Contrato de encargado del tratamiento

Borrador 0.1 · 28 de octubre de 2026

Este contrato regula el tratamiento de datos personales que skyseat hace por cuenta del Cliente al prestarle el servicio, según el art. 28 del Reglamento General de Protección de Datos (RGPD) y el art. 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de los términos del servicio y se acepta con ellos.

1. Partes

Responsable del tratamiento	El Cliente: la empresa o profesional que contrata skyseat, identificado en su cuenta.
Encargado del tratamiento	[RAZÓN SOCIAL], NIF [NIF], [DOMICILIO SOCIAL]. Contacto: [CORREO DE PRIVACIDAD].

Si el Cliente es una agencia que usa skyseat para sus propios clientes, la agencia actúa como encargada de ellos y skyseat como su subencargado; la agencia se obliga a trasladar estas mismas condiciones a sus contratos.

2. Objeto y duración

skyseat tratará los datos descritos en el anexo I solo para prestar el servicio contratado y mientras dure el contrato. Al terminar se aplica el apartado 10.

3. Instrucciones del Cliente

skyseat trata los datos únicamente siguiendo las instrucciones documentadas del Cliente. Son instrucciones documentadas este contrato, la configuración del panel (normas, permisos, nivel de autonomía, cuentas conectadas, manual de la empresa) y lo que las personas autorizadas del Cliente encargan a sus empleados IA, que queda en el Registro.

Si skyseat considera que una instrucción infringe el RGPD u otra norma de protección de datos, avisará de inmediato al Cliente. Si una ley obliga a skyseat a tratar los datos de otro modo, se lo dirá antes al Cliente salvo que esa ley lo prohíba.

4. Confidencialidad

Las personas que trabajen para skyseat con acceso a los datos están obligadas a guardar secreto, también después de terminar su relación. Solo acceden cuando hace falta para prestar el servicio, resolver una incidencia que pida el Cliente o cumplir la ley.

5. Seguridad

skyseat aplica las medidas técnicas y organizativas del anexo II, adecuadas al riesgo (art. 32 RGPD), y las revisa periódicamente. Puede mejorarlas siempre que no reduzcan el nivel de protección.

6. Subencargados

• El Cliente da una autorización general para que skyseat recurra a los subencargados del anexo III, publicado y actualizado en subencargados.
• skyseat avisará con al menos 30 días de antelación de cualquier alta o cambio de subencargado. El Cliente puede oponerse por motivos razonables de protección de datos; si no se encuentra una solución, puede terminar el contrato sin penalización antes de que el cambio se aplique.
• skyseat impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a estas y responde ante el Cliente de su cumplimiento.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos subencargados (anexo III) los tratan en Estados Unidos: solo se transfieren con una garantía del capítulo V del RGPD (decisión de adecuación del Marco de Privacidad de Datos UE‑EE. UU. o cláusulas contractuales tipo de la Decisión 2021/914) y solo lo necesario para la tarea.

8. Ayuda al Cliente

• Derechos de los interesados: el panel permite al Cliente consultar, exportar, corregir y borrar los datos (descargas de datos, borrado de llamadas, de cuentas y de la empresa). Si un interesado se dirige a skyseat, se lo pasaremos al Cliente sin demora y sin contestarle por nuestra cuenta.
• Evaluaciones de impacto y consultas previas (arts. 35 y 36 RGPD): le daremos la información razonable que tengamos.
• Información y auditorías: pondremos a su disposición la información necesaria para demostrar que cumplimos este contrato y permitiremos auditorías razonables, con aviso de 30 días, como máximo una vez al año salvo brecha o requerimiento de una autoridad, y sin acceso a datos de otros clientes.

9. Violaciones de seguridad

skyseat notificará al Cliente, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad que afecte a sus datos, con la información del art. 33.3 RGPD que tenga en ese momento (qué ha pasado, datos y personas afectadas, consecuencias probables y medidas tomadas), y le ayudará a notificarla a la autoridad y a los afectados si hace falta. Notificar al Cliente no supone reconocer culpa.

10. Al terminar el contrato

Antes de terminar, el Cliente puede descargar sus datos desde el panel (ZIP de la empresa). Cuando la baja es efectiva (30 días después de pedirla, salvo que la cancele), skyseat borra los datos del Cliente: empleados y sus ordenadores, tareas, memoria, normas, cuentas conectadas, teléfono y registro. Las copias de seguridad se borran en los 14 días siguientes. Solo se conservará, bloqueado, lo que una ley obligue a guardar.

