Acuerdo de Encargado de Tratamiento

3.1 Instrucciones documentadas. Tratar los datos personales únicamente según las instrucciones documentadas del Responsable, incluyendo las relativas a transferencias internacionales de datos. Si NICHOWEB, S.L. considera que una instrucción infringe el RGPD o la normativa española aplicable, lo notificará al Responsable. Las instrucciones relativas a las funciones automatizadas y de inteligencia artificial se imparten conforme a la cláusula 3.10 y al Anexo III.

3.2 Confidencialidad. Garantizar que las personas autorizadas a tratar los datos personales se han comprometido a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad.

3.3 Medidas de seguridad (Art. 32 RGPD). Aplicar las medidas técnicas y organizativas descritas en el Anexo I de este Acuerdo.

3.4 Subencargados. No contratar a ningún subencargado sin autorización previa del Responsable. La autorización general de los subencargados listados en el Anexo II es concedida mediante la aceptación del presente Acuerdo. NICHOWEB, S.L. notificará al Responsable con 30 días de antelación cualquier incorporación o sustitución de subencargados.

3.5 Derechos de los interesados. Asistir al Responsable mediante las medidas técnicas y organizativas apropiadas para el cumplimiento de las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, limitación, oposición) de los interesados.

3.6 Asistencia al Responsable. Ayudar al Responsable a garantizar el cumplimiento de las obligaciones relativas a seguridad (Art. 32), notificación de violaciones (Arts. 33-34), evaluaciones de impacto (Art. 35) y consultas previas (Art. 36).

3.7 Supresión o devolución de datos. Al cesar el servicio, el Responsable conserva durante 30 días el acceso de consulta a sus datos, y elige entre su devolución y su supresión: (a) si lo solicita por escrito a legal@inmoly.es antes de que transcurran 90 días desde el cese, NICHOWEB, S.L. le entregará una copia de sus datos personales en un formato estructurado y de uso común en el plazo de 30 días desde la solicitud; (b) si solicita por escrito a legal@inmoly.es la supresión de sus datos antes de ese plazo, NICHOWEB, S.L. la ejecutará en el plazo de 30 días desde la solicitud. En todo caso, transcurridos 90 días desde el cese, NICHOWEB, S.L. suprimirá los datos del Responsable de la Plataforma. Las copias de seguridad de la base de datos que aún los contengan desaparecen en un máximo de cinco semanas, y los registros técnicos de errores que conserven fragmentos de ellos, en un máximo de 90 días. A petición del Responsable, NICHOWEB, S.L. certificará la supresión por escrito. Los datos cuya conservación exija el Derecho de la Unión o de los Estados miembros se devolverán al Responsable, que garantizará su conservación mientras tal obligación persista.

3.8 Auditorías. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD, y permitir y contribuir a la realización de auditorías.

3.9 Notificación de violaciones de seguridad. Notificar al Responsable sin dilación indebida (y en todo caso en el plazo máximo de 72 horas) tras tener conocimiento de una violación de seguridad de los datos personales que afecte a datos del Responsable, indicando: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas.

3.10 Funciones automatizadas y de inteligencia artificial.

(a) El Responsable instruye al Encargado para que trate los datos personales alojados en la Plataforma mediante las funciones de inteligencia artificial, y las automatizadas que valoran a un interesado, del Anexo III, con las finalidades que allí se indican y ninguna otra. Una función de esta clase que añada tratamiento y no figure en el Anexo III sólo se aplicará a los datos del Responsable después de incorporarse a él conforme a la cláusula 8. Las demás automatizaciones de la Plataforma, que no emplean inteligencia artificial ni valoran a un interesado —como la creación de fichas a partir de los avisos de los portales inmobiliarios o las reglas que el Responsable configura en el Motor de automatizaciones—, forman parte del servicio y se rigen por la cláusula 3.1: el Responsable las instruye al activarlas, o al mantener activadas las que vienen así por defecto, y puede desactivarlas en su configuración. De ellas, las que envían un mensaje a un interesado sólo lo envían una vez que el Responsable las activa en la pantalla de revisión, lo que queda registrado.

(b) El Responsable imparte la instrucción de cada función al activarla en la configuración de la Plataforma y la retira al desactivarla; cada cambio queda registrado con su autor y su fecha. Las funciones que el Anexo III indica como activadas por defecto lo están desde el alta del Responsable, que puede desactivarlas en cualquier momento del modo que allí se indica. El Encargado no cambiará la configuración que el Responsable haya elegido para esas funciones, salvo que deba desactivar o suspender una función porque lo exijan la ley, las condiciones de un subencargado o la seguridad del tratamiento, en cuyo caso lo comunicará sin demora al Responsable; un nuevo valor por defecto sólo se aplicará a las agencias que se den de alta después.

(c) Para las acciones que el Anexo III señala como graduables, la Plataforma podrá permitir elegir entre proponerlas al personal del Responsable para que las apruebe o ejecutarlas y comunicárselo, con la posibilidad de deshacerlas; esa elección es igualmente instrucción del Responsable. Las acciones que el Anexo III marca «siempre con aprobación» se proponen siempre para su aprobación. Los resultados que el Anexo III marca como informativos, como la puntuación del Análisis IA, se muestran al personal sin ejecutar acción alguna. Ninguna función adoptará sin intervención humana una decisión que produzca efectos jurídicos sobre un interesado o le afecte significativamente de modo similar.

