Contrato de Sub-encargo del Tratamiento

Partes

• Encargado del Tratamiento (el "Reseller"): el partner que revende Lera, con la razón social, el NIF, el domicilio, el representante y el correo de contacto que declara al aceptar este contrato.
• Subencargado del Tratamiento ("Lera"): Nicolás Leránoz Fernández, NIF 73511637A, domicilio en C/ Concejo de Sagaseta 16, 3B, Pamplona (Navarra), España; contacto hola@leracore.com.
• Responsable(s): el/los cliente(s) final(es) del Reseller, en cuyo nombre el Reseller actúa como encargado. Cada uno tiene su propia cuenta dentro de la del Reseller en el panel; el Reseller mantiene la relación de sus clientes finales responsables y se la facilita a Lera cuando la necesite para cumplir este contrato.

Exposición

• El Reseller presta a sus clientes finales un servicio para el que actúa como encargado del tratamiento, con un contrato de encargo (DPA) firmado con cada cliente final conforme al art. 28 RGPD.
• El Reseller desea servirse del servicio de Lera (atención de llamadas con agente de voz IA) para prestar ese servicio, de modo que Lera trata datos personales por cuenta del Reseller, es decir, como subencargado.
• Este contrato regula ese sub-encargo con obligaciones no menos estrictas que las que el Reseller haya asumido frente a sus clientes finales (art. 28.4 RGPD).

1. Objeto

Lera tratará datos personales por cuenta del Reseller y, en último término, de los clientes finales responsables, para prestar el servicio descrito en el Anexo I, únicamente conforme a las instrucciones documentadas del Reseller (que a su vez deben caber dentro de lo autorizado por cada cliente final responsable). El acceso de Lera a esos datos no se considera comunicación de datos (art. 28 RGPD).

2. Garantías y obligaciones del Reseller

El Reseller declara y garantiza que:

• a) Tiene un contrato de encargo válido con cada cliente final responsable (art. 28.3) y que dicho responsable ha autorizado la subcontratación del tratamiento a Lera (autorización específica o general, art. 28.2).
• b) Las instrucciones que traslada a Lera están comprendidas dentro de las que el responsable le ha dado, son lícitas y no exceden las finalidades autorizadas.
• c) Informará a sus clientes finales de que Lera es subencargado y de los encargados ulteriores de Lera (Anexo III), y les dará la posibilidad de oponerse a cambios en la cadena; trasladará a Lera cualquier oposición motivada.
• d) Cumple el deber de información hacia los interesados de los arts. 13-14 RGPD (o vela por que lo cumpla el responsable). El aviso de que se habla con una IA (art. 50.1 del Reglamento de IA) lo asume Lera como proveedor del sistema, en los mismos términos que en el contrato directo; el Reseller se obliga a no suprimirlo ni ocultarlo, ni a permitir que su cliente final lo haga.
• e) Trasladará al responsable, sin dilación, las notificaciones de brecha y las solicitudes de derechos que Lera le comunique.

3. Obligaciones de Lera como subencargado

Lera se obliga a y garantiza, con el mismo alcance que en el Contrato de Encargado del Tratamiento:

• a) Tratar los datos solo conforme a las instrucciones documentadas del Reseller (este contrato, el Acuerdo aplicable, la configuración del panel y las instrucciones escritas). Lera informará al Reseller si, en su opinión, una instrucción infringe la normativa o excede lo autorizado por el responsable.
• b) No usar los datos para otra finalidad distinta de la prestación del servicio.
• c) Medidas de seguridad del art. 32 detalladas en el Anexo II.
• d) Confidencialidad del personal, subsistente tras la terminación.
• e) Personas autorizadas comprometidas por escrito y formadas en protección de datos.
• f) Encargados ulteriores (sub-sub-encargados): el Reseller autoriza con carácter general que Lera se sirva de los proveedores del Anexo III, a los que Lera impone por contrato obligaciones no menos estrictas y de cuyo incumplimiento responde ante el Reseller. Lera informará de altas y sustituciones por correo con una antelación mínima de 15 días naturales, para que el Reseller (y, a través de él, el responsable) pueda oponerse por motivos justificados dentro de ese plazo. Es el mismo plazo que en venta directa: el Reseller debe tener en su propio contrato con el cliente final un plazo de oposición compatible.
• g) Asistencia con derechos de los interesados: si un interesado ejerce un derecho ante Lera, esta lo comunicará al Reseller sin dilación (a más tardar el día laborable siguiente) y le asistirá para responder. Lera no responde directamente al interesado salvo instrucción del Reseller.
• h) Notificación de brechas: Lera comunicará al Reseller cualquier violación de seguridad sin dilación indebida y a más tardar en 24 horas desde que tenga conocimiento (plazo más corto que en venta directa, por la cadena más larga: el Reseller debe poder avisar a su responsable, que tiene 72 h ante la autoridad), con la información necesaria para cumplir los arts. 33-34.
• i) Asistencia al Reseller (y, a través de él, al responsable) en seguridad (art. 32), notificación de brechas (arts. 33-34) y evaluaciones de impacto y consultas previas (arts. 35-36).
• j) Ubicación y transferencias: datos en reposo en la UE; procesamiento de voz vía proveedores del Anexo III, con SCC (y, donde el proveedor está certificado, además el Data Privacy Framework) para las transferencias fuera del EEE.
• k) Registro de categorías de tratamientos (art. 30.2) por cuenta del Reseller.
• l) Auditorías: poner a disposición del Reseller la información para acreditar el cumplimiento y permitir y contribuir a auditorías (directamente o vía informes o certificaciones), avisadas por escrito con al menos 30 días de antelación, en horario laboral y sin comprometer la seguridad de otros clientes. Su coste corre a cargo del Reseller, salvo que revelen un incumplimiento grave de Lera.
• m) Devolución o supresión al terminar (cláusula 6).
• n) Grabación de audio desactivada de fábrica, con aviso hablado obligatorio y no desactivable si el cliente final la activa, y minimización, igual que en el Contrato de Encargado del Tratamiento.

