← Todos los documentos legales

Contrato de Encargo del Tratamiento (DPA)

1. Objeto

Este Contrato de Encargo del Tratamiento (el «DPA») rige el tratamiento de datos personales llevado a cabo por HUB DESPACHOS Y PYMES S.L. («HUB Consultores», el «Encargado del tratamiento») por cuenta de la organización del Usuario (el «Responsable del tratamiento») cuando el Usuario utiliza la aplicación MCP Bridge — AI for Bitrix24 (el «Software») para acceder a los datos del CRM almacenados en su portal de Bitrix24.

Este DPA forma parte integrante del Contrato de Licencia de Usuario Final (EULA) aceptado por el Responsable del tratamiento en el momento de la instalación del Software, y cumple con el artículo 28 del Reglamento General de Protección de Datos (GDPR — Reglamento (UE) 2016/679).

En caso de conflicto entre este DPA y el EULA o la Política de Privacidad respecto al tratamiento de datos personales por cuenta del Responsable del tratamiento, prevalece este DPA.

2. Definiciones

Los términos no definidos aquí tienen el significado que les otorga el GDPR. En particular:

• Responsable del tratamiento — la organización del Usuario que opera el portal de Bitrix24.
• Encargado del tratamiento — HUB Consultores.
• Subencargado — cualquier tercero contratado por el Encargado del tratamiento para tratar datos personales por cuenta del Responsable del tratamiento.
• Datos Personales — cualquier información relativa a una persona física identificada o identificable almacenada en el portal de Bitrix24 del Responsable del tratamiento y a la que se accede a través del Software.

3. Objeto, naturaleza y finalidad del tratamiento

4. Categorías de interesados y de datos personales

Categorías de interesados:

• Empleados del Responsable del tratamiento que utilizan el Software
• Leads, contactos, clientes y otras personas físicas cuyos datos el Responsable del tratamiento almacena en su portal de Bitrix24
• Cualesquiera otras personas físicas referenciadas en los registros del CRM (proveedores, socios, prospectos, etc.)

Categorías de datos personales tratados (solo en tránsito):

• Datos de identificación (nombre, apellidos, cargo, empresa)
• Datos de contacto (correo electrónico, teléfono, dirección)
• Datos de negocio (deals, tareas, comentarios, adjuntos, campos personalizados que el Responsable del tratamiento haya definido en Bitrix24)
• Cualesquiera otros datos personales que el Responsable del tratamiento decida almacenar en su portal de Bitrix24 y a los que acceda a través del Software

Categorías especiales de datos (GDPR Art. 9):

El Software no está diseñado para tratar categorías especiales de datos (p. ej., salud, origen racial, religión, orientación sexual). No obstante, si el Responsable del tratamiento almacena tales datos en su portal de Bitrix24 y los consulta a través del Software, los datos transitarán a través de la infraestructura del Encargado del tratamiento. El Responsable del tratamiento es el único responsable de garantizar una base jurídica válida con arreglo al Art. 9 del GDPR para dicho tratamiento.

Recomendación. El Encargado del tratamiento recomienda que el Responsable del tratamiento configure controles de acceso en Bitrix24 (permisos a nivel de campo, restricciones de rol, visibilidad de campos personalizados) para impedir que el Software acceda a campos que contengan categorías especiales de datos, salvo que se disponga de una base jurídica documentada conforme al Art. 9 y de las garantías adicionales exigidas por el Art. 9 de la LOPDGDD española.

5. Obligaciones del Encargado del tratamiento

El Encargado del tratamiento deberá:

1. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, inclusive en lo relativo a las transferencias de datos personales a terceros países (GDPR Art. 28(3)(a)). Las instrucciones del Responsable del tratamiento se definen como: las solicitudes a la API emitidas por usuarios autorizados a través del asistente de IA de su elección. Cualquier otro tratamiento requiere instrucciones adicionales por escrito.

2. Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a la confidencialidad o estén sujetas a obligaciones estatutarias apropiadas de confidencialidad (Art. 28(3)(b)).

3. Implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (Art. 32). Las medidas específicas se describen en la Sección 12 de la Política de Privacidad e incluyen: cifrado en tránsito (TLS 1.2+), cifrado en reposo a nivel de aplicación de los tokens OAuth y del mcp_token mediante el esquema simétrico Fernet (biblioteca cryptography) con la TOKEN_ENCRYPTION_KEY mantenida fuera de la base de datos; hashing SHA-256 para los índices de búsqueda de tokens y la lista negra de tokens revocados; cifrado a nivel de disco en la capa de infraestructura; control de acceso estricto; minimización de los ámbitos (scopes) de OAuth; registro de auditoría; limitación de tasa; y detección de intrusiones.

4. Respetar las condiciones para contratar subencargados según lo establecido en la Sección 7 de este DPA (Art. 28(2) y (4)).

5. Asistir al Responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de su obligación de responder a las solicitudes de los interesados que ejerzan sus derechos GDPR (Art. 28(3)(e)).

6. Asistir al Responsable del tratamiento en garantizar el cumplimiento de las obligaciones previstas en los artículos 32-36 (seguridad, notificación de violaciones, EIPD, consulta a la autoridad de control) (Art. 28(3)(f)).

7. A elección del Responsable del tratamiento, suprimir o devolver todos los datos personales al Responsable del tratamiento tras el fin de la prestación de los servicios, y suprimir las copias existentes salvo que la legislación de la UE o de un Estado miembro exija su conservación (Art. 28(3)(g)). En la práctica, dado que el Encargado del tratamiento no almacena datos del CRM en reposo, no se requiere ninguna supresión tras la resolución — los datos del Responsable del tratamiento residen únicamente en su portal de Bitrix24 en todo momento.

8. Poner a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este DPA y permitir auditorías, incluidas inspecciones, realizadas por el Responsable del tratamiento u otro auditor mandatado por el Responsable del tratamiento, a expensas del Responsable del tratamiento y durante el horario laboral normal, con un preaviso por escrito de al menos 30 días (Art. 28(3)(h)).

6. Notificación de violaciones de la seguridad de los datos personales

El Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales tratados por cuenta del Responsable del tratamiento. Este plazo es deliberadamente más breve que el plazo de 72 horas que el Responsable del tratamiento tiene en virtud del GDPR Art. 33(1) frente a su autoridad de control competente, de modo que el Responsable del tratamiento conserve tiempo suficiente para evaluar la violación y, cuando sea necesario, notificar a la autoridad de control y a los interesados afectados. Cuando el Encargado del tratamiento tenga conocimiento de una violación de alto riesgo confirmada, lo notificará al Responsable del tratamiento tan pronto como sea razonablemente posible — y sin esperar al límite de 48 horas — para que el Responsable del tratamiento pueda cumplir sus obligaciones para con los interesados en virtud del Art. 34.

La notificación incluirá, en la medida de lo posible:

• La naturaleza de la violación, incluyendo las categorías y el número aproximado de interesados y de registros afectados;
• Las consecuencias probables de la violación;
• Las medidas adoptadas o propuestas para abordar la violación y mitigar sus efectos adversos.

El Encargado del tratamiento cooperará con el Responsable del tratamiento en el cumplimiento de las propias obligaciones de notificación del Responsable del tratamiento en virtud de los Art. 33-34 del GDPR.

7. Subencargados

7.1 Autorización general

El Responsable del tratamiento otorga por el presente al Encargado del tratamiento una autorización general para contratar subencargados, con sujeción a las condiciones establecidas en esta Sección 7.

7.2 Subencargados actuales

La lista actual de subencargados es:

7.3 Cambios en los subencargados

El Encargado del tratamiento notificará al Responsable del tratamiento con al menos 30 días de antelación cualquier incorporación o sustitución prevista de subencargados que vayan a tratar los datos personales del Responsable del tratamiento. La notificación se enviará a través del panel «What’s new» del Software y por correo electrónico cuando esté disponible.

