Acuerdo de tratamiento de datos
Entrada en vigor: pendiente de activación (sin fijar reservado para la publicación).
Última actualización: pendiente de activación (sin fijar reservado para la publicación).
Borrador preparado el 6 de octubre de 2026. Este instrumento todavía no está en vigor. Sus anexos y los datos del despliegue deben completarse antes de la aceptación.
Borrador revisado: 7 de octubre de 2026. Sigue pendiente de activación.
Resumen no vinculante. Cuando OwlMeans trata datos personales para el proyecto o la aplicación alojada del Cliente, es el Cliente quien da las instrucciones. Este acuerdo fija las obligaciones de confidencialidad, seguridad, proveedores y eliminación. No permite usar los datos de la aplicación del Cliente para marketing ni para entrenamiento. Este resumen no forma parte de las disposiciones operativas del acuerdo.
1. Partes e instrucciones
1.1. El cliente que acepta, identificado en su cuenta o pedido («Responsable»), e Igor Tkachenko OwlMeans Software (que opera como «OwlMeans Software, JDG»), NIP 6772507251, identificador de IVA de la UE PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polonia; support@owlmeans.com; teléfono +48 780 256 571 («Encargado») celebran este acuerdo conforme al artículo 28 del RGPD. Si el propio Cliente es encargado del tratamiento, deberá estar facultado para designar a OwlMeans y transmitirle instrucciones lícitas; las referencias a las funciones se aplican en consecuencia. En lo relativo a los Datos personales del Cliente, este acuerdo prevalece sobre las condiciones del servicio que lo contradigan. Cuando sean aplicables, prevalecen las cláusulas legales de transferencia.
1.2. El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas en el pedido, las funciones habilitadas y el anexo A, también respecto de las transferencias internacionales, salvo que la ley le exija otra cosa. En ese caso informará al Responsable de esa exigencia antes del tratamiento, salvo que la ley se lo prohíba, y advertirá sin demora de cualquier instrucción que considere ilícita. El Responsable determina las bases jurídicas, los avisos, los permisos y la minimización; ninguna de las partes queda eximida de sus propias obligaciones legales.
1.3. OwlMeans actúa como responsable del tratamiento en la gestión de sus posibles clientes y contactos, la correspondencia del servicio y los registros de solicitudes legales, como se describe en la Política de privacidad. Los datos personales controlados por el Cliente que se entregan para el soporte del proyecto encargado, incluido un adjunto necesario, siguen sujetos a este acuerdo; enviarlos mediante una consulta no los convierte en datos de OwlMeans para fines independientes de marketing o entrenamiento. Antes de utilizar ese canal para dichos datos, las partes deben garantizar las instrucciones y la minimización adecuadas, la autorización de los destinatarios del correo y del buzón, y la información sobre transferencias y seguridad. Aunque el servicio de consultas borre los datos de su base temporal, no se eliminan los correos entregados, los adjuntos ni las copias de seguridad; esas copias siguen sujetas a las instrucciones aplicables y a la cláusula 4.2. Las solicitudes relativas a datos controlados por el Cliente se remitirán al Responsable correspondiente conforme a la cláusula 2.2.
1.4. Por «Datos personales del Cliente» se entienden los datos personales que OwlMeans trata conforme a las instrucciones documentadas del Cliente para su proyecto, repositorio, aplicación o soporte encargado, incluidos los datos respecto de los cuales el Cliente sea encargado autorizado de otro responsable. Se excluyen los datos que OwlMeans controla lícitamente para su propia administración de cuentas, facturación, seguridad o correspondencia, cuyas funciones y finalidades se rigen por la Política de privacidad. La recepción de un dato por un canal de soporte no modifica por sí sola el reparto de funciones de responsable y encargado respecto de ese dato.
2. Personal, seguridad y asistencia
2.1. El acceso se limita a personas autorizadas sujetas a un deber de confidencialidad. El Encargado aplicará y mantendrá las medidas del artículo 32 adecuadas al riesgo, descritas en el anexo B, que tengan en cuenta la confidencialidad, la integridad, la disponibilidad, el restablecimiento y la evaluación periódica. Ni el nombre de una función ni una promesa contractual certifican su implantación.
2.2. El Encargado asistirá al Responsable en las solicitudes de ejercicio de derechos, las obligaciones de seguridad, las evaluaciones de impacto y las consultas a la autoridad de control; para ello tendrá en cuenta el tratamiento y la información de que disponga. Remitirá las solicitudes pertinentes sin responder sobre el fondo, salvo por instrucción o por obligación legal. La asistencia necesaria no podrá bloquearse con cargos irrazonables; los trabajos excepcionales solicitados por separado podrán acordarse de antemano.
2.3. El Encargado notificará al Responsable sin demora indebida, desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales, con la información disponible sobre su naturaleza, las categorías y cifras afectadas, el contacto, las consecuencias probables y las medidas de contención, y facilitará actualizaciones por fases. Esto no sustituye la obligación aplicable del Responsable de notificar en un plazo de 72 horas. No se declara ningún plazo operativo más breve que carezca de respaldo.
3. Subencargo del tratamiento y transferencias
3.1. El Responsable concede una autorización general únicamente para los subencargados confirmados del anexo C y para el tratamiento indicado respecto de cada uno. El Encargado notificará con antelación las incorporaciones o sustituciones previstas y concederá el plazo razonable de oposición fijado en el pedido cumplimentado. Resolverá las oposiciones justificadas, ofrecerá una alternativa viable o permitirá poner fin al tratamiento afectado, con el ajuste adecuado de los importes pagados por anticipado. No se autoriza ningún destinatario de respaldo que no esté identificado.
