Acuerdo de Encargo de Tratamiento de Datos Personales

Última actualización: 20 de octubre de 2026

ACUERDO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES
Conforme al artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), cuando resulten aplicables.

El presente Acuerdo de Encargo de Tratamiento (el “Acuerdo”) forma parte integrante de la relación contractual entre SOFTWARETOB, S.L., con CIF B56876022, prestadora del servicio OrderToB (en adelante, “SOFTWARETOB” o el “Encargado del Tratamiento”), y la entidad que contrata dicho servicio (en adelante, el “CLIENTE” o el “Responsable del Tratamiento”).

Ámbito de aplicación. Este Acuerdo regula el tratamiento de datos personales que SOFTWARETOB realiza por cuenta del CLIENTE en la prestación del Servicio. Cuando dicho tratamiento esté sujeto al RGPD y/o a la LOPDGDD, el Acuerdo se aplica en los términos del artículo 28 del RGPD. Cuando el tratamiento esté sujeto a la normativa de protección de datos de otro país (por ejemplo, Argentina, Costa Rica o Chile), el Acuerdo se aplica como regulación contractual de las obligaciones de las partes: las referencias al RGPD y a sus artículos se entenderán hechas a las disposiciones equivalentes de dicha normativa, en lo que resulte compatible con ella y sin perjuicio de sus disposiciones imperativas.

Este Acuerdo queda incorporado a los Términos y Condiciones de OrderToB y se entiende aceptado por el CLIENTE desde la contratación o el uso del servicio, sin necesidad de firma individual. Los datos identificativos del CLIENTE (razón social, NIF/CIF) son los consignados en el alta del servicio.

Ambas partes reconocen que, para la prestación del servicio OrderToB contratado por el CLIENTE, SOFTWARETOB tendrá acceso y tratará determinados datos personales por cuenta del CLIENTE, por lo que acuerdan regular dicho tratamiento conforme al artículo 28 del RGPD y demás normativa aplicable en materia de protección de datos.

A tal efecto, acuerdan los siguientes puntos:

1. Objeto, naturaleza y finalidad

Tratamiento de los datos personales contenidos en los pedidos recibidos por el Cliente por correo electrónico o WhatsApp, y datos maestros, históricos de pedidos y demás información de su ERP que el CLIENTE ponga a disposición de SOFTWARETOB a través de los canales o sistemas habilitados, con la finalidad de prestar los servicios contratados de captura, interpretación, procesamiento y generación de pedidos estructurados y demás funcionalidades de OrderToB.

2. Duración

La del contrato principal, incluidas sus prórrogas.

3. Categorías de datos e interesados

Datos: datos identificativos y de contacto de carácter profesional, tales como nombre y apellidos, cargo, departamento, teléfono, móvil y correo electrónico, así como los datos personales que puedan encontrarse contenidos en los pedidos recibidos por el Cliente procesados mediante el Servicio.
Interesados: clientes, comerciales y otro personal del Cliente, contactos asociados a puntos de entrega, remitentes o destinatarios de comunicaciones y demás personas cuyos datos puedan estar incluidos en la información procesada por cuenta del CLIENTE.

El CLIENTE no facilitará ni incorporará al Servicio categorías especiales de datos personales en los términos del artículo 9 RGPD, por no resultar necesarios para la prestación del servicio.

En caso de que dichos datos fueran incluidos incidentalmente por terceros en comunicaciones o documentos procesados por OrderToB, SOFTWARETOB no será responsable de dicha inclusión y los tratará únicamente en la medida técnicamente inherente a la prestación del Servicio y conforme a las instrucciones del CLIENTE.

