Contrato de Encargado de Tratamiento (DPA)

1. Partes y roles Este contrato regula el tratamiento de datos personales que Samuel Expósito Ruiz, con NIF 03217211V y domicilio en Avenida Reyes Católicos 18, 28802 Alcalá de Henares, Madrid, España (“el Encargado”, NoRestChat) realiza por cuenta del Cliente (“el Responsable”) al prestarle la plataforma. El Responsable decide las finalidades y medios; el Encargado trata los datos únicamente siguiendo sus instrucciones.

2. Objeto, duración y naturaleza Objeto: tratamiento necesario para prestar los servicios de captación por Instagram (Setter IA) y/o email marketing. Duración: mientras esté vigente la relación contractual. Tipos de datos: datos de contacto (nombre, email, teléfono), contenido de mensajes/formularios y métricas de interacción. Categorías de interesados: contactos y leads del Responsable.

3. Obligaciones del Encargado Tratar los datos solo según instrucciones documentadas del Responsable; garantizar la confidencialidad de quien accede a los datos; aplicar medidas de seguridad adecuadas (art. 32 RGPD); asistir al Responsable para responder a los derechos de los interesados y en sus obligaciones de seguridad; y, a elección del Responsable, suprimir o devolver los datos al finalizar el servicio.

4. Medidas de seguridad Cifrado en tránsito (HTTPS/TLS), control de acceso por roles, aislamiento de datos por cliente (multi-tenant), autenticación de correo (SPF/DKIM/DMARC), registro de auditoría, copias de seguridad gestionadas por el proveedor de base de datos y gestión de bajas y supresiones. Las medidas se revisan periódicamente.

5. Subencargados El Responsable autoriza el uso de los siguientes subencargados para prestar el servicio:

Amazon Web Services (Amazon SES) — envío de correo (región UE, Irlanda).
Supabase — base de datos y almacenamiento (región UE).
Stripe — cobros y facturación de las suscripciones.
Render — alojamiento de la aplicación.
Meta Platforms — API de Instagram, solo si usas el Setter IA.
OpenAI — generación de respuestas del Setter IA, solo si lo usas.
Telegram — notificaciones, solo si lo conectas.

El Encargado informará de cualquier cambio de subencargado con antelación razonable.

6. Transferencias internacionales Los datos se alojan preferentemente en la UE. Si algún subencargado (p. ej. OpenAI o Meta) implicara transferencias fuera del EEE, se ampararán en las garantías previstas por el RGPD (cláusulas contractuales tipo u otros mecanismos válidos).

7. Derechos de los interesados y brechas El Encargado asistirá al Responsable para atender solicitudes de acceso, rectificación, supresión, oposición y portabilidad (incluye la exportación e importación de contactos desde la plataforma). En caso de brecha de seguridad, el Encargado lo notificará al Responsable sin dilación indebida para que este cumpla sus obligaciones (arts. 33-34 RGPD).

8. Fin del tratamiento Al terminar la relación, y a elección del Responsable, el Encargado suprimirá o devolverá los datos personales y eliminará las copias existentes, salvo obligación legal de conservación. El Responsable puede exportar sus contactos en cualquier momento desde su panel.