Última actualización: octubre de 2026

Contrato de encargo del tratamiento

Partes

Responsable del tratamiento: el cliente del plan Cumple. Encargado del tratamiento: Marcos Bentivegna Adrian, NIF 50383533D, que opera con la marca Owtli («Owtli»).

Objeto y duración

Owtli trata los datos solo para prestar el plan Cumple: guardar el inventario de IA, publicar la política de uso, enviar a cada persona su enlace, registrar aceptaciones y formaciones, y generar el dossier de evidencias. El encargo dura lo mismo que el contrato del plan Cumple.

Datos e interesados

• Interesados: las personas del equipo del cliente (empleados, colaboradores) y los usuarios que gestionan la cuenta.
• Datos: nombre, correo, puesto y perfil de formación; fecha y versión de la política aceptada; módulos completados, aciertos y resultado; registro de actividad de la cuenta.
• No se tratan categorías especiales de datos. El cliente se compromete a no introducirlas en los campos libres.

Obligaciones de Owtli

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son este contrato y el uso que haga del servicio. Si una instrucción nos parece contraria a la ley, se lo diremos.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados indicados abajo o por obligación legal.
• Garantizar que quien acceda a los datos está obligado a guardar confidencialidad.
• Aplicar las medidas de seguridad descritas en este contrato.
• Ayudar al cliente a atender los derechos de los interesados. Si una persona nos escribe directamente, le pasaremos la petición al cliente sin demora.
• Ayudar al cliente con la seguridad del tratamiento, las notificaciones de brechas y, si las necesita, las evaluaciones de impacto.
• Notificar al cliente cualquier brecha de seguridad que afecte a sus datos sin dilación indebida, y en todo caso en un plazo de 48 horas desde que la conozcamos, con la información disponible para que pueda decidir si la comunica a la AEPD.
• Poner a disposición del cliente la información necesaria para demostrar que cumplimos, y permitir auditorías razonables avisando con antelación.

Subencargados

El cliente autoriza de forma general a Owtli a usar estos subencargados, con los que tenemos contratos que imponen las mismas obligaciones de protección de datos:

• Supabase Inc.: Base de datos y cuentas de usuario. Servidores en la Unión Europea (Fráncfort). Al ser una empresa estadounidense, cualquier acceso desde fuera de la UE queda cubierto por las cláusulas contractuales tipo de la Comisión Europea.
• Cloudflare, Inc.: Alojamiento de la web, funciones de servidor y protección frente a ataques. Red global. Adherida al Marco de Privacidad de Datos UE-EE. UU. y con cláusulas contractuales tipo.
• Stripe Payments Europe, Ltd.: Cobro del plan Cumple. Owtli no ve ni guarda los datos de tu tarjeta. Irlanda (UE). Transferencias a Stripe, Inc. cubiertas por cláusulas contractuales tipo.

Avisaremos al cliente con 30 días de antelación antes de añadir o sustituir un subencargado. Si se opone por motivos razonables y no encontramos una solución, puede darse de baja con devolución de la parte no disfrutada.

Medidas de seguridad

• Todas las conexiones cifradas (HTTPS).
• Separación por cliente en la base de datos: cada organización solo puede leer sus propias filas.
• Las personas del equipo no tienen cuenta: entran con un enlace personal aleatorio, que el cliente puede desactivar.
• Las evidencias (aceptaciones y formaciones) solo las escribe el servidor, para que no puedan alterarse desde el navegador.
• Acceso administrativo restringido y copias de seguridad del proveedor de base de datos.

Al terminar

Cuando termina el contrato (al final del periodo pagado), el cliente tiene 30 días para descargar su dossier y sus datos. Pasado ese plazo, Owtli los suprime de forma automática, salvo que una ley obligue a conservarlos. Las copias de seguridad del proveedor se sobrescriben en su ciclo ordinario.

Obligaciones del cliente

Tener base legal para tratar los datos de su equipo e informarle de que se usa el plan Cumple para registrar la política y la formación; dar instrucciones conformes a la ley, y velar por que el tratamiento cumpla el RGPD.