RINDOGATAN LLC · Versión 1.8 · 26 de octubre de 2026 · Edición PrivacyCloud de 5 de noviembre de 2026
Este contrato de encargo del tratamiento (el «Contrato de encargo») forma parte de las condiciones de la suscripción que aceptaste (las Condiciones de la Suscripción UE o las Condiciones de la Suscripción en dólares estadounidenses; las «Condiciones de la Suscripción») y de las Condiciones del Servicio de PrivacyCloud (en conjunto, las «Condiciones») y da cumplimiento al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
Partes: (a) Tú, la empresa o el profesional que abre una cuenta del piloto gratuito en PrivacyCloud o contrata la Suscripción UE o la Suscripción en dólares (el «Cliente»), como responsable del tratamiento. (b) RINDOGATAN LLC, sociedad de responsabilidad limitada constituida en Wyoming (Estados Unidos), con número de identificación fiscal estadounidense (EIN) 92-1306337, domicilio social en 2120 Carey Avenue, Cheyenne, WY 82001 (Estados Unidos) («Rindogatan» o «nosotros»), como encargado del tratamiento.
Objeto: el tratamiento de datos personales que hacemos por cuenta tuya para prestarte el programa de protección de datos, el programa de gobernanza de la IA y el catálogo de proveedores de PrivacyCloud en la nube (los «Servicios»), tanto en el piloto gratuito (el «Piloto») como en la suscripción de pago que contrates, la Suscripción UE o la Suscripción en dólares (la «Suscripción»), y el módulo de solicitudes de derechos que incluye. El detalle está en el Anexo I.
Aceptas este Contrato de encargo al abrir una cuenta del Piloto o al contratar la Suscripción, sin necesidad de otra firma; los Servicios dejan constancia de la versión que aceptaste y de cuándo. Si pasas del Piloto a la Suscripción, este Contrato de encargo sigue aplicándose sin una nueva aceptación. Si lo prefieres, te enviamos una copia para firmar.
Para los clientes sujetos a las leyes estatales de privacidad de Estados Unidos, el US Privacy Addendum (privacycloud.com/legal/us-privacy-addendum) forma parte de este Contrato de encargo y prevalece en las materias que regula.
Este Contrato de encargo se aplica desde que abres una cuenta del Piloto o contratas la Suscripción, mientras uses el Piloto o tengas la Suscripción contratada y, después, hasta que suprimamos o te devolvamos los datos conforme a la cláusula 13. Las obligaciones de confidencialidad, y las que por su naturaleza deban subsistir, siguen vigentes después.
Tratamos los datos solo para prestarte los Servicios: alojarlos, guardarlos, organizarlos, mostrarlos a tus personas usuarias, hacer copias de seguridad, exportarlos cuando lo pidas, suprimirlos y, únicamente si la persona administradora de tu organización activa la IA, enviar al proveedor de IA del Anexo III los datos del registro que se está redactando, para generar los resultados que pidas.
No los usamos para fines propios, no los vendemos, no analizamos su contenido y no los usamos para entrenar modelos de IA. Si alguna vez los tratáramos para fines propios, se nos consideraría responsables de ese tratamiento (artículo 28.10 del RGPD y artículo 33.2 de la LOPDGDD).
Los tipos de datos y las categorías de interesados figuran en el Anexo I. En resumen, tratamos los datos de las personas usuarias de tu organización y lo que tu equipo registra en los Servicios. En la suscripción base: No recibimos ni guardamos las solicitudes de los interesados ni sus datos o documentos de identidad. Guardamos los datos de las personas usuarias y lo que tu equipo registra, como encargado del tratamiento.
Tú decides qué registras. Te pedimos que no introduzcas categorías especiales de datos ni datos relativos a infracciones penales salvo que sea imprescindible y, en ese caso, solo lo mínimo.
Funciones de IA y datos sensibles. Mientras las funciones de IA funcionen con el motor de IA que ponemos nosotros (Anexo III), no las uses sobre un registro que contenga alguno de estos datos sobre una persona identificada o identificable: categorías especiales de datos (artículo 9 del RGPD: datos de salud, genéticos o biométricos, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, vida sexual u orientación sexual); datos relativos a condenas, infracciones o antecedentes penales; información laboral, financiera o crediticia sobre la persona, más allá de su nombre, su puesto y sus datos de contacto profesionales; números de identificación oficiales (como el de la seguridad social, el pasaporte, el permiso de conducir o el número de identificación fiscal); números de tarjetas de pago; o contraseñas. Aplicamos esta regla como precaución; si la levantamos, te lo diremos por correo electrónico y actualizaremos este Contrato de encargo. Los Servicios no examinan el contenido de tus registros (cláusula 3), así que esta regla depende de tus personas usuarias: mantén la IA desactivada o no la uses sobre un registro así. Nombrar una categoría en términos generales (por ejemplo, «datos de salud de los empleados» como categoría en un registro de actividades de tratamiento) no incluye esos datos sobre ninguna persona y no se ve afectado.
