Contrato de encargo de tratamiento

Versión 2026-11-14. Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes

El responsable es la persona o empresa titular de la cuenta de Rubrikea («el cliente»). La encargada es Magna Properties Group, S.L., con NIF B22902555. Este contrato lo acepta quien administra la cuenta, en nombre del cliente, y forma parte de las condiciones de contratación.

2. Objeto, duración y naturaleza

La encargada trata datos personales por cuenta del cliente con el único fin de prestarle el servicio de envío y firma electrónica de documentos, mientras la cuenta exista. El tratamiento consiste en recoger, guardar, consultar, enviar por correo o SMS, generar pruebas de la firma y borrar.

3. Datos y personas afectadas

• Personas: los firmantes y destinatarios de los documentos del cliente, y los usuarios de su cuenta.
• Datos: nombre, correo, teléfono y número de documento de identidad si el cliente los indica; firma; dirección IP, navegador y dispositivo; fechas y horas de cada paso; y lo que contengan los documentos.
• La herramienta no está pensada para categorías especiales de datos. Si el cliente las incluye en sus documentos, lo hace bajo su responsabilidad.

4. Obligaciones de la encargada

• Tratar los datos solo siguiendo las instrucciones del cliente, que son las que da al usar la herramienta, y avisarle si una instrucción puede infringir la ley.
• No usar los datos para fines propios. En particular, no enviar publicidad a los firmantes.
• Garantizar que las personas que acceden a los datos están obligadas a guardar confidencialidad.
• Aplicar las medidas de seguridad del apartado 6.
• Ayudar al cliente a atender los derechos de los interesados. La herramienta le permite exportar y borrar los datos por sí mismo; si un interesado se dirige a la encargada, esta lo remitirá al cliente.
• Avisar al cliente sin dilación indebida, y como máximo en 48 horas, de cualquier violación de seguridad que afecte a sus datos, con la información necesaria para que pueda notificarla.
• Ayudar al cliente, en lo razonable, con sus evaluaciones de impacto y consultas a la autoridad.
• Poner a su disposición la información necesaria para demostrar el cumplimiento de este contrato.

5. Otras empresas que intervienen

El cliente autoriza a la encargada a contar con estas empresas, que tratan datos por su cuenta con las mismas obligaciones de este contrato:

• Supabase, Inc.: base de datos, almacenamiento de los documentos e inicio de sesión. Unión Europea (París).
• Resend, Inc.: envío de los correos de invitación, códigos y avisos. Estados Unidos, con las garantías del RGPD.
• Twilio Inc.: envío de códigos por sms, solo si se usa esa opción. Estados Unidos, con las garantías del RGPD.
• Stripe Payments Europe, Ltd.: cobro de los planes de pago; no recibe documentos ni datos de firmantes. Unión Europea (Irlanda).
• Google Ireland Ltd.: inicio de sesión de quien elige entrar con google. Unión Europea (Irlanda).

Si la encargada quiere añadir o cambiar alguna, avisará al cliente con 30 días de antelación. Si el cliente se opone por un motivo razonable y no hay acuerdo, podrá cancelar el servicio. Cuando una de estas empresas trate datos fuera del Espacio Económico Europeo, lo hará con una de las garantías del capítulo V del RGPD: decisión de adecuación o cláusulas contractuales tipo.

6. Medidas de seguridad

• Conexiones cifradas y documentos guardados en un almacén privado, en servidores de la Unión Europea.
• Acceso a cada documento solo con el enlace personal del firmante y un código de un solo uso.
• Separación entre cuentas, y dentro de cada cuenta entre usuarios según su perfil.
• Historial de cada documento que no se puede modificar, y huella de cada fichero para detectar cambios.
• Límites de intentos en los códigos y en las consultas públicas.
• Borrado de documentos, firmas e historial al eliminar un sobre o una cuenta, y por plazo de conservación si el cliente lo configura.

7. Obligaciones del cliente

• Tener una base legal para tratar los datos de sus firmantes e informarles como exige el RGPD.
• No subir datos que no sean necesarios para el documento que se firma.
• Fijar el plazo de conservación de sus documentos y atender las solicitudes de derechos de sus firmantes.

8. Al terminar

Mientras la cuenta exista, el cliente puede descargar sus documentos y sus datos. Al eliminar la cuenta, la encargada borra los datos, salvo los que deba conservar por obligación legal, que quedarán bloqueados. Las copias de seguridad se eliminan en su ciclo ordinario.

9. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD o este contrato, en los términos del artículo 82 del RGPD.