Contrato de Encargo de Tratamiento

Partes

Responsable del tratamiento (art. 4.7 RGPD):
Empresa, dirección, representada por

Encargado del tratamiento (art. 4.8 RGPD):
Neurohain, Amparo Iglesias Gordillo, 40211 Düsseldorf, Alemania
Correo: info@neurohain.com

1. Objeto y duración

1.1 Este contrato concreta las obligaciones de protección de datos de las partes derivadas del contrato principal sobre diseño, instalación y operación de un sistema Neurohain.

1.2 El tratamiento se realiza únicamente en el marco del contrato principal y siguiendo las instrucciones documentadas del responsable.

1.3 La duración coincide con la del contrato principal y termina automáticamente con él.

2. Naturaleza, alcance y finalidad del tratamiento

2.1 Punto de partida: el sistema funciona en la propia infraestructura del responsable — en su servidor, con sus cuentas y sus claves API. Los datos personales de los clientes finales del responsable no se copian, almacenan ni tratan en sistemas propios de Neurohain.

2.2 Existe tratamiento a efectos de este contrato porque Neurohain dispone de acceso técnico a esa infraestructura para prestar el servicio de operación, y en ese contexto puede ver, modificar o suprimir datos personales.

2.3 Finalidad: operación, monitoreo, resolución de incidencias, adaptación y evolución del sistema.

2.4 Naturaleza: consulta, lectura, rectificación, supresión y configuración en el marco de la operación y el soporte.

Categorías de interesados

• Clientes y potenciales clientes del responsable
• Personal del responsable, en la medida en que use el sistema

Categorías de datos personales

• Datos identificativos (nombre, tratamiento)
• Datos de contacto (teléfono, móvil, correo electrónico)
• Datos de cita (fecha, hora, tipo, estado)
• Contenido de las comunicaciones (histórico de mensajes por WhatsApp, SMS o correo)
• Datos de uso y registros del sistema
• otras categorías a añadir por proyecto

No se tratan categorías especiales del art. 9 RGPD salvo pacto expreso y separado. Nota para clínicas veterinarias: los datos sobre animales no son datos de salud en el sentido del art. 9 RGPD, pero los de sus propietarios sí pueden ser datos personales.

3. Instrucciones del responsable

3.1 Neurohain trata los datos personales únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal.

3.2 Las instrucciones se dan en forma de texto. Las verbales se confirmarán por escrito sin dilación.

3.3 Neurohain informará al responsable sin dilación si, en su opinión, una instrucción infringe la normativa de protección de datos, y podrá suspender su ejecución hasta que se confirme o modifique.

4. Obligaciones de Neurohain

4.1 Confidencialidad: todas las personas implicadas en el tratamiento están sujetas a deber de confidencialidad.

4.2 Seguridad del tratamiento: Neurohain aplica las medidas técnicas y organizativas descritas en el Anexo 1, conforme al art. 32 RGPD.

4.3 Asistencia: Neurohain asiste al responsable, dentro de lo razonable, en la atención de los derechos de los interesados (arts. 12–23 RGPD), en las evaluaciones de impacto (art. 35 RGPD) y en la consulta previa (art. 36 RGPD).

4.4 Violaciones de seguridad: Neurohain notificará al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, como máximo, en 24 horas desde que tenga conocimiento, con toda la información disponible. La notificación a la autoridad de control del art. 33 RGPD corresponde al responsable.

4.5 Solicitudes de interesados: si un interesado se dirige directamente a Neurohain, esta trasladará la solicitud al responsable sin dilación y no la responderá por su cuenta.

4.6 Contacto de protección de datos: info@neurohain.com. No procede designar delegado de protección de datos conforme al § 38 BDSG; si esa circunstancia cambia, se informará al responsable.

