Este anexo se incorpora a la propuesta aceptada antes de cargar datos reales. «Responsable» es la empresa cliente identificada en la propuesta; «Encargado» es el prestador de WhiXz identificado en ella. La aceptación de ambos documentos incorpora este anexo. La lista de subencargados y las garantías no se consideran aceptadas si faltan los datos concretos que se describen al final.
Objeto, duración y operaciones
El Responsable encomienda al Encargado el alojamiento y funcionamiento de su espacio WhiXz para organizar oportunidades y seguimiento comercial. El encargo dura lo que dure el servicio y las actuaciones necesarias para devolver o suprimir la información al finalizar.
Las operaciones son recepción, registro, organización, almacenamiento, consulta, actualización, limitación por permisos, exportación, devolución y supresión según instrucciones. La captura desde una web del Responsable solo se activa cuando se acuerda esa conexión. No comprende prospección propia del Encargado ni campañas de correo o WhatsApp por defecto.
Personas y datos
Las personas afectadas pueden ser clientes, potenciales clientes, contactos profesionales y personas del equipo del Responsable. Las categorías incluyen identificación y contacto; empresa, usuario, rol y permisos; localidad y características de una instalación; importe ofertado; estado, responsable, notas, agenda e historial comercial. No está previsto tratar categorías especiales del artículo 9 del RGPD, antecedentes penales, documentación de identidad ni datos bancarios completos. El Responsable evitará incorporarlos y avisará si lo hace por error.
Instrucciones y deberes del Responsable
El Responsable decide los fines y bases del tratamiento, informa a los interesados, determina las personas autorizadas y comunica sus instrucciones mediante la configuración acordada y comunicaciones de sus contactos autorizados. Asegura que las instrucciones y los datos que aporta son lícitos. Decide los plazos de conservación de sus oportunidades y puede solicitar su revisión, devolución o supresión.
Obligaciones del Encargado
- Tratar los datos solo para prestar el servicio y siguiendo instrucciones documentadas, incluidas las relativas a transferencias. Si una obligación legal exige otro tratamiento, informará previamente salvo prohibición legal. Si aprecia una instrucción contraria a la normativa aplicable, lo comunicará de inmediato y suspenderá esa instrucción mientras se aclara.
- Limitar el acceso a las personas que necesiten intervenir y asegurar su deber de confidencialidad y formación apropiada. No utilizar los datos para publicidad propia, venta de contactos ni fines ajenos al encargo.
- Aplicar medidas adecuadas al riesgo: transporte cifrado, autenticación individual, permisos por empresa y rol, caducidad de sesiones, gestión restringida de credenciales técnicas, validación de operaciones, copias y procedimientos de recuperación. Las medidas y sus comprobaciones concretas se describen en el registro de seguridad.
- Ayudar al Responsable a atender derechos. Remitirle sin demora las solicitudes relativas a sus datos y no resolverlas en su nombre salvo instrucción. Facilitar localización, rectificación, limitación, exportación o supresión con medios proporcionados.
- Informar al Responsable sin dilación indebida al conocer una violación de seguridad que afecte a sus datos. La comunicación inicial contendrá lo disponible: naturaleza, categorías y volumen aproximado, consecuencias, medidas y contacto. Completar la información según avance la investigación, preservar evidencias necesarias y colaborar en las notificaciones. No esperar a conocer todos los detalles para avisar.
- Ayudar, teniendo en cuenta el servicio y la información disponible, con las obligaciones de seguridad, evaluación de impacto y consulta previa que correspondan al Responsable.
- Facilitar la información necesaria para demostrar el cumplimiento y permitir auditorías e inspecciones razonables del Responsable o de un auditor autorizado. Se coordinarán para proteger datos de otros clientes y la seguridad, sin vaciar el derecho de auditoría ni supeditarlo a condiciones abusivas.
Subencargados y transferencias
El Responsable autoriza únicamente los subencargados identificados en la ficha incorporada al contrato, para las funciones indicadas. El Encargado les impondrá obligaciones de protección equivalentes y continuará respondiendo frente al Responsable por el cumplimiento del encargo.
Antes de incorporar o sustituir un subencargado que trate estos datos, el Encargado informará por escrito con una antelación de quince días naturales, salvo urgencia justificada de seguridad o continuidad. El Responsable podrá plantear una oposición fundada en protección de datos. Las partes acordarán una solución; si no es posible, podrá finalizarse la parte afectada y devolverse la información sin obligar al Responsable a aceptar un riesgo no resuelto.
Cualquier transferencia fuera del EEE requerirá un mecanismo vigente adecuado al caso y el análisis que corresponda. La mera ubicación preferida de una base de datos, la existencia de una política pública del proveedor o el consentimiento genérico del cliente no sustituyen esas garantías. La ficha indicará la entidad receptora, función, países relevantes, mecanismo y forma de acceder a sus garantías.
Salida, devolución y supresión
Al finalizar, el Responsable elegirá la devolución o supresión, salvo conservación exigida por ley. La copia se facilitará mediante un canal verificado y seguro, en formato estructurado y utilizable, sin incluir información de otras empresas ni secretos de autenticación.
El Responsable dispone de treinta días desde el fin del servicio para solicitar una copia completa en JSON. El Encargado eliminará los datos de producción dentro de los treinta días siguientes a la instrucción de supresión o al fin de esa ventana si no hay instrucciones distintas documentadas ni obligación legal de conservación. No se ampliará por estos plazos una solicitud legal que deba atenderse antes. Las copias residuales quedarán sin uso ordinario y sujetas al ciclo de borrado documentado. Si una restauración recupera datos ya eliminados, se reaplicarán las instrucciones de supresión antes de reanudar el servicio ordinario. El Encargado confirmará por escrito la actuación y las excepciones legales concretas, si las hubiera.
Ficha que debe acompañar al anexo
No es suficiente firmar este texto sin completar la ficha contractual con: identidad y contacto de ambas partes; contactos autorizados; fecha de inicio y fin; usuarios y categorías previstas; listado de subencargados con entidades y funciones; ubicaciones y mecanismos de transferencia; medidas y responsable operativo; formato/canal de devolución; ventana de salida; plazos de borrado de producción y copias; y medio de notificación de incidentes.
Última actualización: 28 de septiembre de 2026.