Tratamos los datos siguiendo tus instrucciones documentadas. Son instrucciones tuyas estas Condiciones, la configuración que eliges en los Servicios y lo que hacen tus personas usuarias en ellos. Cualquier otra instrucción debe darse por escrito (vale el correo electrónico); si supone un trabajo fuera de la Suscripción, podemos presupuestarlo antes.
Te avisaremos de inmediato si, en nuestra opinión, una instrucción infringe el RGPD u otra norma de protección de datos, y podremos dejar de seguirla mientras la confirmas o la cambias.
Solo transferiremos datos a un tercer país siguiendo tus instrucciones o cuando lo exija el Derecho de la Unión o de un Estado miembro; en ese caso te informaremos antes, salvo que esa norma lo prohíba. Las transferencias descritas en la cláusula 9 se consideran instruidas por ti.
Solo acceden a los datos las personas de Rindogatan que lo necesitan para prestar, mantener o proteger los Servicios, o para atenderte cuando nos lo pides. Todas se han comprometido por escrito a guardar confidencialidad o están sujetas a una obligación legal de confidencialidad, que continúa cuando termina su relación con nosotros. Es un número reducido de personas autorizadas, sujetas a confidencialidad; si lo pides, te diremos cuáles son sus funciones.
Aplicamos las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD. Podemos cambiarlas con el tiempo, siempre que el nivel de protección no baje.
Ninguna medida elimina todo riesgo. No garantizamos que nunca vaya a producirse un incidente; sí nos comprometemos a aplicar las medidas del Anexo II y a avisarte conforme a la cláusula 12. Tú eres responsable de lo que depende de ti: quién tiene cuenta, con qué rol, y la custodia de sus accesos.
Nos autorizas, con carácter general, a recurrir a los subencargados del Anexo III. Antes de añadir o sustituir uno te avisaremos con al menos treinta (30) días de antelación, por correo electrónico a la dirección de administración de tu cuenta y en nuestra página pública de subencargados (privacycloud.com/es/legal/subencargados-plan-nube-ue).
Puedes oponerte dentro de ese plazo por motivos razonables de protección de datos. Si no encontramos una solución, puedes darte de baja sin penalización y te devolvemos la parte no consumida de lo que hayas pagado por adelantado. Si no te opones, el cambio se entiende aceptado.
Imponemos a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Contrato de encargo, y respondemos ante ti de su cumplimiento (artículo 28.4 del RGPD). En una urgencia de seguridad o de continuidad del servicio podemos sustituir un subencargado con un aviso más corto; te explicaremos el motivo y conservarás tu derecho de oposición.
Subencargados del propio proveedor de IA. El proveedor de IA del Anexo III ejecuta el modelo por sí mismo, pero utiliza sus propios subencargados (por ejemplo, proveedores de infraestructura en la nube), que enumera en su página pública de subencargados (https://trust.groq.com/subprocessors) y cambia avisando a sus clientes con quince (15) días de antelación. No podemos avisarte de esos cambios con treinta (30) días de antelación, así que el aviso y el derecho de oposición de esta cláusula se aplican al propio proveedor de IA, no a cada uno de sus subencargados; te trasladaremos los cambios que nos notifique. Si no lo aceptas, tu persona administradora puede dejar la IA desactivada (lo está por defecto), y el resto de los Servicios no se ve afectado.
Los datos de los Servicios se guardan en centros de datos de la Unión Europea (Anexo III). Aun así, pueden tratarse en Estados Unidos o ser accesibles desde allí en las situaciones siguientes, que queremos que conozcas:
(a) RINDOGATAN LLC, filial de Rindogatan SL, es una sociedad estadounidense, y nuestro personal puede acceder a los datos desde Estados Unidos, solo en los casos de la cláusula 6. A ese acceso se aplican las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, módulo dos (de responsable a encargado), que se incorporan por referencia en la versión que publicamos en privacycloud.com/legal/sccs/eu-c2p/, con estas opciones: cláusula 7 (cláusula de incorporación), aplicable; cláusula 9, opción 2 (autorización general, con el plazo de aviso de la cláusula 8 de este Contrato de encargo); cláusula 11, sin la opción del organismo independiente; cláusula 13, la autoridad de control competente respecto de ti (para los clientes establecidos en España, la Agencia Española de Protección de Datos); cláusulas 17 y 18, el Derecho y los tribunales de España. Los Anexos I a III de este Contrato de encargo hacen las veces de los anexos de esas cláusulas.
