Contrato de encargo del tratamiento

Versión: 2026-09-25 · Última actualización: 25 de septiembre de 2026

Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Regula el tratamiento que José Manuel Mas Albiol, NIF 53226557A, con domicilio en Calle Torre Motxa 19, 12540 Vila-real (Castellón) («Lumicatech» o «el encargado»), realiza por cuenta de la organización cliente («el responsable») al prestarle el CRM.

Forma parte de los Términos del servicio. Lo acepta, por escrito en formato electrónico (artículo 28.9 del RGPD), un administrador de la organización en su nombre: al darse de alta o, si la cuenta ya existía, al entrar en el CRM. Se guarda quién lo aceptó, la versión, la fecha y la dirección IP.

1. Objeto y alcance

Categorías especiales de datos

El responsable no debe introducir datos de las categorías especiales del artículo 9 del RGPD (salud, afiliación sindical, datos biométricos, etc.) ni datos penales del artículo 10 sin un acuerdo previo por escrito con Lumicatech que fije las medidas reforzadas que exijan. Esto incluye, por ejemplo, informes o certificados médicos de trabajadores.

Una imagen de firma manuscrita en un albarán se guarda como imagen y no se usa para identificar biométricamente a nadie.

2. Instrucciones del responsable

1. Lumicatech trata los datos solo siguiendo instrucciones documentadas del responsable, también en lo relativo a transferencias internacionales. El uso de la aplicación, su configuración y las integraciones que el responsable active son instrucciones.
2. Si Lumicatech considera que una instrucción infringe la normativa, lo comunicará de inmediato al responsable.
3. Lumicatech no usa los datos para fines propios: no los vende, no los cede, no los explota comercialmente ni entrena modelos de inteligencia artificial con ellos.
4. Si una ley obliga a Lumicatech a tratar o comunicar datos (por ejemplo, un requerimiento judicial), informará antes al responsable salvo que la propia ley lo prohíba.

3. Confidencialidad y personal

Quien accede a los datos por parte de Lumicatech está sujeto a un deber de confidencialidad que subsiste tras terminar la relación, y recibe la formación necesaria en protección de datos.

Lumicatech solo accede al contenido de una cuenta cuando es imprescindible: para dar soporte a petición del responsable, resolver una incidencia o cumplir una obligación legal. Esos accesos quedan registrados.

4. Seguridad

Lumicatech aplica las medidas técnicas y organizativas del artículo 32 del RGPD que se detallan en el anexo, apropiadas al riesgo. Puede actualizarlas para mejorar la protección; nunca reducirá su nivel sin comunicarlo antes.

5. Subencargados

El responsable da una autorización general para recurrir a los siguientes subencargados, cada uno sujeto por contrato a obligaciones de protección de datos equivalentes a las de este documento. Lumicatech responde ante el responsable de su actuación.

Siempre

Solo si el responsable usa la función

Servicios que el responsable conecta con su propia cuenta

Algunas integraciones usan una cuenta del propio responsable con un tercero: Brevo para campañas de correo, clientes de IA externos conectados por la API o el servidor MCP del CRM (por ejemplo ChatGPT o Claude) y otras redes sociales. En ese caso el tercero es encargado directo del responsable, con quien este tiene su propio contrato, y Lumicatech solo transmite los datos siguiendo su instrucción.

Comunicaciones por obligación legal

Los registros de facturación que exige el Reglamento VeriFactu (Real Decreto 1007/2023) se remiten a la Agencia Estatal de Administración Tributaria en nombre del responsable, que es quien está obligado. La AEAT no es un subencargado.

Cambios

Lumicatech informará al responsable con 30 días de antelación de cualquier alta o sustitución de un subencargado, por correo o dentro del CRM. Si el responsable se opone por motivos razonables y no se encuentra alternativa, podrá resolver el contrato sin penalización antes de que el cambio se aplique.

6. Transferencias internacionales

Los datos se alojan en la Unión Europea. Solo salen del Espacio Económico Europeo cuando interviene un subencargado de los indicados como «EE. UU.», y siempre con una de las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea.

7. Inteligencia artificial

Las funciones con IA se describen en Uso de inteligencia artificial. En lo que afecta a los datos:

• Solo se envía al modelo lo necesario para cada petición, y el proveedor procesa en la UE sin guardar peticiones ni respuestas.
• Los datos no se usan para entrenar ningún modelo.
• La IA no toma decisiones automatizadas sobre personas (artículo 22 del RGPD): consulta y propone, y decide una persona.
• El responsable puede pedir que se desactiven para su organización.

