Acuerdo conforme al artículo 28.3 del RGPD entre el cliente (responsable del tratamiento) y Marco Lohmann, newways.consulting (encargado del tratamiento). Forma parte de las Condiciones generales de contratación y se perfecciona con la contratación.
1. Objeto y duración
El objeto es el tratamiento de datos personales que el responsable introduce en newways.suite o que se generan con su uso.
El acuerdo dura lo que dure el contrato principal y finaliza con él, ampliado por el plazo de supresión del apartado 10.
2. Naturaleza y finalidad
Conservación, estructuración, consulta, utilización, comunicación y supresión con la finalidad de prestar una aplicación de gestión empresarial: gestión de clientes, presupuestos y facturas, proyectos y tareas, registro de tiempos, agenda, archivo de documentos, bandeja de entrada y área de clientes.
El encargado trata los datos únicamente siguiendo instrucciones y para ninguna finalidad propia. En particular, no se utilizan para entrenar modelos de inteligencia artificial, ni por el encargado ni —según su compromiso contractual— por los subencargados del apartado 6.
3. Tipos de datos
Datos identificativos y de contacto, datos contractuales y de facturación, contenidos de mensajes y documentos, datos de uso y registros, archivos subidos y, en su caso, imágenes de firma procedentes de la aceptación de presupuestos.
El responsable decide qué datos introduce y garantiza que existe base jurídica para su tratamiento. No deben introducirse categorías especiales del artículo 9 del RGPD; si se introdujeran, el encargado las tratará con las mismas medidas.
4. Categorías de interesados
Clientes y posibles clientes del responsable, sus personas de contacto, empleados del responsable y remitentes de mensajes entrantes.
5. Instrucciones
- El responsable imparte instrucciones por escrito. El uso de la aplicación y su configuración tienen la consideración de instrucción.
- Si el encargado considera que una instrucción infringe la normativa, lo comunicará sin dilación y podrá suspender su ejecución.
- Si el encargado estuviera obligado a tratar los datos por el Derecho de la Unión o de un Estado miembro, lo comunicará previamente, salvo prohibición legal.
6. Subencargados
- El responsable autoriza a los subencargados relacionados en la Lista de subencargados, que forma parte de este acuerdo.
- Cualquier alta o cambio se comunicará por escrito con 30 días de antelación. El responsable podrá oponerse por un motivo fundado en materia de protección de datos; en tal caso, cualquiera de las partes podrá resolver el contrato principal con efectos a la fecha prevista del cambio.
- El encargado impone a los subencargados las mismas obligaciones y responde de su actuación como de la propia.
- Sobre el Asistente: la comunicación a Anthropic PBC se produce mientras el Asistente esté activado y se desencadene un análisis. En las cuentas dadas de alta a partir del 1 de noviembre de 2026 se entrega activado; con ello el responsable instruye el tratamiento y puede ponerle fin en cualquier momento en Ajustes → Asistente. Desde su desactivación, la comunicación deja de producirse. Las cuentas anteriores conservan su estado.
- Sobre la voz: lo mismo rige frente a ElevenLabs Inc. para el dictado y la lectura en voz alta. Ambos se entregan igualmente activados desde el 1 de noviembre de 2026 y funcionan, a elección, con una clave propia del responsable o con la del encargado. Solo se transmite el fragmento grabado o el texto que deba leerse, y únicamente cuando el responsable o su personal lo desencadenan.
7. Medidas técnicas y organizativas
El encargado mantiene las medidas del artículo 32 del RGPD, en particular:
| Ámbito | Medida |
|---|---|
| Transmisión | Exclusivamente TLS; HSTS en conexiones cifradas |
| Control de acceso | Contraseñas solo como hash bcrypt; limitación de intentos; renovación del identificador de sesión al iniciar sesión |
| Control de autorización | Roles por cliente; filtrado automático por cliente a nivel de consulta; área de operador separada |
| Separación | Cada cliente lleva un identificador propio en cada registro; las consultas sin ese identificador no son posibles en el programa |
| Control de entrada | Registro de altas, modificaciones y bajas; registro inalterable de los accesos del operador |
| Disponibilidad | Copia de seguridad diaria con retención de 30 días |
| Cifrado | Credenciales de buzones e interfaces almacenadas cifradas |
| Entrega de archivos subidos | Capa de entrega propia con comprobación de ruta y política de contenidos restringida |
| Soporte físico | Explotación en centros de datos con certificación ISO 27001 |
Las medidas podrán evolucionar siempre que no se reduzca el nivel de protección.
8. Asistencia al responsable
El encargado asiste al responsable en:
- Las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad). La aplicación ofrece exportación y supresión; cualquier asistencia adicional se prestará sin dilación.
- La evaluación de impacto y la consulta previa (artículos 35 y 36 del RGPD), cuando proceda.
- Las obligaciones de notificación de los artículos 33 y 34 del RGPD.
Si un interesado se dirige directamente al encargado, este trasladará la solicitud sin dilación y no la responderá por sí mismo.
9. Violaciones de la seguridad
El encargado notificará al responsable cualquier violación de la que tenga conocimiento sin dilación y, a más tardar, en 24 horas, con la información del artículo 33.3 del RGPD de que disponga.
10. Supresión y devolución
- Durante la vigencia, el responsable puede exportar sus datos en cualquier momento (CSV por listado, archivo completo en ZIP).
- Finalizado el contrato, los datos permanecen legibles y exportables durante 30 días.
- Después se suprimen, incluidas las copias de seguridad dentro del ciclo de retención, y a más tardar 60 días tras la finalización.
- Se exceptúan los datos sujetos a una obligación legal de conservación, que se bloquearán y se suprimirán al vencer el plazo.
11. Acreditación y auditoría
- El encargado acreditará el cumplimiento por escrito a requerimiento.
- El responsable podrá verificarlo in situ, previo aviso de al menos 14 días, en horario comercial habitual y como máximo una vez por año natural; con mayor frecuencia únicamente por causa concreta.
- Los certificados e informes de auditoría de los subencargados se facilitarán a petición.
12. Confidencialidad
Las personas que intervienen en el tratamiento están sujetas a un deber de confidencialidad que subsiste tras el fin de su actividad.
13. Ley aplicable
Se aplica el Derecho español. Prevalece la versión española.