(b) Varios subencargados son empresas estadounidenses o filiales de empresas estadounidenses. Aunque guarden los datos en la UE, pueden estar sujetos a leyes de Estados Unidos que permitan a sus autoridades pedirles acceso. Cada uno se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando está adherido a él y, si no, en cláusulas contractuales tipo (Anexo III).
(c) Las funciones de servidor de los tres Servicios se prestan desde la región de Fráncfort del proveedor de alojamiento (fra1), en la Unión Europea, junto a sus datos.
(d) Si la persona administradora de tu organización activa la IA, los datos del registro que se está redactando se envían al proveedor de IA del Anexo III, que los trata en Estados Unidos (y, según sus documentos, posiblemente en otros países en los que operan él o sus subencargados), con cláusulas contractuales tipo. Nunca se envía todo tu programa.
Si una autoridad nos pide acceso a tus datos, la impugnaremos cuando haya base razonable para ello, revelaremos solo lo mínimo exigido y te avisaremos, salvo que la ley lo prohíba.
Teniendo en cuenta la naturaleza del tratamiento, te ayudamos con medidas técnicas y organizativas apropiadas a responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad). Los Servicios te permiten consultar, corregir, exportar y suprimir lo que tu equipo registra.
Si recibimos directamente una solicitud referida a datos que tratamos por tu cuenta, no la contestamos nosotros: te la remitimos en un plazo de dos (2) días hábiles y le indicamos a la persona que se dirija a ti. En la suscripción base no recibimos solicitudes de interesados en tu nombre; el módulo opcional del Anexo IV es la única excepción.
Con la información de que disponemos, te ayudamos a cumplir los artículos 32 a 36 del RGPD: seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa a la autoridad de control. Te facilitamos la descripción de los Servicios, este Contrato de encargo, el Anexo II y la lista de subencargados. Una ayuda que exija un trabajo extraordinario podemos presupuestarla aparte, salvo que nazca de un incumplimiento nuestro.
Te notificaremos sin dilación indebida, y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad que afecte a datos que tratamos por tu cuenta. Lo haremos por correo electrónico a la dirección de administración de tu cuenta y, si nos la indicas, también a tu dirección de privacidad.
La notificación incluirá, en la medida en que la tengamos, la información del artículo 33.3 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables, medidas adoptadas o propuestas y una persona de contacto. Si no tenemos toda la información a la vez, la daremos por fases.
Notificar a la autoridad de control y, en su caso, a los interesados te corresponde a ti como responsable; te ayudaremos a hacerlo. Nuestra notificación no supone reconocimiento de culpa.
Al terminar la Suscripción, puedes exportar tus datos durante treinta (30) días con las funciones de exportación de los Servicios, o pedirnos una exportación, que te daremos sin coste una vez. Pasado ese plazo suprimimos los datos de los Servicios, incluidas las copias que tengamos, y si lo pides te lo confirmamos por escrito.
Los datos que se suprimen de los Servicios, durante la Suscripción o después de que termine, salen de las copias descritas en el Anexo II al vencer sus plazos, como máximo treinta (30) días después de la supresión: del historial a los siete (7) días, y de las copias diarias y de las copias internas del proveedor de base de datos a los treinta (30) días. Mientras tanto, las copias solo se usan para recuperarnos de un incidente y, si lo hacemos, volvemos a suprimir los datos que ya se habían suprimido.
Solo conservaremos, debidamente bloqueados, los datos que una norma nos obligue a guardar o los que necesitemos mientras puedan derivarse responsabilidades de nuestra relación contigo (artículo 33.3 de la LOPDGDD), como las facturas y la constancia de este contrato. Lo que tu equipo registra en los Servicios se suprime en todo caso.
Organizaciones del Piloto. Cuando termina el periodo de edición de una organización del Piloto, queda en modo de solo lectura y puedes seguir exportando todo su contenido. Si ningún miembro de una organización del Piloto inicia sesión durante doce (12) meses, suprimimos la organización y sus datos, después de avisar a sus personas administradoras por correo electrónico con al menos treinta (30) días de antelación; si alguien inicia sesión en ese plazo, se conserva. También puedes suprimir tú una organización del Piloto en cualquier momento. Su supresión sigue los párrafos segundo y tercero de esta cláusula.
