Contrato de encargo del tratamiento

1. Partes y objeto

Este contrato se aplica cuando el cliente (la persona o empresa titular de la cuenta de CHESIA Workspace) usa la plataforma para tratar datos personales de terceros: por ejemplo, los clientes o visitantes de su web, los usuarios de su aplicación, los contactos de un formulario o los pedidos de una tienda online. En ese tratamiento, el cliente es el responsable y CHESIA el encargado (art. 28 del Reglamento (UE) 2016/679, RGPD, y art. 33 de la LOPDGDD).

Encargado del tratamiento:

• Titular: Jeampool German Olivares Cordova (persona física (autónomo)), con nombre comercial CHESIA
• NIF/NIE: NIE Z1529297D
• Domicilio: Carrer de Floridablanca, 138, Eixample, 08011 Barcelona (España)
• Actividad: desarrollo de software y publicidad
• Contacto: contact@chesia.net · +34 633 177 527

Forma parte de las Condiciones del servicio; se acepta con ellas y vale mientras se preste el servicio. Cuando CHESIA trata datos de la propia cuenta del cliente (nombre, correo, facturación), actúa como responsable según la Política de privacidad, no como encargado.

2. Descripción del tratamiento

• Objeto y finalidad: prestar el servicio contratado: alojar, ejecutar, publicar, copiar y servir los proyectos del cliente (webs, aplicaciones, bases de datos, archivos y repositorios), medir de forma agregada las visitas a sus webs publicadas y, si el cliente la usa, enviar a la IA incluida el contenido que él mismo escribe o que el asistente lee del proyecto.
• Naturaleza: almacenamiento, alojamiento, transmisión, copia, restauración, supresión y, en las estadísticas, agregación. CHESIA no accede al contenido de los proyectos salvo para soporte solicitado por el cliente, seguridad, o por obligación legal.
• Duración: mientras dure el servicio, más los plazos de supresión de este contrato.
• Categorías de interesados: las que decida el cliente: típicamente visitantes y usuarios de sus webs y apps, sus clientes y contactos, y su personal.
• Categorías de datos: las que el cliente incluya en sus proyectos: contacto (nombre, correo, teléfono), identificadores de usuario, contenido de mensajes y formularios, datos de pedidos y de uso. Las estadísticas de visitas no guardan IP ni usan cookies.
• Datos especiales: la plataforma no está diseñada para tratar categorías especiales de datos (salud, ideología, etc.) ni datos de menores a gran escala; no están prohibidos, pero si el cliente los trata debe tener una base legal que lo permita, valorar si necesita una evaluación de impacto y aplicar por su cuenta las garantías adicionales que exija la ley; las medidas de seguridad de CHESIA son las descritas en este contrato, no unas reforzadas para estos datos.

3. Obligaciones de CHESIA como encargado

CHESIA se compromete a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son las que resultan de este contrato, de las Condiciones y del uso de la plataforma (y de peticiones por escrito razonables). Si CHESIA cree que una instrucción infringe la normativa de protección de datos, se lo comunicará.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Aplicar las medidas de seguridad del apartado correspondiente (art. 32 RGPD).
4. Respetar las condiciones de los subencargados del apartado siguiente.
5. Asistir al cliente, con medidas técnicas y organizativas razonables, para atender los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición): las herramientas de exportación y borrado de la plataforma y, cuando haga falta, la ayuda del equipo. Si CHESIA recibe una solicitud de un interesado sobre datos del cliente, se la trasladará sin dilación y no la responderá por su cuenta salvo instrucción.
6. Asistir al cliente en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas) teniendo en cuenta la información de que dispone.
7. Notificar al cliente las brechas de seguridad que afecten a sus datos sin dilación indebida y, como máximo, en 48 horas desde que CHESIA tenga conocimiento, por correo a la dirección de su cuenta, con la información disponible en ese momento (naturaleza de la brecha, categorías y número aproximado de datos y personas afectadas, consecuencias probables, medidas adoptadas o propuestas y un contacto). Si no se dispone de toda la información a la vez, se facilitará por fases sin más demora. Así el cliente puede cumplir su propio plazo de 72 horas ante la autoridad de control.
8. Llevar un registro de las actividades de tratamiento que realiza por cuenta del cliente.

4. Subencargados

El cliente da una autorización general por escrito a CHESIA para recurrir a los subencargados de esta lista, con quienes CHESIA firma un contrato que impone las mismas obligaciones de protección de datos de este contrato. CHESIA sigue siendo plenamente responsable ante el cliente de su cumplimiento.

CHESIA avisará al cliente de cualquier cambio previsto (alta o sustitución de un subencargado) por correo a la dirección de su cuenta con al menos 30 días de antelación. Durante ese plazo el cliente puede oponerse escribiendo a contact@chesia.net; si se opone y CHESIA no puede ofrecerle una alternativa, el cliente puede resolver el contrato antes de que el cambio se aplique, sin penalización, y llevarse sus datos (con la devolución de la parte proporcional ya pagada y no consumida).

