Condiciones que rigen el tratamiento de datos personales por SetAIComply como encargado del tratamiento en virtud del artículo 28 del RGPD.
← Volver a la página principalÚltima actualización: Marzo 2026
El presente Acuerdo de Tratamiento de Datos (en adelante el «DPA») complementa las Condiciones de Servicio (en adelante las «CS») y define las condiciones en las que SetAIComply (en adelante el «Encargado del tratamiento») trata datos personales por cuenta del Usuario (en adelante el «Responsable del tratamiento») en el marco de la prestación de la plataforma SaaS SetAIComply.
El presente DPA se celebra en virtud del artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante el «RGPD»). Se aplica a todo tratamiento de datos personales realizado por el Encargado del tratamiento por cuenta del Responsable del tratamiento en relación con el uso de la plataforma.
En caso de conflicto entre las disposiciones del presente DPA y las de las CS, prevalecerán las disposiciones del presente DPA en lo que respecta al tratamiento de datos personales.
Los términos utilizados en el presente DPA tienen el significado que les atribuye el RGPD, en particular:
El Encargado del tratamiento realiza los siguientes tratamientos por cuenta del Responsable del tratamiento:
El tratamiento se realiza durante toda la duración de la suscripción del Responsable del tratamiento a la plataforma SetAIComply. Al vencimiento o resolución de la suscripción, se aplicarán las disposiciones del artículo 12 del presente DPA.
El Encargado del tratamiento se compromete a:
El Responsable del tratamiento se compromete a:
El Encargado del tratamiento aplica las siguientes medidas técnicas y organizativas para garantizar la seguridad de los datos personales:
El Responsable del tratamiento autoriza de manera general al Encargado del tratamiento a contratar a otros subencargados del tratamiento para el tratamiento de datos personales en virtud del presente DPA. El Encargado del tratamiento informará al Responsable del tratamiento de cualquier cambio previsto relativo a la adición o sustitución de subencargados del tratamiento con al menos 30 días de antelación.
El Responsable del tratamiento dispone de un plazo de 15 días a partir de la notificación para formular objeciones motivadas respecto a un nuevo subencargado del tratamiento. En caso de objeción, las partes se comprometen a negociar de buena fe para encontrar una solución mutuamente aceptable. A falta de acuerdo, el Responsable del tratamiento podrá resolver el contrato de conformidad con las CS.
A la fecha del presente DPA, los subencargados del tratamiento autorizados son los siguientes:
| Subencargado | Finalidad | Ubicación | Datos afectados |
|---|---|---|---|
| Railway Corporation | Alojamiento de la aplicación, bases de datos, caché, copias de seguridad | Unión Europea (Ámsterdam, Países Bajos) | Todos los datos de la plataforma |
| Stripe, Inc. | Procesamiento de pagos | Unión Europea | Datos de facturación, datos bancarios |
| Anthropic, PBC | Generación de documentación por IA (Claude API) | Estados Unidos | Datos descriptivos de sistemas de IA (sin datos directamente identificativos) |
| Cloudflare, Inc. | Envío de correos electrónicos transaccionales, DNS | Unión Europea / red de borde global (constituida en EE. UU.) | Dirección de correo electrónico y contenido de los mensajes transaccionales |
El Encargado del tratamiento se asegura de que cada subencargado del tratamiento esté vinculado por obligaciones de protección de datos al menos equivalentes a las establecidas en el presente DPA. El Encargado del tratamiento sigue siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento de las obligaciones de sus subencargados del tratamiento.
Los datos personales se alojan y tratan dentro de la Unión Europea (Ámsterdam, Países Bajos) en infraestructura de Railway.
Las transferencias de datos a subencargados del tratamiento constituidos en EE. UU. se refieren a (i) datos descriptivos de sistemas de IA transmitidos a Anthropic, PBC (Estados Unidos) con el fin de generar documentación por IA, y (ii) la dirección de correo electrónico y el contenido de los mensajes transaccionales gestionados por Cloudflare, Inc. (Estados Unidos) para el envío de correos electrónicos. Estas transferencias se rigen por:
En el curso normal del uso de la plataforma, no se transfieren a Anthropic datos directamente identificativos (apellido, nombre, dirección de correo electrónico).
