Contrato de encargo del tratamiento (art. 28 RGPD)

1. Objeto

1.1. Este contrato regula el tratamiento de los datos personales que el Encargado hace por cuenta del Cliente al prestarle FounderFold. Los detalles (objeto, duración, naturaleza, finalidad, tipos de datos y categorías de interesados) están en el apéndice 1.

1.2. No cubre los tratamientos de los que el Encargado es responsable (cuentas, seguridad, facturación, consumo de IA, los ajustes de la cláusula 9 de las condiciones, los datos de terceros que aparecen de pasada en las páginas públicas que lee el Explorador, las personas clave de las empresas candidatas y, si el Cliente participa en el programa de design partners, los comentarios del canal «Enviar comentario», incluidos los seguimientos). Esos se rigen por la política de privacidad del servicio.

1.3. Prevalece sobre las condiciones en todo lo relativo a datos personales.

2. Instrucciones

2.1. El Encargado trata los datos solo siguiendo las instrucciones documentadas del Cliente, también en las transferencias internacionales, salvo que el Derecho de la Unión o de España le obligue a otra cosa. En ese caso se lo dirá antes al Cliente, salvo que la ley lo prohíba (art. 28.3.a RGPD).

2.2. Son instrucciones del Cliente:

• este contrato y las condiciones;
• el uso que el Cliente y sus Usuarios hacen de las funciones del panel (por ejemplo, pedir una respuesta a un agente, generar o enviar un informe, configurar el Explorador o lanzar una de sus rondas, activar la proactividad);
• los ajustes que activa el propietario;
• el uso del conector de desarrollo, si el Cliente lo usa: es instrucción del Cliente enviar el texto del encargo a la herramienta que use su persona, que no es subencargado de Network Place S.L. (cláusula 8.6 de las condiciones);
• y cualquier otra instrucción escrita aceptada por las dos partes.

2.3. El Encargado avisará al Cliente sin demora si cree que una instrucción infringe el RGPD u otra norma de protección de datos (art. 28.3, último párrafo).

2.4. Prohibición de fines propios. El Encargado no trata los datos del Cliente para fines propios. En particular, no los usa para entrenar modelos de IA, para publicidad ni para crear perfiles que use fuera del servicio al Cliente. La única excepción son los tratamientos que el Cliente autorice de forma específica y por escrito con los ajustes del apéndice 4, en los que el Encargado pasa a ser responsable de ese tratamiento concreto. El uso de la IA por persona se trata solo por cuenta del Cliente: el Encargado no lo usa en sus cuadros internos de costes, en sus alertas ni para ningún fin propio.

2.5. El Explorador: reparto de papeles.

• a) El Encargado trata por cuenta del Cliente la configuración del Explorador de cada cartera (criterios, notas, listas de exclusión y la conversación para configurarlo), las rondas (quién la pidió, consultas, recuentos y resultado), su detalle, la memoria de lo ya visto y las fichas e informes que genera, con los plazos del apéndice 1, salvo las personas clave de las empresas candidatas, de las que el Encargado es responsable (letra b).
• b) El Encargado es responsable de los datos personales de terceros que aparecen de pasada en las páginas públicas que lee el Explorador y de las personas clave de las empresas candidatas (cláusula 8.7.11 de las condiciones), aunque se guarden dentro de las fichas, las rondas y su detalle: decide cómo se buscan y cómo se filtran, informa a esas personas en su política de privacidad y atiende su oposición y sus demás derechos.
• c) Si alguno de esos datos no lo reconoce el filtro y queda en las fichas o en los registros del apartado a), el Cliente instruye al Encargado para que lo borre cuando lo pida la persona interesada o cuando el Encargado lo detecte, y para que añada la web a la lista de dominios excluidos si es de la persona y se opone. El Encargado avisa al Cliente de cada borrado en una ficha, sin repetir el dato.
• d) El Cliente no introduce datos personales de terceros en la configuración del Explorador (cláusula 8.7.7 de las condiciones). Si los introduce, el Encargado puede borrarlos y avisarle.
• e) Ni el Cliente ni el Encargado usan el Explorador para buscar personas físicas por sí mismas, perfilarlas ni hacer fichas de ellas. Se permite identificar a las personas clave de las empresas candidatas, en su papel en ellas, para evaluar la empresa y relacionarse con ella (cláusula 8.7.11 de las condiciones).
• f) Si una persona se dirige al Cliente por un dato de la letra b), el Cliente nos pasa la petición a privacy@founderfold.com en un plazo máximo de 5 días hábiles, sin tratar el dato para otro fin, y la atendemos nosotros como responsables.
• g) Si una autoridad o un tribunal considerara que las partes son corresponsables del tratamiento de la letra b), este apartado vale como su acuerdo (art. 26 RGPD): Network Place S.L. informa a los interesados, atiende sus derechos y es su punto de contacto; el Cliente cumple las letras c), d), e) y f) y la cláusula 8.7.11 de las condiciones. El contenido esencial de este reparto está en el apartado 10 de la política de privacidad del servicio y en el apartado «Información pública sobre empresas» de la política de privacidad de founderfold.com.