Ponemos a tu disposición la información necesaria para demostrar que cumplimos este Contrato de encargo: este documento, el Anexo II y la lista de subencargados. Las certificaciones que citamos son las de nuestros subencargados, que figuran junto a cada uno en la lista de subencargados; ponemos sus informes o certificados a tu disposición si los pides.
Si esa información no basta, puedes auditarnos, tú o un auditor independiente obligado a confidencialidad que no sea competidor nuestro, una vez al año, con treinta (30) días de aviso, en horario laboral, sin afectar a otros clientes ni a la seguridad de los Servicios, y a tu costa. Esos límites no se aplican si lo exige una autoridad de control o tras una violación de seguridad que te afecte. La auditoría de los subencargados se hace mediante sus propios informes y certificados.
Como Rindogatan no está establecida en la Unión, ha designado a RINDOGATAN SL, sociedad española con CIF B87868618 y domicilio social en C/ Ponzano 51, 28003 Madrid (España), como su representante en la Unión a efectos del artículo 27 del RGPD, mediante mandato escrito firmado por ambas sociedades el 9 de octubre de 2026. Tú, las autoridades de control y los interesados podéis dirigiros a él, además de a Rindogatan o en su lugar, en cualquier cuestión de protección de datos, en privacy@rindogatan.com.
La responsabilidad de cada parte derivada de este Contrato de encargo se rige por las exclusiones y limitaciones de las Condiciones: en la Suscripción, la cláusula de responsabilidad de las Condiciones de la Suscripción que aceptaste (cláusula 12 de las Condiciones de la Suscripción UE o cláusula 12 de las Condiciones de la Suscripción en dólares) y la cláusula 10 de las Condiciones del Servicio; en el Piloto, la cláusula 10 de las Condiciones del Servicio. Se aplican de forma conjunta a este Contrato de encargo y a las Condiciones, sin sumarse. Nada de lo anterior limita la responsabilidad de cada parte frente a los interesados conforme al artículo 82 del RGPD, la derivada de dolo o culpa grave, ni la que la ley no permita limitar.
En caso de contradicción en materia de protección de datos prevalecen, por este orden, las cláusulas contractuales tipo de la cláusula 9, este Contrato de encargo y las Condiciones.
Podemos actualizar este Contrato de encargo para adaptarlo a cambios normativos o de los Servicios, con treinta (30) días de aviso. Si un cambio te perjudica de forma importante, puedes darte de baja antes de que entre en vigor, con reembolso de la parte no consumida.
Este Contrato de encargo se rige por la misma ley, y las controversias sobre él se resuelven de la misma forma, que las Condiciones de la Suscripción que aceptaste (cláusula 13 de las Condiciones de la Suscripción UE o cláusula 13 de las Condiciones de la Suscripción en dólares); en el Piloto, según la cláusula 11 de las Condiciones del Servicio. Esto no afecta a las cláusulas contractuales tipo de la cláusula 9.a, que mantienen su propia ley aplicable y sus propios tribunales (cláusulas 17 y 18).
Prevalece la versión en español, salvo con las Condiciones de la Suscripción en dólares, que se publican solo en inglés: para los clientes de la Suscripción en dólares prevalece la versión en inglés.
A. Interesados
B. Datos
C. Operaciones: alojamiento, almacenamiento, organización, consulta, presentación, exportación, copia de seguridad, supresión y, solo si la persona administradora activa la IA, envío al proveedor de IA de los datos del registro que se está redactando, para generar resultados. D. Frecuencia: continua mientras se use el Piloto o la Suscripción esté contratada. E. Conservación: mientras la Suscripción esté contratada, o mientras la organización del Piloto esté en uso (en ambos casos, tú decides cuándo suprimir); la organización del Piloto en la que ningún miembro inicie sesión durante doce (12) meses se suprime tras treinta (30) días de aviso (cláusula 13); al terminar, la cláusula 13. Solicitudes del módulo de solicitudes de derechos: Anexo IV, punto 10. F. Lugar: los datos se guardan en centros de datos de la Unión Europea (Anexo III); se tratan en Estados Unidos o son accesibles desde allí en los casos de la cláusula 9.
