Data Processing Agreement

Acuerdo de Encargo de Tratamiento de Datos Personales — RGPD (Art. 28)

1. Partes

Responsable del Tratamiento: El cliente que contrata los servicios de InnovaIA.
Encargado del Tratamiento: Antonio Postiguillo Moscardó (InnovaIA), con domicilio en Xàtiva, Valencia, España.

2. Objeto

El presente DPA regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco de la prestación de servicios contratados. Este acuerdo forma parte integrante de los Términos de Servicio y se rige por el Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD.

3. Duración

Este acuerdo tiene la misma duración que el contrato de servicios principal. A la finalización, el Encargado devolverá o destruirá todos los datos personales del Responsable, salvo obligación legal de conservación.

4. Naturaleza y Finalidad del Tratamiento

El Encargado tratará los datos personales exclusivamente para la prestación de los servicios contratados y según las instrucciones documentadas del Responsable.

Naturaleza	Prestación de servicios de consultoría tecnológica
Finalidad	Desarrollo, testing y soporte de soluciones contratadas
Categorías de datos	Datos de contacto (nombre, email, teléfono), datos profesionales, datos de acceso
Categorías de interesados	Empleados y clientes del Responsable

5. Obligaciones del Encargado

InnovaIA se compromete a:

Tratar los datos personales únicamente según las instrucciones documentadas del Responsable.
No utilizar los datos para fines propios ni comunicarlos a terceros sin autorización.
Mantener la confidencialidad de los datos, incluso tras la finalización del servicio.
Implementar medidas técnicas y organizativas apropiadas: cifrado AES-256, TLS 1.3, control de acceso, logs de auditoría.
Notificar al Responsable cualquier violación de seguridad en un plazo máximo de 24 horas.
Asistir al Responsable en la atención de solicitudes de derechos de los interesados.
No contratar sub-encargados sin autorización previa y por escrito del Responsable.
Realizar auditorías internas periódicas y facilitar auditorías externas del Responsable.

6. Sub-Encargados Autorizados

InnovaIA utiliza los siguientes proveedores como sub-encargados del tratamiento:

Proveedor	Servicio	Ubicación
Hosting propio / Proveedor EU	Alojamiento web	Unión Europea
Google Workspace	Email corporativo	EEE (SCC)
InnovaIA Engine (IA Propia)	Procesamiento IA on-premise / servidores EU	Unión Europea

El Responsable autoriza expresamente estos sub-encargados. Cualquier cambio será notificado con 15 días de antelación, pudiendo el Responsable oponerse y resolver el contrato.

7. Medidas de Seguridad

InnovaIA mantiene un Sistema de Gestión de Seguridad de la Información que incluye:

Cifrado AES-256 para datos en reposo y TLS 1.3 para datos en tránsito.
Control de acceso basado en roles (RBAC) con autenticación multifactor.
Registro de accesos y operaciones (logs de auditoría).
Copias de seguridad automatizadas con retención de 30 días.
Política de zero-training: los datos del cliente nunca se utilizan para entrenar modelos de IA.
Servidores ubicados exclusivamente en territorio de la Unión Europea.

8. Derechos del Responsable

El Responsable puede:

Solicitar auditoría del cumplimiento de este DPA (máximo una vez al año, salvo causa justificada).
Solicitar la devolución o destrucción certificada de sus datos al finalizar el servicio.
Revocar el consentimiento para sub-encargados y solicitar su sustitución.

9. Contacto DPO

Para cualquier cuestión relacionada con este DPA o la protección de datos: info@innovaia.org