El Encargado del tratamiento asiste al Responsable del tratamiento en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición).
Cuando el Encargado del tratamiento reciba una solicitud directamente de un interesado, informará al Responsable del tratamiento sin demora indebida y no responderá a la solicitud sin instrucciones del Responsable del tratamiento, salvo que así lo exija la ley.
El Encargado del tratamiento pone a disposición del Responsable del tratamiento, a través de la plataforma, las herramientas técnicas necesarias para facilitar el ejercicio de los derechos de los interesados, en particular la exportación y supresión de datos.
En caso de violación de datos personales, el Encargado del tratamiento notificará al Responsable del tratamiento sin demora indebida y a más tardar en las 48 horas siguientes a haber tenido conocimiento de la violación. Esta notificación incluirá como mínimo:
El Encargado del tratamiento cooperará con el Responsable del tratamiento y tomará todas las medidas razonables para asistirle en el cumplimiento de sus obligaciones de notificación a la autoridad de control (artículo 33 del RGPD) y a los interesados (artículo 34 del RGPD).
El Encargado del tratamiento pondrá a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente DPA y permitirá y contribuirá a las auditorías, incluidas inspecciones, realizadas por el Responsable del tratamiento o un auditor designado por este.
Las auditorías están sujetas a las siguientes condiciones:
El Encargado del tratamiento también podrá proporcionar informes de auditoría o certificaciones existentes (ISO 27001, informes SOC 2) como medio para demostrar el cumplimiento de sus obligaciones.
Al vencimiento o resolución de la suscripción, el Responsable del tratamiento dispone de un plazo de 30 días para descargar todos sus datos a través de las funcionalidades de exportación de la plataforma. Los datos pueden exportarse en formatos estructurados y de uso común (JSON, CSV).
Al finalizar este plazo de 30 días, y salvo instrucciones en contrario del Responsable del tratamiento, el Encargado del tratamiento eliminará de forma permanente todos los datos personales tratados por cuenta del Responsable del tratamiento en un plazo adicional de 60 días.
El Encargado del tratamiento solo podrá conservar datos más allá de estos plazos cuando así lo exija la legislación de la UE o francesa (en particular, los datos de facturación conservados durante 10 años de conformidad con el Código de Comercio y los datos de conexión conservados durante 12 meses de conformidad con el Decreto n.º 2011-219). El Encargado del tratamiento informará al Responsable del tratamiento de cualquier obligación legal de conservación aplicable.
Se expedirá un certificado de eliminación al Responsable del tratamiento previa solicitud al finalizar el procedimiento de eliminación.
Cuando el Responsable del tratamiento esté obligado a realizar una evaluación de impacto en la protección de datos (EIPD) en el sentido del artículo 35 del RGPD, el Encargado del tratamiento proporcionará al Responsable del tratamiento la asistencia razonable necesaria para llevar a cabo dicha evaluación, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone el Encargado del tratamiento.
De conformidad con el artículo 30, apartado 2, del RGPD, el Encargado del tratamiento mantiene un registro de todas las categorías de actividades de tratamiento realizadas por cuenta del Responsable del tratamiento. Este registro se pone a disposición de la CNIL previa solicitud.
Cada parte es responsable de los daños causados por un tratamiento que no cumpla con las obligaciones del RGPD que le incumben, de conformidad con los artículos 82 y 83 del RGPD.
El Encargado del tratamiento será responsable de los daños causados por el tratamiento únicamente cuando no haya cumplido con las obligaciones del RGPD específicamente dirigidas a los encargados del tratamiento o cuando haya actuado al margen de las instrucciones lícitas del Responsable del tratamiento o en contra de ellas.
El presente DPA entra en vigor en la fecha de registro del Responsable del tratamiento en la plataforma y permanece vigente mientras el Encargado del tratamiento trate datos personales por cuenta del Responsable del tratamiento.
Las obligaciones relativas a la confidencialidad, la seguridad y el destino de los datos al finalizar el contrato subsistirán tras la resolución del presente DPA.
El presente DPA se rige por la legislación francesa. Todo litigio relativo a su interpretación, ejecución o resolución se someterá a la jurisdicción exclusiva de los tribunales competentes de París.
Para cualquier pregunta relativa al presente DPA o al tratamiento de datos personales, puede contactarnos: