Acuerdo de Encargo de Tratamiento de Datos (DPA)

Versión vigente desde: 15 de abril de 2026 · Aplicable a clientes profesionales y planes Starter, Pro y Enterprise (Art. 28 RGPD y Art. 33 LOPDGDD).

1. Partes intervinientes

De una parte, la entidad o profesional titular de la cuenta contratante del servicio (en adelante, el «Responsable del Tratamiento» o el «Cliente»).

Y de otra parte, [RAZÓN SOCIAL / NOMBRE COMPLETO], con CIF/NIF [CIF/NIF], domicilio social en [DOMICILIO SOCIAL] e inscrita en [DATOS REGISTRO MERCANTIL], correo de contacto hola@machineiq.app (en adelante, el «Encargado del Tratamiento» o «MachineIQ»).

El presente Acuerdo de Encargo de Tratamiento (DPA) complementa y forma parte integrante de los Términos de servicio conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

2. Objeto, naturaleza, finalidad y duración

• Objeto y finalidad: habilitar la prestación del servicio SaaS MachineIQ (gestión de activos de taller CNC, parámetros, hojas de operaciones, control de producción, KPIs/OEE, alertas y asistencia técnica) alojando y procesando los datos incorporados al workspace del Cliente únicamente siguiendo sus instrucciones documentadas.
• Naturaleza de las operaciones: recogida, estructuración, almacenamiento cifrado, consulta, generación de informes solicitados por el usuario, copia de seguridad y supresión al término del servicio.
• Duración: coincidirá con la vigencia de la suscripción o relación de servicio principal, más el plazo técnico de devolución/exportación y borrado previsto en la cláusula 7 (máximo 30 días tras la baja).

3. Categorías de interesados y tipos de datos personales

• Categorías de interesados: empleados, ingenieros de proceso, responsables de planta, operarios de máquina y colaboradores autorizados por el Cliente en su workspace.
• Tipos de datos personales: datos identificativos y corporativos básicos (nombre, apellidos, correo electrónico profesional, rol en el taller, idioma y autoría o asignación operativa en hojas de operaciones, registros de turno/producción y trazabilidad técnica).
• Categorías especiales (Art. 9 RGPD): el servicio no está diseñado ni destinado a tratar categorías especiales de datos personales (salud, ideología, datos biométricos, etc.), comprometiéndose el Cliente a no introducirlos en campos de texto libre.

4. Obligaciones del Encargado del Tratamiento

1. Uso limitado a las instrucciones: tratar los datos personales únicamente siguiendo las instrucciones documentadas del Cliente reflejadas en este DPA, en los Términos de servicio y en el uso ordinario de la plataforma, inclusive respecto a las transferencias internacionales (Art. 28.3.a RGPD).
2. Deber de confidencialidad: garantizar que las personas autorizadas para tratar datos personales se hayan comprometido por escrito a respetar la confidencialidad o estén sujetas a una obligación legal de secreto profesional (Art. 28.3.b RGPD).
3. Seguridad del tratamiento: aplicar y mantener las medidas técnicas y organizativas descritas en el Anexo I de conformidad con el artículo 32 del RGPD.
4. Asistencia frente a ejercicios de derechos: asistir al Cliente, mediante las funcionalidades de exportación/gestión de miembros de la plataforma y soporte técnico, para que este pueda cumplir su obligación de responder a solicitudes de derechos ARSOPOL de los interesados en un plazo máximo de 5 días hábiles desde el traslado de la consulta.
5. Evaluaciones de impacto y consultas previas: prestar apoyo razonable al Cliente en la realización de Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) cuando procedan, teniendo en cuenta la naturaleza del tratamiento y la información disponible para MachineIQ.
6. Puesta a disposición y auditorías: poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD (certificaciones e informes de seguridad de infraestructura nube, políticas y registros técnicos) y permitir auditorías documentales razonables, previo aviso escrito de al menos 30 días, sin comprometer la seguridad ni la confidencialidad de otros clientes.

5. Notificación de violaciones de la seguridad de los datos

MachineIQ notificará al Cliente por correo electrónico (a la dirección del administrador del workspace) cualquier violación de la seguridad de los datos personales de la que tenga conocimiento y que afecte a datos del Cliente sin dilación indebida y, de ser posible, dentro de las cuarenta y ocho (48) horas siguientes a su constatación (Arts. 33 y 34 RGPD).

La comunicación incluirá, en la medida en que se disponga de la información: (a) descripción de la naturaleza de la brecha y volumen aproximado de registros afectados; (b) punto de contacto técnico (hola@machineiq.app); (c) posibles consecuencias de la incidencia; y (d) medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

6. Régimen de subencargados del tratamiento (Anexo II)

El Cliente otorga autorización general para que MachineIQ contrate a los subencargados de infraestructura y servicios auxiliares listados a continuación. Todos ellos están vinculados por contratos de encargo de tratamiento con obligaciones de seguridad y protección equivalentes a las de este DPA y, cuando procede, por el EU-U.S. Data Privacy Framework y las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea:

MachineIQ informará de cualquier incorporación o sustitución prevista de subencargados actualizando esta relación con una antelación mínima de quince (15) días naturales (y comunicándolo por email a clientes Enterprise), pudiendo el Cliente formular objeciones motivadas en materia de protección de datos o resolver su suscripción sin penalización antes de la efectividad del cambio.

7. Destino de los datos a la finalización del servicio

Una vez finalizada la prestación del servicio o cancelada la cuenta, el Cliente dispondrá de las herramientas integradas de exportación (PDF/CSV) y, si ejecuta la opción Eliminar mi cuenta o transcurren treinta (30) días naturales tras la baja definitiva solicitada, MachineIQ suprimirá los datos personales de producción y purgará las copias residuales en respaldos rotatorios, salvo obligación legal de bloqueo y conservación prevista en el Derecho de la Unión o español (facturación).

8. Anexo I — Medidas técnicas y organizativas de seguridad (Art. 32 RGPD)

• Cifrado en tránsito y en reposo: comunicaciones cifradas extremo a extremo mediante TLS 1.2/1.3 con cabeceras HSTS estrictas; bases de datos y copias de seguridad cifradas en reposo mediante AES-256 en centros de datos europeos (AWS eu-central-1, Fráncfort, con certificaciones ISO 27001 y SOC 2 Tipo II).
• Aislamiento multi-tenant por diseño: políticas obligatorias Row Level Security (RLS) a nivel de motor PostgreSQL que impiden técnicamente que un workspace consulte o modifique filas pertenecientes a otro cliente.
• Control de acceso y autenticación: gestión de sesiones mediante tokens firmados (JWT) con rotación automática, contraseñas con hash seguro (bcrypt/Argon2 en Supabase Auth), soporte OAuth 2.0 y control de permisos granular por rol (admin, ingeniero, operario, visor).
• Resiliencia, disponibilidad y copias de seguridad: respaldos automáticos diarios y recuperación en un punto en el tiempo (Point-in-Time Recovery) en la región europea.
• Minimización y privacidad por defecto: telemetría analítica desactivada por defecto hasta consentimiento explícito; separación de claves de administración restringidas exclusivamente a ejecución en servidor; ausencia de almacenamiento local de tarjetas bancarias (delegado en Stripe PCI-DSS Nivel 1).