El Responsable del tratamiento podrá oponerse al cambio por escrito dentro de los 30 días siguientes a la notificación, exponiendo motivos razonables. Si las partes no pueden alcanzar un acuerdo, el Responsable del tratamiento podrá poner fin al acuerdo de tratamiento correspondiente desinstalando el Software.

7.4 Obligaciones de los subencargados

Al contratar a un subencargado, el Encargado del tratamiento le impondrá las mismas obligaciones de protección de datos establecidas en este DPA mediante un contrato por escrito (Art. 28(4)). En particular:

• Sentry (Functional Software, Inc. / Functional Software GmbH): el Encargado del tratamiento ha aceptado el Anexo de Encargo del Tratamiento de Sentry a través del panel Legal & Compliance de Sentry. El DPA de Sentry se apoya en la certificación del EU-US Data Privacy Framework — autocertificada por Functional Software, Inc. y verificable en la lista oficial del DPF en dataprivacyframework.gov — y en las Cláusulas Contractuales Tipo (2021).
• Hetzner Online GmbH: subencargado en el marco del Auftragsverarbeitungsvertrag (AVV) estándar de Hetzner. Hetzner es una empresa alemana sujeta al GDPR; los centros de datos utilizados por el Software están ubicados en la Unión Europea.

Hay copias de los contratos de subencargo suscritos a disposición del Responsable del tratamiento previa solicitud por escrito a la dirección de contacto del Encargado del tratamiento.

8. Transferencias internacionales de datos

8.1 Arquitectura y funciones

El Software está diseñado de modo que la propia infraestructura del Encargado del tratamiento (servidores de aplicación, base de datos, monitorización de errores) permanezca dentro del Espacio Económico Europeo (EEE). Específicamente:

• Servidores de aplicación y base de datos: Hetzner, Núremberg, Alemania (UE).
• Monitorización de errores: región UE de Sentry — Fráncfort, Alemania.

El Encargado del tratamiento no almacena datos del CRM en reposo en ninguna ubicación.

8.2 Transferencia ulterior al asistente de IA elegido por el Responsable del tratamiento

La principal transferencia de datos personales fuera del EEE que puede producirse en relación con el Software es la transferencia ulterior de datos del CRM desde el Encargado del tratamiento al asistente de IA que el Responsable del tratamiento ha autorizado (p. ej., Claude.ai, ChatGPT u otros asistentes compatibles con MCP), que puede estar ubicado en Estados Unidos o en otro lugar.

Esta transferencia ulterior se realiza siguiendo instrucciones documentadas del Responsable del tratamiento (GDPR Art. 28(3)(a)). La instrucción se materializa en el acto de que el Responsable del tratamiento autorice un asistente de IA concreto a través del flujo OAuth del Software. El Encargado del tratamiento no selecciona el destino de la transferencia; reenvía los datos en tránsito al asistente elegido por el Responsable del tratamiento.

El Responsable del tratamiento es la parte responsable, con arreglo al Capítulo V del GDPR, de garantizar que exista un mecanismo de transferencia apropiado entre él (como exportador de datos) y el asistente de IA (como importador de datos) antes de autorizar dicho asistente. El Encargado del tratamiento apoya al Responsable del tratamiento en esta evaluación manteniendo la lista de subencargados de la Sección 7.2 con las garantías allí documentadas.

8.3 Garantías disponibles para la transferencia al asistente de IA

Para la transferencia ulterior a un asistente de IA con sede en EE. UU. (o en otro lugar fuera del EEE), el Responsable del tratamiento debe apoyarse en los siguientes mecanismos, por orden de aplicabilidad:

1. Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) («SCC (2021)») suscritas entre el exportador de datos (el Responsable del tratamiento, o la instancia de Bitrix24 que actúe en su nombre) y el proveedor del asistente como importador de datos, complementadas con una evaluación de impacto de la transferencia cuando sea necesario. A la fecha de entrada en vigor de este DPA, este es el mecanismo documentado públicamente tanto por Anthropic (Claude) como por OpenAI (ChatGPT) para las transferencias de datos personales de la UE.