4. Obligaciones del encargado

SOFTWARETOB se obliga a:

Tratar los datos únicamente conforme a instrucciones documentadas del CLIENTE, incluidas las relativas a transferencias internacionales.
No utilizar los datos personales para fines propios ni para el entrenamiento de modelos fundacionales o modelos de propósito general propios o de terceros, sin perjuicio de su tratamiento para la configuración, parametrización y mejora de la solución destinada al CLIENTE conforme al objeto del Servicio contratado. Lo anterior no impedirá el uso de información estadística agregada y efectivamente anonimizada, que no permita identificar ni reidentificar a personas físicas ni identificar al CLIENTE, exclusivamente para el análisis del funcionamiento, mantenimiento y mejora general del Servicio.
Garantizar la confidencialidad del personal autorizado.
Aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 RGPD.
Subencargados. El CLIENTE otorga a SOFTWARETOB autorización general para recurrir a subencargados cuando resulte necesario para la prestación del Servicio, de conformidad con el artículo 28.2 del RGPD. A la fecha de aceptación del presente Acuerdo, los subencargados utilizados por SOFTWARETOB son los incluidos en el Anexo I “Lista de Subencargados”. SOFTWARETOB informará al CLIENTE de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados, dándole la oportunidad de oponerse a dichos cambios por motivos razonables relacionados con la protección de datos personales, de conformidad con el artículo 28.2 del RGPD. La intervención de subencargados se realizará de conformidad con lo previsto en el artículo 28.4 del RGPD.
Asistir al CLIENTE, teniendo en cuenta la naturaleza del tratamiento y, cuando corresponda, la información a disposición de SOFTWARETOB, en el cumplimiento de las obligaciones que resulten aplicables conforme a los artículos 32 a 36 del RGPD y, en la medida de lo posible, en la atención de las solicitudes de ejercicio de derechos de los interesados.
Notificar al CLIENTE cualquier violación de seguridad de los datos personales sin dilación indebida desde que tenga conocimiento de ella, facilitando la información prevista en el artículo 33.3 RGPD en la medida en que se encuentre disponible.
A elección del CLIENTE, devolver o suprimir los datos personales una vez finalizada la prestación del servicio, en los plazos y mediante los mecanismos previstos en la cláusula 13 de los Términos y Condiciones, y suprimir las copias existentes, salvo que el Derecho de la Unión Europea o de los Estados miembros exija su conservación, sin perjuicio de la posibilidad de conservarlos debidamente bloqueados mientras pudieran derivarse responsabilidades de la relación con el CLIENTE, conforme a la normativa aplicable.
Poner a disposición del CLIENTE la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, así como permitir y contribuir a la realización de auditorías, realizadas por el CLIENTE o por un auditor autorizado por éste. Las auditorías se realizarán con preaviso razonable, durante horario laboral, previa coordinación entre las partes y como máximo una vez al año, salvo que exista un incidente de seguridad o indicios razonables de incumplimiento. Se limitarán al tratamiento objeto del presente Acuerdo y se realizarán sin acceso a información confidencial, sistemas o datos de otros clientes de SOFTWARETOB, procurando no interferir de forma injustificada en la prestación del servicio. Los costes de las auditorías solicitadas por el CLIENTE serán asumidos por el mismo. Si la auditoría revelara un incumplimiento material imputable a SOFTWARETOB, SOFTWARETOB adoptará las medidas razonablemente necesarias para su subsanación.
Si SOFTWARETOB considera que alguna instrucción del CLIENTE infringe el RGPD u otra disposición aplicable en materia de protección de datos, informará de ello al CLIENTE sin dilación indebida.

5. Transferencias internacionales

El CLIENTE autoriza expresamente a SOFTWARETOB a realizar, directamente o a través de sus subencargados, transferencias internacionales de datos personales cuando resulten necesarias para la prestación del Servicio, incluidas las transferencias y operaciones de tratamiento en los Estados Unidos de América y otros terceros países. Esta autorización constituye una instrucción documentada del CLIENTE a los efectos del artículo 28.3.a) del RGPD.

Dichas transferencias se realizarán de conformidad con el Capítulo V del RGPD y al amparo de alguno de los mecanismos legalmente previstos, incluyendo, cuando resulte aplicable, una decisión de adecuación de la Comisión Europea conforme al artículo 45 del RGPD, las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea conforme al artículo 46 del RGPD, junto con las medidas complementarias que resulten exigibles, u otro mecanismo válido previsto por la normativa aplicable.

SOFTWARETOB garantizará que los subencargados que intervengan en dichas transferencias estén sujetos a las obligaciones y garantías de protección de datos exigibles conforme al RGPD.

