Contrato de encargo de tratamiento de datos personales (DPA)

Última actualización: 26 de octubre de 2026

1. Partes y objeto

El presente contrato de encargo de tratamiento (en adelante, el "DPA") se celebra entre la organización cliente de la plataforma Utilia OS (en adelante, el "Responsable del tratamiento" o el "Cliente") y UTILIA SERVICIOS IA S. COOP. CAN., con NIF F75452102 y domicilio social en C/ Teniente Coronel Castillo Olivares, 26, piso 16, letra A-2, 35011 Las Palmas de Gran Canaria (en adelante, el "Encargado del tratamiento" o "UTILIA"), de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

El objeto del DPA es regular el tratamiento de datos personales que UTILIA realiza por cuenta del Responsable como consecuencia de la prestación del servicio de la plataforma Utilia OS, conforme al contrato de servicio suscrito entre las partes (los "Términos de uso" y, en su caso, el pedido o plan contratado).

2. Duración, naturaleza y finalidad del tratamiento

• Duración: el tratamiento se prolonga mientras esté vigente la relación de servicio entre el Cliente y UTILIA, más el periodo de devolución o supresión previsto en la cláusula 10 y, respecto de la documentación mercantil y tributaria, el plazo de conservación bloqueada que esa misma cláusula establece.
• Naturaleza: alojamiento, almacenamiento, estructuración, consulta, comunicación por transmisión, copia de seguridad, transcripción y análisis asistido por inteligencia artificial de los datos que el Cliente introduce en la plataforma, en la medida estrictamente necesaria para prestar cada funcionalidad activada por el Cliente.
• Finalidad: la prestación del servicio Utilia OS (CRM, finanzas y facturación, operaciones —compras, almacén y ventas—, comunicaciones internas, videoconferencia, gestión documental, gestión del trabajo, marketing, portal del cliente y demás módulos contratados), incluido el soporte técnico y el mantenimiento.

3. Tipo de datos personales y categorías de interesados

• Categorías de interesados: personal y colaboradores del Cliente; contactos comerciales, clientes finales y leads del Cliente; proveedores del Cliente que sean personas físicas y personas de contacto dentro de los proveedores del Cliente; usuarios del portal del cliente; participantes en reuniones, llamadas y comunicaciones gestionadas a través de la plataforma.
• Tipos de datos: datos identificativos y de contacto; datos profesionales y de empleo (incluidos el cargo y el área de las personas de contacto de los proveedores); datos económicos, financieros y de facturación (incluidos identificadores fiscales e IBAN cuando el Cliente los registra); contenido de comunicaciones, documentos y archivos; imágenes o fotografías de personas cuando el Cliente las incorpora a una ficha; registro de la actividad mantenida con esas personas (llamadas, correos, reuniones y notas) cuando el Cliente la anota; campos adicionales definidos por el propio Cliente para sus fichas, cuyo contenido decide él; documentos del ciclo de compras, almacén y ventas (solicitudes, pedidos, recepciones, albaranes, recuentos y movimientos de existencias), que registran la identidad de la persona usuaria que ejecuta cada paso y su fecha y hora; grabaciones y transcripciones de reuniones y llamadas cuando el Cliente activa esas funcionalidades; metadatos de uso técnico.
• La plataforma no está diseñada específicamente para tratar categorías especiales de datos del artículo 9 RGPD, pero algunas funcionalidades permiten tratarlas o tratar datos especialmente sensibles: en particular, el módulo de RRHH permite registrar ausencias cuyo tipo o motivo puede revelar datos de salud (como las bajas médicas, las citas médicas o la enfermedad de un familiar) y adjuntar sus justificantes, y, si el Cliente lo activa en su política de fichaje, registrar la ubicación de la persona al fichar. Corresponde al Cliente decidir si utiliza estas funcionalidades, determinar la base jurídica y, en su caso, la excepción del artículo 9.2 RGPD que ampara el tratamiento, y valorar su proporcionalidad. Si el Cliente decide introducir otras categorías especiales de datos bajo su responsabilidad, deberá contar con una base jurídica adecuada y comunicarlo a UTILIA para valorar medidas adicionales.

4. Obligaciones y derechos del Responsable

Corresponde al Responsable: (a) decidir sobre la finalidad, contenido y uso del tratamiento; (b) garantizar la licitud de los datos que introduce en la plataforma y la existencia de base jurídica; (c) atender los derechos de los interesados, con la asistencia de UTILIA descrita en la cláusula 8; (d) impartir instrucciones documentadas a UTILIA, siendo la configuración de la plataforma y las funcionalidades activadas la instrucción principal; y (e) velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte de UTILIA, ejerciendo la supervisión prevista en la cláusula 11.

5. Instrucciones documentadas (art. 28.3.a RGPD)

UTILIA tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que una obligación del Derecho de la Unión o de un Estado miembro exija otro tratamiento; en tal caso, UTILIA informará al Responsable de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público. Si UTILIA considera que una instrucción infringe la normativa de protección de datos, informará inmediatamente al Responsable.

5 bis. Asistentes de inteligencia artificial conectados por las personas usuarias del Responsable

Las personas usuarias del Responsable pueden conectar a la plataforma asistentes de inteligencia artificial de terceros, como Claude, ChatGPT o Cursor, autorizándolos con su propia cuenta mediante OAuth o creando una clave personal. Las partes acuerdan que esa autorización o esa creación, realizada por una persona usuaria con las credenciales y los permisos que el Responsable le ha asignado, constituye una instrucción documentada del Responsable en el sentido del artículo 28.3.a) del RGPD para poner a disposición de esa aplicación los datos que solicite dentro de los permisos concedidos.