2. Certificación de la parte receptora conforme al EU-US Data Privacy Framework (DPF), cuando —y solo cuando— el proveedor se haya autocertificado y permanezca en la lista activa del DPF. El Responsable del tratamiento debe verificar el estado actual de certificación del proveedor en la lista oficial (https://www.dataprivacyframework.gov) antes de apoyarse en este mecanismo, ya que las certificaciones pueden añadirse, retirarse o invalidarse con el tiempo.

El Encargado del tratamiento no garantiza el estado de certificación ni la validez del mecanismo de transferencia de ningún proveedor; pone de manifiesto la información de la Sección 7.2 para asistir en la propia evaluación del Capítulo V del Responsable del tratamiento.

8.4 Excepciones del Art. 49

El Encargado del tratamiento no se apoya en las excepciones del GDPR Art. 49 (incluido el «consentimiento explícito» del Art. 49(1)(a)) como garantía rutinaria para la transferencia ulterior descrita en la Sección 8.2. Según ha declarado el Comité Europeo de Protección de Datos en sus Directrices 2/2018, las excepciones del Art. 49 son excepcionales y no resultan apropiadas para transferencias de naturaleza masiva, repetitiva o sistemática. Las transferencias realizadas por el Software en su uso normal entran dentro de esas categorías y, por tanto, deben sustentarse en las SCC (2021), en la certificación DPF (cuando proceda) o en otro mecanismo apropiado con arreglo al Capítulo V del GDPR.

9. Auditorías e inspecciones

El Responsable del tratamiento podrá, a sus expensas y con un preaviso por escrito de al menos 30 días, realizar una auditoría (incluidas inspecciones de las instalaciones del Encargado del tratamiento) para verificar el cumplimiento de este DPA. Las auditorías se llevarán a cabo durante el horario laboral normal y de un modo que no interfiera con las operaciones comerciales del Encargado del tratamiento.

Tales auditorías no se realizarán más de una vez por período de 12 meses, salvo que las desencadene (i) una preocupación de cumplimiento material y documentada notificada al Encargado del tratamiento por escrito, o (ii) un requerimiento de una autoridad de control competente dirigido al Responsable del tratamiento respecto al tratamiento realizado por el Encargado del tratamiento por cuenta del Responsable del tratamiento.

El Encargado del tratamiento podrá satisfacer las solicitudes de auditoría proporcionando informes de auditoría de terceros existentes (p. ej., ISO 27001, SOC 2) cuando estén disponibles, junto con un resumen por escrito de las medidas técnicas y organizativas efectivamente implementadas en el momento de la solicitud.

10. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de responsabilidad establecidas en el EULA, salvo cuando la legislación imperativa (en particular el GDPR Art. 82) disponga otra cosa. Cada parte será responsable de los daños causados por un tratamiento que infrinja el GDPR únicamente cuando no haya cumplido las obligaciones específicamente dirigidas a ella o cuando haya actuado al margen de las instrucciones lícitas del Responsable del tratamiento o en contra de ellas.

11. Duración y resolución

Este DPA es efectivo durante el tiempo que el Responsable del tratamiento tenga el Software instalado en su portal de Bitrix24. Se resuelve automáticamente tras la desinstalación del Software.

Tras la resolución:

• Todos los tokens OAuth y datos de enrutamiento en poder del Encargado del tratamiento (como Responsable de esos registros — véase la Sección 3.1 de la Política de Privacidad) se eliminan en un plazo de 24 horas.
• No se requiere ninguna supresión de datos del CRM, ya que el Encargado del tratamiento nunca almacena datos del CRM en reposo (Sección 5(7) anterior).

12. Legislación aplicable

Este DPA se rige por la legislación española y se interpretará de conformidad con el EULA. Las controversias están sujetas a las mismas cláusulas de jurisdicción que el EULA (Sección 12 del EULA).

