Contrato de encargo del tratamiento

Versión 2026-11-08b · artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Partes

El responsable es el despacho que usa CEEntella, con los datos con que se dio de alta (razón social y NIF). Lo acepta su administrador en el panel, y queda anotado quién, cuándo y qué versión.

El encargado es Gamo Solar, S.L., NIF B56877855, Avenida de Lugo 66, 33401 Avilés (Asturias), que presta CEEntella (en adelante «Gamo»).

1. Objeto

Gamo trata por cuenta del despacho los datos personales necesarios para prestarle CEEntella, según las condiciones de uso. Son los formularios de toma de datos que el despacho manda a sus clientes, sus expedientes de certificación energética, la generación y calificación de los ficheros de CE3X, la firma con AutoFirma, la lectura de fotos con IA si el despacho la enciende, y la guarda de todo ello.

2. Duración

Mientras el despacho tenga cuenta en CEEntella. Al terminar se aplica la cláusula 9.

3. Naturaleza y finalidad

Recogida, registro, organización, conservación, consulta, cifrado, comunicación al propio despacho y supresión de los datos, por medios automatizados. La única finalidad es prestar CEEntella al despacho.

4. Datos y personas afectadas

Clientes del despacho (propietarios o promotores del certificado y sus representantes): nombre y apellidos, DNI o NIE, teléfono, correo, domicilio si no es el del inmueble, firma y autorización de representación, y los documentos que aporten (recibo del IBI, escritura, facturas, planos). No se piden imágenes del DNI.
Inmuebles: referencia catastral, dirección, características constructivas e instalaciones, mediciones, fotos de la vivienda y los ficheros de CE3X (el .cex, el XML y el PDF).
Aperturas de los enlaces que el despacho manda a sus clientes: fecha, dirección IP y navegador. Se borran a los 90 días.
Personal y colaboradores del despacho: la ficha de técnico (nombre, NIF, titulación, número de colegiado y contacto), sus expedientes y su actividad.

CEEntella no pide categorías especiales de datos (art. 9 RGPD) ni datos de menores. Si alguno llega dentro de un documento o de una foto que aporte el cliente, se trata con las mismas medidas que el resto, y el despacho decide si lo conserva o lo borra.

5. Obligaciones de Gamo

Instrucciones. Tratar los datos solo según las instrucciones documentadas del despacho: este contrato, las condiciones de uso y lo que el despacho hace en CEEntella. Si una instrucción le parece contraria a la ley, Gamo avisa al despacho enseguida.
Ningún uso propio. Gamo no usa los datos para ninguna finalidad suya. En particular, no los usa para ofrecer a los clientes del despacho servicios de certificación, fotovoltaica ni ningún otro, ni para estadísticas comerciales, ni los cede a nadie. Gamo también trabaja en certificación energética y fotovoltaica: esta prohibición es expresa y su incumplimiento convierte a Gamo en responsable del tratamiento, con todas sus consecuencias (art. 28.10 RGPD).
Confidencialidad. Las personas de Gamo que puedan acceder a los datos se comprometen por escrito a guardar secreto, también después de terminar su relación con Gamo.
Acceso del personal de Gamo. CEEntella no tiene ninguna función para que Gamo lea los expedientes de un despacho. Quien administra los servidores podría llegar a ellos técnicamente; solo lo hará cuando el despacho lo pida o lo exija un incidente de seguridad o la ley, y se lo comunicará.
Seguridad. Aplicar las medidas del anexo I, adecuadas al riesgo (art. 32 RGPD), y revisarlas.
Subencargados. El despacho autoriza en general a los subencargados de la lista publicada. Gamo avisa al administrador del despacho con 30 días antes de añadir o cambiar uno, y el despacho puede oponerse y darse de baja sin coste. Gamo impone a cada subencargado las mismas obligaciones de este contrato y responde de ellos ante el despacho.
Transferencias fuera del Espacio Económico Europeo. Solo las de la lista de subencargados y con las garantías del capítulo V del RGPD.
Derechos de las personas. Si un cliente del despacho pide a Gamo ejercer sus derechos, Gamo se lo pasa al despacho en cinco días hábiles y no contesta por su cuenta. CEEntella permite al despacho consultar, corregir, descargar y borrar los datos de cada expediente.
Brechas de seguridad. Avisar al despacho sin dilación indebida y, en todo caso, antes de 48 horas desde que Gamo la conozca, con lo que se sepa en ese momento: qué ha pasado, qué datos y personas afecta, qué consecuencias puede tener y qué se ha hecho. El despacho decide si notifica a la AEPD y a los afectados; Gamo le ayuda.
Ayuda al despacho. Con la información que tenga, para evaluaciones de impacto y consultas previas a la AEPD.
Registro de actividades como encargado (art. 30.2 RGPD).
Demostrar que cumple. Dar al despacho la información necesaria para comprobarlo y permitir auditorías razonables, con aviso previo, en horario laboral y sin acceso a los datos de otros despachos. El coste de la auditoría es de quien la pide, salvo que encuentre un incumplimiento de Gamo.