El proveedor del asistente es un destinatario elegido por el Responsable o por sus personas usuarias, en el sentido del artículo 4.9 del RGPD, y no un subencargado de UTILIA: UTILIA no lo contrata ni le encarga tratamiento alguno, y no recibe las conversaciones con el asistente, sino solo las peticiones que este formula a la plataforma. Corresponden al Responsable la base jurídica de esa comunicación de datos, el contrato o las condiciones que lo vinculen con ese proveedor y, en su caso, las garantías de las transferencias internacionales que este realice.

UTILIA registra en el registro de auditoría cada petición del asistente, incluidas las consultas, con la herramienta utilizada, sus parámetros (con los campos considerados sensibles ocultos por su nombre, como secretos, IBAN, NIF, teléfonos o coordenadas), la dirección IP y el programa que la formula, y la conserva durante el plazo de 365 días previsto para esa categoría en la política de retención del registro de auditoría. Conserva asimismo los datos de cada autorización (aplicación, persona, ámbitos concedidos, último uso y número de usos) hasta el día siguiente al fin de su plazo máximo de renovación, también cuando se retira antes, y registra en el registro de auditoría la creación y la retirada de claves personales y la desconexión de asistentes, con los plazos de esa misma política (cláusula 10.1).

El Responsable puede limitar el alcance de estos asistentes mediante el plan contratado, los permisos que asigna a cada persona usuaria, la exclusión de archivos y carpetas del acceso de la inteligencia artificial y la desactivación de personas usuarias, que retira todas sus conexiones. Cada persona usuaria puede retirar sus conexiones en cualquier momento.

5 ter. Aplicaciones instaladas desde el catálogo

Las personas usuarias del Responsable a las que este concede el permiso de instalar aplicaciones pueden instalar, para toda la organización, aplicaciones de otros desarrolladores publicadas en el catálogo de aplicaciones de Utilia OS, tanto las que aparecen en Explorar como las que solo se instalan con su enlace, y comprar las de pago si además pueden gestionar el plan. Antes de instalar, la plataforma muestra a esa persona los permisos que pide la aplicación con la finalidad que declara su desarrollador, los aplicativos de la plataforma que necesita, si el desarrollador guarda datos personales y, en ese caso, cuáles, para qué, durante cuánto tiempo, en qué país y con qué garantía, si la aplicación usa inteligencia artificial, la identidad del desarrollador y el enlace a su contrato de encargo; y le pide elegir la persona responsable con cuyos permisos actuará la aplicación. Las partes acuerdan que esa instalación, realizada por una persona usuaria con las credenciales y los permisos que el Responsable le ha asignado, constituye una instrucción documentada del Responsable en el sentido del artículo 28.3.a) del RGPD para poner a disposición del desarrollador de la aplicación los datos que esta solicite dentro de los permisos concedidos, y para comunicarle el identificador y el nombre de la organización del Responsable, el estado de la instalación y, si se indica al desinstalar, su motivo. Si la aplicación es de pago, UTILIA comunica además al desarrollador el plan, el estado, las fechas y el precio sin impuestos de la suscripción, nunca los datos de pago, de facturación ni fiscales del Responsable.

El desarrollador de la aplicación es un destinatario elegido por el Responsable, en el sentido del artículo 4.9 del RGPD, y no un subencargado de UTILIA: UTILIA no le encarga el tratamiento de los datos del Responsable ni determina cómo trata los datos que recibe, tampoco cuando vende la aplicación por cuenta del desarrollador. Las Condiciones para desarrolladores de Utilia OS obligan al desarrollador a tratar esos datos solo para prestar al Responsable el servicio que describe la ficha de la aplicación, a suprimirlos o devolverlos cuando se desinstala y a ofrecer al Responsable un compromiso de encargo de tratamiento, que se celebra entre ambos al instalar la aplicación. Corresponden al Responsable la base jurídica de esa comunicación de datos, el contrato que lo vincule con el desarrollador y la valoración de las garantías de las transferencias internacionales que este declare.

Mientras la aplicación esté instalada, UTILIA: (a) entrega las credenciales de la instalación solo al servidor del desarrollador, mediante un código de un solo uso que caduca a los treinta minutos, sin mostrarlas a ninguna persona usuaria del Responsable; (b) pone a disposición de la aplicación solo lo que permiten a la vez los permisos concedidos en la instalación, los permisos y el alcance de datos de la persona responsable y el plan contratado, y la detiene si la persona responsable deja de estar activa, si el plan deja de incluir algo que la aplicación necesita o, en las de pago, si la suscripción queda en pausa o termina; (c) no amplía los permisos de una instalación sin que lo acepte una persona usuaria del Responsable con el permiso de instalar; (d) registra quién instaló la aplicación y cuándo, lo que se le mostró y los permisos aceptados, la persona responsable y, en su caso, quién la desinstaló, cuándo y con qué motivo; y (e) puede suspender la aplicación en todas las organizaciones, sin esperar instrucciones del Responsable, ante un riesgo para la seguridad de los datos, una orden de una autoridad competente o un incumplimiento grave de las Condiciones para desarrolladores, en cuyo caso informa al Responsable.

El Responsable puede limitar o retirar ese acceso en cualquier momento: decidiendo qué personas usuarias tienen el permiso de instalar, cambiando la persona responsable de cada aplicación o desinstalándola desde Ajustes › Aplicaciones › Instaladas. La desinstalación deja sin efecto las credenciales de la instalación en el acto, y UTILIA avisa al desarrollador para que deje de tratar los datos y los suprima o devuelva en el plazo que fijan las Condiciones para desarrolladores. Lo que la aplicación creó en la plataforma se conserva como datos del Responsable.

Una persona usuaria del Responsable que haya vinculado su cuenta con una cuenta de desarrollador conforme a la cláusula 5 quater puede instalar en la organización del Responsable, como prueba y con una confirmación expresa cada vez, una aplicación de esa cuenta todavía no publicada, siempre que tenga el permiso de instalar aplicaciones. Esa instalación de prueba es también una instrucción documentada del Responsable en los términos de esta cláusula, y se desinstala como cualquier otra.