13. Contacto

Para cualquier cuestión relacionada con este DPA, contacte con:

• Email: [email protected] (asunto: «MCP Bridge — DPA»)
• Dirección: HUB DESPACHOS Y PYMES S.L., Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, España
• Teléfono: +34 822 684 008

14. Modificaciones de este DPA

El Encargado del tratamiento podrá actualizar este DPA de forma periódica para reflejar cambios en la legislación aplicable de protección de datos, en las orientaciones del EDPB o de la autoridad de control, en los subencargados, o modificaciones materiales de las medidas técnicas y organizativas. Las modificaciones materiales se notificarán al Responsable del tratamiento con al menos 30 días de antelación a su entrada en vigor, a través del panel «What’s new» del Software y, cuando esté disponible, por correo electrónico al contacto registrado en el portal de Bitrix24.

El Responsable del tratamiento podrá oponerse a cualquier modificación material por escrito, dentro del plazo de preaviso de 30 días, exponiendo motivos razonables. Si las partes no pueden alcanzar un acuerdo, el Responsable del tratamiento podrá poner fin al acuerdo de tratamiento correspondiente desinstalando el Software, lo que activará el calendario de eliminación descrito en la Sección 11.

Los cambios no materiales (correcciones tipográficas, aclaraciones que no afecten a los derechos u obligaciones del Responsable del tratamiento o de los interesados, actualizaciones de los datos de contacto) surten efecto tras la publicación del DPA revisado en la URL donde se aloja este documento.

Last updated: 2026-06-05 Version: 1.1

Changelog

v1.1 (2026-06-05) — Revisión de refuerzo del GDPR:

• §4 — Se añade una recomendación explícita al Responsable del tratamiento de aplicar controles de acceso en Bitrix24 para impedir que el Software acceda a campos que contengan categorías especiales de datos sin una base jurídica documentada conforme al Art. 9.
• §5(3) — Se pone de manifiesto el cifrado Fernet a nivel de aplicación de los tokens OAuth y el mcp_token, y el hashing SHA-256 para las búsquedas y la lista negra de tokens revocados. El cifrado a nivel de disco se aclara como una medida complementaria en la capa de infraestructura.
• §6 — El plazo de notificación de violaciones de la seguridad de los datos personales se mantiene en 48 horas, deliberadamente más estricto que el plazo de 72 horas del Responsable del tratamiento conforme al GDPR Art. 33(1), de modo que el Responsable del tratamiento conserve todo su margen de notificación. Se añade la justificación de forma incorporada.
• §7.2 — Tabla de subencargados ampliada con: ubicación explícita del centro de datos (Hetzner Núremberg, Alemania — UE); región UE explícita de Sentry (Fráncfort — ingest.de.sentry.io); garantías por fila para cualquier transferencia fuera del EEE; aclaración de la función de Bitrix24 frente al asistente de IA. Para Anthropic (Claude) y OpenAI (ChatGPT), el mecanismo de transferencia principal se identifica como las Cláusulas Contractuales Tipo (2021); el EU-US Data Privacy Framework se trata como una garantía condicional sujeta a que el Responsable del tratamiento verifique el estado actual de certificación del proveedor en dataprivacyframework.gov.
• §7.4 — Se añaden referencias explícitas al DPA de Sentry suscrito (a través del panel Legal & Compliance de Sentry) y al marco AVV de Hetzner. Hay copias disponibles previa solicitud por escrito.
• §8 — Sección de transferencias internacionales reescrita siguiendo las Directrices 2/2018 del EDPB: las SCC (2021) se identifican ahora como la garantía principal para la transferencia ulterior al asistente de IA, y el EU-US Data Privacy Framework como una garantía condicional que requiere la verificación del Responsable del tratamiento en la lista oficial del DPF. Se elimina el «consentimiento explícito» del Art. 49(1)(a) como garantía rutinaria; el Encargado del tratamiento se apoya en su lugar en las instrucciones documentadas del Responsable del tratamiento.
• §9 — Cadencia de auditoría limitada a una vez por período de 12 meses, con excepciones para preocupaciones de cumplimiento documentadas o requerimientos de la autoridad de control.
• §14 (nueva) — Cláusula de modificaciones: preaviso de 30 días para los cambios materiales, con derecho del Responsable del tratamiento a oponerse y a resolver desinstalando el Software.

v1.0 (2026-05-21) — Publicación inicial.