Contrato de encargado del tratamiento
Última actualización: 15 de noviembre de 2026
Contrato conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD)
Responsable del tratamiento: la empresa que usa Inselkontor (en adelante, el «cliente»)
Encargado del tratamiento: Nico Gnutzmann, Camino Real 223B, 38355 Tacoronte (Santa Cruz de Tenerife), España, NIF/NIE Y9034636C, info@inselkontor.com (en adelante, el «prestador»)
Este contrato se aplica a todos los clientes de Inselkontor. Se celebra con el registro y la aceptación de las condiciones generales y forma parte del contrato de uso (contrato principal).
1. Objeto y duración
El prestador pone a disposición del cliente el software Inselkontor y, al hacerlo, trata datos personales por cuenta del cliente. Este contrato dura lo mismo que el contrato principal y, además, hasta que todos los datos del cliente se hayan borrado o devuelto.
2. Naturaleza y finalidad del tratamiento
Almacenar, organizar, mostrar, traducir, transmitir y suprimir datos para que el cliente pueda elaborar y enviar presupuestos y facturas, gestionar clientes y proyectos, registrar horas de trabajo y permitir la aceptación online de presupuestos.
3. Tipos de datos
- Datos de contacto de clientes e interesados del cliente: nombre, empresa, dirección, teléfono, email, NIF/NIE, tratamiento (tú o usted)
- Datos de proyectos: dirección de la obra, notas, fotos, notas de llamadas, tareas, estado
- Contenido de presupuestos y facturas: partidas, cantidades, precios, tipos impositivos, estado de cobro
- Datos de la aceptación online de presupuestos: nombre, firma y momento
- Control horario: horas de trabajo, pausas y precios por hora de las personas que trabajan en la empresa del cliente
- Contenido y estado de entrega de los emails y mensajes que el cliente envía a través de Inselkontor
4. Categorías de interesados
Clientes, interesados y personas de contacto del cliente, así como las personas que trabajan en la empresa del cliente o usan Inselkontor por cuenta de este.
5. Obligaciones del prestador
5.1 El prestador trata los datos únicamente siguiendo instrucciones documentadas del cliente. El cliente da sus instrucciones mediante el uso y los ajustes del software y por email. Si el prestador considera que una instrucción infringe la normativa, lo comunicará al cliente de inmediato.
5.2 El prestador obliga a todas las personas con acceso a los datos a guardar confidencialidad.
5.3 El prestador aplica las medidas técnicas y organizativas de la cláusula 8 (art. 32 RGPD).
5.4 El prestador ayuda al cliente a atender las solicitudes de los interesados (arts. 12 a 22 RGPD) y a cumplir sus obligaciones de los arts. 32 a 36 RGPD. Si un interesado se dirige directamente al prestador, este remitirá la solicitud al cliente.
5.5 El prestador informará al cliente sin dilación indebida, a ser posible en un plazo de 48 horas, cuando tenga conocimiento de una violación de la seguridad de los datos personales, y le ayudará a investigarla y notificarla.
5.6 Al terminar el contrato principal, el cliente puede exportar sus datos dentro del plazo indicado en las condiciones generales. Después, el prestador suprime los datos, salvo que exista una obligación legal de conservarlos.
5.7 El prestador pone a disposición del cliente toda la información necesaria para demostrar el cumplimiento de este contrato.
6. Subencargados del tratamiento
6.1 El cliente autoriza la intervención de los siguientes subencargados:
| Empresa | Servicio | Lugar y garantías |
|---|---|---|
| Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, EE. UU. | Alojamiento del software, base de datos, almacenamiento de archivos, entrega y protección frente a ataques | Almacenamiento en centros de datos de la UE; Data Privacy Framework UE-EE. UU. y cláusulas contractuales tipo |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 París, Francia | Envío de emails | UE |
| Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, EE. UU. | Traducción automática y chat de ayuda | EE. UU.; cláusulas contractuales tipo |
| Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublín, Irlanda | Cobro de la suscripción del cliente; Stripe solo recibe datos del propio cliente, ningún dato de sus clientes | UE; Data Privacy Framework UE-EE. UU. y cláusulas contractuales tipo |
6.2 A Anthropic solo se transmiten datos cuando se traducen textos o se usa el chat de ayuda: los textos que se traducen o los mensajes del chat, así como datos sobre la pantalla abierta en ese momento y, si hay un documento abierto, su contenido.
6.3 El prestador informará al cliente por email con al menos cuatro semanas de antelación antes de añadir o sustituir un subencargado. El cliente puede oponerse por un motivo justificado de protección de datos. Si las partes no llegan a un acuerdo, el cliente puede resolver el contrato principal con efecto en la fecha del cambio.
6.4 El prestador impone por contrato a cada subencargado un nivel de protección de datos equivalente al de este contrato.
7. Transferencias internacionales
Los datos se almacenan en la UE. En la medida en que se transfieran datos a EE. UU. o sea posible un acceso desde allí, esto solo ocurre sobre la base de una decisión de adecuación (Data Privacy Framework UE-EE. UU.) o de las cláusulas contractuales tipo de la Comisión Europea (arts. 45 y 46 RGPD).
8. Medidas técnicas y organizativas
- Cifrado: todas las conexiones entre dispositivos, software y servicios van cifradas (HTTPS/TLS).
- Separación: cada empresa tiene su propia base de datos, separada de las demás.
- Protección del acceso: las contraseñas solo se guardan como hash. Es posible entrar con claves de acceso (passkeys), por ejemplo Face ID; los datos biométricos no salen del dispositivo.
- Bloqueo automático: el software ofrece un bloqueo automático, tras el cual hay que volver a iniciar sesión.
- Acceso del prestador: el prestador solo accede a los datos del cliente cuando es necesario para corregir errores o a petición del cliente, y solo en la medida necesaria.
- Infraestructura: funcionamiento en centros de datos de Cloudflare en la UE, con control de acceso físico y protección frente a ataques a cargo del operador.
- Resiliencia y recuperación: el cliente puede exportar sus datos en cualquier momento. El prestador revisa y mejora las medidas con regularidad.
9. Derechos y obligaciones del cliente
El cliente es responsable de la licitud del tratamiento, en particular de poder recoger los datos de sus clientes y trabajadores y tratarlos en Inselkontor. Informará al prestador sin demora si detecta errores o irregularidades en el tratamiento.
10. Auditorías
El cliente puede comprobar el cumplimiento de este contrato. Por lo general basta con información por escrito del prestador. Las inspecciones in situ son posibles con aviso previo suficiente, en horario laboral habitual y sin perturbar de forma desproporcionada la actividad del prestador. Los costes corren a cargo del cliente.
11. Responsabilidad y disposiciones finales
11.1 La responsabilidad se rige por el art. 82 RGPD. En lo demás se aplican las condiciones generales.
11.2 En caso de contradicción entre este contrato y las condiciones generales, este contrato prevalece en materia de protección de datos.
11.3 Se aplica la legislación española. Son competentes los juzgados y tribunales de Santa Cruz de Tenerife. En caso de discrepancia entre la versión alemana y la española, prevalece la española.