UTILIA no garantiza el funcionamiento, la seguridad ni la licitud de las aplicaciones de otros desarrolladores, ni el tratamiento que estos hagan de los datos que reciben, incluida su supresión tras la desinstalación. La revisión que UTILIA hace antes de publicar una aplicación comprueba los requisitos de su catálogo; no es una auditoría de seguridad ni de cumplimiento normativo y no sustituye la valoración del Responsable. Los datos que conserve el desarrollador quedan fuera del alcance de las cláusulas 8.4 y 10 de este DPA: al Responsable le corresponde pedirle su supresión y comunicarle las rectificaciones, supresiones y limitaciones conforme al artículo 19 del RGPD. Las integraciones del catálogo rotuladas «De UTILIA» son funciones de la plataforma y se rigen por el resto de este DPA.

Para los Responsables que ya lo eran cuando se publicó la versión de este DPA que incorporó esta cláusula y la 5 quater, ambas se aplican desde que las acepten expresamente desde el aviso que muestra la plataforma o, si no lo hacen, una vez transcurridos treinta (30) días naturales completos desde su publicación, contados desde el día siguiente. Hasta entonces, la instalación de aplicaciones del catálogo y la vinculación con cuentas de desarrollador son funcionalidades que activa el Responsable y se rigen por la cláusula 4, letra d).

5 quater. Vinculación con cuentas de desarrollador

Una persona usuaria del Responsable puede vincular su cuenta con una cuenta de desarrollador, que es una cuenta de la consola de desarrolladores de Utilia OS distinta de la organización del Responsable, aprobando en la plataforma, con su propia sesión, una hoja que muestra qué podrá hacer la cuenta de desarrollador y qué permiso exige cada uso. Las partes acuerdan que esa aprobación constituye una instrucción documentada del Responsable para poner a disposición de esa cuenta, en cada uso y solo mientras la persona usuaria conserve el permiso correspondiente y el plan lo incluya: (a) el nombre, la web, la razón social, el NIF, el NIF-IVA, la dirección y el correo de facturación del Responsable, para rellenar el perfil y los datos fiscales de la cuenta de desarrollador; (b) la configuración, sin claves ni secretos, de las integraciones creadas por el Responsable que esa persona puede ver, para preparar su publicación en el catálogo de aplicaciones; y (c) la instalación de prueba prevista en la cláusula 5 ter. UTILIA conserva la hoja aprobada, quién la aprobó y cuándo. La persona usuaria y el Responsable pueden retirar la vinculación en cualquier momento, y sus usos se detienen en el acto. Lo que ya se haya copiado a la cuenta de desarrollador queda bajo la responsabilidad del titular de esa cuenta.

5 quinquies. Conexiones con Meta y con Google Ads activadas por el Responsable

Las personas usuarias del Responsable a las que este concede el permiso correspondiente pueden conectar la plataforma con la cartera de negocio del Responsable en Meta (sus páginas de Facebook, con las cuentas de Instagram vinculadas a ellas, y su cuenta y su número de WhatsApp Business) y con los formularios para clientes potenciales de sus anuncios de Google Ads, para recibir como leads del CRM a las personas que rellenan esos formularios y para enviar por WhatsApp los recordatorios de cobro que el Responsable programe. Las partes acuerdan que la conexión, el alta de cada página o formulario y la elección de WhatsApp como canal de un recordatorio, realizadas por una persona usuaria con las credenciales y los permisos que el Responsable le ha asignado, constituyen instrucciones documentadas del Responsable en el sentido del artículo 28.3.a) del RGPD para que UTILIA: (a) reciba y pida a Meta y a Google los leads de los formularios conectados, también los que Meta conserve de antes de la conexión si el Responsable lo elige, y los registre en el CRM con sus respuestas, su origen y la constancia de lo aceptado en el formulario; (b) compruebe si cada persona ya figura en el CRM, asigne los leads según las reglas del Responsable y avise a su equipo; (c) envíe por medio de la cuenta de WhatsApp Business del Responsable los recordatorios que este programe, con los datos de la factura y un enlace personal a ella, y reciba de Meta el estado de cada mensaje y las respuestas de los destinatarios; y (d) conserve cifradas las credenciales de acceso que Meta entrega para el Responsable y las utilice solo para estas funciones.

Meta y Google no son subencargados de UTILIA. El Responsable contrata directamente con ellos y acepta sus condiciones: en el caso de Meta, entre otras, las Condiciones de los anuncios para clientes potenciales y las condiciones de WhatsApp Business, con la Política de mensajes de WhatsApp Business; en el de Google, las condiciones y las políticas de Google Ads. Esas condiciones fijan el papel de cada uno en el tratamiento; las de WhatsApp Business prevén que WhatsApp trate como encargada del Responsable, en lo que ellas indican, los datos de los mensajes. UTILIA no les encarga tratamiento alguno ni determina cómo tratan los datos. Frente a Meta, UTILIA actúa como proveedor de tecnología conforme a las Condiciones de la Plataforma de Meta: utiliza la plataforma de Meta y los datos que obtiene de ella solo por cuenta del Responsable y siguiendo sus instrucciones, los mantiene separados de los de sus demás clientes y le avisa de las comunicaciones de Meta sobre las solicitudes de las personas interesadas. Corresponden al Responsable la base jurídica de estos tratamientos, la información a las personas interesadas, el contrato que le vincule con Meta y con Google y la valoración de las transferencias internacionales que estos realicen.

