Acuerdo de procesamiento de datos

(DPA — art. 28 RGPD) · Última actualización: 2026-10-18.

Este Acuerdo de procesamiento de datos (en adelante, el “Acuerdo” o “DPA”) regula el tratamiento de datos personales que Rubén Jarne Cabañero (77217706J) (el “Encargado” o “Guardesa”) realiza por cuenta del Cliente (el “Responsable”) cuando éste utiliza el Servicio para gestionar datos personales de terceros (inquilinos, propietarios, profesionales, contactos e interesados en alquilar). Forma parte integrante de las Condiciones de uso y entra en vigor en el momento del alta de la cuenta.

En todos los planes. Las obligaciones del Encargado que se recogen a continuación —seguridad, asistencia, notificación de brechas, supresión o devolución de los datos— se aplican por igual en cualquier plan, durante la prueba gratuita, en el piloto y mientras la cuenta está en solo lectura, sin compromiso de nivel de servicio (véanse las Condiciones de uso). Algunas se atienden mediante gestión manual y no mediante funciones de autoservicio.

1. Objeto

El Encargado tratará los datos personales del Responsable conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la LOPDGDD, con la finalidad exclusiva de prestar las funcionalidades contratadas en el Servicio.

2. Naturaleza, finalidad y duración

• Naturaleza: almacenamiento, consulta, modificación, envío, generación documental (contratos, recibos), envío de notificaciones (correo y, para quien vincule el canal, Telegram o WhatsApp), procesamiento mediante asistente IA, atención automatizada a los interesados en alquilar si el Responsable la activa (apartado 9) y copia de seguridad.
• Finalidad: permitir al Responsable gestionar inmuebles, contratos, pagos, incidencias, comunicación con inquilinos, atención a los interesados en alquilar y sus visitas, y demás operaciones propias del Servicio.
• Duración: mientras dure la relación contractual y el Responsable mantenga datos en la plataforma, también cuando la cuenta queda en solo lectura al acabar la prueba o al cancelar la suscripción, lo que el Responsable acepta como instrucción de conservarlos. Cuando el Responsable elimina la organización, o la cuenta se suprime por inactividad conforme a las Condiciones de uso, el Encargado suprimirá o anonimizará los datos en un plazo máximo de 30 días, salvo obligación legal de conservación.

3. Tipo de datos y categorías de interesados

Los datos tratados son los que el Responsable o sus usuarios introducen en el Servicio. Pueden incluir, a título enunciativo:

• Categorías de interesados: inquilinos, propietarios, profesionales (proveedores), contactos comerciales, miembros del equipo del Responsable y, si activa la atención a interesados, interesados en alquilar: personas que escriben por el anuncio de una de sus vacantes y aún no son sus inquilinos.
• Categorías de datos: identificativos (nombre, apellidos, DNI/NIE/pasaporte, dirección), de contacto (email, teléfono), económicos (rentas, fianzas, pagos, facturas), datos del inmueble, mensajes intercambiados con el Cliente.
• Datos de los interesados en alquilar, y solo estos: nombre, teléfono o identificador del canal, idioma, lo que buscan, el anuncio por el que escriben, sus visitas, si aceptaron el recordatorio y la conversación con el asistente o con el equipo. La lista completa y lo que no se trata están en el apartado 10 de la Política de privacidad; las condiciones, en el apartado 9.

4. Obligaciones del Encargado

El Encargado se obliga a:

