Contrato de encargado del tratamiento ConstraCost
Versión 1.0 · fecha de publicación: 27/10/2026. Forma parte de las Condiciones generales del servicio (cláusula 13.2) y se acepta con ellas. Sigue el artículo 28 del RGPD.
1. Partes y objeto
1.1. Este contrato se celebra entre:
- El Responsable: el cliente, identificado por el nombre o razón social y el NIF/CIF que facilitó al registrarse.
- El Encargado: Ildefonso de Castro Parra, NIF 26247022C, domicilio en Calle Alemania, n.º 7, Portal 2, 1.º E, 04740 Roquetas de Mar (Almería), correo info@constracost.com.
1.2. El Encargado tratará por cuenta del Responsable los datos personales de terceros que este introduzca en ConstraCost, únicamente para prestar el Servicio descrito en las Condiciones generales.
1.3. Este contrato no se aplica a los datos de cuenta y facturación del propio cliente ni de sus usuarios (correo, contraseña, datos de facturación), de los que el Encargado es responsable según la Política de privacidad.
2. Duración
El contrato dura mientras el cliente tenga cuenta en el Servicio y hasta que se supriman los datos conforme a la cláusula 8.
3. Tipos de datos e interesados
3.1. Naturaleza y finalidad: alojamiento, almacenamiento, consulta, cálculo de costes e informes, exportación y copia de seguridad de los datos que el Responsable introduce. El Encargado no los trata para ninguna otra finalidad.
3.2. Interesados y datos. Son los que la aplicación admite; el Responsable decide cuáles introduce:
| Interesados | Datos |
|---|---|
| Trabajadores del Responsable | Nombre; categoría profesional; tipo de contrato; fechas de alta y baja; datos salariales (salario bruto y neto, número de pagas, coste por hora y coste de empresa); retención de IRPF y porcentajes de Seguridad Social; obra asignada y horas o días imputados; notas de texto libre |
| Proveedores y subcontratistas, incluidos autónomos | Nombre o razón social; NIF/CIF; dirección; teléfono; correo electrónico; IBAN; notas |
| Técnicos y profesionales externos | Nombre; empresa; especialidad; teléfono; correo electrónico; honorarios; notas |
| Clientes finales y destinatarios de obras y presupuestos | Nombre; descripción de la obra; importes de presupuestos, cobros y certificaciones |
| Terceros que aparezcan en documentos adjuntos | Los que contengan las facturas, albaranes, fotos de gastos y documentos de obra o de certificaciones que el Responsable suba |
3.3. La aplicación no solicita el DNI ni el NIE de los trabajadores. No está diseñada para tratar categorías especiales de datos (artículo 9 del RGPD) y el Responsable se abstendrá de introducirlas, también en los campos de texto libre.
4. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos solo para prestar el Servicio y según las instrucciones documentadas del Responsable: las Condiciones, este contrato y lo que el Responsable haga en la aplicación. Si considera que una instrucción infringe el RGPD, se lo comunicará.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal; en ese caso, avisará antes al Responsable si la ley lo permite.
- Garantizar la confidencialidad: quienes estén autorizados a tratar los datos, hoy únicamente el Encargado, se obligan a mantener el secreto, también después de terminar el contrato.
- Acceder a los datos de un cliente solo para soporte técnico o a petición del Responsable, dejando registro de las consultas hechas desde el panel de administración.
- Ayudar al Responsable a atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige al Encargado, este se lo trasladará al Responsable en un máximo de 5 días hábiles, sin responder por sí mismo.
- Ayudar al Responsable en las evaluaciones de impacto y consultas previas que procedan, con la información de que disponga.
- Llevar un registro de las actividades de tratamiento realizadas por cuenta del Responsable (artículo 30.2 del RGPD).
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento (cláusula 9).
5. Medidas de seguridad y violaciones
5.1. El Encargado aplicará las medidas del Anexo B, adecuadas al riesgo.
5.2. Si tiene conocimiento de una violación de la seguridad que afecte a los datos del Responsable, se lo notificará sin dilación indebida y como máximo en 72 horas, por correo a la dirección de la cuenta, con la información de que disponga: naturaleza de la violación, datos y personas afectadas, consecuencias probables y medidas adoptadas. Corresponde al Responsable notificarla a la Agencia Española de Protección de Datos y a los afectados cuando proceda.
6. Subencargados
6.1. El Responsable da su autorización general para los subencargados del Anexo A.
6.2. El Encargado comunicará por correo cualquier alta o sustitución con al menos 30 días de antelación. En ese plazo el Responsable puede oponerse por motivos justificados; si no se resuelve, podrá cancelar el Servicio antes de que el cambio entre en vigor, sin penalización, conforme a la cláusula 17.2 de las Condiciones.
