Contrato de encargo del tratamiento

Este contrato regula el tratamiento de los datos personales de la cartera que la inmobiliaria incorpora a FincaGest. Forma parte de las condiciones del servicio y requiere la aceptación expresa del titular de la cuenta con facultades para representar al Responsable. No atribuye al Encargado una finalidad propia sobre la cartera.

Partes

• Responsable del tratamiento: el usuario titular de la cuenta de FincaGest (agencia inmobiliaria, agente independiente o administrador de fincas).
• Encargado del tratamiento: Álvaro Garray Molina, NIF 47980663H, domicilio en Av. Valencia, 32 — 25001 Lleida (España), que opera bajo el nombre comercial FincaGest (ilernetwork). Contacto: hola@fincagest.es.

El Responsable decide la finalidad, la base jurídica, los datos necesarios, las personas autorizadas y los plazos de conservación de su actividad. El Encargado presta la herramienta bajo sus instrucciones. Los datos de cuenta, contacto y soporte que FincaGest trata para sus propias finalidades se describen separadamente en la política de privacidad.

1. Objeto y operaciones de tratamiento

El servicio permite gestionar inmuebles, propietarios, demandantes, contactos, agenda, visitas, tareas, documentos, contratos y facturación de honorarios y comisiones dentro de las funciones contratadas. El encargo comprende la recepción y registro, organización, almacenamiento, consulta, relación, actualización, extracción, exportación, comunicación a los destinatarios indicados y supresión de los datos necesarios. La remisión VERI*FACTU no está activa y no forma parte del tratamiento operativo actual.

La configuración de la cuenta, las acciones realizadas por usuarios autorizados y las peticiones de soporte documentadas constituyen instrucciones dentro del objeto del servicio. Las instrucciones adicionales se comunicarán por escrito a hola@fincagest.es. El Encargado no decidirá nuevas finalidades ni utilizará la cartera para publicidad propia, venta de contactos o acceso de otras inmobiliarias.

2. Duración y finalización

El encargo se mantiene durante la prestación y las operaciones de devolución o supresión que correspondan. El Responsable puede exportar los datos mediante las funciones disponibles o solicitar asistencia antes de finalizar el servicio. A su elección, el Encargado devolverá o suprimirá los datos y eliminará las copias que procedan, salvo conservación legal obligatoria, respetando el periodo de gracia informado en el proceso de baja.

La retirada del entorno activo no equivale a la eliminación simultánea de todas las copias técnicas. Durante su ciclo de retención, estas permanecerán con acceso restringido, sin tratamiento ordinario y solo para continuidad o recuperación. Si se restaura una copia, deberán reaplicarse las instrucciones de supresión. Las obligaciones de confidencialidad y seguridad subsisten mientras se conserven datos. El Encargado informará sobre la ejecución de la instrucción y las limitaciones de conservación que resulten aplicables.

3. Interesados y categorías de datos

• Personas afectadas: propietarios, demandantes, arrendatarios, compradores, representantes, colaboradores y otros contactos incorporados por el Responsable.
• Datos: identificación y contacto; direcciones e información de inmuebles y fotografías; preferencias y presupuesto de búsqueda; agenda, visitas, comunicaciones, documentación contractual y datos económicos necesarios para las operaciones y facturación.

No deben incorporarse datos especialmente protegidos, datos penales ni otra información excesiva que no resulte necesaria para el servicio. Si una operación exige un tratamiento de riesgo distinto al previsto, el Responsable deberá consultarlo antes de incorporarlo y determinar las garantías exigibles.

4. Obligaciones del Responsable

El Responsable debe acreditar la licitud de los datos e instrucciones, facilitar la información a las personas afectadas, atender sus derechos, revisar la exactitud y los plazos de conservación y limitar los permisos de su equipo. Debe valorar si procede una evaluación de impacto o consulta previa, supervisar las garantías del Encargado y comunicar incidencias e instrucciones relevantes. El Encargado prestará la asistencia prevista en este acuerdo; contratar el software no sustituye estas obligaciones.