3. Confidencialidad

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b). Solo accede a los datos del Cliente el personal que lo necesita, en los casos de la cláusula 5.5 de las condiciones.

4. Seguridad

El Encargado aplica las medidas técnicas y organizativas del apéndice 2 (art. 32 RGPD). Puede mejorarlas. No puede reducir su nivel de protección.

5. Subencargados

5.1. Autorización general. El Cliente autoriza de forma general al Encargado a recurrir a los subencargados del apéndice 3, publicados y al día en founderfold.com/es/subencargados (art. 28.2).

5.2. Aviso previo. Antes de añadir o sustituir un subencargado, el Encargado avisará al propietario por email y en el panel con al menos 15 días de antelación, indicando quién es, qué hará y dónde. Si un proveedor nuestro nos avisa a nosotros con menos antelación de un cambio en su propia cadena, avisaremos al Cliente en cuanto lo sepamos.

5.3. Derecho de oposición. El Cliente puede oponerse por escrito, por motivos razonables de protección de datos, en los 15 días siguientes al aviso. Las partes buscarán de buena fe una solución; si el subencargado es directo, la solución puede ser no usarlo para los datos del Cliente o desactivar la función afectada, y si es de un subencargado nuestro, desactivar la función afectada para la organización del Cliente. Si no la hay antes de que el cambio se aplique, el Cliente puede resolver el contrato sin penalización, con la devolución de la parte proporcional no consumida del periodo pagado.

5.4. Mismas obligaciones. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, con garantías suficientes de medidas técnicas y organizativas apropiadas. El Encargado responde ante el Cliente del cumplimiento de sus subencargados (art. 28.4).

5.5. Urgencias. Si hay que sustituir un subencargado con urgencia por seguridad o por continuidad del servicio, el Encargado puede hacerlo antes del plazo, avisando inmediatamente; el derecho de oposición se mantiene.

6. Transferencias internacionales

6.1. El Encargado guarda los datos del Cliente en la Unión Europea (base de datos en la región eu-west-1, Irlanda). Algunos subencargados los tratan o pueden acceder a ellos desde fuera del EEE, como indica el apéndice 3. El modelo de IA y la búsqueda web del Explorador se procesan fuera de la Unión Europea.

6.2. Esas transferencias se amparan en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 (módulo 3, de encargado a encargado, o el que corresponda) o en una decisión de adecuación (art. 45 RGPD), incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está certificado.

6.3. A petición del Cliente, el Encargado le facilita copia de las garantías, que puede omitir la información comercial confidencial.

7. Ayuda al Cliente

7.1. Derechos de los interesados. El Encargado ayuda al Cliente, con las funciones del panel y con medidas razonables, a responder a las peticiones de derechos (arts. 15 a 22). Si una persona se dirige al Encargado, le pasará la petición al Cliente en un plazo de 5 días hábiles y no la contestará por su cuenta salvo instrucción del Cliente (art. 28.3.e). Las peticiones sobre los datos de la cláusula 2.5.b las atiende el Encargado como responsable, y el Cliente le pasa las que reciba como dice la cláusula 2.5.f.