• Tratar los datos siguiendo exclusivamente las instrucciones documentadas del Responsable, contenidas en este DPA y en la configuración del Servicio.
• Implantar las medidas técnicas y organizativas adecuadas para garantizar la seguridad del tratamiento (art. 32 RGPD): cifrado en tránsito (TLS) y reposo, control de acceso por roles, aislamiento multi-tenant aplicado en todas las consultas, políticas RLS en base de datos, almacenamiento de archivos en bucket privado con enlaces firmados de duración limitada, registro de auditoría de las acciones de negocio (incluidas las que ejecuta el asistente de IA) y copias de seguridad gestionadas por el proveedor de base de datos.
• Garantizar que el personal autorizado se compromete a la confidencialidad o esté sometido a obligación legal de secreto.
• No transferir los datos a terceros distintos de los subprocesadores autorizados.
• Asistir al Responsable, en la medida de lo posible, para responder a ejercicios de derechos de los interesados (acceso, rectificación, supresión, portabilidad, etc.) y para realizar evaluaciones de impacto cuando proceda. La exportación completa de los datos y la eliminación de la organización están disponibles en autoservicio (Configuración › Tus datos); el resto de la asistencia se presta de forma manual, a solicitud por email.
• Notificar al Responsable sin dilación indebida (en un plazo máximo de 72 horas desde su conocimiento) cualquier brecha de seguridad que afecte a sus datos, con la información razonablemente disponible.
• A elección del Responsable, suprimir o devolver los datos al finalizar la relación, salvo obligación legal de conservación.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del art. 28 RGPD, así como permitir auditorías razonables (con al menos 15 días de preaviso, en horario laboral y bajo deber de confidencialidad).

5. Obligaciones del Responsable

• Disponer de base jurídica adecuada para introducir datos personales en el Servicio y haber informado a los interesados conforme al RGPD.
• Configurar correctamente el Servicio (roles, permisos, accesos por grupo de inmuebles) y mantener seguras sus credenciales.
• Atender directamente los ejercicios de derechos que reciba de los interesados, en su calidad de Responsable.
• No introducir categorías especiales de datos (salud, ideología, biometría, etc.) salvo en los casos en los que esté legalmente habilitado y haya valorado la necesidad.

6. Subprocesadores

El Responsable autoriza expresamente al Encargado a recurrir a los siguientes subprocesadores para prestar el Servicio:

Stripe, que cobra la suscripción del Responsable, no figura en esta lista porque no trata los datos de terceros objeto de este Acuerdo, sino solo los datos de facturación del propio Responsable, de los que Guardesa es responsable del tratamiento (véase la Política de privacidad).

El Encargado informará al Responsable de cualquier incorporación o sustitución de subprocesadores con al menos 30 días de antelación, a través de email o desde la propia aplicación. El Responsable podrá oponerse por motivos razonados; en ese caso, ambas partes negociarán de buena fe una solución y, de no alcanzarse, el Responsable podrá resolver el contrato sin penalización.

7. Transferencias internacionales

Cuando algún subprocesador esté ubicado fuera del Espacio Económico Europeo o trate allí los datos, el Encargado garantiza que la transferencia se realiza con garantías adecuadas: decisión de adecuación, cláusulas contractuales tipo (SCC) o medidas técnicas equivalentes (cifrado, seudonimización). La tabla del apartado 6 dice, para cada subprocesador, dónde trata los datos y con qué garantía.

8. Asistente IA y datos del Cliente

El módulo de inteligencia artificial integra proveedores externos. Google Cloud — Vertex AI, en ubicaciones de la Unión Europea (la multirregión europea y la región de Bélgica), atiende el enlace del inquilino y a los interesados en alquilar, lee y transcribe los archivos y audios, extrae documentos, importa la cartera y elige las herramientas de cada mensaje. Desde que Anthropic se incorpora como subprocesador con el aviso del apartado 6, las respuestas del chat del equipo (chat web, Telegram y WhatsApp del Responsable, su equipo y sus profesionales) las genera Claude por la API de Anthropic, fuera del Espacio Económico Europeo (EE. UU.), mientras Vertex AI no ofrezca Claude con capacidad en la Unión Europea; lo que recibe en cada mensaje, la garantía de la transferencia y el plazo de conservación están en la tabla del apartado 6. El Encargado mantiene cláusulas contractuales con estos proveedores que prohíben el uso de los datos del Cliente para entrenar modelos de uso general. Los archivos enviados al chat se utilizan exclusivamente para devolver la respuesta solicitada; de los que se envían al chat del equipo, a Anthropic solo le llega el texto que se obtiene de ellos en Vertex AI.