El Responsable garantiza, en particular: (i) que sus formularios de anuncios informan a las personas conforme a los artículos 13 y 14 del RGPD, con la política de privacidad que Meta y Google le exigen enlazar en ellos; (ii) que solo envía recordatorios por WhatsApp a la persona deudora de la factura o a quien esta haya designado para recibir sus facturas, sin revelar la deuda a terceros; y (iii) que cuenta con el permiso de cada persona para escribirle por WhatsApp que exige la Política de mensajes de WhatsApp Business. Ese permiso lo declara el propio Responsable: UTILIA no puede comprobar que existe y, cuando una persona usuaria del Responsable declara en la plataforma que una persona lo ha dado, el Responsable responde de que es cierto y de poder demostrarlo (artículos 5.2 y 7.1 del RGPD). El Responsable registrará en la plataforma, retirando ese permiso, las peticiones de baja que reciba por otros medios. Si un formulario de anuncio del Responsable pide datos de las categorías especiales del artículo 9 del RGPD, como datos de salud, se aplica la cláusula 3: la decisión, la base jurídica y la excepción que lo ampare corresponden al Responsable. UTILIA no puede impedir que Meta o Google se los envíen, y no envía las respuestas de los formularios de anuncios a las funciones de inteligencia artificial de la plataforma sin una decisión expresa de una persona usuaria del Responsable.

Mientras estas conexiones estén activas, UTILIA: (a) comprueba la firma de cada aviso de Meta y la clave de cada aviso de Google, y descarta los que no las superan; (b) descarta, sin guardarlo, el identificador de clic que Google envía con cada lead; (c) borra a los treinta (30) días las respuestas que conserva el registro de entrada de cada lead, y ese registro, a los doce (12) meses; (d) no envía un recordatorio por WhatsApp a quien no tenga un permiso vigente o se haya dado de baja, registra la baja que la persona pida respondiendo al mensaje, desde la página de la factura a la que lleva el mensaje o en el portal del cliente, aunque el plan del Responsable no incluya en ese momento la función, y no permite que el Responsable vuelva a declarar el permiso de un número que la propia persona ha dado de baja; (e) no envía a un mismo número más de un recordatorio por WhatsApp al día por cada Responsable; (f) no incluye teléfonos, correos electrónicos, nombres, textos de mensajes ni respuestas de formularios en sus registros técnicos; (g) anota en el registro de auditoría la conexión, la desconexión y los cambios de estas conexiones, los permisos de WhatsApp, las pausas, los envíos manuales y las respuestas que se envían a los clientes; y (h) puede pausar el envío por WhatsApp del Responsable, o la recepción de los leads de sus anuncios de Meta, sin esperar sus instrucciones, cuando Meta o Google lo pidan o restrinjan la cuenta, la página o el número, cuando la calidad del número lo aconseje o ante un incumplimiento de sus condiciones o de los Términos de uso, en cuyo caso informa al Responsable y los recordatorios pasan a salir por correo electrónico.

El Responsable puede limitar o retirar estas conexiones en cualquier momento: decidiendo qué personas usuarias tienen los permisos, pausando o retirando cada página o formulario, quitando WhatsApp de sus recordatorios o desconectando Meta. Al desconectar Meta, UTILIA retira sus suscripciones en Meta y borra las credenciales. Si Meta comunica a UTILIA que la persona que autorizó la conexión ha retirado su permiso o ha pedido el borrado de sus datos, UTILIA borra las credenciales y el identificador y el nombre de esa persona en todas las organizaciones en que consten, la conexión deja de funcionar y UTILIA se lo comunica al Responsable. En los dos casos, los leads ya creados y el historial de los recordatorios se conservan como datos del Responsable.

La supresión de una persona desde la bandeja de solicitudes (cláusula 8.2) alcanza también a las respuestas que dejó en los formularios de anuncios y que conserve el registro de entrada, y a su teléfono y al texto de sus mensajes en los recordatorios por WhatsApp. Su permiso para recibirlos se retira y de su número solo queda una huella criptográfica que permite reconocerlo, con la única finalidad de no volver a escribirle. Los datos que conserven Meta y Google quedan fuera del alcance de las cláusulas 8.4 y 10 de este DPA: al Responsable le corresponde pedirles su supresión y comunicarles las rectificaciones, supresiones y limitaciones conforme al artículo 19 del RGPD.

UTILIA no garantiza la disponibilidad de los servicios de Meta y de Google ni responde de sus decisiones ni del tratamiento que hagan de los datos, en los términos del apartado 6 ter de los Términos de uso. Las funciones de leads de anuncios y de recordatorios de cobro por WhatsApp son funciones de la plataforma y, en lo demás, se rigen por el resto de este DPA.

Para los Responsables que ya lo eran cuando se publicó la versión de este DPA que incorporó esta cláusula, se aplica desde que la acepten expresamente desde el aviso que muestra la plataforma o, si no lo hacen, una vez transcurridos treinta (30) días naturales completos desde su publicación, contados desde el día siguiente. Hasta entonces, estas conexiones son funcionalidades que activa el Responsable y se rigen por la cláusula 4, letra d).

6. Deber de confidencialidad (art. 28.3.b RGPD)

UTILIA garantiza que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria, y que reciben la formación necesaria en materia de protección de datos.