7.2. Seguridad, brechas, EIPD y consulta previa. El Encargado ayuda al Cliente a cumplir los arts. 32 a 36 con la información de la que dispone (art. 28.3.f). En particular, pone a su disposición una descripción del tratamiento y de los riesgos que el Cliente puede usar para su evaluación de impacto, cuando la necesite (por ejemplo, para la proactividad o el Explorador).

7.3. Brechas. El Encargado notificará al Cliente toda violación de seguridad de los datos del Cliente sin dilación indebida y, cuando sea posible, en 48 horas desde que tenga conocimiento, con la información del art. 33.3 de que disponga, y la completará por fases. La notificación no supone reconocer culpa.

8. Fin del encargo

Al terminar el contrato, y según elija el Cliente, el Encargado le devolverá los datos (cláusulas 13.4 a 13.6 de las condiciones) y después los suprimirá, también en sus subencargados y en las copias de seguridad, en un máximo de 90 días desde el fin del periodo de exportación, salvo que el Derecho de la Unión o de España obligue a conservarlos (art. 28.3.g). Mientras tanto, no los usa. A petición, el Encargado certificará la supresión. Esto incluye la configuración, las rondas, las fichas y la memoria de lo visto del Explorador.

9. Información y auditorías

9.1. El Encargado pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato (art. 28.3.h): este contrato, la descripción de las medidas, la lista de subencargados y, cuando existan, los informes de auditoría de sus proveedores que pueda compartir.

9.2. El Cliente puede auditar, por sí o mediante un auditor independiente sujeto a confidencialidad, una vez al año, con 30 días de preaviso, a su cargo y sin afectar al servicio ni a otros clientes, salvo que haya indicios de incumplimiento o lo exija una autoridad. Las auditorías de los subencargados se rigen por sus contratos.

10. Registro y cooperación

El Encargado lleva el registro del art. 30.2 y coopera con la autoridad de control cuando se lo pida.

11. Responsabilidad, duración y cambios

11.1. La responsabilidad se rige por el art. 82 RGPD y, entre las partes, por la cláusula 11 de las condiciones.

11.2. Este contrato dura lo que el contrato del servicio, y sus obligaciones de confidencialidad y borrado siguen tras su fin.

11.3. Cambios. El Encargado puede actualizar este contrato por cambios legales o para mejorar la protección, con 30 días de aviso. Si un cambio reduce la protección de los datos, necesita la aceptación del Cliente. Cada versión lleva su número y su fecha, y queda registrada la que aceptó cada Cliente.

11.4. Anexos de módulos. Si el Cliente contrata un módulo que trata datos de otra forma (por ejemplo, «Inteligencia de cartera»), se firma su anexo propio, que completa este contrato para ese módulo y prevalece en lo que diga expresamente.

Firma. Por Network Place S.L.: su representante legal, 30 de octubre de 2026. Por el Cliente: aceptación electrónica en el panel por la persona propietaria que acepta, con el registro de organización, persona, versión y fecha.

