Contrato de encargo del tratamiento

Versión 1.1 · vigente desde el 17 de octubre de 2026 · forma parte de todo contrato con un empresario o profesional.

Partes. El cliente, como responsable del tratamiento. Den Otter Consulting, que actúa con el nombre comercial Keepstone, como encargado del tratamiento.

Artículo 1. Objeto y duración. El encargado del tratamiento trata datos personales de los clientes, las personas de contacto y los destinatarios de emails del cliente, solo para crear el Second Brain y, en caso de actualización, ponerlo al día. Este contrato está vigente mientras el encargado del tratamiento conserve datos del cliente.

Artículo 2. Datos e interesados.

Las categorías especiales de datos personales no están incluidas. El cliente no las facilita (condiciones generales, artículo 4.5).

Artículo 3. Instrucciones. El encargado del tratamiento solo trata los datos siguiendo instrucciones del cliente. Esa instrucción es: crear el Second Brain como se describe en keepstoneai.eu y en este contrato. Con su aceptación, el cliente fija también las preguntas, el plazo de conservación de 30 días y la lista de subencargados. Si el cliente quiere un plazo de conservación más corto o menos datos, el encargado del tratamiento sigue esa instrucción. Si, en opinión del encargado del tratamiento, una instrucción infringe el RGPD, lo comunica de inmediato al cliente. Si el derecho de la Unión o el derecho neerlandés obliga al encargado del tratamiento a tratar datos, lo comunica al cliente antes del tratamiento, salvo que ese derecho lo prohíba.

Artículo 4. Confidencialidad. El encargado del tratamiento mantiene la confidencialidad de los datos. Trabaja en solitario y no da acceso a nadie más, salvo a los subencargados de la lista de subencargados.

Artículo 5. Seguridad. El encargado del tratamiento aplica medidas técnicas y organizativas adecuadas para proteger los datos, como mínimo las siguientes. Los nombres que indica el cliente, así como las direcciones de email y los números de teléfono, se sustituyen por códigos antes del análisis con IA. Los archivos originales subidos se borran en cuanto se han leído. El entorno de n8n funciona en la UE y no guarda registros de ejecución. Los borradores se conservan como máximo hasta 30 días después de la entrega. La codificación es una seudonimización, no una anonimización: los nombres en texto libre que no se han indicado pueden colarse.

Artículo 6. Subencargados. El cliente autoriza a los subencargados de la lista de subencargados. El encargado del tratamiento comunica un nuevo subencargado con al menos 30 días de antelación. El cliente puede oponerse y, en ese caso, poner fin al contrato. El encargado del tratamiento impone a los subencargados las mismas obligaciones que las de este contrato. Sigue siendo responsable ante el cliente del cumplimiento por parte de sus subencargados.

Artículo 7. Ayuda al cliente. Si el encargado del tratamiento recibe una solicitud de un interesado, la remite al cliente y le ayuda a tramitarla. El encargado del tratamiento ayuda también al cliente con una evaluación de impacto relativa a la protección de datos (EIPD) y con una eventual consulta previa a la autoridad de control, en la medida en que se trate de este tratamiento.

Artículo 8. Violaciones de la seguridad de los datos personales. El encargado del tratamiento notifica una violación de la seguridad de los datos personales que afecte a datos del cliente sin dilación indebida, como máximo en un plazo de 48 horas desde que la descubre. Indica lo que sabe sobre la naturaleza de la violación, los datos afectados, las consecuencias y las medidas adoptadas. El cliente decide por sí mismo si notifica la violación a su autoridad de control.

Artículo 9. Fin. Al terminar el contrato, el encargado del tratamiento borra todos los datos en un plazo de 30 días, salvo que la ley obligue a conservarlos. Si el cliente quiere que se le devuelvan los datos antes de su borrado, el encargado del tratamiento se los envía cuando lo solicite. Para entonces el cliente ya ha recibido el Second Brain.

Artículo 10. Control. El encargado del tratamiento facilita al cliente, cuando lo solicite, la información necesaria para demostrar el cumplimiento de este contrato. Permite auditorías, incluidas inspecciones por parte del cliente o de un auditor designado por el cliente, y contribuye a ellas. El cliente anuncia una auditoría con al menos 30 días de antelación y asume los costes.

Artículo 11. Responsabilidad. A la responsabilidad derivada de este contrato se aplica el artículo 10 de las condiciones generales.

Artículo 12. Transferencias y clientes fuera de la UE.

1. El encargado del tratamiento solo transfiere datos a países fuera de la UE con una garantía adecuada, como una decisión de adecuación o las cláusulas contractuales tipo de la Comisión Europea. Para Anthropic en Estados Unidos, son las cláusulas contractuales tipo del contrato de encargo del tratamiento de Anthropic, con la adenda británica (UK Addendum) para los datos del Reino Unido.
2. Si el cliente está establecido en el Reino Unido, este contrato es también el contrato que exige el artículo 28 del UK GDPR.
3. Si el cliente está establecido en Estados Unidos, el encargado del tratamiento actúa como proveedor de servicios (service provider). El encargado del tratamiento no vende ni comparte los datos personales. No los conserva, usa ni comunica para ningún fin distinto de la prestación del servicio del artículo 1. No los combina con datos que recibe de otros. Cumple la ley de privacidad de California (CCPA) y ofrece el mismo nivel de protección. Si ya no puede hacerlo, lo comunica al cliente, y el cliente puede entonces adoptar medidas adecuadas para detener el uso no autorizado.

Artículo 13. Aceptación. El cliente acepta este contrato al pagar, junto con las condiciones generales.

Artículo 14. Idioma. Este contrato existe en neerlandés, inglés, alemán y español. Si las versiones difieren, prevalece la neerlandesa.

Frase de ejemplo para la política de privacidad del cliente. El cliente informa por su cuenta a sus propios clientes. Una frase que puede servir para ello: «Para mi trabajo recurro a proveedores de servicios, entre ellos servicios de IA. Solo tratan datos por encargo mío.»