4. Transparencia de la cadena

Lera mantiene disponible su lista de encargados ulteriores (Anexo III) para que el Reseller pueda facilitarla a cada cliente final responsable y atender su derecho a conocer y oponerse a la cadena de subencargados. Los cambios se comunican conforme a la cláusula 3.f.

5. Responsabilidad

Cada parte responde conforme al art. 82 RGPD. Lera responde ante el Reseller por los daños causados por su incumplimiento como subencargado o el de sus encargados ulteriores, con los límites y exclusiones de las cláusulas 12 a 16 del Acuerdo de Cliente, salvo en lo que la ley no permita limitar. El Reseller contrata con sus clientes finales y responde ante ellos. Mantiene indemne a Lera frente a las reclamaciones de sus clientes finales en lo que excedan de esa responsabilidad, y frente a las derivadas de instrucciones ilícitas, de la falta de base jurídica del responsable o del incumplimiento de sus garantías de la cláusula 2, salvo dolo o culpa grave de Lera.

6. Duración y fin del tratamiento

Igual que el Contrato de Encargado del Tratamiento: misma duración que la prestación; al terminar, devolución o supresión a elección del Reseller (o del responsable a través suyo), con conservación bloqueada solo por responsabilidades legales. Mientras dura, borrado automático diario al vencer el plazo de la cuenta de cada cliente final: 30 días por defecto, salvo que el Reseller pida otro entre 1 y 365 días.

7. Ley aplicable y jurisdicción

Legislación española, RGPD y LOPDGDD. En materia de protección de datos, este contrato prevalece sobre el acuerdo comercial entre el Reseller y Lera. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Pamplona, salvo que la ley imponga otro fuero. Si alguna cláusula fuera declarada nula o ineficaz, las demás conservarán su validez.

Anexo I — Descripción del tratamiento

Igual que el Anexo I del Contrato de Encargado del Tratamiento, con la particularidad de que el responsable es cada cliente final del Reseller (cada cliente final tiene su propia cuenta dentro de la del Reseller, y el consumo se desglosa por cliente). Naturaleza, finalidad, colectivos (personas que llaman a los clientes finales), categorías de datos (las del Anexo I del contrato directo: entre otras, teléfono, nombre, transcripción en texto, datos de la incidencia, metadatos y, si el cliente final activa la grabación, el audio de la llamada), operaciones y conservación (30 días por defecto; copias de seguridad 14 días) son los mismos. También se incluye a quien habla con el agente desde la web del cliente final, si este activa el canal web.

Anexo II — Medidas de seguridad (art. 32)

Las mismas del Anexo II del Contrato de Encargado del Tratamiento: TLS en todas las comunicaciones que salen del servidor, base de datos sin exposición a Internet, AES-256-GCM, bcrypt, cookie httpOnly/SameSite=Strict/Secure, control de acceso por rol, aislamiento multi-tenant por workspace, grabación de audio desactivada de fábrica, rate limiting, anti-SSRF, firmas HMAC en webhooks, anti-abuso en el alta y en las peticiones de llamada desde la web, datos en reposo en la UE, copias de seguridad cifradas, registro de las acciones de administración y procedimiento de brechas.

Anexo III — Encargados ulteriores

La misma lista de subencargados del Anexo III del Contrato de Encargado del Tratamiento, que en el canal reseller operan como encargados ulteriores de Lera. La vigente es la del Anexo III, que coincide con la pública de Subencargados, y se mantiene a disposición del Reseller para su traslado a los clientes finales.