Encargo de tratamiento

Versión 1.0 · 17/09/2026

Este encargo regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, el tratamiento de datos personales que el titular de MRSTEK realiza por cuenta del cliente al prestarle el servicio. Forma parte de las condiciones del servicio y se acepta con ellas.

1. Partes

• Responsable del tratamiento: el cliente, identificado en su solicitud de alta con su razón social y su NIF, y representado por el administrador de su organización.
• Encargado del tratamiento: Moises Requena Santos, NIF 33379531E, con domicilio en Parcela D2, Pol Ind El Granadal, Av. Azabache, S/N, 14014 Córdoba, correo soporte@azabacheingenieria.es.

2. Objeto y duración

El encargado trata, por cuenta del responsable, los datos personales que el responsable y sus usuarios introducen en MRSTEK, con la única finalidad de prestar el servicio contratado: almacenarlos, mostrarlos a los usuarios autorizados del responsable, generar con ellos los documentos que el responsable pide (presupuestos, certificaciones, facturas, actas, informes), enviar los correos que el responsable ordena desde el programa y conservar copias de seguridad.

El encargo dura lo mismo que el servicio, más el plazo de 30 días posterior a la baja durante el cual el responsable puede recuperar sus datos.

3. Datos e interesados

Los datos los decide el responsable al usar el programa. Con carácter general son:

• Interesados: personal del responsable, sus clientes y promotores, sus proveedores, los agentes y contactos de sus proyectos, las empresas colaboradoras y el personal de obra a los que dé acceso.
• Categorías de datos: identificativos y de contacto (nombre, NIF, dirección, teléfono, correo, cuenta de usuario); laborales (puesto, departamento, horarios, vacaciones, partes de jornada y tiempos imputados); económicos (facturas emitidas y recibidas, importes, cuentas bancarias de la empresa); imágenes (fotografías de obra e incidencias, firmas de documentos); y el contenido de los documentos que el responsable suba.
• El servicio no está diseñado para categorías especiales de datos (salud, afiliación, ideología, etc.). Si el responsable las introduce, lo hace bajo su responsabilidad y con base legal propia.

4. Obligaciones del encargado

1. Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable. Se consideran instrucciones estas condiciones y las acciones que el responsable y sus usuarios ordenan desde el programa. Si el encargado considera que una instrucción infringe la normativa, lo comunicará al responsable.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo obligación legal o autorización del responsable.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad y han recibido la formación necesaria.
4. Aplicar las medidas técnicas y organizativas de la cláusula 5.
5. No recurrir a otro encargado sin autorización del responsable. El responsable autoriza con carácter general a los subencargados de la cláusula 6; cualquier cambio en esa lista se comunicará al administrador con al menos 30 días de antelación, para que el responsable pueda oponerse y, en su caso, resolver el contrato.
6. Asistir al responsable en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Cuando un interesado los ejerza ante el encargado, éste lo comunicará al responsable sin dilación para que resuelva.
7. Comunicar al responsable cualquier violación de la seguridad de los datos en un plazo máximo de 48 horas desde que tenga constancia de ella, con la información disponible sobre su naturaleza, los datos e interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas, para que el responsable pueda cumplir sus propias obligaciones de notificación.
8. Ayudar al responsable, en lo que le corresponda, en las evaluaciones de impacto y en las consultas previas a la autoridad de control.
9. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías razonables que el responsable solicite, con aviso previo y sin acceder a datos de otros clientes.
10. Al terminar el servicio, devolver los datos al responsable en un formato estructurado de uso común (exportación completa de la organización más los documentos en su formato original) si lo pide dentro del plazo de 30 días, y suprimir después de forma definitiva todas las filas y ficheros de su organización, dejando constancia del recuento suprimido. Sólo se conservará lo que una obligación legal exija conservar, bloqueado y por el tiempo que esa obligación marque.

5. Medidas de seguridad

El encargado aplica, como mínimo, estas medidas:

• Aislamiento por organización: cada fila de datos lleva la organización a la que pertenece y el programa la filtra en toda consulta, de forma que ningún usuario ve datos de otro cliente, ni siquiera conociendo su identificador.
• Acceso con usuario y contraseña personales, contraseñas guardadas únicamente en forma de hash, longitud mínima obligatoria y freno de intentos de acceso fallidos. El administrador del responsable decide los permisos de cada usuario y puede desactivar cualquier cuenta al instante.
• Comunicación cifrada (HTTPS) entre el navegador y el servidor. Los ficheros subidos se guardan fuera del directorio público y se sirven sólo a usuarios autorizados.
• Registro de actividad: altas, bajas y cambios de cuentas, accesos fallidos y acciones relevantes quedan anotados y son consultables por el administrador del responsable.
• Acceso de soporte controlado: el personal del encargado sólo entra en la organización de un cliente indicando el motivo, ese acceso queda anotado en el registro de actividad del propio cliente y caduca automáticamente a los 60 minutos.
• Copias de seguridad: Pendiente de completar
• Ubicación de los datos: Pendiente de completar

6. Subencargados

Intervienen en el tratamiento, por cuenta del encargado y con contrato que les impone las mismas obligaciones:

• Alojamiento y administración del servidor: Pendiente de completar
• Envío de correo electrónico (Google Workspace): Google Ireland Limited
• Funciones de inteligencia artificial (redacción, resumen, lectura de facturas y sugerencia de partidas): OpenAI Ireland Limited

Los datos se alojan en la Unión Europea. El envío de correo se realiza a través del servicio de Google Workspace, prestado por Google Ireland Limited desde la Unión Europea y sujeto a sus cláusulas contractuales tipo para cualquier transferencia. Las funciones de inteligencia artificial envían a OpenAI únicamente el texto o el documento que el usuario elige en ese momento; OpenAI los trata como encargado, no los conserva ni los usa para entrenar sus modelos, y cualquier transferencia fuera de la Unión Europea se ampara en su acuerdo de tratamiento de datos y sus cláusulas contractuales tipo. No se realizan otras transferencias internacionales.

7. Remisión de facturas a la Agencia Tributaria

Cuando el responsable activa la remisión Veri*factu, el programa envía a la Agencia Tributaria los registros de facturación de sus sociedades emisoras, con el certificado electrónico que el responsable aporta. Es una obligación legal del responsable que el encargado ejecuta por su instrucción; no es una comunicación de datos por iniciativa del encargado. El certificado se guarda fuera del acceso público y no se usa para nada más.

8. Obligaciones del responsable

• Tener base legítima para tratar los datos que introduce e informar a los interesados conforme a los artículos 13 y 14 del RGPD.
• Dar instrucciones conformes a la ley y no introducir datos que no deba tratar.
• Gestionar sus usuarios y los accesos que concede a personas de fuera (clientes, colaboradores, personal de obra), y desactivarlos cuando dejen de ser necesarios.
• Cumplir sus propias obligaciones como responsable: registro de actividades de tratamiento, atención de derechos y notificación de brechas a la autoridad de control y a los interesados cuando proceda.

9. Vigencia y ley aplicable

Este encargo entra en vigor con el alta del servicio y se mantiene mientras el encargado conserve datos del responsable. Se rige por la legislación española y europea de protección de datos. En lo no previsto aquí se aplican las condiciones del servicio; en caso de contradicción sobre el tratamiento de datos personales, prevalece este encargo.

Documento base pendiente de revisión legal antes de la comercialización. Los datos del encargado y de los subencargados salen de app.titular; los plazos y las copias de seguridad, de app.condiciones (config/services.yaml).