6. Obligaciones del responsable

El CLIENTE, en su condición de Responsable del Tratamiento, garantiza que los datos personales facilitados o puestos a disposición de SOFTWARETOB han sido obtenidos y son tratados lícitamente, que dispone de base jurídica suficiente para su tratamiento y para encomendar su tratamiento a SOFTWARETOB, y que ha cumplido las obligaciones de información que correspondan.

El CLIENTE será responsable de las instrucciones que imparta a SOFTWARETOB, de la licitud, pertinencia y exactitud de los datos facilitados y de evitar la incorporación al servicio de datos personales que no resulten necesarios para la finalidad contratada, en particular categorías especiales de datos.

7. Integración contractual y aceptación

El presente Acuerdo forma parte de la documentación contractual aplicable al Servicio OrderToB.

El Acuerdo podrá formalizarse mediante firma manuscrita o electrónica, mediante aceptación expresa por correo electrónico o mediante cualquier otro medio electrónico que permita acreditar de forma suficiente la identidad del CLIENTE, la versión del Acuerdo aceptada y la fecha de aceptación.

8. Modificaciones y versiones

8.1 SOFTWARETOB podrá actualizar este Acuerdo para adaptarlo a cambios normativos o de criterio de las autoridades de control, o a mejoras técnicas y organizativas. Los cambios de subencargados se rigen por la cláusula 4.5.

8.2 Las modificaciones exigidas por una norma o por una autoridad de control se aplicarán desde la fecha en que resulten obligatorias, previa notificación al CLIENTE.

8.3 Cualquier otra modificación que afecte materialmente a los derechos u obligaciones del CLIENTE se notificará por correo electrónico con al menos 30 días de antelación y requerirá su aceptación conforme a los Términos y Condiciones.

ANEXO 1: LISTA DE SUBENCARGADOS UTILIZADOS

1. Amazon Web Services (AWS)

Empresa: Amazon Web Services EMEA SARL

Servicio: infraestructura tecnológica, alojamiento, almacenamiento y servicios de inteligencia artificial, incluyendo Amazon Bedrock y los modelos disponibles a través de dicho servicio que sean utilizados por SOFTWARETOB (incluidos, entre otros, modelos de OpenAI y Anthropic). Los fabricantes de dichos modelos no tienen acceso a los datos personales tratados a través de Amazon Bedrock ni intervienen como subencargados.

Ubicación del tratamiento: Espacio Económico Europeo y/o Estados Unidos, según los servicios, regiones y configuraciones utilizados. El almacenamiento de registros y configuración se realiza en la región de origen situada en el EEE. La inferencia puede procesarse en Estados Unidos mediante perfiles de inferencia. Para determinados modelos, AWS puede retener entradas y salidas hasta 30 días con fines de detección de abuso, y someterlas a revisión por parte de AWS, en la región donde se procese la inferencia. Dicha información es tratada por AWS y no se comparte con los fabricantes de los modelos.

2. OpenAI

Empresa: OpenAI OpCo, LLC

Servicio: servicios y modelos de inteligencia artificial contratados directamente por SOFTWARETOB para la prestación del servicio OrderToB.

Ubicación del tratamiento: Estados Unidos. OpenAI puede retener las entradas y salidas hasta 30 días con fines de monitorización de abuso. Sus propios subencargados constan en su lista pública.

Garantías aplicables

Cuando la intervención de los subencargados implique transferencias internacionales de datos personales fuera del Espacio Económico Europeo, se aplicarán las garantías previstas en la cláusula 5 del presente Acuerdo, que se apoyarán en las cláusulas contractuales tipo de los acuerdos de tratamiento de datos de cada subencargado y, en el caso de AWS, adicionalmente en su certificación vigente en el Marco de Privacidad de Datos UE-EE. UU.

SOFTWARETOB informará al CLIENTE de las incorporaciones o sustituciones de subencargados conforme a lo establecido en la cláusula 4.5.

Las cuentas y servicios titularidad del CLIENTE a los que SOFTWARETOB accede por su indicación (incluidas cuentas de WhatsApp Business/Meta y de correo electrónico) no son subencargados de SOFTWARETOB.