7. Medidas de seguridad (art. 28.3.c y art. 32 RGPD)

UTILIA aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas:

a) Cifrado de las comunicaciones y protección de las credenciales: cifrado de las comunicaciones mediante TLS; cifrado de los secretos y credenciales que los usuarios confían a la plataforma para sus integraciones; y conservación de las contraseñas, de los testigos de sesión y de los códigos de recuperación mediante resúmenes criptográficos, nunca en claro.

b) Control de acceso: permisos granulares con ámbitos de visibilidad por organización, departamento, asignación o persona, que permiten aplicar el principio de mínimo privilegio; y verificación en dos pasos a disposición de todas las personas usuarias, mediante aplicación de autenticación de un solo uso, códigos de recuperación de un solo uso, confirmación desde la aplicación móvil con elección de un número entre tres opciones (diseñada para impedir que una aprobación se conceda por inercia), reconocimiento del teléfono de confianza en la aplicación móvil y, como alternativa activa salvo que el Responsable la desactive, código de un solo uso enviado por correo electrónico. La verificación en dos pasos es obligatoria para las personas con el rol de «Super Administrador» en la organización de UTILIA.

c) Gobierno de las sesiones: entrega del testigo de renovación en una cookie inaccesible desde el código de la página, acotada al propio sitio y a la ruta de autenticación; conservación de los testigos de las aplicaciones móviles en el llavero cifrado del dispositivo; consulta por cada persona usuaria de sus sesiones abiertas, con el dispositivo y la ubicación aproximada o la dirección IP, y cierre inmediato de cualquiera de ellas; cierre de sesiones por quien administra; bloqueo de la pantalla tras un periodo de inactividad en el navegador y en la aplicación de escritorio; y purga de los datos guardados en el aparato al cerrar sesión.

d) Detección y aviso: avisos a la persona usuaria ante los acontecimientos de seguridad de su cuenta (activación o retirada de la verificación en dos pasos, acceso desde un aparato no utilizado antes, rechazo de una solicitud de acceso desde la aplicación móvil y reinicio de la verificación por un administrador), con elección del canal por el que los recibe.

e) Aislamiento entre organizaciones clientes: separación lógica de los datos con políticas de seguridad aplicadas en la propia base de datos, además del filtrado por organización en la aplicación.

f) Trazabilidad: registro inmutable de auditoría de las acciones, encadenado mediante resúmenes criptográficos que hacen detectable cualquier alteración o supresión indebida, con los plazos de conservación de la cláusula 10.1.

g) Copias de seguridad: copias diarias de la base de datos, que se conservan catorce días, y un procedimiento documentado de prueba de su restauración.

Adicionalmente, UTILIA pone a disposición del Responsable medidas cuya activación y calibración corresponden a este, por ser quien conoce el riesgo de su propia actividad: la exigencia de la verificación en dos pasos a las personas que administran su cuenta; la desactivación del código de verificación enviado por correo electrónico; la duración del bloqueo por inactividad; el límite de exportaciones por hora; un modo restringido que congela las exportaciones y descargas masivas de los módulos y el acceso por la unidad de red sin interrumpir la consulta ordinaria, y que no impide la exportación completa de la organización, la creación de claves de acceso a la API, el uso de los asistentes de inteligencia artificial ya conectados ni la conexión de otros o la creación de claves personales para ellos; y una lista de dominios autorizados para los webhooks de las aplicaciones externas y para los servidores de correo propios. La activación o modificación de cualquiera de ellas, salvo la del límite de exportaciones, queda registrada en el registro de auditoría con la identidad de quien la decidió y el momento en que lo hizo.

8. Asistencia al Responsable (art. 28.3.e y 28.3.f RGPD)

UTILIA, teniendo en cuenta la naturaleza del tratamiento, asistirá al Responsable: (a) con medidas técnicas y organizativas apropiadas, en la atención de las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones individuales automatizadas); y (b) en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de seguridad a la autoridad de control y a los interesados, evaluaciones de impacto y consultas previas), teniendo en cuenta la información de que disponga. UTILIA notificará al Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de la seguridad de los datos personales que afecten a los datos tratados por cuenta del Responsable.

8.1 Bandeja de solicitudes de los interesados

La plataforma pone a disposición del Responsable, en Ajustes › Privacidad › Solicitudes de datos, una bandeja en la que registra las solicitudes de ejercicio de derechos, controla el plazo de respuesta y las tramita. Solo pueden tramitarlas las personas usuarias a las que el Responsable concede el permiso de gestión de los derechos de los interesados. Llegan también a esa bandeja, sin intervención de UTILIA, las solicitudes de baja que las personas usuarias del Responsable hacen desde su perfil y las que los usuarios de su portal del cliente hacen desde el propio portal; en este último caso, la plataforma retira en ese mismo momento el acceso de la persona al portal. Cuando quien pide la baja de su cuenta es la única persona que administra la cuenta del Responsable, su solicitud la ve también el equipo de soporte de UTILIA, que asiste al Responsable en su tramitación.

8.2 Supresión de los datos de una persona

Ejecutar la supresión desde la bandeja constituye una instrucción documentada del Responsable en el sentido del artículo 28.3.a) del RGPD. Puede ejecutarse sobre una persona usuaria del Responsable, un usuario de su portal del cliente, un contacto, un lead o un cliente que sea persona física (autónomo o particular). Una ficha de cliente que corresponde a una empresa no admite la supresión, porque el RGPD no se aplica a los datos de las personas jurídicas (considerando 14); si la pide una persona concreta de esa empresa, se tramita sobre su contacto. La supresión de un cliente persona física alcanza también a los contactos de su ficha que son la misma persona, porque comparten su correo electrónico o su nombre, y al lead del que procede la ficha; los demás contactos de la ficha son otras personas y no se modifican. Las fichas de cliente y los contactos que el Responsable fusionó por ser duplicados de la misma persona se tratan juntos: la supresión alcanza a la ficha o al contacto principal y a todos los duplicados fusionados en él, también cuando la solicitud se registra sobre uno de los duplicados.