11. Obligaciones del Cliente

• Tener base legal para los tratamientos que encarga y haber informado a los interesados, incluido que algunas tareas las hace una IA y, en el teléfono, que la llamada se graba.
• No encargar categorías especiales de datos (art. 9 RGPD), datos penales ni datos de menores sin acuerdo previo por escrito con skyseat.
• Configurar los permisos, cuentas y niveles de autonomía de forma proporcionada y supervisar a sus empleados IA.
• Si los empleados IA trabajan con datos de los trabajadores del Cliente, respetar sus derechos digitales (LOPDGDD, arts. 87 a 91) y no usarlos para vigilarlos más allá de lo proporcionado.

12. Responsabilidad

Se aplica el régimen de responsabilidad de los términos del servicio, sin perjuicio de lo que establece el art. 82 RGPD frente a los interesados.

Anexo I · Descripción del tratamiento

Naturaleza y finalidad	Alojar y ejecutar a los empleados IA del Cliente (su ordenador en la nube, sus tareas y su memoria); enviar al modelo de IA lo necesario para cada tarea; atender y hacer llamadas y transcribirlas; guardar las claves de las cuentas conectadas; registrar la actividad; enviar avisos; copias de seguridad y soporte.
Categorías de interesados	Usuarios del Cliente; trabajadores, clientes, proveedores y contactos del Cliente; personas que llaman o reciben llamadas de sus empleados IA; personas cuyos datos aparezcan en los documentos, correos y sistemas a los que el Cliente da acceso.
Tipos de datos	Identificativos y de contacto (nombre, correo, teléfono, dirección); contenido de correos, mensajes, documentos y tareas; datos de negocio (pedidos, facturas, presupuestos); voz durante las llamadas, sus transcripciones y resúmenes; capturas de pantalla del ordenador del empleado; credenciales de las cuentas conectadas (cifradas); registro de actividad.
Categorías especiales	No previstas. Solo con acuerdo previo por escrito.
Frecuencia	Continua, mientras dure el contrato.
Conservación	Mientras dure el contrato, salvo que el Cliente borre antes. Llamadas: 90 días por defecto. Direcciones IP: 6 meses. Copias de seguridad: 14 días.

Anexo II · Medidas de seguridad

• Ubicación: plataforma y ordenadores de los empleados IA en centros de datos de Hetzner en la UE (Alemania y Finlandia).
• Cifrado: todas las conexiones con HTTPS (TLS); claves y contraseñas de las cuentas conectadas cifradas con AES‑256‑GCM y la clave guardada fuera de la base de datos; avisos al móvil cifrados de extremo a extremo (RFC 8291).
• Acceso: contraseñas de los usuarios guardadas como huella scrypt; sesiones con cookie HttpOnly que caducan; roles por empresa (Administrador, Responsable, Solo ver); cada empresa solo ve lo suyo.
• Servidores: cortafuegos, acceso de administración solo con clave SSH y desde un origen autorizado, sin contraseñas.
• Registro: lo que hacen personas y empleados IA queda en un registro que no se puede modificar, con fecha, hora y origen.
• Control de los empleados IA: niveles de autonomía, aprobación humana de lo importante, topes de gasto y de operación, y posibilidad de coger el control de su ordenador.
• Contraseñas y códigos: no pasan por la conversación ni por el Registro; los códigos de verificación se usan una vez y no se guardan.
• Copias: copia diaria de la base de datos, conservada 14 días.
• Minimización: IP borradas a los 6 meses; sesiones y enlaces caducados purgados; ElevenLabs borra cada llamada en cuanto la plataforma la ha guardado.
• Despliegues: ningún cambio llega a producción sin revisión y aprobación de una persona; si falla, se vuelve solo a la versión anterior.
• [Completar con la asesoría: plan de continuidad, formación del personal, revisión periódica de medidas]

Anexo III · Subencargados

La lista vigente, con qué hace cada uno, dónde y con qué garantía, está en subencargados.

Otros textos: Política de privacidad · Términos del servicio · Subencargados · Aviso legal · Política de cookies · Todos