Contrato de encargo del tratamiento

Responsable del tratamiento (cliente): el cliente que utiliza ComLayer — [pendiente de determinar: empresa, dirección y representación del cliente]. Estos datos se completan al firmar la versión individual.

No se ha designado ningún delegado de protección de datos: el encargado del tratamiento no alcanza los umbrales del § 38 BDSG. Las solicitudes en materia de protección de datos las responde la gerencia en la dirección indicada en la cláusula 13.

El objeto del tratamiento es la puesta a disposición y la explotación de la plataforma ComLayer para el cliente conforme a las Condiciones Generales de Contratación. La finalidad es exclusivamente la prestación de este servicio, es decir, la recepción, la respuesta y la gestión de las solicitudes de soporte de los clientes finales del cliente.

La naturaleza del tratamiento comprende la recogida, el registro, la conservación, la estructuración, la consulta, la utilización, la comunicación a los subencargados del tratamiento mencionados en la cláusula 8, la limitación y la eliminación. El encargado del tratamiento no trata los datos para fines propios; en particular, no los analiza para entrenar modelos propios.

Lo mismo se aplica a los proveedores de modelos y de embeddings utilizados: Ambos proveedores se han comprometido contractualmente a la misma exclusión: el proveedor del modelo a través de las condiciones de tratamiento de datos de Google Cloud, el proveedor de los embeddings a través de las condiciones de uso de Voyage AI.

El tratamiento se realiza durante la vigencia del contrato principal. Termina con la finalización de este y con la posterior eliminación conforme a la cláusula 11.

• Clientes finales y visitantes del sitio web del cliente que utilizan el canal de soporte
• Empleados y colaboradores del cliente que trabajan en la plataforma como miembros del equipo
• Personas mencionadas en los mensajes, los contenidos de conocimiento o el feedback del cliente

• Datos maestros del visitante: nombre y dirección de correo electrónico, si se indican, página consultada, ubicación aproximada, momento del primer contacto
• Contenidos de comunicación: mensajes del chat y del traspaso al personal, marcas de tiempo, asignación a una conversación, su estado de tramitación y los archivos adjuntos subidos
• Datos de usuario de los miembros del equipo: nombre, dirección de correo electrónico, rol, asignación al espacio de trabajo
• Contenidos de la base de conocimiento y los embeddings generados a partir de ellos
• Aportaciones de feedback y de roadmap, incluidos los datos de la persona que las envía

Las categorías especiales de datos personales conforme al art. 9 RGPD no son objeto de este contrato. Si el cliente transmite no obstante tales datos a través del canal de soporte, lo hace bajo su responsabilidad; en ese caso, las partes acuerdan por separado las medidas adicionales necesarias.

El encargado del tratamiento trata los datos exclusivamente siguiendo instrucciones documentadas del cliente. Este contrato y el uso de la plataforma por parte del cliente y de sus miembros del equipo constituyen dicha instrucción. Las instrucciones que vayan más allá se emiten en forma textual a info@comlayer.app.

Si el encargado del tratamiento considera que una instrucción infringe el derecho de protección de datos, se lo indica al cliente sin dilación y puede suspender su ejecución hasta que este la confirme. Si una transferencia a un tercer país se debe a una obligación legal, se lo comunica al cliente previamente, salvo que el derecho lo prohíba.

Para el tratamiento, el encargado del tratamiento solo emplea a personas obligadas a la confidencialidad y familiarizadas con las disposiciones de protección de datos aplicables. La obligación subsiste también tras la finalización de su actividad. El círculo de personas con derecho de acceso se limita a la medida necesaria para la explotación.

El encargado del tratamiento adopta las siguientes medidas; corresponden al estado de la técnica y se adaptan de forma continua. Una modificación no puede quedar por debajo del nivel de protección.

• Cifrado de todas las conexiones mediante TLS; la conexión con la base de datos se realiza con certificados de corta duración autenticados por ambas partes
• Almacenamiento cifrado de los datos en reposo
• Separación de datos por cliente: cada registro está asignado a un espacio de trabajo, y cada acceso se comprueba en el servidor contra la pertenencia a ese espacio de trabajo
• Concepto de roles y permisos con roles separados para la administración y la tramitación
• Los archivos adjuntos se guardan en un almacenamiento no público y solo se entregan a través de una ruta de la aplicación con comprobación de acceso
• La clave pública del widget se puede rotar por espacio de trabajo; los dominios de inserción permitidos se pueden restringir
• Limitación de la tasa de solicitudes frente al uso abusivo de las interfaces públicas
• Copias de seguridad periódicas y explotación supervisada; tiempos de restablecimiento: tiempo de restablecimiento (RTO) y pérdida máxima de datos (RPO) de 24 horas cada uno
• Procedimiento para la comprobación periódica de la eficacia: anualmente por la gerencia

El cliente otorga su autorización general para el empleo de los subencargados del tratamiento indicados a continuación. El encargado del tratamiento los obliga a un nivel de protección que corresponde a este contrato y responde de su conducta como de la propia.

