Encargo de tratamiento (DPA)

1. Partes

Este Encargo de tratamiento («DPA») forma parte de las Condiciones de uso / contrato de servicio entre el Cliente (responsable del tratamiento) e Idear.

Encargado: FRANCISCO BARRUGUER GASCÓ, NIF/CIF 53226439T, domicilio AVDA. CAMÍ D'ONDA 16, 12530 BURRIANA, CASTELLÓN, ESPAÑA, contacto estudio@pacobarruguer.com («Idear» o el «Encargado»).

Responsable: la persona física o jurídica que contrata Idear y determina los fines y medios del tratamiento de datos personales de sus clientes u otras personas a través del Servicio («Cliente» o el «Responsable»).

2. Objeto y duración

El Encargado tratará datos personales por cuenta del Cliente únicamente para prestar Idear.app: tableros de colaboración visual, almacenamiento de activos, comentarios/revisión, formularios/briefings cuando estén habilitados, invitaciones, notificaciones y herramientas de IA solicitadas por el Cliente o sus usuarios autorizados.

La duración del encargo coincide con la vigencia de la cuenta / contrato del Cliente y el tiempo adicional necesario para devolver o suprimir los datos conforme a este DPA.

3. Naturaleza y finalidad del tratamiento

Naturaleza: alojamiento, almacenamiento, transmisión, visualización, copias de seguridad, soporte técnico, seguridad, y procesamiento por proveedores de IA cuando el Cliente use esas funciones.

Finalidad: permitir al Cliente colaborar en proyectos de arquitectura/diseño y compartir materiales con su equipo y clientes finales, según la configuración del Servicio.

El Encargado no tratará los datos para fines propios ajenos a la prestación del Servicio, la seguridad o el cumplimiento legal, ni para elaborar perfiles comerciales del Cliente final del Responsable.

4. Categorías de datos y de interesados

Categorías de datos (según lo que el Cliente introduzca): datos identificativos y de contacto; imágenes, renders y archivos de proyecto; comentarios y feedback; respuestas a formularios; metadatos técnicos de acceso a enlaces compartidos; y, si se usan herramientas de IA, inputs necesarios para la generación.

Categorías de interesados: clientes finales del Cliente, colaboradores, invitados, empleados u otras personas cuyos datos el Cliente incorpore al Servicio.

El Cliente se abstendrá de introducir categorías especiales de datos (art. 9 RGPD) u otros datos de alto riesgo salvo que exista base jurídica adecuada y se haya acordado por escrito con Idear.

5. Instrucciones documentadas

El Encargado tratará los datos solo conforme a las instrucciones documentadas del Cliente, que incluyen: (a) este DPA; (b) las Condiciones de uso y la Política de privacidad; (c) la configuración y acciones realizadas en el Servicio (permisos, compartición, eliminación).

Si el Encargado considera que una instrucción vulnera el RGPD u otra norma, lo informará al Cliente sin ejecutarla, salvo que la ley lo prohíba.

6. Confidencialidad y personal

El Encargado garantizará que las personas autorizadas a tratar los datos se hayan comprometido a confidencialidad o estén sujetas a una obligación legal de confidencialidad, y reciban formación adecuada en protección de datos en la medida razonable.

7. Seguridad

El Encargado aplicará medidas técnicas y organizativas apropiadas teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los interesados (control de acceso, cifrado en tránsito, segregación lógica razonable, monitorización, copias de seguridad).

El detalle operativo puede describirse en documentación de seguridad que Idear facilite bajo confidencialidad cuando se solicite de forma razonable.

8. Subencargados

El Cliente autoriza con carácter general el uso de subencargados necesarios para operar el Servicio, incluidos (lista orientativa alineada con la Política de privacidad): Render, Neon, Cloudflare (Pages/R2/Turnstile), Resend, Stripe (cuando el tratamiento afecte a datos del encargo), OpenAI, PostHog, Sentry, Tally (formularios cuando estén habilitados), Telegram (si el Cliente o usuarios activan notificaciones) y fal.ai cuando la función de IA correspondiente esté habilitada.

Idear impondrá a los subencargados obligaciones de protección de datos equivalentes en lo esencial. Idear informará de cambios materiales de subencargados por medios razonables (p. ej. actualización de la Política de privacidad / lista de subencargados o aviso en la aplicación). El Cliente podrá oponerse por motivos fundados de cumplimiento normativo en un plazo razonable; si no hay alternativa viable, podrá resolver el Servicio afectado.

9. Asistencia en derechos e impacto

Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Cliente, en la medida de lo posible, mediante medidas técnicas y organizativas adecuadas, para que este pueda responder a solicitudes de ejercicio de derechos de los interesados.

El Encargado asistirá asimismo, cuando sea razonablemente posible, en evaluaciones de impacto y consultas previas a autoridades, aportando información disponible sobre el Servicio.

10. Violaciones de seguridad

El Encargado notificará al Cliente, sin dilación indebida tras tener conocimiento, las violaciones de seguridad de los datos personales que le afecten en el ámbito de este encargo, con la información disponible para que el Cliente pueda cumplir sus obligaciones de comunicación a la autoridad y, en su caso, a los interesados.

Contacto preferente para incidentes: estudio@pacobarruguer.com.

11. Devolución y supresión

Al terminar el Servicio o a petición del Cliente, el Encargado suprimirá o devolverá los datos personales del encargo (y eliminará las copias existentes), salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.

La exportación de contenido disponible en la interfaz o por soporte razonable constituye el mecanismo principal de devolución. Las copias de seguridad pueden persistir durante un ciclo técnico limitado hasta su rotación.

12. Transferencias internacionales

Si el tratamiento implica transferencias fuera del EEE, el Encargado garantizará la existencia de salvaguardas adecuadas (p. ej. cláusulas contractuales tipo) o que el destinatario esté cubierto por un mecanismo válido.

NEEDS LEGAL REVIEW: mapeo de ubicaciones y mecanismos por subencargado antes de la versión definitiva.

13. Información y auditoría razonable

El Encargado pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitirá auditorías o inspecciones razonables, con preaviso escrito, en horario laboral, sin perturbar indebidamente las operaciones y bajo confidencialidad. Idear podrá satisfacer esta obligación mediante informes de seguridad, cuestionarios o certificaciones de terceros cuando existan, en lugar de acceso físico a infraestructuras de proveedores cloud.

14. Ley aplicable

Este DPA se rige por Legislación española, sin perjuicio de las normas imperativas aplicables.. Salvo norma imperativa en contrario, Para relaciones con profesionales o empresas, Juzgados y Tribuales de Castellón, España, salvo que una norma imperativa establezca otra jurisdicción.

Versión del documento: 2026-09-01. En caso de conflicto entre este DPA y las Condiciones de uso sobre protección de datos del encargo, prevalece este DPA.