Contrato de encargo del tratamiento

Esto es una traducción. Solo el texto en neerlandés es jurídicamente vinculante; en caso de diferencia, prevalece ese.

Versión 3.1 - Última actualización: 1 de octubre de 2026

1. Partes y objeto

Este acuerdo se aplica entre TrompTech, empresa individual de J. Tromp, Baliëndijk 324, 4816 GV Breda, Cámara de Comercio neerlandesa (KvK) 96345381 («TrompTech», el encargado del tratamiento), y el cliente que contrata la TrompTech Layer, el alojamiento o la gestión con TrompTech («el Cliente», el responsable del tratamiento). Forma parte de las condiciones generales y se aplica automáticamente en cuanto TrompTech trata datos personales para el Cliente.

Los conceptos de datos personales, tratamiento, interesado y violación tienen el significado del artículo 4 del Reglamento General de Protección de Datos (RGPD).

2. Instrucciones

TrompTech trata los datos únicamente para prestar el servicio, y únicamente siguiendo instrucciones del Cliente. El contrato principal, este contrato de encargo del tratamiento y la configuración que el Cliente elige en su espacio de trabajo constituyen esas instrucciones.
TrompTech no utiliza los datos para fines propios, no los vende y no los utiliza para entrenar un modelo de lenguaje.
Si TrompTech considera que una instrucción infringe el RGPD, lo comunica de inmediato.
Si TrompTech está obligado por ley a facilitar datos, lo comunica previamente al Cliente, salvo que la ley lo prohíba.

Lo que TrompTech trata como responsable del tratamiento, como los datos de acceso de los usuarios, la facturación de la suscripción y el consumo de tareas de IA, no está cubierto por este acuerdo. Eso figura en la declaración de privacidad.

3. Qué datos

Finalidad: la prestación del espacio de trabajo para la gestión empresarial del Cliente: relaciones y leads, agenda y reservas, correo, presupuestos y facturas, proyectos, tareas, horas, tickets, documentos, empleados y funciones de IA que hacen propuestas. En el alojamiento: el sitio web del Cliente y lo que los visitantes introducen en él.

Interesados: usuarios y empleados del Cliente; clientes, leads, proveedores y sus personas de contacto; remitentes y destinatarios de correo; personas que reservan una cita o rellenan un formulario.

Datos: nombres, direcciones de correo electrónico, números de teléfono, datos de empresa y notas; citas; datos de cabecera y, si el Cliente lo conecta, contenido del correo; presupuestos, facturas y contratos; proyectos, tareas y horas; cargo y datos de contacto de los empleados; conversaciones con la IA.

El Cliente no introduce en el espacio de trabajo categorías especiales de datos personales (como la salud), datos penales ni números de identificación neerlandeses (BSN), salvo que lo acordemos juntos por escrito. El espacio de trabajo no tiene campos para ello, y el módulo Empleados no registra deliberadamente salario, BSN, dirección ni enfermedad.

El Cliente solo introduce en el espacio de trabajo datos de los que él mismo es responsable del tratamiento, no datos que un cliente propio le haya confiado como encargado del tratamiento, salvo que acordemos juntos condiciones específicas al respecto.

4. Conservación

El espacio de trabajo aplica por sí mismo una serie de plazos, cada noche:

Leads perdidos: 2 años después de la última actividad.
Reservas: anonimizadas 12 meses después de la reunión.
Datos de cabecera del correo en el índice de búsqueda: 12 meses después de la fecha del correo.
Conversaciones con la IA: 12 meses después del último mensaje. Propuestas de la IA: 12 meses después de la decisión.

El espacio de trabajo no elimina automáticamente los presupuestos, las facturas ni el resto de la contabilidad, porque el Cliente debe conservarlos durante 7 años. Los demás datos se conservan hasta que el Cliente los elimina o finaliza el contrato (artículo 11).

5. Confidencialidad y acceso

TrompTech mantiene los datos en secreto. Quien tiene acceso en nombre de TrompTech está sujeto a confidencialidad; actualmente solo J. Tromp. Si se incorpora alguien, TrompTech lo comunica. TrompTech solo accede a un espacio de trabajo si es necesario para el soporte que solicita el Cliente, para la seguridad o la recuperación tras una incidencia, o porque la ley lo exige. Si TrompTech accede al espacio de trabajo, este lo registra en un registro de accesos, con fecha, hora, motivo y explicación. Los administradores del Cliente ven ese registro en el espacio de trabajo, en Team. Los datos del personal en el espacio de trabajo del Cliente no son visibles para TrompTech en la aplicación.

6. Seguridad

TrompTech adopta medidas adecuadas (artículo 32 del RGPD). Entre otras:

Todas las conexiones van cifradas por https.
El servidor solo está abierto al tráfico web. La administración solo es posible mediante una conexión protegida con una clave, y las actualizaciones de seguridad se instalan automáticamente.
Cada espacio de trabajo funciona en un proceso propio que solo ve su propia carpeta.
Los secretos de las integraciones, las conversaciones con la IA, las propuestas de la IA, el acceso a la agenda y el correo en un dominio propio se almacenan cifrados.
Las contraseñas solo se guardan cifradas, y el número de intentos de inicio de sesión está limitado.
La verificación en dos pasos (una app de códigos o una llave de acceso) es obligatoria para quien administra el espacio de trabajo, y para todos si el Cliente así lo elige.
Un registro de accesos recoge los inicios de sesión, los intentos fallidos, los cierres de sesión y las consultas por parte de TrompTech. Solo puede crecer y se conserva durante un año.
Los usuarios reciben roles y permisos. En cada módulo se registra quién cambió qué.
Cada noche, una copia de seguridad cifrada fuera del servidor, conservada 60 días (consulta Servicio y disponibilidad).

