Encargo de tratamiento

1. Partes

• Responsable del tratamiento: el cliente de Nuclew, es decir, la persona o empresa titular de la organización en Nuclew, representada por sus administradores («tú»).
• Encargado del tratamiento: Alejandro Espinar Álvarez, NIF 49060675L, con domicilio en Calle Albert Einstein s/n, Edificio Insur (1.ª planta), 41092 Sevilla (España), que presta el servicio Nuclew («nosotros»).

2. Objeto, duración y finalidad

Tratamos los datos personales que tú y los miembros de tu organización guardáis en Nuclew con una sola finalidad: prestarte el servicio contratado. Eso incluye alojarlos, mostrarlos, procesarlos con el asistente de IA, generar documentos, enviar los emails que ordenes y hacer copias de seguridad. El encargo dura lo mismo que tu suscripción, más el plazo de borrado descrito en la cláusula 11.

3. Datos y personas afectadas

• Personas afectadas: tus clientes, clientes potenciales (leads), contactos de empresas, proveedores y las personas que firman tus contratos, y los miembros de tu organización.
• Tipos de datos: identificativos y de contacto (nombre, email, teléfono, dirección, NIF), profesionales (empresa, cargo), comerciales y económicos (oportunidades, presupuestos, facturas, cobros, gastos), el historial de interacciones y notas, documentos y archivos adjuntos, y los datos de la firma electrónica de contratos (nombre del firmante, imagen de la firma, IP, navegador y fecha).
• Categorías especiales: Nuclew no está pensado para ellas. Si las subes, es bajo tu responsabilidad (ver cláusula 10).

4. Nuestras obligaciones

• Tratar los datos solo siguiendo tus instrucciones documentadas, que son estos textos y lo que hagas o pidas dentro del servicio. Si una instrucción nos parece contraria a la ley, te avisaremos.
• No usar los datos para fines propios ni cederlos a terceros, salvo a los subencargados de la cláusula 6 o cuando lo exija la ley.
• Garantizar que quien acceda a los datos se ha comprometido a la confidencialidad. Solo accedemos a los datos de tu organización cuando es necesario para darte soporte, resolver una incidencia o cumplir la ley.
• Aplicar las medidas de seguridad de la cláusula 5.
• Ayudarte a atender las peticiones de derechos de las personas afectadas. Si nos llega una directamente, te la trasladaremos sin responderla nosotros.
• Ayudarte, con la información que tengamos, en las evaluaciones de impacto y consultas a la autoridad de control que necesites hacer.
• Llevar el registro de actividades de tratamiento como encargado.

5. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) y en reposo.
• Aislamiento de los datos de cada organización con políticas de seguridad a nivel de fila en la base de datos.
• Cifrado adicional (AES-256-GCM) de las credenciales sensibles.
• Control de acceso por roles dentro de la organización y verificación en dos pasos disponible para cada usuario.
• Registro de auditoría de los cambios relevantes.
• Copias de seguridad gestionadas por el proveedor de base de datos, con los datos alojados en la Unión Europea.
• Acceso de administración restringido y protegido.

Revisamos estas medidas periódicamente y las adaptamos al riesgo y al estado de la técnica.

6. Subencargados

Nos autorizas de forma general a contratar los subencargados de la lista publicada. Les imponemos por contrato obligaciones de protección de datos equivalentes a las de este encargo y respondemos de su cumplimiento ante ti. Si añadimos o cambiamos un subencargado, lo publicaremos en esa lista y avisaremos por email a los administradores de tu organización con al menos 15 días de antelación. Si te opones con un motivo razonable relacionado con la protección de datos y no encontramos una alternativa, puedes cancelar la suscripción sin penalización.

7. Periodo de prueba: advertencia sobre el motor de IA

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado los trata fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o en las cláusulas contractuales tipo de la Comisión Europea. La ubicación de cada uno está en la lista de subencargados.

9. Brechas de seguridad

Si sufrimos una brecha que afecte a datos de tu organización, te avisaremos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tengamos constancia de ella. Te daremos la información de que dispongamos para que puedas notificarla a la autoridad y, si hace falta, a los afectados.

10. Tus obligaciones como responsable

• Tener una base legal para tratar los datos que subes e informar a las personas afectadas.
• Dar instrucciones lícitas y usar el servicio conforme a los Términos.
• Valorar si el servicio es adecuado antes de subir categorías especiales de datos o datos de menores.
• Gestionar quién de tu organización accede a Nuclew y con qué rol.

11. Fin del encargo: devolución y borrado

Puedes exportar todos los datos en cualquier momento (JSON o CSV). Cuando das de baja la organización, los datos se borran de forma definitiva 14 días después de confirmar la baja. Las copias de seguridad se eliminan al terminar su ciclo ordinario de rotación. Solo conservaremos lo que una ley nos obligue a guardar, bloqueado y durante el plazo legal.

12. Auditoría

Te facilitaremos la información necesaria para demostrar que cumplimos este encargo. Si necesitas una auditoría, la acordaremos contigo por escrito, con un preaviso razonable, a tu cargo y sin comprometer la seguridad ni la confidencialidad de otros clientes.

13. Responsabilidad y ley aplicable

Se aplican el régimen de responsabilidad, la ley y la jurisdicción de los Términos y condiciones, sin perjuicio de lo que el RGPD establezca de forma imperativa.