Contrato de encargo del tratamiento

Partes y funciones

Cliente: la organización titular de una cuenta de empresa en LeanOS, que actúa a través de las personas que aceptan los términos en su nombre. Es la responsable del tratamiento de los Datos del Cliente.

LeanOS: Centre Educatiu del CAD CAM, SL, con CIF B62582945 y domicilio social en Avinguda Antoni Gaudí 15, Local 2, 08840 Viladecans (Barcelona), España. Es el encargado del tratamiento de los Datos del Cliente.

Datos del Cliente: los datos personales contenidos en lo que el Cliente y sus usuarios introducen en su espacio de LeanOS (proyectos, charters, KPIs, hitos, acciones, ideas, archivos, comentarios y conversaciones con la IA dentro de un proyecto) y la pertenencia y los roles de las personas de ese espacio.

LeanOS es responsable, no encargado, de los datos que trata para sus propios fines: cuentas de usuario e inicio de sesión, facturación, tickets de soporte, registros de seguridad y límites de uso, la web y sus formularios, y el marketing. Ese tratamiento se describe en la política de privacidad, https://leanos-app.com/es/privacy, y queda fuera de este contrato.

Objeto, duración, naturaleza y finalidad

Objeto: alojar y tratar los Datos del Cliente para que el Cliente pueda usar LeanOS.

Duración: mientras LeanOS trate Datos del Cliente en virtud de los términos, y hasta que se supriman según 'Supresión o devolución al final'.

Naturaleza: almacenamiento, organización, visualización, consulta, envío por email (por ejemplo, invitaciones a proyectos), tratamiento por las funciones de IA cuando un usuario lo pide, copia de seguridad y supresión.

Finalidad: prestar LeanOS al Cliente tal como lo describen los términos, y ninguna otra.

Tipos de datos personales

Datos identificativos y de contacto de las personas del espacio: nombre, email profesional, cargo o rol.

Información profesional introducida en los proyectos: responsabilidades, acciones asignadas y plazos, responsables y resultados de KPIs, comentarios, descripciones de procesos y el registro de quién creó o modificó cada elemento.

Los archivos que suben los usuarios y los datos personales que contengan.

El texto que los usuarios envían a las funciones de IA y las respuestas.

LeanOS no está pensado para categorías especiales de datos personales (artículo 9 del RGPD) ni para datos sobre condenas penales (artículo 10). El Cliente no debe introducirlos.

Categorías de interesados

Los usuarios del Cliente: empleados, directivos y colaboradores con cuenta de LeanOS en la empresa del Cliente.

Los colaboradores externos que el Cliente invita a un proyecto.

Las personas mencionadas en el contenido: miembros del equipo, stakeholders, responsables de procesos y contactos de proveedores y clientes.

Tratamiento según instrucciones documentadas

LeanOS trata los Datos del Cliente únicamente siguiendo las instrucciones documentadas del Cliente. Esas instrucciones son los términos, este contrato y la forma en que el Cliente usa y configura LeanOS, también para las transferencias fuera del EEE, que solo se producen como se indica en 'Subencargados del tratamiento'. Si el Derecho de la Unión o de un Estado miembro obliga a LeanOS a tratar los Datos del Cliente de otro modo, LeanOS lo comunicará antes al Cliente, salvo que ese Derecho lo prohíba. LeanOS informará inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos.

LeanOS no vende los Datos del Cliente ni los usa para entrenar modelos de IA.

Confidencialidad

Solo pueden acceder a los Datos del Cliente las personas de LeanOS que lo necesitan para operar, dar soporte o proteger el servicio, y solo con ese fin. Todas ellas están sujetas a un deber de confidencialidad, por contrato o por ley.

Seguridad

LeanOS aplica las medidas técnicas y organizativas que figuran en el anexo 'Medidas de seguridad', al final de este contrato, adecuadas al riesgo como exige el artículo 32 del RGPD. LeanOS puede modificarlas siempre que el nivel global de seguridad no disminuya.