3.2. Cada subencargado debe quedar sujeto a obligaciones equivalentes a las del artículo 28; el Encargado sigue respondiendo de su actuación. Las transferencias restringidas requieren, antes de realizarse, una base válida conforme al capítulo V y, cuando proceda, una evaluación y medidas complementarias. No se incorporan implícitamente cláusulas contractuales tipo sin firmar ni declaraciones de adecuación sin verificar. Para los datos sujetos a la normativa del Reino Unido se establecerá por separado el mecanismo británico aplicable. La función de los servicios independientes elegidos por el Cliente debe evaluarse expresamente.
4. Registros, auditoría y fin del tratamiento
4.1. El Encargado facilitará la información necesaria para demostrar el cumplimiento y permitirá al Responsable o a su auditor independiente realizar auditorías razonables, incluidas inspecciones cuando sean necesarias, con garantías de confidencialidad y seguridad. La programación razonable de las auditorías no podrá frustrar la respuesta a un incidente, la solicitud de una autoridad ni un derecho legal de auditoría. El Encargado llevará los registros de tratamiento aplicables y cooperará con las autoridades.
4.2. Al finalizar el tratamiento, el Responsable elegirá entre la devolución o la eliminación de los Datos personales del Cliente y de las copias existentes, salvo que la ley exija conservarlos. El anexo cumplimentado indicará los formatos de exportación, el tratamiento de las copias de seguridad y el calendario de eliminación. Los datos conservados siguen protegidos y con acceso restringido. El cierre de la cuenta o la eliminación del proyecto no se presentarán, por sí solos, como el borrado de todos los rastros o copias de seguridad. El Encargado confirmará la finalización cuando se le solicite.
Anexo A. Descripción del tratamiento e instrucciones
El objeto es el desarrollo de software con IA solicitado, las operaciones con repositorios, el soporte a los proyectos y, opcionalmente, el alojamiento o IAM. La duración es la de la relación de servicio encargada, más la devolución o eliminación documentadas y la conservación lícita. El tratamiento comprende la recogida, el almacenamiento, el análisis y la inferencia, la generación, la recuperación, la transmisión a proveedores autorizados, la administración de accesos, el alojamiento, la exportación y la eliminación. La finalidad es prestar el proyecto o la aplicación que especifique el Cliente; se excluyen el marketing independiente, la elaboración de perfiles, el uso por socios, los conjuntos de datos para mejorar agentes o procesos y el entrenamiento de modelos propios.
Los interesados son el personal del Cliente, sus colaboradores y los usuarios de las aplicaciones cuyos datos aporte lícitamente el Cliente. Los datos comprenden identificadores; datos de contacto, de cuenta y de funciones; prompts, código y contenido aportados por el Cliente; historiales; metadatos operativos, y los registros de aplicación tratados por instrucciones. Las categorías especiales de datos, los datos relativos a infracciones penales y los datos de menores requieren, antes de aceptarse, una evaluación documentada específica y garantías; no son, por defecto, datos de entrada para el entrenamiento opcional. El tratamiento se produce a petición y mientras esté habilitado el alojamiento. Antes de que empiece el tratamiento deben constar en el anexo de la cuenta o del pedido el contacto del Responsable, el conjunto de datos y las categorías reales, la conservación y las instrucciones geográficas.
Anexo B. Medidas de seguridad exigidas
El anexo de despliegue cumplimentado indicará la separación de accesos por tenant y proyecto, el mínimo privilegio y la autenticación; la gestión y rotación de secretos; la protección en tránsito y en almacenamiento; el acceso a trazas y contenido y su minimización; la gestión de vulnerabilidades y actualizaciones; el escalado de incidentes; las pruebas de copias de seguridad y restablecimiento, y los procedimientos de eliminación y de ejercicio de derechos. Para cada punto se hará constar la medida realmente implantada, el contacto responsable y las limitaciones pertinentes. Ni esta lista ni la etiqueta alfa prueban que exista un control. Ningún tratamiento que requiera un control ausente se activará hasta que este se subsane o se excluya lícitamente del alcance.
Anexo C. Proveedores y transferencias autorizados
La Lista de subencargados, cumplimentada con las entidades contratantes reales, las funciones, las ubicaciones, las bases de las transferencias, la conservación por parte de los proveedores y el plazo de preaviso para la oposición, constituye este anexo una vez aceptada. Su inventario de servicios activos indica el uso actual y no equivale a una aprobación general del Responsable de todos los destinatarios o funciones de tratamiento. La autorización solo abarca el tratamiento de datos del Cliente efectivamente identificado en el anexo cumplimentado. Google reCAPTCHA es un destinatario declarado con fines de seguridad, para prevenir bots, fraude y abuso. Su uso con datos de cuentas o del sitio web controlados por OwlMeans no lo designa por sí solo subencargado para los datos del Cliente; todo tratamiento de datos del Cliente por instrucciones requiere que se cumplimente la información pertinente sobre el proveedor y las transferencias. El contacto y el canal de solicitudes del Responsable son los de la cuenta o el pedido; los del Encargado, support@owlmeans.com. Quedan a salvo los derechos regionales imperativos en materia de privacidad y las potestades de las autoridades de control.