Condiciones del encargo del tratamiento

Cuando un estudio usa Rucob, introduce datos personales de terceros —promotores, contratistas, técnicos, personas que aparecen en una fotografía de obra, destinatarios de sus facturas— de los que el estudio es responsable del tratamiento. Puredevenia S.L. («Rucob») los trata por cuenta del estudio como encargado del tratamiento. El artículo 28.3 del Reglamento (UE) 2016/679 exige que esa relación conste en un contrato; este es ese contrato. Forma parte de las condiciones del servicio y se acepta con ellas en la aplicación, lo que cumple la forma electrónica que admite el artículo 28.9. Si el estudio necesita un ejemplar firmado, basta con imprimir esta página (o guardarla como PDF) y firmarla por ambas partes; el texto es el mismo.

Partes

Encargado: Puredevenia S.L., NIF B22810949, con domicilio en Avenida Carlos Haya 15, 29010 Málaga (Málaga), España. Contacto para esta materia: privacidad@rucob.com.
Responsable: el estudio titular de la cuenta en Rucob, identificado por los datos de su cuenta y, en los planes de pago, por los de facturación.

Objeto, naturaleza y finalidad

El encargo consiste en alojar, almacenar, sincronizar entre dispositivos, mostrar a las personas autorizadas, transcribir, analizar con el asistente cuando el estudio lo pide, exportar, hacer copias de seguridad y suprimir los datos personales que el estudio introduce en la aplicación, con la única finalidad de prestarle el servicio descrito en las condiciones. Rucob no trata esos datos para ningún fin propio: ni para entrenar modelos, ni para publicidad, ni para elaborar perfiles.

Datos e interesados

Interesados: promotores y clientes del estudio, contratistas y sus trabajadores, técnicos y agentes de la edificación, asistentes a reuniones, personas que aparezcan en fotografías de obra, destinatarios de facturas y cualquier otra persona cuyos datos el estudio incluya en un expediente.
Categorías de datos: identificativos y de contacto (nombre, NIF, dirección, teléfono, correo), profesionales (empresa, cargo, colegiación), económicos (importes facturados, presupuestos), imágenes (fotografías de obra), voz (solo durante la transcripción) y firmas electrónicas con los datos del certificado. No se prevé el tratamiento de categorías especiales de datos; el estudio se compromete a no introducirlas.

Duración

Mientras el estudio mantenga su cuenta. Al terminar, se aplica lo previsto en «Devolución y supresión».

Obligaciones de Rucob como encargado

Instrucciones. Tratar los datos únicamente conforme a las instrucciones documentadas del estudio, que son las funciones de la aplicación y este contrato. Si una instrucción infringiera, a juicio de Rucob, la normativa de protección de datos, Rucob lo comunicará al estudio de inmediato. Rucob no transferirá datos a un tercer país salvo en los casos descritos en la lista de subencargados, con las garantías que allí constan.
Confidencialidad. Garantizar que las personas autorizadas a tratar los datos —el equipo de Rucob y, en su caso, los subencargados— se han comprometido a respetar su confidencialidad, y limitar el acceso a quien lo necesite para atender el servicio o una petición del estudio. Cada acceso del personal de Rucob a datos de un cliente queda registrado.
Seguridad. Aplicar las medidas técnicas y organizativas adecuadas al riesgo (artículo 32). Las medidas vigentes se describen más abajo y se mantienen actualizadas en esta misma página.
Subencargados. Recurrir solo a los subencargados publicados en https://www.rucob.com/legal/subencargados/, con los que Rucob mantiene contratos que les imponen las mismas obligaciones de este encargo. El estudio autoriza esa lista al aceptar este contrato. Cualquier incorporación o sustitución se avisa por correo al titular del estudio con al menos 30 días de antelación; si el estudio se opone de forma motivada en ese plazo y no hay alternativa, podrá resolver el contrato sin penalización, con derecho a exportar sus datos.
Asistencia en los derechos. Ayudar al estudio a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados. La propia aplicación permite consultar, corregir, exportar y borrar cualquier dato de un expediente; para lo que no cubra, Rucob atiende las peticiones del estudio en privacidad@rucob.com en un plazo máximo de diez días. Si un interesado se dirige directamente a Rucob, Rucob se lo comunicará al estudio sin atender la solicitud por su cuenta, salvo que el estudio le indique lo contrario.
Brechas de seguridad. Notificar al estudio, al correo de su cuenta, cualquier violación de la seguridad de los datos que trate por su cuenta sin dilación indebida y a más tardar en 48 horas desde que Rucob tenga constancia de ella, con la información que el estudio necesite para cumplir los artículos 33 y 34: naturaleza de la brecha, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas o propuestas. La información que no esté disponible en ese momento se facilitará en cuanto se conozca.
Evaluaciones de impacto y consultas previas. Prestar al estudio la información sobre el tratamiento que necesite para realizar evaluaciones de impacto o consultas previas a la autoridad de control.
Registro. Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta de sus clientes que exige el artículo 30.2, y ponerlo a disposición de la autoridad de control cuando lo requiera.
Auditoría. Poner a disposición del estudio la información necesaria para demostrar el cumplimiento de este contrato: esta página, la política de privacidad, la lista de subencargados y, a petición, un resumen anual de las medidas de seguridad y de los incidentes. El estudio podrá realizar, una vez al año o tras una brecha, una auditoría mediante cuestionario; si exige una inspección presencial, se acordará fecha con un preaviso de treinta días, en horario laboral, sin acceder a datos de otros estudios y asumiendo el estudio su coste.

