Entrar

Acuerdo de Encargo del Tratamiento

Artículo 28 del RGPD · Anexo a las Condiciones Generales de Contratación de Bakoffice AI

Versión 1.0 · Fecha de última actualización: 03/07/2026

1. Partes

1.1. Responsable del tratamiento: el Cliente identificado en el pedido o suscripción de los Servicios (el "Responsable").

1.2. Encargado del tratamiento: Avantris, S.L., con NIF B88881875 y domicilio en Calle Ausiàs Marc, 141, 2-4, 08013 Barcelona (España) (el "Encargado" o "Avantris").

Ambas partes reconocen su capacidad para suscribir el presente Acuerdo, que se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la LOPDGDD.

2. Objeto

El presente Acuerdo regula el tratamiento de datos personales que Avantris realiza por cuenta del Responsable como consecuencia de la prestación de los Servicios a través de la Plataforma. El objeto, naturaleza, finalidad, tipo de datos personales y categorías de interesados se detallan en el Anexo I.

3. Duración

Este Acuerdo estará vigente mientras Avantris preste los Servicios al Responsable y subsistirán las obligaciones que por su naturaleza deban perdurar tras su finalización, en particular las relativas a confidencialidad, devolución o supresión de datos.

4. Obligaciones del Encargado

Avantris, como Encargado, se obliga a:

  • Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal, en cuyo caso lo comunicará previamente salvo prohibición legal. Las presentes Condiciones y la configuración de los Servicios constituyen instrucciones documentadas iniciales.
  • No destinar los datos a una finalidad distinta de la prestación de los Servicios y, en particular, no utilizarlos para entrenar o mejorar modelos de inteligencia artificial generales o destinados a otros clientes, salvo instrucción expresa y por escrito del Responsable.
  • Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber de confidencialidad de naturaleza legal.
  • Aplicar las medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD, según el Anexo II.
  • Asistir al Responsable, en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
  • Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto (EIPD) y consultas previas (arts. 32 a 36 RGPD).
  • Notificar al Responsable, sin dilación indebida y a más tardar en 24 horas desde que tenga conocimiento, las violaciones de la seguridad de los datos personales, con la información disponible.
  • A elección del Responsable, suprimir o devolver los datos personales una vez finalizada la prestación, así como suprimir las copias existentes, salvo obligación legal de conservación.
  • Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, incluidas inspecciones, conforme a la cláusula 7.

5. Obligaciones del Responsable

  • Disponer de una base jurídica válida para el tratamiento y haber informado a los interesados conforme a los arts. 13 y 14 RGPD.
  • Trasladar a Avantris únicamente los datos necesarios y proporcionar instrucciones lícitas.
  • Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del Encargado en el ámbito de los Servicios.

6. Subencargados

6.1. El Responsable autoriza con carácter general a Avantris a recurrir a otros encargados (subencargados) para la prestación de los Servicios, incluidos proveedores de infraestructura en la nube y de modelos de inteligencia artificial. La relación inicial figura en el Anexo III.

6.2. Avantris impondrá a los subencargados, mediante contrato, las mismas obligaciones de protección de datos que las previstas en este Acuerdo, y responderá frente al Responsable del cumplimiento por aquellos.

6.3. Avantris informará al Responsable de cualquier alta o sustitución de subencargados con una antelación razonable, otorgando al Responsable la posibilidad de oponerse por motivos razonables relacionados con la protección de datos. En caso de oposición no resuelta, el Responsable podrá resolver el contrato respecto del Servicio afectado.

7. Auditorías

Avantris pondrá a disposición del Responsable la información razonable para acreditar el cumplimiento de este Acuerdo. Las auditorías o inspecciones se realizarán previo aviso razonable, en horario laboral, sin afectar a la operativa ni a la confidencialidad de otros clientes, pudiendo Avantris acreditar el cumplimiento mediante certificaciones o informes de terceros independientes.

