Contrato de encargo del tratamiento

Este contrato regula, conforme al artículo 28 del RGPD, el tratamiento de datos personales que Lowkey, S.L. (NIF B26657098, «el Encargado») hace por cuenta de cada cliente de Vecy («el Responsable») al prestarle el servicio descrito en los términos del servicio. Forma parte de ellos y se acepta con la propuesta o el pedido. Si el Responsable lo necesita, se firma también por separado.

1. Objeto, naturaleza y finalidad

El Encargado aloja y trata los datos del Responsable para que sus agentes automáticos atiendan por WhatsApp (y, si se activa, por llamada) a sus contactos: recibir y enviar mensajes, entenderlos y redactar respuestas con modelos de IA, gestionar incidencias, limpiezas, leads y visitas, sincronizar con sus CRM y PMS y mostrarlo todo en su panel.

2. Duración

Lo que dure el contrato de servicio, más el plazo de devolución y borrado de la cláusula 11.

3. Datos e interesados

• Interesados: inquilinos y huéspedes, proveedores y personal de limpieza, interesados en alquilar (leads) y miembros del equipo del Responsable.
• Datos: identificativos y de contacto (nombre, teléfono, email), contenido de los mensajes, notas de voz y fotos, datos del contrato o la estancia (vivienda, fechas, renta), datos de incidencias y visitas, y preferencias de búsqueda (presupuesto, zona, fecha).
• El servicio no está pensado para categorías especiales de datos (art. 9 RGPD). Si un contacto las envía por iniciativa propia, se tratan solo como parte de la conversación.

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable (este contrato y la configuración que hace en el panel), incluso respecto a transferencias internacionales, y avisarle si una instrucción le parece contraria a la ley.
2. No usar los datos para fines propios ni para entrenar modelos de IA.
3. Garantizar que las personas autorizadas a tratarlos se han comprometido a la confidencialidad.
4. Aplicar las medidas de seguridad de la cláusula 5.
5. Respetar las condiciones de la cláusula 6 para recurrir a subencargados.
6. Ayudar al Responsable a atender los derechos de los interesados (cláusula 7), a cumplir los artículos 32 a 36 del RGPD (seguridad, brechas, evaluaciones de impacto y consulta previa) y poner a su disposición la información necesaria para demostrar el cumplimiento.
7. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

5. Medidas de seguridad

• Aislamiento entre clientes en dos capas: filtro por organización en todas las consultas y seguridad a nivel de fila en PostgreSQL con un rol sin privilegios de bypass.
• Cifrado en tránsito (TLS, HSTS) y en reposo por el proveedor de base de datos; secretos de integraciones y segundos factores cifrados con AES-256-GCM.
• Contraseñas con scrypt, bloqueo tras intentos fallidos, verificación en dos pasos (que el Responsable puede hacer obligatoria), sesiones con caducidad e inactividad y cierre remoto.
• Control de acceso por roles y registro de auditoría de accesos, permisos e integraciones.
• Webhooks firmados, bloqueo de peticiones a redes internas, cabeceras de seguridad estrictas y dependencias revisadas.
• Datos alojados en la UE (Fráncfort) y copias de seguridad del proveedor de base de datos.
• Borrado automático según el plazo de conservación que elija el Responsable.

6. Subencargados

El Responsable da una autorización general para los subencargados de la lista publicada. El Encargado avisará por email con al menos 30 días de antelación de cualquier alta o cambio; si el Responsable se opone por motivos razonables y no se encuentra una alternativa, podrá terminar el contrato sin penalización. El Encargado impone a cada subencargado las mismas obligaciones de protección de datos y responde de su cumplimiento.

7. Derechos de los interesados

El panel permite al Responsable buscar a una persona, exportar sus datos y borrarlos (Ajustes › Privacidad). Si un interesado se dirige al Encargado, este se lo trasladará al Responsable sin dilación y sin responderle por su cuenta. Los contactos pueden además pedir por WhatsApp hablar con una persona (PERSONA) o no recibir más mensajes automáticos (BAJA).

8. Violaciones de seguridad

El Encargado notificará al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, con la información disponible (naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables y medidas adoptadas), para que el Responsable pueda notificarla a la autoridad en 72 horas si procede.

9. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo), según se indica en la lista de subencargados.

10. Auditorías

El Encargado pondrá a disposición del Responsable la documentación necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con preaviso de 30 días, como máximo una vez al año salvo violación de seguridad, en horario laborable y con confidencialidad. Los costes de la auditoría corren a cargo del Responsable.

11. Fin del encargo

Al terminar el servicio, el Encargado pondrá a disposición del Responsable una exportación de sus datos durante 30 días y después los suprimirá, junto con las copias, salvo que una norma obligue a conservarlos. Las copias de seguridad del proveedor se sobrescriben en su ciclo normal.

12. Responsabilidad

Cada parte responde de los incumplimientos que le sean imputables conforme al artículo 82 del RGPD.

Contacto de privacidad del Encargado: privacidad@vecy.app.

Última actualización: 9 de octubre de 2026.