6. Obligaciones del despacho

Tener una base legal para tratar los datos de sus clientes e informarles, en su formulario, con su propio texto de privacidad. En el anexo III hay un modelo.
Meter en CEEntella solo los datos que hagan falta para el certificado.
Dar de alta solo a personas de confianza y retirar a tiempo el acceso de quien se va.
Decidir cuánto tiempo conserva cada expediente y borrarlo cuando toque. La normativa de certificación no fija un plazo único.
Guardar sus propias copias de lo que deba conservar: CEEntella no garantiza copias de seguridad, y cada expediente se puede descargar entero cuando se quiera.

7. Lo que cada despacho ve de los demás

Nada. Los datos de cada despacho están separados de los de los demás en la base de datos, y lo que manda el cliente y los ficheros van cifrados con una clave propia del despacho (anexo I).

8. Responsabilidad

Cada parte responde de sus incumplimientos según el RGPD (art. 82). Si Gamo trata los datos para algo distinto de lo que dice este contrato, es responsable de ese tratamiento.

9. Al terminar

Cuando el despacho se da de baja, elige qué se hace con los datos (art. 28.3.g RGPD): devolvérselos (los descarga él mismo o, si lo pide, Gamo se los entrega en un fichero) o borrarlos en cuanto lo pida. Tiene 30 días para elegir y recibirlos; si no dice nada, a los 30 días se borran. El borrado alcanza también a las copias técnicas que pudiera haber, y Gamo lo certifica si el despacho lo pide. Solo se conserva, bloqueado, lo que la ley obligue a guardar, durante el plazo legal.

10. Cambios y ley aplicable

Los cambios se avisan con 30 días, como dicen las condiciones de uso. Cada versión aceptada queda anotada. Este contrato se rige por la ley española y el RGPD.

Anexo I · Medidas de seguridad

En tránsito: todo por HTTPS.
En reposo: lo que mandan los clientes y los técnicos en los formularios (datos, mediciones y borradores), los ficheros, las versiones de cada certificado y las claves de IA de cada despacho se guardan cifrados (AES-256-GCM) con una clave propia del despacho, derivada de un secreto que no está en la base de datos. Para poder buscar y ordenar la lista, van sin cifrar en la base de datos el titular, la dirección y la referencia catastral de cada expediente, la ficha del técnico (que sale impresa en el certificado), el nombre de los ficheros y los trabajos del Conector en curso. Protege los discos. No protege frente a quien administra el servidor, y por eso existe la cláusula 5.4.
Separación entre despachos: seguridad por filas en PostgreSQL, además de los filtros de la aplicación.
Acceso: contraseñas guardadas con argon2id; doble factor obligatorio para los administradores y para emparejar el Conector; topes de intentos por persona y por dirección; sesiones que caducan.
Enlaces a los clientes: firmados, con caducidad y revocables. Cada apertura queda anotada para el despacho 90 días.
Registro de actividad de cada despacho, que nadie puede cambiar ni borrar antes de 400 días.
Servidores en la Unión Europea.
El Conector en el PC del técnico: solo se comunica con el servidor, hacia fuera y por HTTPS; no escucha en ningún puerto; guarda su token cifrado por Windows (DPAPI); hace una lista cerrada de trabajos; pregunta antes de firmar.
IA de fotos: a Anthropic solo le llegan las fotos que se piden leer, sin ningún otro dato del expediente.
Desarrollo: se prueba con datos inventados; los agentes de IA que ayudan a programar no tienen acceso a datos de producción; revisión del código antes de cada cambio.

Anexo II · Subencargados

Los de la lista publicada en la fecha de aceptación, con los cambios que se avisen según la cláusula 5.6.

Anexo III · Modelo de información para los clientes del despacho

Para el texto de privacidad del formulario (Panel → Despacho). El despacho lo adapta y lo completa:

Responsable: [nombre del despacho], [NIF], [dirección], [correo]. Finalidad: hacer el certificado de eficiencia energética de su inmueble y, si lo autoriza, registrarlo en su comunidad autónoma. Base legal: el encargo que nos hace y la obligación legal de registrar el certificado. Destinatarios: el registro de certificados de la comunidad autónoma; nuestro proveedor de software (CEEntella, de Gamo Solar, S.L.) trata los datos por encargo nuestro y no los usa para nada propio. [Si usa la lectura de fotos con IA:] las fotos que nos manda pueden leerse con inteligencia artificial (Anthropic, en Estados Unidos, con las cláusulas contractuales tipo de la Comisión Europea) para proponer los datos de los equipos y las ventanas; no le llega ningún otro dato suyo. Conservación: [el plazo que decida el despacho]. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad en [correo]; puede reclamar ante la AEPD (aepd.es).