente la revisión por un abogado.
1. Partes y aplicación
Este contrato regula el tratamiento de datos personales por parte de evioe · Web & IT Studio, titular Mahsum Kavak, Schwarzwaldstr. 61, 79539 Lörrach, Alemania («encargado del tratamiento»), por cuenta del cliente («responsable del tratamiento») conforme al art. 28 RGPD. Forma parte de las condiciones generales y se aplica desde su aceptación en el registro. Previa solicitud a hey@evioe.de, enviamos una versión firmada.
2. Objeto, naturaleza y finalidad
| Objeto | Funcionamiento del chat de IA Hevia en el sitio web del responsable del tratamiento y del Dashboard correspondiente |
|---|---|
| Naturaleza del tratamiento | Recogida, almacenamiento, consulta, transmisión al modelo de IA para formular la respuesta, visualización en el Dashboard, exportación, supresión |
| Finalidad | Responder a las preguntas de los visitantes, recoger y transmitir solicitudes, estadísticas para el responsable del tratamiento |
| Interesados | Visitantes del sitio web del responsable del tratamiento que utilizan el chat; empleados del responsable con acceso al Dashboard, en la medida en que aparezcan en los contenidos |
| Tipos de datos | Mensajes del chat y respuestas con fecha, hora e idioma; dirección de la página; datos de formularios (p. ej., nombre, correo electrónico, teléfono, fecha deseada, asunto); clics en enlaces de reserva; entradas de conocimiento, en la medida en que se refieran a personas |
| Categorías especiales | No previstas; el responsable no las solicita y, antes del chat, se pide a los visitantes que no las introduzcan |
| Duración | Vigencia del contrato principal y, después, hasta la supresión conforme a la sección 9 |
3. Instrucciones
Tratamos los datos únicamente siguiendo instrucciones documentadas del responsable del tratamiento, también en lo relativo a transferencias a terceros países, salvo que estemos obligados a ello por ley; en tal caso, lo comunicaremos previamente, en la medida en que la ley lo permita. Son instrucciones los ajustes del Dashboard (como el plazo de conservación, la pausa o la eliminación) y las instrucciones en forma de texto. Si consideramos que una instrucción es ilícita, lo advertiremos sin demora.
El responsable del tratamiento nos encarga elaborar, a partir de los datos tratados por encargo, indicadores anonimizados y agregados, en la medida en que sea necesario para la estadística anónima prevista en las condiciones generales. La anonimización se realiza de forma que no pueda restablecerse la vinculación con una persona. Los indicadores así obtenidos no son datos personales y no están sujetos a las obligaciones de supresión y devolución de este contrato.
4. Obligaciones del encargado del tratamiento
- Todas las personas con acceso a los datos están obligadas a la confidencialidad.
- Adoptamos las medidas del art. 32 RGPD descritas en el anexo 1 y las adaptamos al estado de la técnica sin reducir el nivel de protección.
- No utilizamos los datos para fines propios ni entrenamos modelos de IA con ellos.
- Asistimos al responsable del tratamiento en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas (arts. 35 y 36 RGPD).
5. Subencargados
El responsable del tratamiento autoriza el recurso a los subencargados indicados en el anexo 2. Anunciamos los subencargados nuevos o sustituidos con al menos 30 días de antelación por correo electrónico o en el Dashboard. Dentro de este plazo, el responsable puede oponerse por un motivo importante en materia de protección de datos; si no podemos resolver la oposición, podrá rescindir el contrato con efecto a la fecha en que el cambio surta efecto. Obligamos contractualmente a los subencargados a un nivel de protección equivalente.
6. Transferencias a terceros países
La base de datos y las copias de seguridad se encuentran en Frankfurt. Algunos subencargados son empresas estadounidenses o tratan parte de los datos en EE. UU. (anexo 2). La base es la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cuando el proveedor está certificado, y además las cláusulas contractuales tipo de la UE (arts. 45 y 46 RGPD).
7. Derechos de los interesados
Asistimos al responsable del tratamiento en la respuesta a solicitudes conforme a los arts. 15 a 22 RGPD. El Dashboard permite consultar, exportar y eliminar conversaciones y solicitudes. Si los interesados se dirigen directamente a nosotros, remitimos la solicitud al responsable sin demora.
