Acuerdo de Encargo del Tratamiento

En resumen: Este acuerdo regula cómo Mazex.ai trata datos personales por cuenta de clientes empresariales que usan la plataforma con datos de terceros. El cliente decide los fines y medios; el Titular trata los datos solo según sus instrucciones, con medidas de seguridad, confidencialidad, control de subencargados y asistencia ante derechos y brechas.

Este resumen es orientativo; prevalece el texto completo.

Versión 2026-11-05, en vigor desde el 5 de noviembre de 2026.

1. Partes, roles y ámbito

1.1 Partes

Este Acuerdo de Encargo del Tratamiento (el «Acuerdo») se celebra entre:

• el cliente que utiliza el servicio en el marco de una actividad profesional, empresarial o institucional (el «Cliente»), que actúa como responsable del tratamiento; y
• pendiente · razón social del titular («Mazex.ai», el «Titular»), con identificación fiscal pendiente · identificación fiscal y domicilio en pendiente · domicilio social, pendiente · país, que actúa como encargado del tratamiento.

1.2 Cuándo se aplica

El Acuerdo forma parte de los Términos y se aplica cuando el Cliente introduce en Mazex.ai datos personales de terceros (empleados, clientes, alumnos u otras personas) y la normativa de protección de datos exige un contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la normativa nacional de desarrollo. Respecto a los datos de la cuenta de las personas usuarias que gestiona el Cliente, y a los datos de seguridad y facturación que el Titular trata para sus propios fines, el Titular actúa como responsable según la Política de Privacidad.

1.3 Definiciones

Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado», «violación de la seguridad» y «autoridad de control» tienen el significado del RGPD. «Subencargado» es el tercero contratado por el Titular para realizar parte del tratamiento. «Instrucciones» son las órdenes documentadas del Cliente. Otros términos se explican en la Terminología.

2. Objeto, duración, naturaleza y finalidad

2.1 Objeto

El Titular tratará los datos personales que el Cliente y sus personas usuarias introduzcan o generen en la plataforma, en la medida necesaria para prestar el servicio descrito en los Términos.

2.2 Duración

El Acuerdo estará vigente mientras el Titular preste el servicio al Cliente y, después, durante el tiempo necesario para devolver o suprimir los datos conforme a la cláusula 12.

2.3 Naturaleza y finalidad

La naturaleza del tratamiento comprende el alojamiento, almacenamiento, estructuración, consulta, transmisión a proveedores de IA seleccionados, y supresión de datos. Su finalidad es permitir que las personas usuarias del Cliente mantengan conversaciones con modelos de IA, organicen proyectos, adjunten archivos, compartan contenido y administren sus cuentas, así como garantizar la seguridad y continuidad del servicio.

2.4 Categorías de datos e interesados

Se describen en el Anexo I. El Cliente es responsable de que las categorías de datos que introduzca sean adecuadas y de que no se incorporen categorías especiales de datos salvo que cuente con base jurídica y haya valorado los riesgos.

3. Obligaciones del Cliente

El Cliente:

• garantiza que cuenta con una base jurídica válida para el tratamiento y para encargarlo al Titular, y que ha informado a los interesados;
• es responsable de la licitud del contenido que introduce y de configurar la plataforma (proveedores de IA habilitados, roles, enlaces compartidos) de forma adecuada a sus obligaciones;
• decide si utiliza modelos de proveedores externos y qué proveedor, entendiendo que ello supone el envío de contenido a esos subencargados;
• gestiona las altas y bajas de las personas usuarias de su organización y la seguridad de sus credenciales;
• responderá ante los interesados y las autoridades como responsable del tratamiento.

4. Instrucciones documentadas

El Titular tratará los datos personales únicamente siguiendo las instrucciones documentadas del Cliente, que son este Acuerdo, los Términos, la configuración de la plataforma realizada por los administradores del Cliente y las solicitudes adicionales razonables por escrito. Esto incluye las transferencias a terceros países, que solo se harán conforme a esas instrucciones, salvo que una norma del Derecho de la Unión o de un Estado miembro aplicable al Titular lo exija; en tal caso, informará previamente al Cliente, salvo que la ley lo prohíba.

El Titular informará al Cliente si considera que una instrucción infringe la normativa de protección de datos. El Titular no tratará los datos para fines propios distintos de los necesarios para prestar el servicio, para la seguridad y para el cumplimiento de obligaciones legales, no los venderá y no los utilizará para entrenar modelos con el contenido del Cliente.

5. Confidencialidad del personal

El Titular garantiza que las personas autorizadas a tratar los datos personales se han comprometido a mantener la confidencialidad o están sujetas a una obligación legal de confidencialidad, que reciben la formación adecuada y que el acceso se limita a lo necesario para sus funciones. Esta obligación subsiste tras la terminación del Acuerdo.

6. Medidas de seguridad

El Titular aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Las medidas mínimas se describen en el Anexo II. El Titular podrá actualizarlas para mejorarlas, sin reducir de forma sustancial el nivel de protección. El Cliente es responsable de valorar si dichas medidas son adecuadas para los datos que desea tratar, incluidos sus riesgos específicos. Más información en Seguridad.