6.3. El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este contrato y responderá ante el Responsable de su incumplimiento.
7. Transferencias internacionales
7.1. Los datos y los archivos adjuntos se alojan en la Unión Europea (Supabase, París). Otros subencargados pueden tratar datos fuera del Espacio Económico Europeo, con las garantías del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea, según el proveedor.
7.2. El Encargado no hará otras transferencias internacionales sin autorización del Responsable, salvo que la ley se lo exija.
8. Devolución y supresión de los datos
8.1. Al terminar el Servicio, el Encargado devolverá o suprimirá los datos, a elección del Responsable.
8.2. Devolución: el Responsable puede exportar sus datos en CSV y descargar sus documentos desde Ajustes, mientras la cuenta tenga acceso (cláusula 13.3 de las Condiciones). Los archivos no asociados a ningún registro, o una copia completa de los documentos en un solo envío, se solicitan a info@constracost.com y se entregan en un máximo de 10 días hábiles.
8.3. Supresión: si el Responsable no indica otra cosa, se aplican los plazos de las cláusulas 4.2, 4.4 y 13.3 de las Condiciones: 90 días de solo lectura y supresión con aviso por correo de al menos 15 días. La supresión incluye los datos y los archivos adjuntos. Las copias de seguridad se eliminan en su ciclo normal, de un máximo de 30 días.
8.4. El Encargado podrá conservar los datos, debidamente bloqueados, solo mientras una ley se lo exija o puedan derivarse responsabilidades del tratamiento.
9. Información y auditoría
9.1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato.
9.2. El Responsable puede realizar auditorías razonables, avisando con al menos 30 días, como máximo una vez al año salvo tras una violación de seguridad, sin acceder a datos de otros clientes ni comprometer la seguridad del Servicio, y a su costa. El Encargado podrá atenderla aportando documentación o respondiendo a un cuestionario.
10. Obligaciones del Responsable
El Responsable se compromete a:
- Tener base legal para introducir los datos en el Servicio y haber informado a los interesados.
- Entregar los datos al Encargado y dar las instrucciones, y velar por que el tratamiento cumpla el RGPD.
- Gestionar los usuarios y roles de su cuenta y custodiar sus credenciales.
- Realizar, si procede, la evaluación de impacto.
- Notificar las violaciones de seguridad a la autoridad de control y a los afectados cuando proceda.
11. Responsabilidad y ley aplicable
11.1. Cada parte responde conforme al RGPD, en especial su artículo 82. Entre las partes, la responsabilidad se rige por la cláusula 16 de las Condiciones, sin limitar los derechos de los interesados.
11.2. Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Almería, salvo que la ley imponga otro fuero.
Anexo A. Subencargados autorizados
| Subencargado | Servicio | Datos a los que accede | Ubicación |
|---|---|---|---|
| Supabase | Base de datos, autenticación y archivos adjuntos | Todos los datos del Responsable, incluidos los documentos | Unión Europea (París, Francia) |
| Vercel | Alojamiento y ejecución de la aplicación | Datos que circulan por la aplicación | Unión Europea (París, Francia) |
| Resend | Envío de correos del Servicio: invitaciones, confirmación de alta y recuperación de contraseña | Correo del destinatario | Unión Europea (Irlanda) |
| GitHub | Copias de seguridad cifradas | Copia cifrada de la base de datos, sin los archivos adjuntos | Estados Unidos |
Stripe cobra la suscripción del cliente, pero no accede a los datos de terceros que este introduce, por lo que no figura como subencargado.
Anexo B. Medidas de seguridad
- Cifrado en tránsito (HTTPS) entre el usuario, la aplicación y la base de datos.
- Autenticación de usuarios gestionada por un proveedor especializado; el Encargado no puede ver las contraseñas.
- Aislamiento de los datos por empresa y control de acceso por roles (administrador, editor y lector). El Responsable decide qué usuarios invita y con qué rol.
- Archivos adjuntos accesibles solo con la sesión iniciada, mediante enlaces temporales que caducan en 2 minutos o menos.
- Registro de cada consulta del panel de administración del Encargado a los datos de un cliente (quién, qué cliente y cuándo). Los accesos técnicos directos a la base de datos se limitan a lo imprescindible para mantenimiento o soporte.
- Copias de seguridad diarias de la base de datos, cifradas (AES-256) y conservadas un máximo de 30 días. Los archivos adjuntos no forman parte de esta copia.
- Limitación básica de peticiones en las rutas de la API y límites del proveedor de autenticación en el acceso.
El Encargado revisará estas medidas periódicamente y las adaptará al riesgo.