Subencargados del tratamiento

El Cliente concede a LeanOS una autorización general por escrito para recurrir a subencargados. Estos son los actuales, y cada uno trata los Datos del Cliente solo para la tarea indicada:

Supabase: base de datos, inicio de sesión y almacenamiento de archivos. Los datos se alojan en la UE (Fráncfort). Supabase Inc. es una empresa estadounidense: CCT.

Railway: ejecuta la aplicación, en su región de la UE (Ámsterdam). Railway Corp. es una empresa estadounidense: CCT.

Arsys Internet S.L.U. (España): envía los emails que LeanOS manda a los usuarios, como las invitaciones a proyectos, y aloja el buzón de soporte.

Resend: envío de emails de respaldo, solo cuando está activo. Empresa estadounidense: CCT.

OpenAI: funciones de IA, solo cuando un usuario las usa. Empresa estadounidense: CCT. Los datos enviados a través de su API no se usan para entrenar modelos; OpenAI puede conservarlos hasta 30 días para detectar abusos.

Cloudflare: almacenamiento de las copias de seguridad de la base de datos. Empresa estadounidense: CCT / Marco de Privacidad de Datos UE-EE. UU.

GitHub: ejecuta la tarea de copia de seguridad cada hora; la copia pasa por los servidores de GitHub en EE. UU.: CCT / Marco de Privacidad de Datos UE-EE. UU.

CCT son las Cláusulas Contractuales Tipo de la UE. Stripe y Holded, que también figuran en la política de privacidad, reciben solo datos de facturación, de los que LeanOS es responsable; no son subencargados a efectos de este contrato.

LeanOS impone a cada subencargado obligaciones de protección de datos que ofrecen al menos la protección de este contrato, y sigue respondiendo ante el Cliente de cómo las cumplen sus subencargados.

Cambios: LeanOS comunicará al Cliente cualquier incorporación o sustitución prevista de un subencargado con antelación razonable antes de que se aplique, por email a los administradores del Cliente y actualizando esta página. Antes de que el cambio se aplique el Cliente puede oponerse por motivos razonables de protección de datos escribiendo a support@leanos-app.com. Si las partes no encuentran una solución, el Cliente puede cerrar su cuenta antes de que el cambio se aplique.

Derechos de los interesados

LeanOS ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, a responder a las solicitudes de los interesados (artículos 12 a 23 del RGPD). En LeanOS cada usuario puede descargar sus propios datos ('Descargar mis datos', en el perfil) y eliminar su cuenta. Una solicitud sobre Datos del Cliente que llegue directamente a LeanOS se traslada al Cliente sin dilación indebida; LeanOS no la responde en nombre del Cliente salvo que este se lo indique.

Evaluaciones de impacto y otra asistencia

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, LeanOS ayuda al Cliente a cumplir sus obligaciones de los artículos 32 a 36 del RGPD: seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control. Lo hace con la información de este contrato y con cualquier otra información sobre el tratamiento que el Cliente pida de forma razonable.

Violaciones de seguridad de los datos personales

LeanOS notifica al Cliente sin dilación indebida, en cuanto tiene conocimiento de ella, cualquier violación de la seguridad que afecte a Datos del Cliente, por email a los administradores del Cliente. La notificación describe, en lo que se sepa en ese momento, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas; lo que aún no se sepa se comunica en cuanto se conozca. LeanOS toma medidas razonables para contener la violación y limitar sus efectos. Notificar a la autoridad de control y a los interesados sigue siendo decisión del Cliente, como responsable.

Supresión o devolución al final

Devolución: hasta el final, los usuarios del Cliente pueden exportar sus proyectos, y cada usuario sus propios datos, desde LeanOS.

Cancelar una suscripción no borra nada: la empresa pasa al plan gratuito, como explican los términos. Cuando el Cliente pide que se supriman su empresa y su contenido (support@leanos-app.com), o cuando el último miembro de una empresa elimina su cuenta, LeanOS suprime la empresa y los Datos del Cliente de la base de datos en producción en un plazo de 30 días. El Derecho de la Unión o de un Estado miembro puede exigir conservar algunos datos más tiempo.

