Contrato de encargo del tratamiento

Este contrato se aplica cuando una comunidad de propietarios (el Responsable) utiliza Vecinto, operado por SYS82 LTD (el Encargado), para tratar datos personales. Se suscribe al amparo del artículo 28.3 del Reglamento (UE) 2016/679 (RGPD) y forma parte del contrato entre las partes.

El Encargado está establecido en el Reino Unido y, por tanto, queda sujeto tanto al RGPD del Reino Unido como al RGPD de la Unión Europea, que le alcanza en virtud del artículo 3.2 por ofrecer este servicio a interesados en la Unión. Cuando este contrato se refiere al RGPD se refiere a ambos, y el Encargado cumple el estándar más exigente de los dos.

1. Objeto y finalidad del tratamiento

Objeto. La prestación del portal comunitario Vecinto: registro de miembros, listado de teléfonos útiles, normas de la comunidad, biblioteca de documentos, tablón de incidencias, orden del día de las juntas, tablón de anuncios y los correos electrónicos que la plataforma envía sobre todo ello.

Duración. Mientras el Responsable utilice el servicio, y durante los treinta días posteriores al cierre previstos en la cláusula 8.

Categorías de interesados.

• Propietarios y ocupantes de inmuebles de la comunidad.
• Miembros de la junta directiva y el administrador de fincas.
• Personas incluidas en los contactos útiles de la comunidad.

Categorías de datos personales.

• Datos identificativos y de contacto: nombre, correo electrónico, teléfono, fotografía y descripción personal.
• Datos de pertenencia: inmueble, condición de propietario u ocupante, cargo, estado y fechas.
• Contenido creado por el miembro: incidencias comunicadas, puntos propuestos para la junta, anuncios, respuestas y documentos subidos.
• Registro de quién modificó qué y cuándo, sin direcciones IP ni datos del navegador.

No se solicitan ni se requieren categorías especiales de datos. La plataforma ofrece campos de texto libre y un miembro puede escribir en ellos cualquier cosa. Corresponde al Responsable lo que sus miembros decidan escribir.

2. Instrucciones

El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, inclusive con respecto a las transferencias, salvo que esté obligado por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará al Responsable antes del tratamiento, salvo prohibición legal.

El uso de la plataforma por el Responsable y sus miembros constituye sus instrucciones. El Encargado informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

3. Confidencialidad

Toda persona autorizada por el Encargado para tratar los datos personales está sujeta a un deber de confidencialidad y accede a ellos únicamente en la medida en que su trabajo lo requiera.

4. Seguridad

El Encargado aplica las medidas recogidas en el Anexo B, apropiadas al riesgo conforme al artículo 32. Podrá modificarlas siempre que no se reduzca el nivel de protección.

5. Subencargados

El Responsable autoriza de forma general a los subencargados relacionados en el Anexo A. El Encargado comunicará con al menos treinta días de antelación la incorporación o sustitución de cualquiera de ellos, y el Responsable podrá oponerse por motivos razonables de protección de datos. Cada subencargado queda vinculado por obligaciones no menos protectoras que las presentes, y el Encargado responde plenamente de su actuación.

6. Asistencia al Responsable

Ejercicio de derechos. La plataforma permite a los miembros ejercer por sí mismos la mayoría de los derechos: consultar y rectificar sus datos, decidir quién ve cada campo y suprimir todo lo suyo de forma permanente. Si un miembro se dirige directamente al Encargado, este lo remitirá al Responsable y le asistirá en la respuesta.

Artículos 32 a 36. El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en materia de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas.

7. Violaciones de la seguridad

El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de una violación de la seguridad que afecte a los datos del Responsable, facilitando la información necesaria para que este cumpla su obligación del artículo 33.

8. Supresión y devolución

Cuando el Responsable deje de utilizar el servicio, el Encargado generará una copia completa de todo lo que conserva de la comunidad — el registro, los inmuebles, los contactos, las normas, todo lo comunicado y cada documento con el nombre que le dieron las personas — y la remitirá a quien ostente la facultad de gestionar la comunidad.

El portal se desactiva de inmediato. Todo se suprime a los treinta días del cierre, incluidos los archivos subidos. Las copias de seguridad caducan en catorce días y nunca se utilizan para restaurar datos suprimidos.

9. Información y auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28 y permitirá y contribuirá a la realización de auditorías por el Responsable o un auditor por él designado, con preaviso razonable y como máximo una vez al año, salvo que una violación de la seguridad o una autoridad de control exijan otra cosa.