Transferencias internacionales: solo se hacen a subencargados con garantías adecuadas (decisión de adecuación, Marco de Privacidad de Datos o cláusulas contractuales tipo). El proveedor de IA trata fuera de la UE lo que el cliente envía al asistente, así que el cliente decide qué datos personales incluye en el chat y es responsable de ello; se recomienda no incluir datos personales de terceros en las peticiones a la IA.

5. Medidas de seguridad

CHESIA aplica, como mínimo, estas medidas técnicas y organizativas, proporcionadas al riesgo:

• Cifrado en tránsito: todo el tráfico con la plataforma y las webs publicadas va cifrado con TLS; la protección perimetral (DDoS, WAF) es de Cloudflare y la infraestructura no se expone directamente a internet, sino mediante un túnel.
• Acceso y autenticación de los usuarios: contraseñas guardadas con scrypt (nunca en claro); sesiones con token aleatorio del que solo se guarda su resumen (cookie HttpOnly, SameSite=Strict); comprobación del origen en operaciones de escritura; límites de intentos por cuenta y por IP y comprobación anti-bots; código enviado por correo al entrar desde un dispositivo nuevo; cada operación comprueba que el recurso pertenece a la cuenta.
• Aislamiento entre clientes: los proyectos publicados y los espacios de trabajo se ejecutan en contenedores sin privilegios (perfil «restringido» de Kubernetes: sin usuario root, sin escalada de privilegios y sin capacidades especiales) y con políticas de red que bloquean todo el tráfico por defecto y solo abren lo necesario; las bases de datos de proyecto tienen roles propios; el código de los clientes se sirve desde un dominio distinto (chesia.app) del de la plataforma.
• Secretos: variables de entorno y credenciales de bases de datos de proyecto cifradas (AES-256-GCM); las credenciales de la plataforma, en secretos del clúster y no en el repositorio de código.
• Copias: copias diarias de las bases de datos, con archivo continuo de cambios, conservadas hasta 30 días, para la continuidad del servicio (ver Condiciones del servicio).
• Minimización: las estadísticas de visitas no usan cookies ni guardan la IP (identificador distinto cada día con una sal secreta que se renueva); las IP de los límites de intentos solo se guardan como huella.
• Trazabilidad: registro de auditoría de los accesos y las acciones sensibles de la cuenta.
• Control de accesos del equipo: solo el personal de CHESIA que lo necesita para operar la plataforma tiene acceso a la infraestructura, sujeto a confidencialidad; CHESIA no accede al contenido de los proyectos salvo en los casos del apartado «Descripción del tratamiento».

Esta lista describe solo las medidas que CHESIA aplica hoy (no incluye certificaciones ni auditorías externas) y se actualizará cuando cambien.

6. Obligaciones del cliente

El cliente, como responsable, garantiza que tiene base legal para los tratamientos que realiza en la plataforma, que informa a los interesados (política de privacidad de su web, aviso de cookies si añade las suyas), que atiende sus derechos y que sus instrucciones cumplen la normativa. Las cookies o el seguimiento que el cliente añada a sus webs o apps son responsabilidad suya. El cliente debe configurar con cuidado qué datos envía a la IA y no introducir datos que no pueda tratar legítimamente.

7. Fin del servicio: devolución y supresión

Al terminar el servicio, el cliente puede recuperar sus datos antes: el código de cada proyecto está en su repositorio Git y puede exportarse, y Ajustes → Datos y cuenta permite descargar una copia de los datos de la cuenta; las bases de datos y archivos de proyecto se pueden exportar desde cada proyecto.

Después, CHESIA suprime los datos: los proyectos pasan a la papelera y se purgan a los 7 días (o antes con «Borrar ya»), y al eliminar la cuenta se anonimiza a los 7 días. Los datos que permanezcan en copias de seguridad se eliminan al caducar su retención. CHESIA solo conservará datos si una ley lo exige (por ejemplo, la facturación, que es dato del propio cliente y no de sus interesados), bloqueados y sin otro uso.

8. Información y auditorías

CHESIA pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato (esta documentación, el detalle de subencargados y de medidas de seguridad) y colaborará con auditorías razonables realizadas por el cliente o un auditor independiente, previo aviso por escrito con 30 días de antelación, en horario laboral, sin comprometer la seguridad ni los datos de otros clientes y con confidencialidad. Los costes de una auditoría específica correrán a cargo del cliente salvo que revele un incumplimiento grave de CHESIA.

Para ejercer cualquiera de estos derechos o resolver dudas sobre este contrato: contact@chesia.net.