Contrato de encargado del tratamiento
Borrador pendiente de revisión por la gestoría. Este texto puede cambiar.
Partes
Responsable del tratamiento: el suscriptor de NuvliPro (autónomo o empresa) que acepta este contrato al marcar la casilla de aceptación al crear su cuenta. Encargado del tratamiento: Rubén Ricardo Casas Lazo, profesional autónomo, con NIF X3977936V y domicilio en Calle Jardin Botanico 2 A, Esc. 4, Planta 00, Puerta 85, 38670 Adeje (S.C. Tenerife), email info@nuvlipro.com. Este contrato cumple el artículo 28.3 del Reglamento General de Protección de Datos (RGPD) y forma parte de los Términos y condiciones.
Objeto
El encargado trata, por cuenta del suscriptor, los datos personales que este introduce o genera en NuvliPro, solo para prestarle el servicio: guardarlos, mostrarlos, preparar documentos (presupuestos, facturas, contratos y registros de fichaje), enviarlos cuando el suscriptor lo pide y usar las funciones de inteligencia artificial que el suscriptor utilice. Este contrato no se aplica a las solicitudes de presupuesto que los particulares envían a través de NuvliPro Reformas. De esos datos, el responsable es NuvliPro, como explica la política de privacidad.
Datos e interesados
Clientes y sus contactos (identificación, contacto, datos fiscales, direcciones de obra e importes); proveedores (identificación, contacto y datos fiscales); trabajadores (identificación, contacto, registro de jornada y ubicación GPS en el momento de fichar); y fotos de obra, que pueden mostrar personas, viviendas u otros datos.
Duración
Mientras el suscriptor tenga su cuenta en NuvliPro, en cualquier plan. Al terminar, se aplica lo previsto en «Fin del contrato».
Instrucciones del suscriptor
El encargado trata los datos solo siguiendo las instrucciones documentadas del suscriptor (este contrato y el uso que hace de la app), también en lo que se refiere a transferencias internacionales. Si una instrucción le parece contraria al RGPD o a otra norma, se lo dirá al suscriptor de inmediato. No usará los datos para fines propios.
Confidencialidad
Las personas autorizadas a acceder a los datos se comprometen a mantener su confidencialidad o están sujetas a una obligación legal de confidencialidad.
Medidas de seguridad
El encargado aplica medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD), entre ellas: conexión cifrada (SSL), contraseñas guardadas cifradas, acceso por usuario y permisos, separación de los datos de cada cuenta, bloqueo temporal tras varios intentos de acceso fallidos y aviso de los accesos desde dispositivos nuevos.
Subencargados
El suscriptor autoriza al encargado a recurrir a estos subencargados: • Alojamiento de la web, la app, la base de datos y los archivos: Emergent Labs, Inc. (EE. UU.), que también trata datos en India a través de AGIONE Technologies Private Limited. • Inteligencia artificial (escanear facturas, preparar presupuestos y el asistente): Anthropic, PBC y OpenAI (EE. UU.), a través de Emergent. • Secretaria Nuvli: OpenAI (EE. UU.), usando la clave propia del suscriptor cuando la configura. • Envío de correos con documentos y avisos: Resend (EE. UU.). • Pagos con tarjeta: Stripe Payments Europe, Ltd. (Irlanda). • Inicio de sesión con Google, conexión de Gmail, analítica de la web pública (solo si se aceptan las cookies de medición), tipografías y vídeos: Google Ireland Limited (Irlanda) y Google LLC (EE. UU.). • Analítica de uso de la app, solo si se aceptan las cookies de medición: PostHog, Inc. (EE. UU.), a través de Emergent. • Mapas y búsqueda de direcciones del fichaje: OpenStreetMap Foundation (Reino Unido). • Comprobación antirrobots del formulario de registro: Cloudflare Turnstile, de Cloudflare, Inc. (EE. UU.), que trata la dirección IP y datos técnicos del navegador. El encargado impone a cada subencargado las mismas obligaciones de protección de datos de este contrato. Avisará al suscriptor por email, con antelación, de cualquier cambio en esta lista; el suscriptor podrá oponerse y, si no se llega a un acuerdo, cancelar su suscripción.
Transferencias internacionales
Algunos subencargados (Emergent Labs, Anthropic, OpenAI, Resend, Google, PostHog y Cloudflare) están en Estados Unidos. Las transferencias se basan en la certificación de cada proveedor en el Marco de Privacidad de Datos UE-EE. UU. o, si no la tiene, en las cláusulas contractuales tipo aprobadas por la Comisión Europea (artículo 46 del RGPD). Emergent Labs también trata datos en India, a través de AGIONE Technologies Private Limited. India no cuenta con una decisión de adecuación de la Comisión Europea, por lo que esas transferencias se basan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (artículo 46 del RGPD). OpenStreetMap Foundation está en Reino Unido, que cuenta con una decisión de adecuación de la Comisión Europea.
Derechos de los interesados
El encargado ayudará al suscriptor, en la medida de lo posible, a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige al encargado, le pasará la solicitud al suscriptor sin demora.
Brechas de seguridad
Si se produce una brecha de seguridad que afecte a los datos del suscriptor, el encargado le avisará sin demora indebida y, como máximo, en 48 horas desde que tenga conocimiento de ella, con la información disponible, para que pueda notificarla a la Agencia Española de Protección de Datos en el plazo de 72 horas y, si procede, a los interesados.
Otras ayudas al suscriptor
El encargado ayudará al suscriptor a cumplir sus obligaciones de seguridad, de evaluación de impacto y de consulta previa a la autoridad de control, teniendo en cuenta la información de que disponga.
Fin del contrato: devolución o borrado
Para dar de baja su cuenta, el suscriptor lo hace desde Configuración, en «Tus datos y tu cuenta». Si tiene un plan de pago, la suscripción se cancela al terminar el periodo ya pagado y los 30 días empiezan a contar desde ese momento. Durante esos 30 días puede recuperar la cuenta entrando en NuvliPro, con todo como estaba, y descargar todos sus datos desde Configuración. Pasado ese plazo, los datos se borran. Solo se conservan bloqueados, durante el plazo que obliga la ley, las facturas y los registros de VeriFactu (6 años) y los fichajes (4 años).
Auditorías
El encargado pondrá a disposición del suscriptor la información necesaria para demostrar que cumple este contrato y permitirá auditorías e inspecciones del suscriptor o de un auditor que este designe, con un aviso previo razonable y sin poner en riesgo la seguridad ni los datos de otros clientes.
Obligaciones del suscriptor
El suscriptor garantiza que tiene una base legal para tratar los datos que introduce, que informa a sus clientes, proveedores y trabajadores (en especial del fichaje con GPS) y que atiende sus derechos.
Actualizaciones
Última actualización: 24 de octubre de 2026 (borrador pendiente de revisión por la gestoría).