Si el cliente inserta su propia reserva de citas a través de Cal.com, Cal.com es su proveedor de servicios y no un subencargado del tratamiento del encargado del tratamiento; el encargado del tratamiento se limita a recibir la notificación de las citas reservadas.

Los contenidos permanecen en la UE. Las conversaciones, la base de conocimiento y las cuentas se encuentran en la región de base de datos europe-west3 (Fráncfort), los archivos adjuntos y los logotipos en el almacenamiento de archivos de la misma región, la actualización en directo de las conversaciones abiertas se ejecuta en europe-west1, y el agente de IA responde desde la multirregión Vertex eu; los modelos auxiliares para las líneas de asunto y el análisis de documentos se ejecutan en europe-west1. La región del almacenamiento de archivos se comprobó el 7 de agosto de 2026 en los buckets utilizados; todas las demás constan en la configuración del despliegue.

Cuatro servicios tratan datos fuera de la UE, concretamente en los Estados Unidos: Clerk para el inicio de sesión, las cuentas y las sesiones, Stripe para la tramitación de los pagos, Resend para el envío de las notificaciones al equipo — estas contienen extractos literales de conversaciones — y Voyage AI para los embeddings de la búsqueda semántica, que para ello recibe los contenidos de conocimiento. Estas transferencias se basan en las cláusulas contractuales tipo de la Comisión Europea; qué versión y qué evaluación de impacto se aplica a cada proveedor lo establece el contrato de encargo del tratamiento. La explotación de la propia aplicación corresponde a Vercel, un grupo estadounidense; la región de entrega de este despliegue no está medida y allí también está marcada como punto pendiente.

El encargado del tratamiento comunica al cliente en forma textual, con al menos una semana de antelación, un cambio o la incorporación de otros subencargados del tratamiento. El cliente puede oponerse por un motivo importante de protección de datos; en ese caso, cada parte puede resolver el contrato principal en el momento del cambio.

El encargado del tratamiento basa las transferencias a los Estados Unidos en las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46(2)(c) RGPD, en la versión de la Decisión de Ejecución (UE) 2021/914 de 4 de junio de 2021, módulo 2 (transferencia de un responsable del tratamiento a un encargado del tratamiento). Los proveedores empleados facilitan cada uno sus propias evaluaciones de impacto de las transferencias, en las que nos apoyamos; no realizamos una evaluación propia adicional en el caso concreto. Mientras este punto siga abierto, la lista está completa y la vía de transferencia está indicada, pero la evaluación en el caso concreto no está concluida.

El encargado del tratamiento asiste al cliente, en la medida de lo razonable, en el cumplimiento de los derechos de los interesados conforme a los arts. 15 a 22 RGPD, así como en las evaluaciones de impacto relativas a la protección de datos y en las consultas conforme a los arts. 35 y 36 RGPD.

Si un interesado se dirige directamente al encargado del tratamiento, este remite la petición sin dilación al cliente y no la responde por sí mismo. La información sobre los datos almacenados y su entrega o eliminación se facilitan a petición a través de info@comlayer.app en un plazo de 48 horas.

Para los datos de su propio espacio de trabajo, el cliente dispone además de una vía de autoservicio: en Einstellungen → Allgemein sus administradores pueden generar en cualquier momento una exportación completa y legible por máquina («Daten exportieren», formato JSON) y solicitar la eliminación del espacio de trabajo («Workspace löschen»). La eliminación se anota con un periodo de gracia de 30 días y es revocable hasta el último día. Ambas vías están abiertas con independencia del plan contratado.

El encargado del tratamiento notifica al cliente toda violación de la seguridad de los datos personales de la que tenga conocimiento sin dilación, a más tardar en un plazo de 72 horas desde que la conoce. La notificación contiene los datos exigidos por el art. 33(3) RGPD, en la medida en que estén disponibles; los datos que falten se aportan posteriormente. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al cliente.

Tras la finalización del contrato principal, el encargado del tratamiento elimina los datos tratados por encargo, incluidas las copias existentes, en un plazo de 30 días, salvo que el cliente exija antes su devolución. Las copias de seguridad se sobrescriben en el marco del ciclo de copias habitual.

Las obligaciones legales de conservación no se ven afectadas; los datos comprendidos en ellas se limitan en su tratamiento durante el plazo de conservación.

El encargado del tratamiento acredita el cumplimiento de este contrato a petición de forma adecuada, en particular mediante información sobre las medidas adoptadas. El cliente tiene derecho a cerciorarse del cumplimiento previo aviso con un plazo razonable y sin perturbar el desarrollo de la explotación; las auditorías in situ se limitan a motivos justificados. Actualmente no existen certificaciones ni informes de auditoría propios; la acreditación se realiza mediante la información según la frase 1. Para los subencargados del tratamiento empleados rigen sus respectivas certificaciones.

En caso de contradicciones, las disposiciones de este contrato prevalecen sobre las del contrato principal en lo que respecta al tratamiento de datos personales. Se aplica el derecho alemán. Por lo demás, se aplican las Condiciones Generales de Contratación y, con carácter complementario, la Política de privacidad.