Al ejecutar la supresión, la plataforma:

a) Suprime o anonimiza todos los datos de la persona que ninguna ley obliga a conservar, entre ellos sus datos identificativos y de contacto, su fotografía o su logotipo, sus sesiones, accesos y permisos, el motivo escrito y los justificantes de sus ausencias, su cuenta y su actividad en el portal del cliente, sus suscripciones y el historial de los envíos de marketing que recibió, el audio y la transcripción de su intervención en las llamadas grabadas, su identidad en las reuniones grabadas y en sus transcripciones y, cuando se suprime un cliente persona física, su nombre en los textos que el Responsable conserva, como interacciones, carpetas, oportunidades, proyectos, tareas, reuniones y títulos de conversaciones, donde se sustituye por «el interesado».

b) Si no existe ninguna obligación legal de conservación, practica una supresión completa: no guarda ninguna copia de la identidad de la persona y borra su ficha. Cuando la ficha de un cliente, de un contacto o de un lead no puede borrarse sin perder registros del Responsable o datos de otras personas, como oportunidades, tareas o contactos de terceros, la deja anónima por completo. La cuenta de un usuario del portal que no firmó presupuestos ni aceptó mandatos de cobro queda también anónima por completo. La supresión de una persona usuaria conlleva siempre un bloqueo, porque mantiene una relación laboral o contractual con el Responsable.

c) Si existe una obligación legal de conservación, bloquea lo que esa obligación ampara, conforme al artículo 32 de la Ley Orgánica 3/2018, durante el plazo de la cláusula 8.3: la ficha de la persona, ya anonimizada, deja de mostrarse en la plataforma, y su identidad se guarda sellada en un registro separado que ninguna persona usuaria del Responsable puede consultar. Ese registro solo se abre para poner la identidad a disposición de los jueces y tribunales, del Ministerio Fiscal o de las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, que la requieran para exigir las responsabilidades derivadas del tratamiento. Lo hace personal de UTILIA expresamente autorizado, que debe indicar la autoridad que la requiere y la referencia de su requerimiento, y cada puesta a disposición queda registrada en el registro de auditoría. El Responsable o la propia autoridad pueden dirigir el requerimiento a compliance@utilia.ai.

d) No modifica ni suprime nunca las facturas, los registros de facturación, los libros registro ni los asientos contables. Esa documentación no se bloquea por la solicitud ni se destruye al vencer el plazo de la cláusula 8.3: el Responsable la conserva por su propia obligación fiscal y mercantil y, tras la baja, sigue el régimen de la cláusula 10. Las facturas, los presupuestos, los pedidos y los albaranes de un cliente persona física suprimido se conservan intactos, pero desde ese momento solo pueden abrirlos las personas usuarias con acceso a todos los documentos de ese tipo de la organización, y lo mismo ocurre con los archivos vinculados a ellos, como sus PDF y sus adjuntos; no aparecen en el buscador ni al citar documentos en el chat, los enlaces públicos que permitían verlos, firmarlos o pagarlos dejan de funcionar y no pueden crearse otros, y cada apertura de uno de ellos, de su PDF o de un archivo vinculado queda registrada en el registro de auditoría con la identidad de quien lo abre. Si ese registro no puede hacerse, el documento no se muestra.

e) Conserva en su módulo, vinculado a la ficha anonimizada, lo demás que la obligación legal ampara: los proyectos, los mandatos de cobro firmados, los cargos programados y las tarjetas guardadas que respaldan un cobro, un mandato o un cargo programado. La subcuenta contable del cliente y sus asientos no se modifican. Los cobros recurrentes activos del cliente se pausan, de modo que no se le genera ningún cobro más; su cancelación definitiva la decide el Responsable.

f) Conserva sin modificar, como prueba de que se obtuvieron (artículos 5.2 y 7.1 del RGPD), las aceptaciones de condiciones y de avisos de grabación de la persona; incorpora su dirección de correo electrónico a la lista de bajas del Responsable, con la única finalidad de que no vuelva a recibir comunicaciones comerciales (artículo 23.1 de la Ley Orgánica 3/2018), y la solicitud conserva los datos mínimos que acreditan cómo se atendió.

g) Al vencer el plazo, en la revisión que la plataforma realiza el día 1 de cada mes, destruye la identidad sellada y borra las fichas anonimizadas de contactos, leads y clientes, con sus duplicados fusionados, que ya no sostengan ningún otro registro, salvo que sobre el expediente pese un bloqueo legal por requerimiento de una autoridad competente. Los registros de jornada y de ausencias de una persona usuaria se destruyen en la primera de esas revisiones posterior al cuarto aniversario de la supresión, aunque el bloqueo de su identidad dure más, con la misma salvedad. La documentación de la letra d) no se destruye en esa fecha.

8.3 Plazo del bloqueo

El plazo del bloqueo se cuenta desde la fecha de la supresión. Si concurren varias de las circunstancias siguientes, se aplica la que da el plazo más largo:

• Seis (6) años, conforme al artículo 30 del Código de Comercio, cuando la persona es parte de documentación mercantil o figura en ella: si es un cliente, en facturas emitidas a su ficha, a sus usuarios de aplicaciones externas o a sus contactos que son la misma persona, en presupuestos, en mandatos de cobro firmados, en pedidos, en albaranes o en su subcuenta contable; si es un contacto, en facturas que lo nombran, en presupuestos que firmó o en mandatos de cobro que aceptó; si es un usuario del portal, en presupuestos que firmó o en mandatos de cobro que aceptó; y si es una persona usuaria, en liquidaciones de comisiones emitidas a su favor. Los documentos que una persona usuaria creó o emitió como parte de su trabajo no cuentan: son documentación del Responsable, que se conserva igualmente conforme a la letra d) de la cláusula 8.2.
• Cinco (5) años, conforme al artículo 1964 del Código Civil, cuando existe una relación contractual sin esa documentación: los proyectos o los cobros recurrentes de un cliente; los proyectos o los cobros recurrentes nacidos de una oportunidad de venta de un contacto o de un lead; y la colaboración de una persona usuaria con el rol de comercial externo, que no forma parte del personal del Responsable.
• Cuatro (4) años, conforme al artículo 34.9 del Estatuto de los Trabajadores, para las personas usuarias que forman parte del personal del Responsable, por su relación laboral. Es el plazo de conservación del registro de jornada: sus registros de jornada y el tipo y las fechas de sus ausencias se destruyen a los cuatro (4) años aunque a la persona le corresponda un plazo más largo por otra circunstancia.
• Sin bloqueo, con supresión completa, en los demás casos. En particular, las oportunidades de venta, las interacciones, los archivos y las conversaciones de un cliente, de un contacto o de un lead, la conversión de un lead en cliente y la cuenta de un usuario del portal no obligan por sí solos a conservar nada.

