Acuerdo de Encargado de Tratamiento

3.1 Instrucciones documentadas. Tratar los datos personales únicamente según las instrucciones documentadas del Responsable, incluyendo las relativas a transferencias internacionales de datos. Si NICHOWEB, S.L. considera que una instrucción infringe el RGPD o la normativa española aplicable, lo notificará al Responsable. Las instrucciones relativas a las funciones automatizadas y de inteligencia artificial se imparten conforme a la cláusula 3.10 y al Anexo III.

3.2 Confidencialidad. Garantizar que las personas autorizadas a tratar los datos personales se han comprometido a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad.

3.3 Medidas de seguridad (Art. 32 RGPD). Aplicar las medidas técnicas y organizativas descritas en el Anexo I de este Acuerdo.

3.4 Subencargados. No contratar a ningún subencargado sin autorización previa del Responsable. La autorización general de los subencargados listados en el Anexo II es concedida mediante la aceptación del presente Acuerdo. NICHOWEB, S.L. notificará al Responsable con 30 días de antelación cualquier incorporación o sustitución de subencargados.

3.5 Derechos de los interesados. Asistir al Responsable mediante las medidas técnicas y organizativas apropiadas para el cumplimiento de las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, limitación, oposición) de los interesados.

3.6 Asistencia al Responsable. Ayudar al Responsable a garantizar el cumplimiento de las obligaciones relativas a seguridad (Art. 32), notificación de violaciones (Arts. 33-34), evaluaciones de impacto (Art. 35) y consultas previas (Art. 36).

3.7 Supresión o devolución de datos. Al cesar el servicio, el Responsable conserva durante 30 días el acceso de consulta a sus datos, y elige entre su devolución y su supresión: (a) si lo solicita por escrito a legal@inmoly.es antes de que transcurran 90 días desde el cese, NICHOWEB, S.L. le entregará una copia de sus datos personales en un formato estructurado y de uso común en el plazo de 30 días desde la solicitud; (b) si solicita por escrito a legal@inmoly.es la supresión de sus datos antes de ese plazo, NICHOWEB, S.L. la ejecutará en el plazo de 30 días desde la solicitud. En todo caso, transcurridos 90 días desde el cese, NICHOWEB, S.L. suprimirá los datos del Responsable de la Plataforma. Las copias de seguridad de la base de datos que aún los contengan desaparecen en un máximo de cinco semanas, y los registros técnicos de errores que conserven fragmentos de ellos, en un máximo de 90 días. A petición del Responsable, NICHOWEB, S.L. certificará la supresión por escrito. Los datos cuya conservación exija el Derecho de la Unión o de los Estados miembros se devolverán al Responsable, que garantizará su conservación mientras tal obligación persista.

3.8 Auditorías. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD, y permitir y contribuir a la realización de auditorías.

3.9 Notificación de violaciones de seguridad. Notificar al Responsable sin dilación indebida (y en todo caso en el plazo máximo de 72 horas) tras tener conocimiento de una violación de seguridad de los datos personales que afecte a datos del Responsable, indicando: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas.

3.10 Funciones automatizadas y de inteligencia artificial.

(a) El Responsable instruye al Encargado para que trate los datos personales alojados en la Plataforma mediante las funciones de inteligencia artificial, y las automatizadas que valoran a un interesado, del Anexo III, con las finalidades que allí se indican y ninguna otra. Una función de esta clase que añada tratamiento y no figure en el Anexo III sólo se aplicará a los datos del Responsable después de incorporarse a él conforme a la cláusula 8. Las demás automatizaciones de la Plataforma, que no emplean inteligencia artificial ni valoran a un interesado —como la creación de fichas a partir de los avisos de los portales inmobiliarios o las reglas que el Responsable configura en el Motor de automatizaciones—, forman parte del servicio y se rigen por la cláusula 3.1: el Responsable las instruye al activarlas, o al mantener activadas las que vienen así por defecto, y puede desactivarlas en su configuración.

(b) El Responsable imparte la instrucción de cada función al activarla en la configuración de la Plataforma y la retira al desactivarla; cada cambio queda registrado con su autor y su fecha. Las funciones que el Anexo III indica como activadas por defecto lo están desde el alta del Responsable, que puede desactivarlas en cualquier momento del modo que allí se indica. El Encargado no cambiará la configuración que el Responsable haya elegido para esas funciones, salvo que deba desactivar o suspender una función porque lo exijan la ley, las condiciones de un subencargado o la seguridad del tratamiento, en cuyo caso lo comunicará sin demora al Responsable; un nuevo valor por defecto sólo se aplicará a las agencias que se den de alta después.

(c) Para las acciones que el Anexo III señala como graduables, la Plataforma podrá permitir elegir entre proponerlas al personal del Responsable para que las apruebe o ejecutarlas y comunicárselo, con la posibilidad de deshacerlas; esa elección es igualmente instrucción del Responsable. Las acciones que el Anexo III marca «siempre con aprobación», entre ellas la calificación y el completado de un lead, se proponen siempre para su aprobación. Los resultados que el Anexo III marca como informativos, como la puntuación del Análisis IA, se muestran al personal sin ejecutar acción alguna. Ninguna función adoptará sin intervención humana una decisión que produzca efectos jurídicos sobre un interesado o le afecte significativamente de modo similar.

(d) Una agencia que se dé de alta cuando la Plataforma ofrezca esa elección empezará con las acciones que el Anexo III marca «por sí sola al empezar» configuradas para ejecutarse y comunicarse, siempre que la función correspondiente esté activada; puede cambiarlo en cualquier momento.

(e) En todas estas funciones: (i) el tratamiento se realiza a través de los subencargados del Anexo II, en la Unión Europea, sin que los datos se empleen para desarrollar, entrenar ni mejorar modelos de inteligencia artificial; (ii) los datos que el Responsable conserve en cumplimiento de la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, no se emplean en ninguna de ellas; (iii) ningún mensaje redactado por inteligencia artificial se envía a un interesado sin que una persona del Responsable decida enviarlo.

(f) Cuando se registre en la Plataforma la oposición de un interesado al análisis automatizado de sus datos —porque la exprese en sus mensajes o porque la registre el personal del Responsable—, el Encargado dejará de aplicarle las funciones del Anexo III que esa oposición alcanza. Cuando se registre, del mismo modo, su petición de no recibir más mensajes, el Encargado detendrá los envíos automáticos a esa persona, salvo los de la cláusula 3.11. Ambas cosas se aplican cualquiera que sea la configuración del Responsable, que instruye al Encargado para hacerlo así.

3.11 Mensajes que exige la ley. El Responsable instruye al Encargado para enviar en su nombre, aunque tenga desactivados los envíos automáticos: (i) la confirmación a un interesado de que se ha registrado su oposición o su petición de no recibir más mensajes, cuando la haya expresado en sus mensajes; (ii) la información que exige el artículo 14 del RGPD a quien le llegó a través de un portal y no haya sido informado de otro modo, que el Responsable puede desactivar en el Motor de automatizaciones; y (iii) cuando la Plataforma lo incorpore, el mensaje que informa por primera vez del tratamiento de sus datos a quien ha escrito a la agencia y aún no ha sido informado.