Apéndice 1. Detalles del tratamiento

Apéndice 2. Medidas técnicas y organizativas

• Aislamiento entre clientes: seguridad a nivel de fila (RLS) en la base de datos, por organización y rol. Las lecturas que el panel hace en nombre de un usuario usan su sesión y la RLS. La clave de servicio solo se usa en el servidor, para tareas acotadas: guardar conversaciones y consumo, guardar y enseñar las capturas de las conversaciones (bucket privado sin acceso desde el navegador, enlaces firmados de 10 minutos), ejecutar y guardar las rondas del Explorador, preparar los informes programados, servir los enlaces compartidos y sincronizar.
• Cifrado en tránsito: TLS en todas las comunicaciones.
• Acceso: autenticación de Supabase; tokens de invitación y de enlaces guardados solo como hash y con caducidad; claves secretas solo en el servidor y en el equipo de administración; acceso de administración limitado a las personas de Network Place que lo necesitan.
• Puesto de administración: el equipo desde el que se administra FounderFold tiene el disco cifrado, bloqueo automático y acceso con credenciales propias; las herramientas locales que usan la clave de servicio solo escuchan en el propio equipo; si se pierde o se compromete el equipo, se rota de inmediato la clave de servicio; las herramientas internas de sincronización no se instalan en equipos de clientes, y ninguna cartera de un cliente se sincroniza con un repositorio.
• Minimización: a la IA se envía solo lo necesario para cada petición; los textos libres tienen topes de tamaño.
• Explorador: filtro de datos personales en el servidor antes de cada escritura; citas tomadas solo del campo de citas del proveedor (hasta 150 caracteres); nombres de personas solo como personas clave, en una tabla propia con su plazo; foros solo como recuento, con la dirección saneada; lista de dominios excluidos aplicada en cada ronda; el agente que lee la web no puede cambiar la configuración ni los estados; contenido de las páginas tratado como dato, no como instrucción; topes de gasto y de fichas por ronda.
• Control de gasto y de abuso: topes antes de cada llamada a la IA y topes de envíos.
• Conservación: purgas diarias programadas.
• Copias de seguridad: las del proveedor de base de datos, en la UE.
• Gestión de incidentes: el procedimiento de notificación de la cláusula 7.3.
• Proveedores: solo con contrato de encargo y con las garantías del capítulo V del RGPD (decisión de adecuación, art. 45, o garantías adecuadas, art. 46).
• Personal: compromiso de confidencialidad. Network Place S.L. se compromete a formar a su personal en protección de datos y en el uso de la IA (art. 4 del Reglamento (UE) 2024/1689) antes de darle acceso a datos de clientes.

Apéndice 3. Subencargados autorizados

Lista a 30 de octubre de 2026. La vigente está en founderfold.com/es/subencargados.

Los subencargados de segundo nivel (por ejemplo, la nube de Railway o de Supabase, o los proveedores de búsqueda de Anthropic) figuran en las listas públicas de cada proveedor, enlazadas desde founderfold.com/es/subencargados. Avisamos al Cliente, como en la cláusula 5.2, de los cambios que nos comuniquen nuestros subencargados sobre su propia cadena, y el Cliente puede oponerse a ellos como en la cláusula 5.3; si no hay otra solución, la función afectada se desactiva para su organización.

Apéndice 4. Autorizaciones específicas para fines del Encargado

Solo se dan cuando la persona propietaria activa el ajuste en el panel, con casillas sin marcar. Mientras no lo activa, no hay autorización y el Encargado no hace este tratamiento. Se registra quién, cuándo y qué versión. Se puede revocar desactivando el ajuste.

4.A. Señales de producto de FounderFold Expert (ADR-0041).

• Qué autoriza: que el Encargado obtenga, de las preguntas de los Usuarios a FounderFold Expert, señales seudonimizadas (tipo, tema, si se resolvió, valoración, semana, versión del manual y, en peticiones y fallos, una frase redactada por la IA), sin texto, usuario ni conversación.
• Para qué: solo para mejorar FounderFold. Con la cláusula 9.1 de las condiciones.
• Papel: el Encargado es responsable independiente de las señales.
• Análisis de compatibilidad (art. 6.4 RGPD), que el Cliente asume: a) relación entre fines: estrecha; se pregunta por el propio producto y la mejora revierte en la ayuda; b) contexto: relación de servicio B2B; el asistente es del proveedor y habla de su producto; c) naturaleza: dudas de uso; la señal no recoge categorías especiales; d) consecuencias: ninguna decisión sobre personas ni perfil; e) garantías: seudonimización (semana en lugar de hora, sin usuario ni texto), regla de no cruce, validación del resumen, umbral de 3 organizaciones, conservación de 12 meses y oposición individual sin motivos. Conclusión: compatible con esas garantías.
• Información y oposición: el Cliente delega la información en el Encargado, que la da en el panel y atiende la oposición de cada Usuario.

4.B. Recetas y métricas entre clientes (ADR-0026). Mismo esquema que 4.A: solo si el propietario activa el ajuste.

• Qué autoriza: obtener estadísticas de patrones (tipo de propuesta, tipo de negocio y de organización, fase, aceptación y permanencia) y de la tasa de aceptación de las propuestas, sin contenido, para mejorar el método y las propuestas de FounderFold.
• Garantías: solo se usa un patrón presente en 5 organizaciones o más; no identifica al Cliente; se puede desactivar en cualquier momento.
• Sin la activación, las métricas de las propuestas del Cliente solo las ve el propio Cliente.