9. Interesados en alquilar y calendarios conectados

Si el Responsable activa «Atender interesados» (Configuración › Visitas), el Encargado atiende por su cuenta, con el asistente de IA, el número de WhatsApp y el bot de Telegram de Guardesa, a las personas que escriben por los anuncios de sus vacantes. Activarlo es la instrucción documentada de este tratamiento, con estas condiciones:

• En nombre del Responsable. El asistente se presenta como un sistema de IA de Guardesa que atiende en nombre del Responsable, con la información básica del art. 11 LOPDGDD y el aviso del art. 50 del Reglamento (UE) 2024/1689, y enlaza la Política de privacidad (apartado 10) como segunda capa, que el Responsable puede completar con la suya. Guardesa no escribe primero a nadie ni manda publicidad.
• Datos y criterios. Solo los datos del apartado 3, y lo que busca el interesado de una lista cerrada de criterios objetivos. El Encargado no seguirá instrucciones de seleccionar o descartar interesados por origen, nacionalidad, sexo, edad, religión, orientación, discapacidad, situación familiar u otra causa del art. 2.1 de la Ley 15/2022, y avisará al Responsable si recibe una (art. 28.3 RGPD, último párrafo). Quién se queda la vivienda lo decide una persona del Responsable, nunca el asistente.
• Sin documentos. No se piden ni se guardan documentos de identidad o de solvencia, fotos ni vídeos del interesado.
• Plazos y bloqueo. A los 6 meses sin actividad del interesado, el Encargado lo saca de la gestión y bloquea sus datos por cuenta del Responsable (art. 32 LOPDGDD), y los destruye a los 3 años de su última actividad; solo queda un recuento anónimo. La petición de supresión del interesado bloquea en el acto, con la misma fecha de destrucción. Lo bloqueado no lo ve ni lo usa nadie, tampoco el asistente, y solo se pone a disposición de jueces, del Ministerio Fiscal o de las autoridades competentes, a petición del Responsable o por requerimiento de ellos. Si el interesado pasa a ser inquilino, sus datos de inquilino siguen las reglas generales de este Acuerdo.
• Derechos. El asistente atiende por el propio canal, en nombre del Responsable, la petición de acceso (un resumen), la de supresión (anula las visitas futuras y bloquea los datos en el acto) y la baja de mensajes. Lo demás se traslada al Responsable sin demora.
• Calendarios conectados. Cada miembro que enseña visitas puede conectar su Google Calendar. El Encargado solo lee su disponibilidad y escribe en él cada visita con el mínimo: inmueble, unidad y nombre de pila del interesado, sin teléfono ni invitados. Ese calendario lo presta Google al miembro, o al Responsable si es de su Google Workspace, y no es un subencargado de Guardesa.
• Al eliminar la organización, los datos de los interesados van en la exportación final y se suprimen como el resto (apartado 2), salvo los bloqueados, que el Encargado conserva bloqueados hasta su fecha de destrucción (art. 33.4 LOPDGDD).

10. Brechas de seguridad

Ante una brecha de seguridad que afecte a datos del Responsable, el Encargado proporcionará: descripción del incidente, categorías y número aproximado de interesados y registros afectados, posibles consecuencias y medidas adoptadas o propuestas para mitigarlo.

11. Responsabilidad y resolución

Cada parte responderá frente a la otra y frente a los interesados por los daños y perjuicios causados por su incumplimiento del DPA o del RGPD. Las limitaciones de responsabilidad de las Condiciones de uso resultan aplicables salvo que la normativa imperativa disponga otra cosa.

12. Aceptación

Mediante la creación de la cuenta y la aceptación de las Condiciones de uso, el Responsable acepta también el presente DPA. Si necesita firma específica o adendas adicionales (por ejemplo, para cumplir políticas internas), puede solicitarlo a hola@guardesa.com.