5. Obligaciones del Encargado

• Instrucciones y límites: tratar los datos únicamente conforme a instrucciones documentadas, incluidas las relativas a transferencias. Si una norma de la Unión o de un Estado miembro exige otro tratamiento, informará previamente al Responsable de esa exigencia, salvo prohibición legal por razones de interés público.
• Instrucciones ilícitas: informar inmediatamente si considera que una instrucción infringe el RGPD u otra norma de protección de datos; solicitar su aclaración y no ejecutar la operación cuestionada mientras resulte contraria a la ley.
• Confidencialidad: limitar el acceso a las personas autorizadas que lo necesiten para sus funciones, sujetas a una obligación de confidencialidad. La obligación se mantiene después de finalizar su intervención.
• Seguridad: adoptar medidas técnicas y organizativas adecuadas al riesgo, conforme al artículo 32, y revisar su eficacia teniendo en cuenta la naturaleza de los datos, las funciones del servicio y la información disponible.
• Subencargados: respetar la autorización y el procedimiento del apartado 6 y exigirles obligaciones de protección de datos equivalentes a las que resulten aplicables a su intervención.
• Derechos: asistir, mediante las medidas disponibles y en la medida posible, en solicitudes de acceso, rectificación, supresión, oposición, limitación, portabilidad y demás derechos aplicables. Si recibe una petición sobre la cartera, la trasladará al Responsable sin decidir por su cuenta, salvo obligación legal.
• Incidentes y artículos 32 a 36: ayudar al Responsable a valorar riesgos y medidas, gestionar violaciones de datos, preparar las notificaciones que procedan y realizar evaluaciones de impacto y consultas previas, atendiendo a la naturaleza del tratamiento y la información a su disposición.
• Brechas: comunicar sin dilación indebida una violación de datos de la que tenga conocimiento. Facilitará la información disponible sobre lo ocurrido, datos y personas afectados, consecuencias y medidas; si no dispone de todo inicialmente, la ampliará progresivamente. La notificación no supone por sí misma reconocimiento de responsabilidad.
• Devolución y supresión: atender la elección del Responsable al finalizar la prestación en los términos del apartado 2, sin conservar los datos para finalidades incompatibles.
• Información y supervisión: facilitar la información necesaria para demostrar el cumplimiento y permitir y contribuir a auditorías e inspecciones del Responsable o de un auditor autorizado. Se coordinarán alcance, fecha y medidas de confidencialidad y protección de otras cuentas, sin impedir la supervisión legal ni la actuación de la autoridad de control.

6. Subencargados y cambios

El Responsable autoriza el uso de Hostinger para el alojamiento, base de datos y servicios técnicos de correo que requiere la plataforma. Su DPA y relación de subencargados identifica las entidades y condiciones del proveedor, entre ellas Hostinger International Ltd., con domicilio social en Chipre. El domicilio no identifica por sí solo el centro de datos ni todos los lugares de tratamiento.

El Encargado informará por escrito de las incorporaciones o sustituciones previstas de subencargados y de su función con antelación suficiente para que el Responsable pueda formular una oposición motivada en protección de datos. Se buscará una alternativa razonable y, si no resulta posible, se permitirá finalizar el servicio afectado antes del nuevo tratamiento, sin perjuicio de las obligaciones de devolución y supresión.

El Encargado exigirá al subencargado garantías suficientes y obligaciones de protección de datos adecuadas a su servicio. Seguirá respondiendo ante el Responsable por el cumplimiento de las obligaciones de su subencargado en los términos del artículo 28.4 RGPD.

La inteligencia artificial externa, los pagos automáticos con Stripe y la remisión fiscal no están activos. No se autoriza por esta cláusula su activación indiscriminada. Una nueva integración que trate la cartera exigirá evaluar sus condiciones, actualizar la información y tramitar la autorización o instrucciones aplicables antes de utilizarla.

7. Transferencias internacionales

El Encargado no realizará transferencias internacionales fuera de las instrucciones documentadas y las garantías exigibles. Los servicios de infraestructura o soporte de un proveedor pueden implicar tratamientos fuera del Espacio Económico Europeo; no se garantiza una localización exclusivamente dentro del EEE por el mero domicilio europeo del proveedor.

Cuando exista una transferencia, el Encargado deberá identificar el destino y el mecanismo válido del capítulo V del RGPD, evaluar las garantías y medidas adicionales que resulten necesarias e informar al Responsable. Puede solicitar información sobre las condiciones y garantías de los proveedores a hola@fincagest.es. El DPA público de Hostinger prevé mecanismos de transferencia; su existencia no acredita por sí sola que se haya producido una transferencia de esta cuenta.

8. Medidas y acceso técnico

El servicio incorpora cifrado de las conexiones en tránsito, almacenamiento de contraseñas mediante hash, sesiones con caducidad y revocación, cookies de sesión Secure y HttpOnly, protección frente a solicitudes cruzadas y controles de acceso por inmobiliaria y rol. La separación entre cuentas es lógica; no se trata de un sistema de conocimiento cero ni se garantiza la imposibilidad de acceso del proveedor.

El acceso técnico autorizado se limitará a lo necesario para soporte, mantenimiento, seguridad, recuperación o cumplimiento legal, bajo confidencialidad y conforme a las instrucciones del Responsable y a este acuerdo. No habilita consultas indiscriminadas, divulgación a otras inmobiliarias ni explotación comercial de la cartera. Las medidas deben adaptarse al riesgo y revisarse; no equivalen a una garantía absoluta de ausencia de errores o brechas.

Las credenciales individuales, permisos y dispositivos del Responsable deben mantenerse protegidos. Las obligaciones de seguridad de cada parte son propias y no se sustituyen entre sí.

9. Responsabilidad y aceptación

Cada parte responde de las obligaciones e incumplimientos que le sean imputables conforme al RGPD y demás legislación aplicable. Nada de este contrato excluye deberes propios, responsabilidad no limitable legalmente ni los derechos de las personas afectadas.

El Responsable acepta este contrato mediante la confirmación expresa prevista en el registro o en la actualización de condiciones. FincaGest conserva evidencia separada de la aceptación, con fecha y hora, identificador de red seudonimizado, versión y huella del documento aceptado. Puede solicitar copia y remitir instrucciones o consultas a hola@fincagest.es.