Contrato de encargo del tratamiento

Versión 2026-10-07 · Artículo 28 del RGPD · Forma parte de los Términos de contratación y se acepta en el alta

1. Partes

Responsable del tratamiento: el cliente de Chispa que acepta este contrato al darse de alta (negocio o profesional).
Encargado del tratamiento: Solers — [denominación social completa] (sociedad en constitución), NIF [CIF], domicilio [domicilio], admin@solers.es.

2. Objeto, naturaleza y finalidad

Solers trata, por cuenta del cliente, los datos personales de terceros que pasan por Chispa al prestarle el servicio: recibir y mostrar comentarios, mensajes y reseñas de sus redes, proponer y enviar respuestas, preparar y publicar contenido y calcular estadísticas. Solers no los usa para nada más.

3. Duración

Lo que dure la suscripción del cliente (incluida la prueba gratuita). Al terminar se aplica el apartado 10.

4. Datos y personas afectadas

• Personas: clientes, seguidores y contactos del cliente que le escriben o le mencionan en sus redes o en Google; personas que aparecen en el contenido que el cliente sube; usuarios del equipo del cliente.
• Datos: nombre o alias público, foto de perfil, texto de comentarios, mensajes y reseñas, fecha, valoración, y la imagen o voz de quien aparezca en fotos y vídeos del cliente.
• No se tratan categorías especiales de datos salvo que el cliente las introduzca; el cliente se compromete a no hacerlo sin base legal.

5. Obligaciones de Solers (encargado)

1. Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son estos términos y lo que configura en la aplicación. Si una instrucción le parece contraria a la ley, se lo dirá.
2. Garantizar que quien trata los datos se ha comprometido a guardar confidencialidad.
3. Aplicar medidas de seguridad adecuadas (art. 32 RGPD): conexión cifrada HTTPS; permisos de redes cifrados con AES-256-GCM y atados a cada negocio; códigos y sesiones guardados como huella HMAC-SHA-256; separación por negocio en cada consulta; roles dueño/equipo; límites de intentos; base de datos alojada en Europa occidental.
4. No recurrir a otro encargado sin autorización: el cliente da autorización general a los subencargados del apartado 6; Solers avisará de cualquier cambio con 30 días y el cliente podrá oponerse y darse de baja.
5. Ayudar al cliente a atender los derechos de las personas (acceso, supresión, oposición…) y avisarle si una persona se dirige a Solers.
6. Avisar al cliente sin dilación indebida y en un máximo de 48 horas desde que conozca una brecha de seguridad que afecte a sus datos, con la información disponible para que pueda notificarla (arts. 33 y 34 RGPD).
7. Ayudar, si hace falta, en evaluaciones de impacto y consultas a la autoridad.
8. Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y a su costa.
9. No transferir datos fuera del Espacio Económico Europeo salvo con las garantías del capítulo V del RGPD.

6. Subencargados autorizados

Las redes sociales (Meta, Google/YouTube, TikTok) no son subencargados de Solers: el cliente tiene su propia relación con ellas y son ellas las que le entregan los comentarios y reciben lo que publica, según sus condiciones.

7. Obligaciones del cliente (responsable)

Tener base legal para tratar los datos de sus clientes y seguidores, informarles (por ejemplo, en su propia política de privacidad), no subir datos que no necesite, revisar lo que se publica o contesta en su nombre y dar a Solers instrucciones lícitas.

8. Personas del equipo

El cliente decide quién de su equipo entra en Chispa y con qué rol, y es responsable de retirar el acceso cuando haga falta (se pueden cerrar todas las sesiones desde la aplicación).

9. Responsabilidad

Cada parte responde de sus propios incumplimientos según el art. 82 RGPD.

10. Fin del encargo

Al terminar el contrato, o cuando el cliente pulse «Darme de baja y borrar mis datos», Solers suprime los datos del servidor. Antes, el cliente puede descargarlos o pedir una copia en un formato habitual escribiendo a admin@solers.es. Solers solo conservará, bloqueado, lo que exija la ley.

Data processing agreement

Version 2026-10-07 · Article 28 GDPR · Part of the Terms of sale, accepted at sign-up · In case of discrepancy, the Spanish version prevails.

1. Parties

Controller: the Chispa customer who accepts this agreement when signing up. Processor: Solers — [full company name] (company being incorporated), Tax ID [CIF], address [domicilio], admin@solers.es.

2. Subject matter, nature and purpose

Solers processes, on the customer's behalf, third-party personal data that passes through Chispa while providing the service: receiving and displaying comments, messages and reviews, suggesting and sending replies, preparing and publishing content and computing statistics. Solers does not use it for anything else.

3. Duration

The term of the customer's subscription (including the free trial). Section 10 applies at the end.

4. Data and data subjects

Data subjects: the customer's clients, followers and contacts who write to or mention the customer on their networks or Google; people appearing in content uploaded by the customer; the customer's team users. Data: public name or alias, profile picture, text of comments, messages and reviews, date, rating, and the image or voice of people appearing in the customer's photos and videos. No special categories unless entered by the customer, who undertakes not to do so without a legal basis.

5. Processor obligations

1. Process data only on the customer's documented instructions (these terms and the app settings), and flag any instruction it considers unlawful.
2. Ensure confidentiality commitments.
3. Apply appropriate security (art. 32): HTTPS; network tokens encrypted with AES-256-GCM and bound to each business; codes and sessions stored as HMAC-SHA-256 fingerprints; per-business separation; owner/team roles; attempt limits; database hosted in Western Europe.
4. Use sub-processors only with authorisation: general authorisation for those in section 6; 30 days' notice of changes, with the right to object and cancel.
5. Assist with data subject requests.
6. Notify personal data breaches without undue delay and within 48 hours of becoming aware.
7. Assist with impact assessments and prior consultations where needed.
8. Make available the information needed to demonstrate compliance and allow reasonable audits, with notice and at the customer's cost.
9. No transfers outside the EEA without Chapter V GDPR safeguards.

6. Authorised sub-processors

Cloudflare, Inc. — server (Workers), database (D1), AI (Workers AI) and file storage (R2) if enabled; database in Western Europe; US under the EU-US Data Privacy Framework and standard contractual clauses. Social networks (Meta, Google/YouTube, TikTok) are not Solers' sub-processors: the customer has its own relationship with them.

7. Controller obligations

Have a legal basis to process its clients' and followers' data, inform them, avoid uploading unnecessary data, review what is published or replied in its name and give lawful instructions.

8. Team members

The customer decides who in its team accesses Chispa and with which role, and must revoke access when needed.

9. Liability

Each party is liable for its own breaches under art. 82 GDPR.

10. End of processing

When the contract ends, or when the customer presses «Cancel and delete my data», Solers deletes the data from the server. Before that, the customer can request a copy in a common format at admin@solers.es. Solers keeps, blocked, only what the law requires.