10. Transferencias fuera del EEE

La aplicación, la base de datos y todos los archivos subidos se alojan en servidores de la Unión Europea. Dos flujos salen de ella, y cada uno tiene su propia base:

El acceso del propio Encargado desde el Reino Unido se ampara en la decisión de adecuación de la Comisión Europea relativa al Reino Unido. Si dicha decisión decayera o fuera anulada, el Encargado suscribirá Cláusulas Contractuales Tipo con el Responsable antes de continuar, y se lo comunicará previamente.

Dado que las Cláusulas Contractuales Tipo de la UE no bastan por sí solas conforme al Derecho británico, las transferencias ulteriores a los Estados Unidos están cubiertas además por el Addendum de Transferencia Internacional de Datos del Reino Unido a dichas cláusulas. El detalle figura en el Anexo A.

11. Representante en la Unión

El Encargado está establecido fuera de la Unión y está obligado a designar un representante en ella conforme al artículo 27. Todavía no lo ha hecho. Hasta que lo haga, el Responsable y cualquier interesado deberán dirigirse directamente al Encargado en privacy@sys82.com.

12. Vigencia, responsabilidad y ley aplicable

Este contrato estará vigente mientras el Encargado trate datos personales por cuenta del Responsable. La responsabilidad se rige por las condiciones del servicio, que constituyen el contrato principal entre las partes. Se aplica la legislación española y son competentes los juzgados y tribunales de la provincia del Responsable: el Responsable es una comunidad española y un litigio se sustanciaría allí en cualquier caso.

---

Anexo A — Subencargados

Anexo B — Medidas técnicas y organizativas

Describen la plataforma tal como está construida, no aspiraciones.

Acceso

• No existe ninguna contraseña en el producto. Los miembros acceden mediante un enlace enviado por correo, válido treinta minutos y utilizable una sola vez; una copia del correo no sirve a nadie más.
• Nadie puede registrarse por su cuenta. Un miembro existe únicamente porque alguien de la comunidad lo ha invitado.
• Lo que cada miembro puede hacer viene determinado por su cargo, y cada acción se comprueba en el servidor en cada petición.
• Una comunidad nunca puede quedarse sin nadie capaz de gestionarla: la plataforma impide eliminar o degradar al último miembro con esa facultad.

Separación

• Cada comunidad tiene su propia dirección y cada registro lleva la comunidad a la que pertenece. Las consultas se filtran por ella automáticamente y no porque cada fragmento de código se acuerde de hacerlo; el código que no establece en qué comunidad actúa produce un error en lugar de devolver datos.
• Un enlace de acceso emitido para una comunidad no funciona en otra.

Almacenamiento y transmisión

• Todo el tráfico va cifrado con TLS, con HSTS y precarga.
• Los documentos subidos se almacenan de forma privada en la Unión Europea. Nunca son direccionables públicamente y se sirven solo tras comprobar la pertenencia, mediante enlaces que caducan.
• El nombre con el que se guarda un documento es un identificador aleatorio, de modo que un nombre como acta-junta-morosos.pdf no aparece nunca en una URL ni en un registro.
• Toda fotografía subida en cualquier parte de la plataforma —una imagen de perfil, una fotografía en el tablón de anuncios, una fotografía adjunta a una incidencia— se recodifica y se le eliminan los metadatos incrustados, incluida la ubicación registrada por la cámara. Los archivos que no son imágenes, como un presupuesto en PDF, se almacenan tal como llegan.
• Las subidas se limitan a una lista cerrada de formatos de documento e imagen.

Responsabilidad proactiva

• La plataforma registra quién modificó qué y cuándo, y deliberadamente no registra direcciones IP, datos del navegador ni el contenido de los mensajes.
• El miembro que suprime sus datos figura en ese registro únicamente como antiguo miembro.

Resiliencia

• La base de datos se respalda antes de cada cambio de la plataforma, y las copias se conservan catorce días.
• Los cambios se despliegan mediante un procedimiento automatizado que comprueba que el servicio responde después y se revierte si no lo hace.

Minimización de datos

• De un miembro solo se exigen un nombre y un correo electrónico. Todo lo demás es opcional y lo controla él.
• Cada miembro decide, campo por campo, quién puede ver sus datos.
• Sin analítica, sin publicidad, sin seguimiento, sin elaboración de perfiles y sin decisiones automatizadas.