TrompTech puede ajustar las medidas, siempre que el nivel no baje. El Cliente es responsable de a quién da acceso, qué roles asigna y qué integraciones activa.

7. Subencargados

El Cliente autoriza a los subencargados que figuran en la página de subencargados, con lo que hace cada parte, qué datos, dónde y con qué base en caso de transferencia fuera del Espacio Económico Europeo. TrompTech les impone las mismas obligaciones que en este acuerdo, en la medida en que el servicio lo permita, y sigue siendo responsable frente al Cliente.

TrompTech comunica cualquier subencargado nuevo o distinto con al menos 30 días de antelación por correo electrónico. El Cliente puede oponerse dentro de ese plazo. Si no llegamos a un acuerdo, el Cliente puede resolver el contrato con efecto desde la fecha del cambio, sin coste por el resto del periodo.

Los servicios que el Cliente conecta por su cuenta, como Google, Microsoft 365, Mollie o un CRM, no son subencargados de TrompTech. Para ellos, el Cliente tiene sus propios acuerdos con ese servicio.

8. Funciones de IA

Las funciones de IA funcionan a través de la API empresarial de TrompTech con el modelo de lenguaje que figura en la página de subencargados. El Cliente no necesita una cuenta propia para ello.
TrompTech traslada las funciones de IA a un tratamiento en la UE: a través de Google Cloud (Vertex AI) o AWS (Amazon Bedrock), en una región de la UE. TrompTech anuncia ese cambio con al menos 30 días de antelación, como en el artículo 7. A partir de entonces, nada de las funciones de IA va ya a un modelo de lenguaje fuera de la UE, y si esa vía no está disponible, la IA no funciona.
El Cliente solo puede usar una clave API propia de un proveedor si TrompTech lo activa para el espacio de trabajo. El trabajo pasa entonces por esa clave, fuera de la vía UE. Ese proveedor es entonces un proveedor del Cliente, no un subencargado de TrompTech.
Al modelo de lenguaje solo va lo necesario para la tarea: la pregunta, las instrucciones y los datos que la IA obtiene para ello del espacio de trabajo.
Lo que sale del espacio de trabajo, como un correo o un cambio en otro sistema, se convierte primero en una propuesta que aprueba un usuario. Un administrador del Cliente puede elegir por tipo de tarea que esta se ejecute sin aprobación, con un límite diario. Eso constituye una instrucción del Cliente. Los asuntos de personal, los contratos y el estado de una factura nunca se ejecutan sin aprobación.
TrompTech registra el consumo por tarea de IA, no el texto.

9. Violaciones

TrompTech notifica una violación que afecte a los datos del Cliente sin dilación indebida, y procura notificarla dentro de las 48 horas siguientes a su descubrimiento, para que el Cliente pueda notificarla a su vez dentro de las 72 horas a la Autoriteit Persoonsgegevens (la autoridad neerlandesa de protección de datos). La notificación contiene lo que TrompTech sabe en ese momento: qué ha ocurrido, qué datos e interesados, las consecuencias probables y las medidas. Lo que se conozca después, se comunicará más adelante. TrompTech no notifica por sí mismo a la autoridad de control ni a los interesados, salvo que el Cliente lo solicite o la ley lo exija. TrompTech documenta cada violación, aunque no sea necesario notificarla.

10. Asistencia al Cliente

TrompTech ayuda al Cliente con las solicitudes de los interesados, como el acceso o la supresión. Para ello, el espacio de trabajo dispone de una exportación por persona y de la eliminación de una relación. Si TrompTech recibe directamente una solicitud así, la reenvía al Cliente. TrompTech también ayuda en una evaluación de impacto relativa a la protección de datos (EIPD). La ayuda que requiera más de 2 horas al año puede facturarla TrompTech a la tarifa horaria habitual, salvo que sea necesaria por un error de TrompTech.

11. Finalización y devolución

Tras la finalización del contrato, el Cliente puede obtener sus datos durante 30 días: TrompTech los entrega previa solicitud en un formato común y legible por máquina. Después, TrompTech borra el espacio de trabajo con todos los datos y claves. Las copias en las copias de seguridad desaparecen cuando caduca la copia de seguridad, a más tardar 60 días después; hasta entonces permanecen cifradas y solo se utilizan para la recuperación. Previa solicitud, TrompTech confirma el borrado por escrito.

12. Control

Previa solicitud, TrompTech facilita al Cliente la información necesaria para demostrar que se cumplen estas condiciones. Si resulta demostrablemente insuficiente, el Cliente puede encargar una vez al año una auditoría a un experto independiente sujeto a confidencialidad, con 30 días de preaviso, en horario de oficina y sin acceso a datos de otros clientes. El Cliente asume los costes, salvo que la auditoría revele un incumplimiento sustancial por parte de TrompTech. TrompTech no tiene ninguna certificación como ISO 27001.

13. Duración y modificación

Este acuerdo se mantiene vigente mientras TrompTech trate datos del Cliente. TrompTech comunica cualquier modificación con al menos 30 días de antelación; si perjudica al Cliente, este puede resolver el contrato con efecto desde la fecha de entrada en vigor. En caso de contradicción con las condiciones generales, prevalece este acuerdo, en lo que respecta a los datos personales. Para la responsabilidad y los litigios se aplican las condiciones generales y el Derecho neerlandés.

Preguntas sobre este acuerdo: info@tromptech.nl.