Contrato de Encargo de Tratamiento

Este Contrato de Encargo de Tratamiento (el “Contrato de Encargo”) se celebra entre Propelos Technology S.L., sociedad limitada española con domicilio social en The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, España (“Propelos”, “nosotros”), y la empresa que ha aceptado nuestros Términos de Servicio o ha firmado con Propelos un contrato para los Servicios (el “Cliente”).

Se aplica siempre que Propelos trata datos personales por cuenta del Cliente al prestar el Buscador IA de propiedades y los servicios relacionados (los “Servicios”): los widgets de chat y de búsqueda en la web del Cliente, la página de búsqueda alojada, y la captación de consultas y su entrega al Cliente. Forma parte de los Términos de Servicio y recoge las estipulaciones exigidas por el artículo 28 del RGPD y el artículo 33 de la LOPDGDD. Si el Cliente ha firmado con Propelos un contrato de encargo de tratamiento distinto, prevalece ese contrato.

“RGPD” es el Reglamento (UE) 2016/679. “LOPDGDD” es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. “Responsable del tratamiento”, “encargado del tratamiento”, “datos personales”, “tratamiento”, “interesado” y “violación de la seguridad de los datos personales” tienen el significado que les da el RGPD. “Comprador” es la persona que usa el Buscador en la web del Cliente o en su página de búsqueda alojada.

Respecto de los datos personales descritos en este Contrato de Encargo, el Cliente es el responsable del tratamiento y Propelos es el encargado del tratamiento. Propelos es responsable del tratamiento por cuenta propia únicamente de los datos de la cuenta del Cliente, como los datos de acceso de su personal y la información de facturación, a los que se aplica nuestra Política de Privacidad.

El objeto es el tratamiento de los datos personales de los Compradores para que Propelos preste los Servicios al Cliente. El tratamiento dura mientras el Cliente utilice los Servicios, más el periodo posterior a su finalización descrito en la sección 15, hasta que los datos se suprimen.

Propelos trata los datos personales únicamente para:

• entender lo que buscan los Compradores y responderles con inmuebles de la cartera del Cliente, mediante modelos de IA;
• transcribir la voz del Comprador, cuando el Cliente tiene activada la búsqueda por voz;
• recoger consultas a través del formulario del Buscador, con los consentimientos que dé el Comprador;
• entregar las consultas al Cliente por email y, cuando el Cliente lo configure, a su CRM, webhooks o API;
• conservar las consultas y las conversaciones para el Cliente y elaborar estadísticas de uso para el Cliente;
• mantener la seguridad de los Servicios, prevenir abusos y corregir fallos.

Interesados: los Compradores (posibles compradores e inquilinos que usan el Buscador), las personas que envían una consulta a través de él y el personal del Cliente cuyos datos el Cliente añade a los Servicios (por ejemplo, el agente que recibe las consultas).

Datos personales:

• identificación y contacto: nombre, dirección de email y teléfono;
• mensajes: lo que los Compradores escriben o dicen al Buscador y el resumen de la conversación que acompaña a una consulta;
• comportamiento de búsqueda: búsquedas, inmuebles vistos y pulsados, presupuesto, zonas preferidas y otras preferencias;
• registros de consentimiento: si el Comprador aceptó recibir comunicaciones comerciales y la política de privacidad del Cliente, y la dirección de la política mostrada;
• datos técnicos: un identificador de sesión, el país deducido de la dirección IP, el tipo de dispositivo y de navegador, la página de procedencia, la página de entrada y los parámetros de campaña.

Los Servicios no están diseñados para recoger categorías especiales de datos personales. Aun así, un Comprador puede incluirlas por iniciativa propia en un mensaje; en ese caso Propelos solo las trata como parte de ese mensaje.

• El Cliente es responsable de contar con una base jurídica para el tratamiento y de informar de él a los Compradores, en particular en su propia política de privacidad. El Buscador puede enlazar a la política de privacidad del Cliente y pedir el consentimiento en su formulario de consulta; configurarlo corresponde al Cliente.
• Las instrucciones del Cliente deben cumplir la normativa de protección de datos.
• El Cliente es responsable de los sistemas a los que pide a Propelos que envíe las consultas, como su CRM, sus direcciones de email y sus endpoints de webhook.

Propelos trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente. Esas instrucciones son los Términos de Servicio, este Contrato de Encargo y la configuración que el Cliente hace de los Servicios. Si el Derecho de la Unión o de un Estado miembro obliga a Propelos a tratar los datos de otra forma, Propelos lo comunicará al Cliente antes del tratamiento, salvo que ese Derecho lo prohíba. Propelos informará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.

Propelos garantiza que todas las personas a las que autoriza a tratar los datos personales están sujetas a un deber de confidencialidad, contractual o legal, y solo acceden a lo que su trabajo requiere.