8.4 Copias en terceros y certificado de supresión

La supresión de un cliente persona física alcanza también a las copias de la persona que la plataforma guarda de los servicios de pago y de las aplicaciones externas que conecta el Responsable: anonimiza los datos del cliente de Stripe guardados en la plataforma y los de sus usuarios en aplicaciones externas; anonimiza y cancela las invitaciones a firmar un mandato de cobro que no llegaron a firmarse; y destruye las tarjetas guardadas que no respaldan ningún cobro, mandato ni cargo programado y los patrones de cobro que la plataforma detectó en los movimientos bancarios. Lo que conservan la cuenta de Stripe del Responsable, las aplicaciones externas que este conecta, las aplicaciones que instala desde el catálogo y los servicios de Meta y de Google Ads que conecta (cláusula 5 quinquies) queda fuera del alcance de UTILIA: son destinatarios y proveedores que elige el Responsable, y a él le corresponde pedirles la supresión y comunicarla conforme al artículo 19 del RGPD.

Al terminar, la bandeja muestra al Responsable un certificado de supresión que no contiene datos de la persona y que indica si se ha suprimido todo o qué se conserva bloqueado, la ley que obliga a conservarlo y la fecha a partir de la cual se destruirá; separa de ello la documentación que se conserva por su propia obligación fiscal y mercantil, que no se destruye en esa fecha; indica, si la persona tenía fichas o contactos duplicados fusionados, que se han tratado el principal y todos sus duplicados; y recoge lo que el Responsable tiene que pedir fuera de la plataforma y cómo hacerlo.

9. Subencargados (art. 28.2 y 28.3.d RGPD)

El Responsable autoriza de forma general la contratación de los subencargados incluidos en el listado público y versionado de subencargados de UTILIA, disponible en la página "Subencargados del tratamiento" de la plataforma (/legal/subprocesadores), que forma parte integrante de este DPA por referencia. UTILIA informará al Responsable de cualquier adición o sustitución de subencargados con al menos 30 días naturales de antelación, mediante un correo electrónico dirigido a la dirección de facturación de su cuenta o, en su defecto, a quien tenga en ella el rol de «Super Administrador», y mediante la actualización de esa página con la fecha de la revisión. Dentro de ese plazo, el Responsable podrá oponerse al cambio de forma motivada escribiendo a compliance@utilia.ai; si las partes no alcanzan una solución, el Responsable podrá resolver el contrato, sin penalización, con efectos anteriores a que el cambio se aplique a sus datos. UTILIA impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en este DPA, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas, y responde ante el Responsable del cumplimiento de las obligaciones del subencargado. Las transferencias internacionales a subencargados fuera del Espacio Económico Europeo se amparan en el marco indicado para cada uno en dicho listado (Data Privacy Framework, Cláusulas Contractuales Tipo 2021/914 con evaluación de impacto de la transferencia, o decisión de adecuación). Los desarrolladores de las aplicaciones que el Responsable instala desde el catálogo de aplicaciones no son subencargados de UTILIA y no figuran en ese listado: se rigen por la cláusula 5 ter. Tampoco lo son Meta ni Google por los servicios que el Responsable conecta y contrata directamente con ellos conforme a la cláusula 5 quinquies; Google figura en ese listado solo por los servicios que en él se indican.

10. Supresión o devolución al final del servicio (art. 28.3.g RGPD)

A la finalización de la prestación del servicio, UTILIA, a elección del Responsable, suprimirá o devolverá todos los datos personales tratados por su cuenta, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. La plataforma ofrece mecanismos de exportación de datos para hacer efectiva la devolución, descritos en los Términos de uso: tras la baja, la cuenta se conserva durante noventa (90) días en modo de solo lectura para que el Responsable pueda exportar sus datos y, transcurrido ese plazo, UTILIA los suprime en un máximo de treinta (30) días adicionales. Los datos suprimidos pueden permanecer en las copias de seguridad hasta que estas se renuevan; las copias diarias de la base de datos se conservan catorce (14) días.