8. Asistencia al responsable

Lumicatech ayuda al responsable, teniendo en cuenta la naturaleza del tratamiento:

1. Derechos de los interesados. El CRM permite consultar, corregir, exportar y suprimir los datos. Si un interesado se dirige a Lumicatech, se le remitirá al responsable y se avisará a este sin demora, en un plazo máximo de 5 días hábiles.
2. Seguridad, evaluaciones de impacto y consultas previas a la autoridad de control (artículos 32 a 36), facilitando la información de que disponga.
3. Demostrar el cumplimiento, poniendo a su disposición la información necesaria y permitiendo auditorías según el apartado 11.

9. Violaciones de seguridad

Lumicatech notificará al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y en todo caso en un máximo de 24 horas desde que tenga conocimiento, con la información disponible: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas. La información que falte se facilitará en cuanto se conozca.

Corresponde al responsable notificar a la AEPD y, en su caso, a los interesados. Lumicatech le asistirá en ello.

10. Fin del encargo

Al terminar el contrato de servicio:

1. El responsable dispone de 30 días para exportar sus datos desde la aplicación, o pedir por escrito una copia en formato estructurado y de uso común.
2. Pasado ese plazo, Lumicatech suprime los datos de los sistemas activos, incluidos los archivos del almacenamiento.
3. Las copias de seguridad se eliminan al completar su ciclo de rotación, en un máximo de 90 días desde la baja.
4. Solo se conservará, bloqueado, lo que exija una ley (por ejemplo, los registros de facturación durante el plazo legal de conservación que corresponda al responsable, si este no los ha descargado).

11. Auditoría

El responsable puede solicitar, con 30 días de preaviso y no más de una vez al año salvo que haya indicios de incumplimiento, la información necesaria para verificar este contrato. Las auditorías presenciales o por un tercero independiente requieren acuerdo previo sobre alcance, fechas y confidencialidad; su coste corre a cargo del responsable salvo que revelen un incumplimiento relevante de Lumicatech.

12. Obligaciones del responsable

• Tener base jurídica para tratar los datos que introduce y haber informado a los interesados (artículos 13 y 14 del RGPD), incluidos sus trabajadores.
• Configurar los permisos de sus usuarios y mantener a salvo sus credenciales.
• No introducir categorías especiales sin el acuerdo previo del apartado 1.
• Cumplir, cuando envíe comunicaciones comerciales, la LSSI y las normas de consentimiento aplicables.
• Formar a quienes usen las funciones de IA en su nombre (artículo 4 del Reglamento de IA).

13. Registro y responsabilidad

Lumicatech mantiene el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD). Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si Lumicatech tratara datos para fines propios o contrarios a las instrucciones, será considerado responsable de ese tratamiento.

Anexo · Medidas de seguridad

Cifrado y comunicaciones

• Todo el tráfico va cifrado con TLS.
• Las contraseñas se guardan con bcrypt; no son recuperables.
• Los tokens de acceso a servicios de terceros se guardan cifrados.
• Los enlaces públicos (firma de albaranes, presupuestos, descargas para la gestoría) usan tokens aleatorios largos; los de descarga caducan y en la base de datos solo se guarda su huella.

Almacenamiento de archivos

• Justificantes, firmas, documentos y exportaciones van a un bucket privado sin acceso público: solo se sirven a través de la API, comprobando la sesión y la organización.
• El almacenamiento cifra los archivos en reposo.

Control de acceso

• Aislamiento entre organizaciones en cada consulta a la base de datos.
• Roles: administrador, comercial, operario (solo sus obras y partes, sin importes) y gestoría (solo lectura de facturas, gastos y exportaciones). El rol se comprueba en cada petición contra la base de datos.
• Bloqueo temporal tras varios intentos fallidos de inicio de sesión y limitación de peticiones.
• Módulos que el responsable puede desactivar para su organización.

Trazabilidad

• Registro de auditoría de las acciones sensibles, con autor, fecha y detalle.
• Registros de acceso conservados hasta 12 meses.

Disponibilidad

• Copias de seguridad periódicas de la base de datos.
• Servidores en la Unión Europea.

Organización

• Acceso a producción limitado al personal imprescindible, con deber de confidencialidad.
• Procedimiento de gestión de violaciones de seguridad con el plazo del apartado 9.