Contrato de encargado del tratamiento

Anexo a las Condiciones de uso de ConsteAi · Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD) · Versión 1.0, octubre de 2026

En una frase: tú (administrador, despacho, comunidad o asociación) eres el responsable de los datos de las personas que participan en tus reuniones. Talent & Digital Consulting, titular de ConsteAi, es tu encargado: trata esos datos solo para prestarte el servicio, solo según tus instrucciones, y nunca para nada más. Este documento lo pone por escrito, que es lo que exige la ley.

Este contrato se acepta al contratar cualquier plan de pago de ConsteAi y forma parte de las Condiciones de uso. Si tu organización necesita firmarlo en papel o incorporar cláusulas propias, escríbenos a contact@talentdigitalconsulting.com y te lo enviamos preparado para firma.

1. Partes

Responsable del tratamiento: el cliente que contrata ConsteAi (en adelante, «el Responsable»), identificado con los datos de su cuenta y, en su caso, de su factura.

Encargado del tratamiento: Talent & Digital Consulting (en adelante, «el Encargado» o «TDC»), titular y operador de la aplicación ConsteAi. Contacto: contact@talentdigitalconsulting.com.

2. Objeto

El Encargado presta al Responsable el servicio ConsteAi, consistente en la transcripción de reuniones, la identificación de intervinientes y la redacción asistida de actas. Para ello el Encargado trata, por cuenta del Responsable, los datos personales que se describen en el apartado 4.

3. Duración

Este contrato está vigente mientras el Responsable mantenga una cuenta activa en ConsteAi. A su terminación se aplica lo previsto en el apartado 9.

4. Descripción del tratamiento

Finalidad	Transcribir reuniones, identificar quién habla, redactar borradores de acta, archivarlos en la cuenta del Responsable y enviarlos a los destinatarios que el Responsable indique.
Naturaleza	Recogida (audio, solo en el dispositivo del Responsable), transcripción automática, análisis lingüístico, almacenamiento de texto, comunicación por correo electrónico a instrucción del Responsable.
Categorías de interesados	Participantes en las reuniones del Responsable: propietarios, consejeros, socios, empleados, clientes, proveedores y cualquier otra persona que intervenga o sea mencionada.
Categorías de datos	Voz (procesada en el dispositivo y, cuando el Responsable lo activa, en el proveedor de transcripción), nombre y cargo de los intervinientes, contenido de lo dicho en la reunión (que puede incluir datos económicos, de domicilio y, excepcionalmente, de categorías especiales si los propios asistentes los manifiestan), direcciones de correo de los destinatarios del acta.
Operaciones excluidas	El Encargado no conserva el audio de las reuniones en sus servidores; no utiliza los datos para entrenar modelos; no los cede a terceros con fines propios; no elabora perfiles de los interesados.

5. Obligaciones del Encargado

El Encargado se obliga a:

Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se concretan en el uso de la aplicación conforme a sus Condiciones. Si el Encargado considera que una instrucción infringe la normativa, informará inmediatamente al Responsable.
No utilizar los datos para fines propios ni distintos de la prestación del servicio.
Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
Aplicar las medidas de seguridad descritas en el apartado 7.
No comunicar los datos a terceros salvo a los subencargados del apartado 6 o por obligación legal, en cuyo caso informará al Responsable salvo prohibición legal.
Asistir al Responsable en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Cuando un interesado ejerza un derecho ante el Encargado, este lo comunicará al Responsable en un plazo máximo de 5 días hábiles.
Notificar al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible sobre su naturaleza, interesados afectados, consecuencias probables y medidas adoptadas.
Apoyar al Responsable en la realización de evaluaciones de impacto y consultas previas cuando proceda.
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías razonables que el Responsable solicite, con un preaviso de 15 días y sin comprometer la seguridad de otros clientes.

6. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, imprescindibles para prestar el servicio. El Encargado informará al Responsable de cualquier cambio con al menos 30 días de antelación, y el Responsable podrá oponerse; si la oposición hace inviable el servicio, cualquiera de las partes podrá resolver el contrato.

Subencargado	Servicio	Ubicación / garantía
Supabase, Inc.	Base de datos, autenticación y funciones de servidor	Servidores en la UE (región eu-west-1, Irlanda). Cláusulas Contractuales Tipo.
Deepgram, Inc.	Transcripción automática del audio con separación de voces	EE. UU. Cláusulas Contractuales Tipo. El audio viaja directamente del dispositivo del Responsable al proveedor, con permiso temporal; no se almacena.
OpenAI, L.L.C.	Corrección del texto transcrito y redacción del borrador de acta; análisis de estilo de las actas de ejemplo	EE. UU. Cláusulas Contractuales Tipo. Uso por API con exclusión de entrenamiento de modelos.
Stripe Payments Europe, Ltd.	Cobro de las suscripciones	Irlanda (UE). No recibe datos de las reuniones.
Brevo (Sendinblue SAS)	Envío de correos transaccionales	Francia (UE).
GitHub, Inc. (GitHub Pages)	Alojamiento de la aplicación web	EE. UU. Sirve el código de la aplicación; no recibe datos de las reuniones.

7. Medidas de seguridad

Cifrado de todas las comunicaciones (TLS) y de los datos en reposo en la base de datos.
Aislamiento por cuenta: políticas de seguridad a nivel de fila en la base de datos, de forma que cada cuenta solo puede leer y escribir sus propios registros.
El audio de las reuniones no se almacena en los servidores del Encargado: permanece en el dispositivo del Responsable.
Las actas de ejemplo que el Responsable aporta para aprender su estilo se analizan y se descartan en la misma operación; solo se conserva la descripción del estilo, depurada de datos identificativos.
Permisos temporales (10 minutos) para el envío de audio al proveedor de transcripción, sin claves permanentes en el navegador.
Política de seguridad de contenido en la aplicación que impide la carga de código y el envío de datos a dominios no autorizados.
Copias de seguridad diarias de la base de datos; registro de errores sin datos personales.
Posibilidad de que el Responsable elimine su cuenta y todos sus datos de forma inmediata desde la propia aplicación.

8. Obligaciones del Responsable

Corresponde al Responsable:

Disponer de base jurídica para grabar y transcribir sus reuniones, e informar a los asistentes antes de hacerlo. La aplicación incluye un modelo de aviso para ello.
Decidir qué reuniones se graban, qué actas se archivan y a quién se envían.
No aportar a la función de aprendizaje de estilo más datos personales de los necesarios; se recomienda usar actas antiguas o anonimizadas.
Custodiar las credenciales de acceso a su cuenta.
Atender los derechos de los interesados y, en su caso, notificar las violaciones de seguridad a la autoridad de control.

9. Terminación y devolución de los datos

A la terminación del servicio, el Responsable puede exportar sus datos desde la aplicación (Ajustes → Datos) en cualquier momento previo. Al eliminar la cuenta, el Encargado suprime todos los datos personales asociados de forma inmediata, conservando únicamente la información de facturación que exija la legislación fiscal durante el plazo legal. El Encargado no conserva copias salvo las de seguridad, que se sobrescriben en un ciclo máximo de 30 días.

10. Responsabilidad

Cada parte responde de los daños causados por el incumplimiento de las obligaciones que este contrato y el RGPD le atribuyen. La responsabilidad del Encargado frente al Responsable se limita, salvo dolo o negligencia grave, al importe pagado por el Responsable en los doce meses anteriores al hecho causante.

11. Legislación y jurisdicción

Este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio del Encargado, salvo que el Responsable tenga la condición de consumidor, en cuyo caso se aplicará el fuero que legalmente le corresponda.