Instrucción documentada sobre la documentación mercantil y tributaria. En cumplimiento del artículo 28.3, letras a) y g), del RGPD y del artículo 33 de la Ley Orgánica 3/2018, el Responsable imparte a UTILIA, al aceptar este DPA, la siguiente instrucción documentada sobre la documentación mercantil y tributaria que trata en Utilia OS (facturas; registros de facturación, libros registro y demás registros fiscales, incluidos los registros de las operaciones acogidas a los regímenes especiales de ventanilla única del Impuesto sobre el Valor Añadido, con la información utilizada para determinar el lugar de establecimiento, domicilio o residencia habitual de sus clientes; gastos y sus justificantes; asientos contables; declaraciones y autoliquidaciones con sus justificantes de presentación y pago; y cobros y pagos registrados; con los datos personales que contienen): (i) tras la baja, UTILIA la conservará bloqueada, en los términos del artículo 32 de la Ley Orgánica 3/2018, hasta el 31 de diciembre del décimo año siguiente al de la baja; (ii) durante el periodo de noventa (90) días posterior a la baja previsto en el párrafo anterior, el Responsable puede obtener una copia de esa documentación mediante la exportación de la plataforma, en formatos estructurados, de uso común y lectura mecánica; (iii) durante el bloqueo, UTILIA solo tratará esa documentación para ponerla a disposición de los jueces y tribunales, del Ministerio Fiscal, de las Administraciones Públicas competentes, incluidas las Administraciones tributarias de otros Estados miembros a través del Estado miembro de identificación, o del propio Responsable para atender sus requerimientos, y para su propia defensa frente a las responsabilidades derivadas de este encargo; y (iv) transcurrido el plazo, UTILIA la suprimirá de forma segura, incluidas sus copias de seguridad al término de su ciclo ordinario de rotación, y lo certificará a solicitud del Responsable. El Responsable puede modificar por escrito esta instrucción en cualquier momento, escribiendo a compliance@utilia.ai, y le corresponde comprobar que el plazo que instruya respeta sus obligaciones legales de conservación, en particular el plazo de diez (10) años, contados desde el final del año en que se realizó cada operación, del registro de las operaciones de los regímenes especiales de ventanilla única. Todo ello sin perjuicio de la excepción prevista en el subapartado 10.1 respecto del registro de auditoría, que tiene sus propios plazos. Para los Responsables que ya lo eran cuando se publicó la versión de este DPA que introdujo esta instrucción, esta sustituye a la anterior desde que la acepten expresamente desde el aviso que muestra la plataforma o, si no lo hacen, una vez transcurridos treinta (30) días naturales completos desde la publicación de esa versión, contados desde el día siguiente, en los mismos términos que el apartado 17 de los Términos de uso; hasta entonces, su documentación mercantil y tributaria se conserva bloqueada durante seis (6) años tras la baja, como preveía la versión que tenían aceptada.

10.1 Registro de auditoría y excepción al deber de supresión

Las partes reconocen que el registro de auditoría de la plataforma cumple una doble función. Respecto de los datos de negocio del Cliente, UTILIA actúa como encargado del tratamiento en los términos de este DPA. Respecto de los acontecimientos de seguridad de la plataforma, de la identificación de quien accede y de la trazabilidad de las operaciones, UTILIA actúa como responsable del tratamiento por cuenta propia, al amparo de los artículos 32 y 6.1.f) del RGPD, por tratarse de una medida de seguridad exigible al prestador y de la prueba de su propio cumplimiento conforme a los artículos 5.2 y 24 del RGPD.

En consecuencia, y como excepción a la obligación general de devolución o supresión de la cláusula 10 y del artículo 28.3.g) del RGPD, a la terminación del contrato UTILIA:

a) Pondrá a disposición del Cliente la exportación del registro de auditoría de su organización desde la plataforma, en formato CSV o JSON, mientras la cuenta siga accesible conforme a la cláusula 10, y le facilitará, a solicitud y dentro de los treinta días naturales siguientes, los asientos archivados que necesite para la formulación, el ejercicio o la defensa de reclamaciones o para acreditar su propio cumplimiento.

b) Conservará el registro de auditoría durante los plazos indicados en la política de retención vigente, publicada en la documentación del servicio y en la Política de privacidad. Esos plazos se cuentan desde cada acontecimiento registrado. En la categoría relativa a la configuración de la empresa y a sus integraciones, que es la que sustenta la relación contractual, el archivo se conserva cinco años desde cada acontecimiento y, en todo caso, no se destruye hasta que hayan transcurrido cinco años desde la baja del Cliente, conforme al artículo 1964.2 del Código Civil. En la actividad de facturación, seis años desde cada acontecimiento, conforme al artículo 30 del Código de Comercio.

c) Durante ese período mantendrá los registros bloqueados en el sentido del artículo 32 de la Ley Orgánica 3/2018, sin tratamiento activo y con acceso limitado a la atención de requerimientos de jueces y tribunales, del Ministerio Fiscal, de las autoridades de protección de datos y de las Administraciones públicas competentes, así como a la formulación, el ejercicio y la defensa de reclamaciones. El archivo se guarda con bloqueo de objetos en modo de gobernanza, que impide modificarlo o borrarlo sin un permiso especial de administración, y con acceso restringido. Transcurrido el plazo procederá a su destrucción y emitirá certificado de destrucción a solicitud del Cliente, salvo que pese sobre los archivos un bloqueo legal en los términos de la letra e).

d) No atenderá instrucciones del Cliente de borrado anticipado del registro de auditoría, por resultar contrarias a la normativa de protección de datos en los términos del artículo 28.3, párrafo segundo, del RGPD, que obliga al encargado a informar de inmediato cuando una instrucción infringe dicha normativa. UTILIA informará al Cliente del plazo aplicable y de la fecha prevista de destrucción.

e) A solicitud del Cliente o por requerimiento de una autoridad competente, UTILIA aplicará un bloqueo legal sobre los archivos afectados, que impide su destrucción mientras no se levante expresamente.

Integridad. El registro se protege mediante una cadena de resúmenes criptográficos encadenados que permite detectar cualquier alteración o supresión de asientos.

11. Información y auditorías (art. 28.3.h RGPD)

UTILIA pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones de este DPA, y permitirá y contribuirá a la realización de auditorías e inspecciones por parte del Responsable o de un auditor autorizado por este, previa solicitud con antelación razonable, en horario laboral y sin acceso a datos de otras organizaciones clientes.

12. Responsabilidad y legislación aplicable

Cada parte responde de los daños causados por el tratamiento conforme a los artículos 82 a 84 del RGPD. Este DPA se rige por la legislación española y, para cualquier controversia derivada de él, las partes, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, se someten a los Juzgados y Tribunales de Las Palmas de Gran Canaria, como establecen los Términos de uso.

13. Contacto

Para cualquier cuestión relativa a este DPA o al tratamiento de datos personales: compliance@utilia.ai.