5. Subencargados

5.1 El responsable otorga autorización general para la contratación de los subencargados indicados en el Anexo 2.

5.2 Neurohain informará de los cambios previstos con 30 días de antelación en forma de texto. El responsable podrá oponerse en ese plazo. Si la oposición está justificada e imposibilita la prestación, ambas partes dispondrán de un derecho de resolución extraordinario.

5.3 Neurohain vinculará a los subencargados a un nivel de protección equivalente al de este contrato.

5.4 Aclaración importante: los servicios que el responsable utiliza bajo sus propias cuentas y en su propio nombre — en particular proveedores de hosting, Meta / WhatsApp Business, Google y proveedores de IA — no son subencargados de Neurohain. El responsable es parte contratante frente a esos proveedores y firma con ellos directamente los contratos necesarios. Neurohain asiste en la configuración.

6. Transferencias internacionales

6.1 El tratamiento por parte de Neurohain se realiza exclusivamente dentro de la UE/EEE.

6.2 En la medida en que el responsable emplee servicios que transfieran datos a terceros países (como Meta o proveedores de IA con sede en EE. UU.), ello se produce al amparo de sus propios contratos con dichos proveedores y bajo su responsabilidad. Neurohain lo advierte antes de la puesta en marcha.

7. Derechos de control

7.1 El responsable podrá verificar el cumplimiento de este contrato, en particular solicitando información y consultando los permisos de acceso que constan en su propia administración.

7.2 Las auditorías presenciales son posibles previo aviso con antelación razonable y en horario laboral habitual, sin perturbar de forma desproporcionada la actividad.

8. Supresión y devolución al terminar

8.1 Dado que los datos permanecen en la infraestructura del responsable, no es necesaria devolución alguna de conjuntos de datos por parte de Neurohain.

8.2 Al terminar el contrato se revoca el acceso técnico de Neurohain. Las copias que pudieran existir en poder de Neurohain (por ejemplo en tickets de soporte o archivos de trabajo locales) se suprimen, salvo obligación legal de conservación.

8.3 A petición del responsable, Neurohain confirmará la supresión en forma de texto.

9. Responsabilidad

Se aplica el art. 82 del RGPD. En lo demás rigen las cláusulas de responsabilidad del contrato principal.

Anexo 1 — Medidas técnicas y organizativas (art. 32 RGPD)

Control de acceso físico: los equipos de trabajo de Neurohain se encuentran en dependencias no accesibles al público y quedan bloqueados en ausencia. No se operan salas de servidores propias.

Control de acceso lógico: acceso exclusivamente mediante cuentas individuales y nominales, nunca con credenciales compartidas. Doble factor de autenticación siempre que el servicio lo permita. Las contraseñas se gestionan en un gestor de contraseñas y no se envían por correo ni por mensajería.

Control de acceso a datos: permisos según el principio de mínimo privilegio, limitados a lo necesario para operar y dar soporte. Sin acceso a conjuntos de datos que no se necesiten para la prestación.

El control queda en el responsable: el acceso lo concede el responsable y puede revocarlo él en cualquier momento desde su propia administración, sin intervención de Neurohain.

Control de transmisión: conexiones cifradas (TLS/HTTPS, SSH) para todos los accesos. Sin envío de datos personales por canales no cifrados.

Control de separación: cada responsable opera su propia instancia en su propia infraestructura. La mezcla de datos de distintos responsables queda excluida por diseño.

Disponibilidad y resiliencia: monitoreo de la operación del sistema. Política de copias según lo acordado en el contrato principal; las copias residen en la infraestructura del responsable.

Revisión: las medidas se revisan al menos anualmente y siempre que se produzcan cambios sustanciales.

Situación a 19/08/2026. No hay registro sistemático de los accesos y aquí no se afirma que lo haya; está en preparación y se añadirá cuando exista.

Anexo 2 — Subencargados

Si de forma excepcional Neurohain aporta infraestructura o accesos propios en un proyecto concreto, ese proveedor debe incorporarse aquí antes de la puesta en marcha.