Propelos aplica medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas:

• cifrado en tránsito: los Servicios se sirven por HTTPS y las conexiones con nuestra base de datos se cifran con TLS;
• las credenciales de CRM y los secretos de firma de webhooks se guardan cifrados con AES-256-GCM, con una clave custodiada fuera de la base de datos;
• las contraseñas se guardan únicamente como hashes bcrypt, y las sesiones de acceso únicamente como hashes del token de sesión; las sesiones caducan a las 24 horas;
• control de acceso: los usuarios de cada cliente solo pueden acceder a los datos de ese cliente, porque la cuenta se toma de la sesión en nuestro servidor y nunca de la petición; el acceso de administración está limitado al personal autorizado de Propelos;
• los tokens de acceso del widget están firmados, vinculados a la dirección de la web del Cliente y caducan a las 24 horas;
• límites de peticiones en los endpoints públicos y en el inicio de sesión;
• los informes de errores se filtran para eliminar los datos de contacto y el contenido de los mensajes antes de salir de nuestros servidores.

Propelos puede actualizar estas medidas siempre que no disminuya el nivel general de seguridad.

El Cliente otorga a Propelos una autorización general para recurrir a subencargados. Propelos utiliza estos subencargados para los Servicios:

• Replit (Estados Unidos): aloja la aplicación en Google Cloud y transmite nuestras peticiones a OpenAI y OpenRouter
• Neon (Estados Unidos): gestiona nuestra base de datos, contratada a través de Replit en Amazon Web Services (us-east-1)
• OpenAI (Estados Unidos): modelos de IA que entienden las búsquedas, redactan las respuestas y los resúmenes de las consultas, transcriben la voz y localizan los lugares que menciona un comprador; también se usan para los informes de Visibilidad IA
• OpenRouter (Estados Unidos): encamina algunas peticiones de IA a los modelos Gemini de Google y al modelo Jev de TypeSafe AI
• Google (Estados Unidos): modelos de IA Gemini, a los que se accede a través de OpenRouter (y directamente para los informes de Visibilidad IA), y Google Maps Platform, que solo recibe el nombre de un lugar que menciona un comprador
• TypeSafe AI (Estados Unidos): el modelo de IA Jev, al que se accede a través de OpenRouter, que ordena y clasifica los resultados de búsqueda
• Resend (Estados Unidos): envía nuestros emails, incluidos los de la cuenta y los avisos de consultas a las agencias
• Sentry (Alemania, UE): monitorización de errores; los datos de contacto y el contenido de los mensajes se filtran antes de enviar un informe de error

Propelos avisará al Cliente por email con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si no podemos resolver la objeción, el Cliente puede cancelar su suscripción antes de que el cambio surta efecto. Propelos impone a cada subencargado, mediante contrato escrito, las mismas obligaciones de protección de datos que establece este Contrato de Encargo, y sigue siendo responsable ante el Cliente de su cumplimiento.

Algunos subencargados tratan datos personales fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Propelos solo realiza estas transferencias con una garantía reconocida por el RGPD: las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión (UE) 2021/914) o, cuando el destinatario está certificado, el Marco de Privacidad de Datos UE-EE. UU. El Cliente autoriza estas transferencias.

• Teniendo en cuenta la naturaleza del tratamiento, Propelos ayuda al Cliente a responder a las solicitudes de los Compradores que ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un Comprador se dirige directamente a Propelos, trasladamos la solicitud al Cliente sin dilación indebida y no la respondemos nosotros salvo que el Cliente nos lo pida.
• Propelos ayuda al Cliente a cumplir sus obligaciones de seguridad, de notificación de violaciones de la seguridad, de evaluación de impacto relativa a la protección de datos y de consulta previa a la autoridad de control, teniendo en cuenta la información de que dispone Propelos.

Propelos notifica al Cliente, sin dilación indebida desde que tiene conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos del Cliente, y procura hacerlo en un plazo de 72 horas. La notificación describe, en la medida en que se conozca en ese momento: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Propelos completa la información a medida que la obtiene.

Cuando termina la suscripción del Cliente, Propelos conserva los datos personales durante 90 días, para que el Cliente pueda reanudar los Servicios o pedir una copia, y después los suprime, salvo que el Derecho de la Unión o el español obliguen a Propelos a conservarlos. Durante esos 90 días el Cliente puede pedirnos que le devolvamos sus consultas en un formato habitual (CSV) o que suprimamos los datos antes. Las copias en los sistemas de respaldo de nuestros proveedores se eliminan a medida que caducan esas copias de seguridad.

Propelos pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite auditorías, incluidas inspecciones, por parte del Cliente o de un auditor designado por él. El Cliente avisará por escrito con al menos 30 días de antelación, y las auditorías se realizarán en horario laboral, como máximo una vez al año (salvo que lo exija una autoridad de control o se haya producido una violación de la seguridad de los datos personales), con confidencialidad y a cargo del Cliente. Propelos puede responder primero aportando documentación, cuando baste para demostrar el cumplimiento.

La responsabilidad de cada parte en virtud de este Contrato de Encargo está sujeta a las limitaciones de los Términos de Servicio, salvo cuando la ley no permita limitarla. Si este Contrato de Encargo y los Términos de Servicio se contradicen en lo relativo al tratamiento de datos personales, prevalece este Contrato de Encargo.

Este Contrato de Encargo se rige por las leyes de España. Cualquier disputa derivada de él o relacionada con él estará sujeta a la jurisdicción exclusiva de los tribunales de Málaga, España.

Para preguntas sobre este Contrato de Encargo, o para ejercer los derechos del Cliente conforme a él: privacy@propelos.com

Dirección: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, España

NIF: B27624980

Inscrita en el Registro Mercantil de Málaga, hoja MA-197845 (tomo y folio electrónicos), IRUS 1000471597682