| Función | Proveedor | Productos | Ubicación de los datos | Garantía si hay acceso desde EE. UU. | Certificaciones |
|---|---|---|---|---|---|
| Plataforma de alojamiento (aplicación y funciones de servidor) | Vercel | programa de protección de datos, programa de gobernanza de la IA, catálogo de proveedores | Fráncfort, UE (región fra1), para los tres | MPD y CCT | SOC 2 Type II, ISO 27001 |
| Proveedor de base de datos | Neon, LLC (del grupo Databricks; se aplica el anexo de tratamiento de datos de Databricks, Inc.) | programa de protección de datos, programa de gobernanza de la IA, catálogo de proveedores | Fráncfort, UE (eu-central-1), para los tres | MPD y CCT | SOC 2 Type II, ISO 27001, ISO 27701 |
| Proveedor de correo electrónico: enlaces de acceso y avisos y, con el módulo de solicitudes de derechos, avisos de las solicitudes a los solicitantes (nombre, correo electrónico, referencia, texto de los mensajes del personal). Conserva copia de los correos y de sus registros de entrega hasta treinta (30) días | Resend | los tres | Estados Unidos | MPD y CCT | SOC 2 Type II |
| Servicio de correo electrónico de nuestras direcciones de soporte y de privacidad: recibe los mensajes que tú y tus personas usuarias nos enviáis (solicitudes de soporte, solicitudes de derechos, avisos conforme a este contrato) y nuestras respuestas | Google LLC (Google Workspace) | los tres | Estados Unidos y otros países | MPD y CCT | SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001 |
| Procesador de pagos (cobro de la Suscripción) | Stripe (cuenta de RINDOGATAN LLC) | facturación | Estados Unidos y otros países | MPD y CCT | PCI DSS nivel 1, SOC 2 Type II |
| Proveedor de IA: genera los borradores que piden tus personas usuarias a partir de los datos del registro que se está redactando, con un modelo de pesos abiertos que ejecuta en su propia infraestructura (solo cuando la persona administradora activa las funciones de IA y tu organización no ha añadido su propia clave de inferencia de API). Por defecto no conserva las peticiones ni los resultados; con el ajuste que usamos (retención cero de datos), tampoco los conserva para la supervisión de la fiabilidad o de los abusos | Groq, Inc. (GroqCloud) | programa de protección de datos, programa de gobernanza de la IA | Estados Unidos | cláusulas contractuales tipo, según los documentos del proveedor | SOC 2 Type II |
MPD: Marco de Privacidad de Datos UE-EE. UU. CCT: cláusulas contractuales tipo de la Comisión Europea. Certificaciones: las principales certificaciones de cada subencargado, tal como las publica; son del subencargado, no de Rindogatan (cláusula 14). El procesador de pagos trata los datos de facturación del Cliente en parte como responsable independiente; se incluye por transparencia.
Proveedor de IA: el proveedor de IA ejecuta un modelo de pesos abiertos en su propia infraestructura; no pasa las peticiones a otros proveedores de modelos. Sus propios subencargados figuran en su página pública de subencargados (https://trust.groq.com/subprocessors); esa página es la vía por la que puedes seguir los cambios entre ellos (cláusula 8 del Contrato de encargo y cláusula 8 del US Privacy Addendum). Si tu persona administradora añade la clave de inferencia de API propia de tu organización, las funciones de IA usan tu proveedor, con el contrato que tengas con él, y ese proveedor no es subencargado nuestro. Las funciones de IA que funcionan con el motor de IA que ponemos nosotros no deben usarse sobre registros que contengan los datos enumerados en la cláusula 4 del Contrato de encargo (categorías especiales, datos penales y otros datos sensibles).
Catálogo de proveedores: para elaborar y mantener al día el catálogo de información pública sobre proveedores, nuestro propio trabajo de catálogo envía documentos públicos de los proveedores (como políticas de privacidad y contratos de encargo del tratamiento) a Anthropic y, cuando esa función está activada, a una pasarela de IA (OpenRouter, Inc.). Con ellos no se envía ningún dato de tu cuenta ni de tu cartera de proveedores, así que intervienen en nuestro propio trabajo de catálogo y no como subencargados de tus datos; se mencionan por transparencia.
Inicio de sesión con Google (en los tres Servicios, solo si la persona usuaria lo elige): para los datos de inicio de sesión, Google LLC actúa como responsable independiente conforme a sus condiciones de protección de datos entre responsables (Controller-Controller Data Protection Terms); para esos datos no es un subencargado y se menciona por transparencia. Google Workspace, en la tabla, es un servicio distinto en el que Google actúa como subencargado nuestro.