Acuerdo de Encargo del Tratamiento (art. 28 RGPD)

1. Objeto y papeles

La empresa cliente es la RESPONSABLE del tratamiento de la documentación interna y de las consultas que sus usuarios realizan. Isla Cloud Solutions actúa como ENCARGADA del tratamiento, tratando esos datos únicamente para prestar el Servicio y siguiendo las instrucciones documentadas del Responsable.

2. Objeto, duración, naturaleza y finalidad

• Objeto: alojamiento, indexación y consulta conversacional con IA de la documentación del cliente.
• Duración: la del contrato de servicio.
• Naturaleza y finalidad: permitir que los usuarios autorizados del cliente obtengan respuestas, con citas, a partir de su propia documentación.
• Tipos de datos: los que el cliente decida subir en su documentación, más los datos de cuenta de sus usuarios (nombre, correo, rol).
• Categorías de interesados: empleados y usuarios autorizados del cliente y, en su caso, las personas mencionadas en la documentación.

3. Instrucciones del responsable

El Encargado tratará los datos solo conforme a las instrucciones documentadas del Responsable, incluidas las transferencias internacionales descritas más abajo. Si una instrucción infringe la normativa de protección de datos, el Encargado informará de ello.

4. Confidencialidad y seguridad

El personal autorizado se compromete a la confidencialidad. El Encargado aplica medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre ellas:

• Aislamiento estricto entre empresas a nivel de base de datos (Row-Level Security forzado): los datos de una empresa no son accesibles desde otra.
• Control de acceso por roles dentro de cada empresa: cada usuario solo accede a la documentación que su rol permite.
• Cifrado en tránsito (HTTPS/TLS) y contraseñas almacenadas con hash (argon2); segundo factor de autenticación (2FA) disponible para todas las cuentas.
• Copias de seguridad cifradas y registro de auditoría de las acciones administrativas.

5. Subencargados

El Responsable autoriza el recurso a los siguientes subencargados, necesarios para prestar el Servicio. El Encargado informará de cualquier cambio previsto, dando opción a oponerse:

• Gigas (Gigas Hosting, S.A.) — alojamiento de la infraestructura. Ubicación: España (UE).
• Anthropic, PBC — generación de respuestas (modelo «Claude»). Ubicación: EE. UU. Solo recibe la pregunta y los fragmentos necesarios para responder.
• Voyage AI — generación de «embeddings» (vectores) para la búsqueda. Ubicación: EE. UU.

6. Transferencias internacionales

Los datos de cliente se alojan en la Unión Europea (España). El procesamiento por los modelos de IA (Anthropic, Voyage) implica una transferencia a EE. UU., amparada en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea y/o el Data Privacy Framework, según corresponda. [Confirmar y enlazar el acuerdo de tratamiento de datos de cada proveedor.]

7. Asistencia al responsable

El Encargado asistirá al Responsable, en la medida de lo posible, para atender los derechos de los interesados y para cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36 RGPD).

8. Notificación de violaciones de seguridad

El Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos, aportando la información disponible para que el Responsable cumpla sus deberes de notificación.

9. Devolución o supresión

Finalizada la prestación, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales y las copias existentes, salvo que la conservación venga exigida por la normativa.

10. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá auditorías razonables, conforme a lo que se acuerde en el contrato de servicio.