(d) Una agencia que se dé de alta cuando la Plataforma ofrezca esa elección empezará con las acciones que el Anexo III marca «por sí sola al empezar» configuradas para ejecutarse y comunicarse, siempre que la función correspondiente esté activada; puede cambiarlo en cualquier momento.

(e) En todas estas funciones: (i) el tratamiento se realiza a través de los subencargados del Anexo II, en la Unión Europea, sin que los datos se empleen para desarrollar, entrenar ni mejorar modelos de inteligencia artificial; (ii) los datos que el Responsable conserve en cumplimiento de la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, no se emplean en ninguna de ellas; (iii) ningún mensaje redactado por inteligencia artificial se envía a un interesado sin que una persona del Responsable decida enviarlo.

(f) Cuando se registre en la Plataforma la oposición de un interesado al análisis automatizado de sus datos —porque la exprese en sus mensajes o porque la registre el personal del Responsable—, el Encargado dejará de aplicarle las funciones del Anexo III que esa oposición alcanza. Cuando se registre, del mismo modo, su petición de no recibir más mensajes, el Encargado detendrá los envíos automáticos a esa persona, salvo los de la cláusula 3.11. Ambas cosas se aplican cualquiera que sea la configuración del Responsable, que instruye al Encargado para hacerlo así.

3.11 Mensajes que exige la ley. El Responsable instruye al Encargado para enviar en su nombre: (i) la confirmación a un interesado de que se ha registrado su oposición o su petición de no recibir más mensajes, cuando la haya expresado en sus mensajes, aunque tenga desactivados los «Mensajes automáticos»; (ii) la información que exige el artículo 14 del RGPD a quien le llegó a través de un portal y no haya sido informado de otro modo; (iii) el mensaje que informa por primera vez del tratamiento de sus datos a quien escribe por primera vez a la agencia por WhatsApp, o responde por primera vez a una conversación que la agencia inició, y aún no ha sido informado; y (iv) el correo que informa por primera vez del tratamiento de sus datos, enviado desde la cuenta de Gmail del personal y en la misma conversación, a quien el personal escribió por primera vez desde su programa de correo sin esa información y aún no ha sido informado, si le había escrito antes o consta en la Plataforma como contacto o solicitud, dentro de los siete días siguientes a ese correo y nunca a quien pidió no recibir más mensajes. Todos ellos, salvo la confirmación (i), se envían una vez que el Responsable los active en la pantalla de revisión, que muestra su texto, su destinatario y desde cuándo se envían; mientras no los tenga activados, o tenga desactivados los «Mensajes automáticos», el Responsable sigue obligado a facilitar esa información por sus propios medios. Los mensajes que informan por primera vez del tratamiento no se envían a quien ya constaba en la Plataforma antes de que el Responsable aceptara la versión que los incluye y los activara en la pantalla de revisión.

3.12 Datos bloqueados.

(a) Cuando el Responsable suprima en la Plataforma los datos de un interesado, NICHOWEB, S.L. conservará antes de suprimirlos una copia segura de ellos, cifrada, fechada y con una huella de su contenido que permite acreditar su autenticidad, la fecha del bloqueo y su no manipulación (art. 32.4 LOPDGDD). La copia no incluye el contenido de los mensajes recibidos a través de Gmail. Inmoly conserva la copia desde que la política de privacidad que el Responsable publica en la Plataforma informa a los interesados de ese bloqueo; hasta entonces, la Plataforma pone a disposición del Responsable la copia para que la conserve él en las condiciones de esta cláusula.

(b) NICHOWEB, S.L. no tratará la copia para ninguna otra finalidad, incluida cualquier función del Anexo III. Sólo un administrador del Responsable puede abrirla desde la Plataforma, indicando a quién la entrega —jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular las autoridades de protección de datos—, lo que queda registrado, a efectos de la exigencia de posibles responsabilidades derivadas del tratamiento. No puede abrirla el personal de NICHOWEB, S.L. que accede a la cuenta del Responsable para prestarle soporte.

(c) La copia se destruye a los tres años del bloqueo. Al cesar el servicio, las copias que no hayan cumplido ese plazo se devolverán al Responsable conforme a la cláusula 3.7 y no se destruirán. Una vez devueltas, NICHOWEB, S.L. suprimirá su propio ejemplar.

(d) No se suprimen, mientras dure la obligación o el plazo, los datos que el Responsable deba conservar por una obligación legal —mercantil, fiscal o de prevención del blanqueo de capitales— ni los que necesite para formular, ejercer o defender reclamaciones derivadas de un contrato. El administrador del Responsable confirma o levanta cada una de esas retenciones al ordenar la supresión; en la supresión al término de un plazo, se conservan las que la Plataforma propone.

3.13 Supresión al término de los plazos. NICHOWEB, S.L. suprimirá, por cuenta del Responsable, los datos de un interesado al término del plazo que el Responsable publica en su política de privacidad en la Plataforma, mientras ésta siga la plantilla que la Plataforma le proporciona; si el Responsable la modifica, la supresión al término de sus plazos le corresponde a él. Antes conservará la copia bloqueada de la cláusula 3.12 y conservará, sin suprimirlos, los datos sujetos a las retenciones de su apartado (d), que la Plataforma propone y el administrador del Responsable puede levantar.