Obligaciones del estudio como responsable

Contar con base jurídica para los datos que introduce e informar a los interesados conforme a los artículos 13 y 14, en especial sobre las fotografías de obra y las grabaciones de voz.
No introducir categorías especiales de datos (salud, afiliación, etc.) ni datos de menores, que la aplicación no está diseñada para tratar.
Gestionar con quién comparte cada expediente, retirar el acceso a quien deje de necesitarlo y mantener actualizado el correo de contacto de la cuenta, que es el canal de los avisos de este contrato.
Atender las solicitudes de los interesados y, si lo necesita, pedir la ayuda de Rucob.

Medidas de seguridad

Estas son las medidas desplegadas hoy. Si una cambia, cambia esta lista.

Cifrado de todas las comunicaciones (TLS) y de todos los datos en reposo, en la base de datos y en el almacenamiento de ficheros.
Control de acceso por expediente: solo el propietario y las personas a las que el estudio lo comparte expresamente pueden verlo o editarlo; las fotografías y documentos se sirven mediante enlaces firmados de cinco minutos, nunca con acceso directo al almacenamiento.
Permisos mínimos entre componentes: cada función del servidor solo puede acceder a las tablas y ficheros que necesita.
Acceso del personal de Rucob a las herramientas internas con contraseña y segundo factor obligatorio; cada consulta o acción sobre datos de un cliente queda registrada en un registro de auditoría inalterable.
Copias de seguridad automáticas con recuperación a cualquier punto de los últimos treinta y cinco días y protección contra el borrado accidental de las tablas.
Minimización: el audio de las notas de voz se borra tras transcribirse; los ficheros temporales del análisis de facturas, tras leerse; los registros de errores no contienen el contenido de los expedientes y caducan a los noventa días.
Supervisión continua con alarmas sobre errores, disponibilidad y caducidad de certificados, revisadas por el equipo de Rucob.
Aislamiento entre estudios: ningún dato de un estudio entra en el asistente de otro; la única lección que se extrae de una conversación puntuada se anonimiza antes y después de procesarla.

Devolución y supresión

El estudio puede exportar todos sus datos en cualquier momento desde la aplicación (JSON completo y los formatos de cada módulo). Al eliminar una cuenta, Rucob suprime sus datos en el momento; las copias de seguridad y las versiones anteriores de los ficheros desaparecen en un máximo de 35 días. Si es Rucob quien pone fin al servicio, mantendrá la exportación disponible durante 30 días antes de suprimir nada. Quedan fuera de la supresión los registros que Rucob deba conservar por obligación legal: los registros de facturación VeriFactu y las facturas y compras registradas, durante los plazos de la normativa fiscal y mercantil, bloqueados a cualquier otro uso.

Responsabilidad

Cada parte responde de los daños que cause por incumplir las obligaciones que el Reglamento le impone específicamente, en los términos de su artículo 82. Rucob responde si actúa al margen de las instrucciones del estudio o incumple las obligaciones propias del encargado; el estudio, de la licitud del tratamiento que ordena. El límite de responsabilidad de las condiciones del servicio no se aplica a las indemnizaciones que la normativa de protección de datos atribuya al encargado.

Vigencia y cambios

Este contrato está en vigor desde que el estudio acepta las condiciones del servicio y mientras exista la cuenta. Si cambia, se avisa como cualquier cambio de condiciones, con 30 días de antelación y nueva aceptación en la aplicación. La versión vigente es la publicada en esta página, con su fecha; las anteriores se conservan en el historial del repositorio de Rucob y se facilitan a petición.