Acuerdo de Encargo de Tratamiento (DPA)

CODECONTRACT SL (en adelante, "Encargado del Tratamiento")

Dirección: Pérez Galdós Kalea 22, 48010 Bilbao, Vizcaya, España

Email: privacy@codecontract.io

Y el Cliente (en adelante, "Responsable del Tratamiento"), siendo la organización que contrata el servicio Code Contract.

El presente acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco del servicio Code Contract (plataforma de gestión documental con IA).

• Datos de identificación de contactos y firmantes
• Documentos y archivos subidos a la plataforma
• Comunicaciones (emails, mensajes)
• Firmas digitales y evidencias
• Datos extraídos por IA de los documentos

Exclusivamente para la prestación del servicio Code Contract contratado: recogida, validación, certificación y firma de documentos.

1. Tratar los datos únicamente según las instrucciones documentadas del Responsable.
2. Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad.
3. Tomar todas las medidas de seguridad del artículo 32 del RGPD:
   • Cifrado AES-256-GCM para credenciales
   • Contraseñas hasheadas con argon2id (las API keys, con bcrypt de 12 rondas)
   • TLS 1.3 en todas las comunicaciones
   • Multi-tenancy con aislamiento por organización
   • Control de acceso basado en roles (RBAC)
   • Registro de auditoría append-only (retención 1 año)
   • 2FA para usuarios con roles elevados
4. No recurrir a otro encargado del tratamiento sin autorización previa (ver lista de subprocesadores en el Trust Center).
5. Asistir al Responsable en el ejercicio de derechos de los interesados.
6. Suprimir o devolver todos los datos al finalizar la prestación del servicio.
7. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento.

Ver listado actualizado en el Trust Center.

Cambios en subprocesadores se notificarán con 30 días de antelación.

Cuando se producen transferencias fuera del EEE, se aplican Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea y medidas complementarias.

El Encargado notificará al Responsable cualquier brecha de seguridad en un plazo máximo de 48 horas desde su detección.

Este acuerdo tiene la misma duración que el contrato de servicio principal.

Legislación española. Tribunales de Bilbao.

IA.1. Objeto. Este Anexo completa el presente Acuerdo en lo relativo al tratamiento de datos personales mediante modelos de inteligencia artificial.

IA.2. Modelos y proveedores. Los modelos empleados y sus proveedores, con la ubicación de procesamiento y el enlace a su respectivo acuerdo de tratamiento, constan en /subprocessors y en la sección «Modelos de IA utilizados» del Centro de Confianza. Dichas relaciones forman parte integrante de este Anexo por referencia y se mantienen actualizadas.

IA.3. Exclusión de entrenamiento. El Encargado no emplea el Contenido del Cliente para entrenar, ajustar ni mejorar modelos de inteligencia artificial, ni propios ni de terceros, y contrata con cada proveedor el nivel de servicio empresarial que excluye contractualmente dicho uso.

IA.4. Retención en el proveedor. El almacenamiento temporal de instrucciones (prompt caching) y de resultados en el proveedor se limita a lo estrictamente necesario para la prestación. Con Anthropic PBC dicho almacenamiento está limitado a cinco (5) minutos, sin conservación posterior. El Encargado informará al Responsable de cualquier variación sustancial en las condiciones de retención de sus proveedores.

IA.5. Transferencias internacionales. Cuando el procesamiento por un proveedor de inteligencia artificial implique una transferencia fuera del Espacio Económico Europeo, se aplicarán Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y las medidas complementarias que resulten procedentes.

IA.6. Flexibilidad de modelo. El Encargado podrá sustituir el modelo o el proveedor siempre que el sustituto mantenga garantías equivalentes en cuanto a ubicación de procesamiento o mecanismo de transferencia, exclusión de entrenamiento y condiciones de retención. La incorporación de un nuevo sub-encargado se notificará con treinta (30) días de antelación, conforme a la cláusula 5.

IA.7. Roles bajo el Reglamento (UE) 2024/1689. A los efectos del Reglamento Europeo de Inteligencia Artificial, CODECONTRACT SL es proveedor del sistema de IA que comercializa, y el Cliente es responsable del despliegue (deployer) respecto de su propio caso de uso, correspondiéndole clasificarlo y cumplir las obligaciones que de él se deriven.

IA.8. Revisión humana. Las acciones con efecto jurídico o económico que el sistema proponga mediante inteligencia artificial requieren la aprobación explícita de una persona usuaria del Cliente antes de ejecutarse. Dicha aprobación se registra, identificando quién la otorgó, cuándo y sobre qué acción, y es exportable a solicitud del Responsable.