Copias de seguridad: las copias de la base de datos caducan solas (la copia diaria del proveedor de base de datos a los 7 días; las copias propias de LeanOS, las horarias a los 7 días y las diarias a los 30 días), de modo que los datos suprimidos desaparecen de ellas en los 30 días siguientes a su supresión. Las copias de los archivos subidos que LeanOS guarda en su copia de seguridad externa de archivos siguen la misma regla: un archivo borrado de LeanOS se aparta en esa copia y se elimina en un plazo de 30 días; cuando LeanOS suprime la empresa, elimina también de esa copia los archivos del Cliente.

Cualquier copia que quede hasta entonces sigue cubierta por este contrato.

Auditorías e información

LeanOS pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Si esa información no basta, el Cliente, o un auditor independiente que designe y que esté sujeto a confidencialidad, puede auditar el tratamiento: con un preaviso por escrito de al menos 30 días, en horario laboral, sin interrumpir el servicio ni acceder a datos de otros clientes, y a cargo del Cliente. Las auditorías se limitan a una al año, salvo que una autoridad de control exija otra cosa o se haya producido una violación de la seguridad de los datos personales.

Responsabilidad

La responsabilidad de cada parte en virtud de este contrato está sujeta a la limitación de responsabilidad de los términos de servicio, en la medida en que lo permitan el RGPD y la demás normativa aplicable. Nada en este contrato limita la responsabilidad de ninguna de las partes frente a los interesados según el artículo 82 del RGPD.

Ley aplicable

Este contrato se rige por la ley española. Las disputas se resolverán en los tribunales de España, igual que en los términos de servicio.

Cambios en este contrato

LeanOS puede actualizar este contrato para reflejar cambios en la ley o en el servicio. Un cambio sustancial se anuncia igual que un cambio en los términos, y con él cambia la fecha de 'Última actualización' de arriba.

Anexo — Medidas de seguridad

Alojamiento en la UE: la base de datos, el inicio de sesión y el almacenamiento de archivos están en Supabase, en Fráncfort; la aplicación se ejecuta en Railway, en su región de la UE (Ámsterdam).

Cifrado en tránsito: todas las conexiones con LeanOS usan HTTPS, y se indica a los navegadores que usen solo HTTPS (HSTS).

Control de acceso en la base de datos: la seguridad a nivel de fila está activada en todas las tablas, de modo que cada usuario solo llega a los datos de las empresas y los proyectos a los que pertenece. Dentro de una empresa, los administradores del Cliente deciden quién tiene acceso y con qué rol.

Inicio de sesión: las contraseñas se guardan solo como hash. Una sesión termina tras 30 días sin uso y, como máximo, a los 90 días, y la reutilización de un token de renovación robado se detecta y la sesión se revoca.

Protecciones de la aplicación: se aplica una política de seguridad de contenidos (CSP), otros sitios no pueden insertar LeanOS en un marco y las peticiones que modifican datos tienen límites de uso.

Claves: la clave de administración de la base de datos solo se usa en el servidor, nunca en el navegador.

Copias de seguridad: el proveedor de base de datos guarda una copia diaria durante 7 días. LeanOS guarda además sus propias copias en otro proveedor (Cloudflare R2), en un contenedor privado al que se accede con credenciales distintas: una programada cada hora, que se conserva 7 días, y una al día, que se conserva 30 días. Las copias más antiguas se borran automáticamente.

Supresión automática: cada noche se ejecutan las reglas de conservación y se suprimen los datos cuyo plazo ha vencido.

IA: el texto solo va al proveedor de IA cuando un usuario usa una función de IA, a través de su API, que no lo usa para entrenar modelos.

Entornos separados: el desarrollo y las pruebas usan sus propias bases de datos, separadas de la de producción.

Contacto

Para dudas, solicitudes o ejercer tus derechos — escribe a support@leanos-app.com.