7. Subencargados

7.1 Autorización general

El Cliente concede autorización general para recurrir a subencargados. Los vigentes figuran en Subencargados del tratamiento. Los proveedores de IA solo intervienen si un administrador del Cliente los configura y una persona usuaria elige uno de sus modelos.

7.2 Cambios y oposición

El Titular informará al Cliente de cualquier incorporación o sustitución de subencargados con una antelación de 30 días, por correo electrónico o aviso destacado en la aplicación. En ese plazo, el Cliente podrá oponerse por motivos razonables relacionados con la protección de datos escribiendo a pendiente · correo de privacidad. Las partes buscarán de buena fe una solución; si no la hay, el Cliente podrá resolver el servicio afectado sin penalización y obtener el reembolso proporcional de lo pagado por adelantado, en su caso.

7.3 Garantías

El Titular impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este Acuerdo mediante contrato, y seguirá siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de los subencargados, con las limitaciones de la cláusula 13.

El Cliente reconoce que los proveedores de IA aplican sus propias condiciones técnicas y comerciales, que el Titular tendrá en cuenta al seleccionarlos y configurarlos, procurando usar configuraciones que excluyan el entrenamiento con el contenido cuando el proveedor lo permita.

8. Asistencia al Cliente

8.1 Ejercicio de derechos

Teniendo en cuenta la naturaleza del tratamiento, el Titular asistirá al Cliente, con medidas técnicas y organizativas adecuadas, para atender las solicitudes de ejercicio de derechos de los interesados. Si el Titular recibe directamente una solicitud relativa a datos que trata por cuenta del Cliente, se la trasladará sin dilación indebida y no responderá al interesado salvo instrucción del Cliente. Las funciones de la plataforma (exportación y eliminación de conversaciones y adjuntos, gestión de usuarios) están disponibles para los administradores. La supresión completa de una cuenta se solicita por correo a pendiente · correo de privacidad.

8.2 Evaluaciones de impacto y consultas previas

El Titular facilitará la información razonablemente necesaria para que el Cliente realice evaluaciones de impacto relativas a la protección de datos y consultas previas a la autoridad de control cuando proceda, así como para cumplir las obligaciones de seguridad y de notificación de brechas.

9. Violaciones de la seguridad de los datos

El Titular notificará al Cliente sin dilación indebida y, en todo caso, en 72 horas desde que tenga conocimiento de una violación de la seguridad que afecte a los datos personales tratados por cuenta del Cliente. La notificación se enviará a la dirección de contacto que el Cliente haya facilitado e incluirá, en la medida de lo posible:

• la naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas para remediarla y mitigar sus efectos;
• un punto de contacto para obtener más información.

Si no toda la información está disponible, se facilitará por fases. El Titular adoptará sin demora las medidas para contener la violación y documentará los hechos. La notificación a la autoridad de control y a los interesados corresponde al Cliente como responsable. La notificación de una violación no implica reconocimiento de culpa o responsabilidad. El canal de seguridad es pendiente · correo de seguridad.

10. Transferencias internacionales

El Titular solo transferirá datos personales fuera del Espacio Económico Europeo (EEE) en la medida en que sea necesario para prestar el servicio conforme a las instrucciones del Cliente, en particular cuando se utilicen proveedores de IA o de infraestructura ubicados en terceros países. Las transferencias se amparan en una decisión de adecuación, en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté adherido, o en cláusulas contractuales tipo de la Comisión Europea, con medidas complementarias cuando proceda. Si el Cliente es quien configura un proveedor ubicado en un país sin decisión de adecuación, el Cliente reconoce que lo hace como responsable y que le corresponde valorar la transferencia. A petición, el Titular facilitará una copia de las garantías aplicables, sin los datos comerciales confidenciales.

11. Auditorías

El Titular pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Cliente o por un auditor designado por él, con estas condiciones:

• preaviso por escrito razonable de al menos 30 días, salvo que una autoridad exija otro plazo o exista una violación de seguridad acreditada;
• una vez al año, salvo que una autoridad de control las exija con mayor frecuencia o tras una violación;
• durante el horario laboral, sin perturbar indebidamente la actividad ni comprometer la seguridad o los datos de otros clientes;
• el auditor estará obligado por un compromiso de confidencialidad;
• cada parte asumirá sus costes, salvo que la auditoría revele un incumplimiento sustancial del Titular.

Como primer paso, el Titular podrá ofrecer documentación, respuestas a cuestionarios y evidencias de sus medidas.

12. Devolución o supresión al terminar

Al finalizar la prestación del servicio, y a elección del Cliente comunicada por escrito, el Titular suprimirá o devolverá los datos personales tratados por cuenta del Cliente, y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. Antes de la terminación, cada persona usuaria puede exportar o eliminar sus conversaciones y archivos con las funciones de la plataforma; para exportaciones o supresiones de conjunto, el Cliente lo solicitará a pendiente · correo de privacidad. Plazo de conservación posterior a la baja: pendiente · plazo de conservación tras la baja. Los datos que permanezcan en copias de seguridad (pendiente · plazo de copias de seguridad) se suprimirán conforme a su ciclo de rotación y, mientras tanto, no serán objeto de tratamiento distinto de su conservación. Sobre los registros de auditoría rige el plazo pendiente · plazo de conservación de auditoría.