8. Transferencias internacionales

Cuando la prestación de los Servicios implique una transferencia de datos a terceros países u organizaciones internacionales fuera del Espacio Económico Europeo, Avantris garantizará que se realiza al amparo de una decisión de adecuación o de garantías adecuadas conforme a los arts. 44 y siguientes del RGPD, en particular las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto con las medidas adicionales que, en su caso, resulten necesarias.

9. Responsabilidad

El régimen de responsabilidad entre las partes se regirá por lo previsto en las Condiciones Generales de Contratación y por el art. 82 RGPD. Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que el RGPD le atribuye específicamente.

10. Legislación aplicable

Este Acuerdo se rige por la legislación española y por la normativa de la Unión Europea en materia de protección de datos, y se somete a la misma jurisdicción prevista en las Condiciones Generales de Contratación.

Anexo I. Descripción del tratamiento

  • Objeto del tratamiento: prestación de los Servicios de la Plataforma Bakoffice AI (apoyo de IA a funciones de back office).
  • Naturaleza y finalidad: alojamiento, procesamiento y análisis del Contenido del Cliente para generar los Resultados y prestar los Servicios contratados.
  • Duración: la de la prestación de los Servicios.
  • Tipo de datos personales: datos identificativos y de contacto, datos profesionales, datos comerciales y de relación, y cualesquiera otros que el Responsable decida incorporar. El Responsable se abstendrá de introducir categorías especiales de datos (art. 9 RGPD) salvo pacto expreso y medidas adicionales.
  • Categorías de interesados: empleados y colaboradores del Responsable; clientes del Responsable; potenciales clientes del Responsable; y demás terceros cuyos datos el Responsable decida tratar en la Plataforma.

Anexo II. Medidas de seguridad (art. 32 RGPD)

Con carácter mínimo, Avantris aplicará medidas como las siguientes, ajustadas al estado de la técnica y al riesgo:

  • Control de acceso lógico basado en roles y autenticación de los Usuarios.
  • Cifrado de las comunicaciones y, cuando proceda, de los datos en reposo.
  • Registro de actividad y trazabilidad de los accesos.
  • Políticas de copias de seguridad y de continuidad del servicio.
  • Procedimientos de gestión de incidentes y de violaciones de seguridad.
  • Seudonimización o minimización cuando sea técnicamente viable.

Anexo III. Relación de subencargados

Se relacionan los subencargados autorizados, su finalidad y ubicación:

  • OpenAI Ireland Ltd. — Inferencia de modelos de inteligencia artificial para generación de respuestas, análisis y automatización de tareas de backoffice — Irlanda / Unión Europea.
  • Google Ireland Limited — Examen, procesamiento y análisis de ficheros adjuntos mediante servicios de Google Cloud (Document AI, Vision, almacenamiento y procesamiento de documentos) — Irlanda / Unión Europea.
  • Meta Platforms Ireland Limited — Comunicación y mensajería con usuarios y clientes mediante WhatsApp Business API — Irlanda / Unión Europea.
  • Twilio SendGrid, Inc. — Envío de comunicaciones y emails transaccionales — Estados Unidos (con garantías adecuadas conforme al RGPD, incluidas Cláusulas Contractuales Tipo y Data Processing Addendum).
  • DigitalOcean, LLC — Gestión de infraestructura, servidores backend, alojamiento, computación y almacenamiento de datos — Estados Unidos (con regiones de datos disponibles en la Unión Europea y garantías adecuadas conforme al RGPD).
  • Google Ireland Limited — Gestión de autenticación y autorización de usuarios mediante Firebase Authentication — Irlanda / Unión Europea.
  • Stripe Payments Europe, Ltd. — Procesamiento de pagos por tarjeta y adeudo directo SEPA — Irlanda / Unión Europea (con posibles transferencias amparadas en las garantías de Stripe).

Avantris, S.L. · NIF B88881875