8. Violaciones de la seguridad de los datos personales
Notificamos al responsable del tratamiento cualquier violación de la seguridad de los datos personales sin dilación indebida, a ser posible en un plazo de 48 horas desde que tengamos conocimiento de ella, con la información prevista en el art. 33, apartado 3, RGPD en la medida en que esté disponible, y le asistimos en el cumplimiento de sus obligaciones de notificación y comunicación.
9. Supresión y devolución
El responsable del tratamiento puede exportar sus datos en cualquier momento. Tras el fin del contrato, eliminamos todos los datos transcurridos 30 días, o de inmediato si el responsable elimina su negocio en el Dashboard. Las copias de seguridad cifradas se sobrescriben a los 30 días; hasta entonces, los datos eliminados no se restauran a partir de ellas, salvo para la recuperación tras una caída. Las obligaciones legales de conservación no se ven afectadas.
10. Pruebas y auditorías
Previa solicitud, facilitamos al responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD. Las inspecciones in situ son posibles con aviso previo suficiente, en horario laboral habitual y sin perturbar la actividad; con carácter prioritario, bastan la información por escrito y las acreditaciones de los subencargados.
11. Responsabilidad y disposiciones finales
La responsabilidad se rige por el art. 82 RGPD; por lo demás, se aplican las condiciones generales. En caso de contradicción, este contrato prevalece sobre las condiciones generales en lo que respecta a la protección de datos personales. Se aplica el derecho alemán.
Anexo 1: Medidas técnicas y organizativas (art. 32 RGPD)
| Ámbito | Medida |
|---|---|
| Cifrado | Transmisión cifrada (TLS); datos almacenados y copias de seguridad cifrados; la clave de las copias de seguridad se guarda separada del alojamiento |
| Control de acceso a los sistemas | Dashboard solo tras iniciar sesión; longitud mínima de las contraseñas, que solo se almacenan cifradas (hash); las sesiones caducan y terminan al cambiar la contraseña; limitación de los intentos de inicio de sesión |
| Control de acceso a los datos | Roles por negocio (propietario, miembro); exportación, equipo y eliminación solo para propietarios; acceso del operador solo para asistencia y resolución de errores |
| Separación | Protección de acceso entre los negocios: los datos de un negocio no son accesibles para otros ni se utilizan para otros; comprobado de forma automatizada |
| Minimización de datos | No se almacena la dirección IP ni el identificador del navegador en la conversación; las direcciones IP solo se utilizan para la protección contra abusos como valor cifrado e irreversible, eliminado a los 2 días; registros sin texto de las conversaciones, abreviados y con los datos de contacto ocultos |
| Control de entrada y transmisión | Al servicio de IA solo se envían la pregunta, los últimos mensajes de la conversación y las entradas pertinentes, ningún dato de formularios, dirección IP ni dirección de página; tratamiento de IA en la UE y en Estados de la AELC, sin entrenamiento con los datos |
| Disponibilidad | Copia de seguridad cifrada diaria, comprobada periódicamente mediante restauraciones de prueba; conservación de 30 días; funcionamiento limitado sin IA en caso de caída |
| Resiliencia | Límites diarios de respuestas de IA por negocio y limitación de las solicitudes por visitante; el chat público puede pausarse por negocio |
| Supresión | Plazo configurable para conversaciones y solicitudes (de 30 a 730 días o manual), aplicado automáticamente; eliminación de conversaciones individuales y del negocio con todos sus datos |
| Verificación | Pruebas automatizadas de las medidas de protección, los procesos de protección de datos y las copias de seguridad antes de cada publicación; comprobación del sistema en producción después |
| Organización | Todas las personas con acceso están obligadas a la confidencialidad; la autenticación en dos factores para las cuentas de administración de los proveedores se configurará antes del lanzamiento con clientes |
La separación de los negocios se comprueba de forma automatizada. Encontrará más información sobre las medidas en Seguridad.
Anexo 2: Subencargados
La lista vigente en cada momento, con sede, finalidad, lugar y base contractual, está publicada en Subencargados. Forma parte de este contrato.
Esta traducción se ofrece para su comodidad. En caso de discrepancia entre las versiones, prevalece la versión alemana. No sustituye una revisión jurídica para otros países.