13. Responsabilidad

La responsabilidad de cada parte por los daños derivados del incumplimiento de este Acuerdo se rige por la normativa de protección de datos aplicable (incluido el artículo 82 del RGPD) y por las limitaciones de responsabilidad establecidas en los Términos, en la medida permitida por la ley. Ninguna disposición limita la responsabilidad que no pueda limitarse legalmente ni los derechos de los interesados frente al responsable o al encargado.

14. Duración, resolución y prevalencia

El Acuerdo entra en vigor cuando el Cliente acepta los Términos o comienza a introducir datos personales de terceros en la plataforma, y se mantiene mientras dure el tratamiento. Cualquiera de las partes puede resolverlo si la otra incumple gravemente y no lo subsana tras requerimiento razonable. En caso de conflicto entre este Acuerdo y los Términos en materia de protección de datos, prevalece este Acuerdo. Las cláusulas que por su naturaleza deban subsistir (confidencialidad, supresión, responsabilidad) seguirán en vigor.

El Acuerdo se rige por pendiente · ley aplicable, y las controversias se someterán a pendiente · tribunales competentes, sin perjuicio de los fueros imperativos aplicables.

15. Personas y clientes fuera del Espacio Económico Europeo

Si el Cliente está establecido fuera del EEE y su legislación local de protección de datos exige un contrato de encargo o de prestación de servicios con contenido equivalente, este Acuerdo se aplicará interpretándose conforme a esa legislación en lo que sea compatible, sin necesidad de citar normas concretas. Las referencias al RGPD se entenderán hechas a las disposiciones equivalentes cuando corresponda.

16. Contacto y actualizaciones

Para solicitudes relacionadas con este Acuerdo escriba a pendiente · correo de privacidad; para incidentes de seguridad, a pendiente · correo de seguridad; para el Delegado de Protección de Datos, si existe, a pendiente · delegado de protección de datos. Podemos actualizar el Acuerdo para reflejar cambios legales o del servicio; si el cambio es sustancial, lo comunicaremos con 30 días de antelación. Documentos relacionados: Política de Privacidad, Subencargados, Seguridad y Términos.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

II.1 Control de acceso y autenticación

• Contraseñas almacenadas con scrypt y sal; nunca en claro.
• Sesiones con token opaco de 256 bits; en la base de datos solo se guarda su hash. Las sesiones caducan y las personas usuarias pueden revocarlas.
• Enlaces de verificación y recuperación guardados como hash y con caducidad breve (48 horas y 1 hora, respectivamente).
• Cookies de sesión con atributos HttpOnly, SameSite y Secure.
• Verificación en dos pasos opcional (TOTP según RFC 6238 o código por correo), con códigos de recuperación de un solo uso guardados como hash, límite de intentos, bloqueo temporal, protección frente a reutilización y reautenticación antes de cualquier cambio de seguridad. La clave TOTP se cifra con AES-256-GCM.
• Verificación anti-bots Cloudflare Turnstile opcional.

II.2 Autorización y aislamiento

• Autorización comprobada en el servidor en cada operación.
• Aislamiento de datos por organización y por propietario del recurso.
• Roles en las organizaciones para limitar las capacidades administrativas.

II.3 Protección de aplicaciones

• Protección frente a falsificación de solicitudes entre sitios (CSRF) mediante doble envío de cookie.
• Validación de las entradas.
• Limitación de tasa para mitigar abuso y ataques por fuerza bruta.
• Validación del tipo de archivo por firma binaria y límites de tamaño en los adjuntos.

II.4 Criptografía

• Cifrado AES-256-GCM de las credenciales de los proveedores de IA.
• TLS en tránsito en producción.
• En almacenamiento compatible con S3 se utiliza el cifrado en reposo del proveedor de almacenamiento.

II.5 Registro y trazabilidad

• Registro de auditoría de acciones relevantes con usuario, organización, IP, agente de usuario e identificador de solicitud.
• Censura de datos sensibles (contraseñas, tokens, claves, cookies) en los registros técnicos.

II.6 Compartición de contenido

• Enlaces compartidos con token de 256 bits, revocables y no indexados por buscadores.

II.7 Medidas organizativas

• Acceso del personal limitado a lo necesario y sujeto a confidencialidad.
• Selección de subencargados con garantías contractuales de seguridad y confidencialidad.
• Procedimiento de gestión de incidentes y notificación de violaciones (cláusula 9).

II.8 Limitaciones declaradas

Para evitar malentendidos, a fecha de esta versión no están implantados: el cifrado en reposo por la propia aplicación de los adjuntos guardados en almacenamiento local, el análisis antivirus de los archivos, la purga automática del registro de auditoría ni el borrado de cuenta en autoservicio (se solicita por correo). El Titular mejorará estas medidas con el tiempo y el Cliente debe tenerlas en cuenta en su valoración de riesgos.