Contrato de encargo de tratamiento (DPA)

Contrato exigido por el artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de los términos del servicio y se entiende firmado cuando el cliente contrata Nombran. No hace falta firmar nada más.

El cliente es el responsable del tratamiento. Nombran, cuyo titular está identificado en el Aviso legal, es la encargada.

1Objeto

El cliente encarga a Nombran tratar los datos personales descritos en la cláusula 5 por su cuenta, en la medida necesaria para prestarle el servicio contratado: medir la visibilidad de las marcas en motores de IA, almacenar los resultados y presentarlos en el panel.

2Duración

El contrato dura mientras exista la cuenta del cliente y hasta la supresión de sus datos al eliminarla (cláusula 6.g).

3Naturaleza y finalidad del tratamiento

Alojamiento y almacenamiento; envío de preguntas a los motores de IA y recepción de sus respuestas; análisis de esas respuestas; cálculo de métricas; gestión de accesos al panel; envío de correos del servicio y copias de seguridad. La finalidad es exclusivamente prestar el servicio al cliente.

4Instrucciones del cliente

Las instrucciones documentadas del cliente son este contrato, el uso que hace del servicio y las que dé por escrito. Nombran no tratará los datos para fines propios.

5Interesados y datos

Interesados	Datos
Personas del equipo del cliente con acceso al panel.	Nombre, correo electrónico, contraseña (como hash), rol y registros de acceso.
Personas de contacto de las marcas, si el cliente las introduce.	Los datos de contacto que el cliente decida registrar.

Además se tratan datos de las marcas (nombres, dominios, competidores) y las preguntas y respuestas medidas, que normalmente no son datos personales. El cliente se compromete a no introducir en el servicio categorías especiales de datos (art. 9 RGPD) ni datos penales.

6Obligaciones de Nombran

Instrucciones. Tratar los datos solo según las instrucciones del cliente, también respecto de las transferencias a terceros países, salvo que una norma de la UE o de un Estado miembro le obligue a otra cosa; en ese caso se lo comunicará antes, si la ley lo permite. Avisará al cliente si considera que una instrucción infringe la normativa de protección de datos.

Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente.

Seguridad. Aplicar las medidas técnicas y organizativas del artículo 32 RGPD. Las vigentes se describen en el anexo I.

Subencargados. El cliente da una autorización general para recurrir a los subencargados de la lista vigente. Para añadir o sustituir alguno, Nombran avisará por escrito con al menos 30 días de antelación y el cliente podrá oponerse por motivos razonables. Si no hay alternativa aceptable, el cliente podrá resolver el contrato. Nombran impondrá a cada subencargado las mismas obligaciones de este contrato y responderá ante el cliente de su cumplimiento.

Asistencia. Ayudar al cliente, con medidas técnicas y organizativas adecuadas, a responder a las solicitudes de ejercicio de derechos de los interesados. Si recibe una solicitud directamente, la trasladará al cliente sin demora indebida y no la responderá por su cuenta. Ayudará también al cliente a cumplir los artículos 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa), teniendo en cuenta la información de que disponga.

Brechas de seguridad. Notificar al cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un máximo de 72 horas desde que tenga conocimiento de ella. La notificación incluirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Si no puede darse toda la información a la vez, se facilitará por fases.

Supresión o devolución. El cliente puede exportar sus datos mientras la cuenta exista. Al eliminar la cuenta desde Configuración → Cuenta, Nombran suprime en ese momento los datos de la cuenta; las copias de seguridad se sobrescriben en un máximo de 90 días. Se conservan solo las facturas, por obligación legal, y la caché técnica compartida de respuestas de los motores, que no identifica al cliente. Bajo petición, confirmará la supresión por escrito.

Auditorías. Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y atender sus auditorías, que serán documentales: Nombran responderá por escrito a un cuestionario razonable y aportará la documentación pertinente (medidas del Anexo I, lista de subencargados, certificaciones y contratos de los proveedores en lo que afecte al cliente). Se harán con un preaviso de al menos 30 días, una vez al año como máximo salvo tras una brecha o si lo exige una autoridad, bajo confidencialidad y sin acceso a datos de otros clientes. No incluyen inspecciones presenciales ni acceso a los sistemas; si una autoridad de control las exigiera, se acordarán caso por caso.

7Obligaciones del cliente

Contar con una base jurídica para tratar los datos y para encargar su tratamiento a Nombran.
Informar a los interesados de que sus datos se tratan y de los derechos que tienen.
Dar instrucciones lícitas y no introducir categorías especiales de datos.
Mantener la confidencialidad de las credenciales de su equipo y dar de baja a quien deje de necesitar el acceso.

8Transferencias internacionales

Nombran solo transferirá datos fuera del Espacio Económico Europeo, directamente o a través de subencargados, con las garantías del capítulo V del RGPD: una decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o las cláusulas contractuales tipo de la Comisión Europea. La lista de subencargados indica la garantía de cada uno.

9Responsabilidad

Cada parte responde frente a los interesados y a las autoridades según el artículo 82 RGPD. Entre ellas, la responsabilidad de Nombran se rige por los límites de los términos del servicio, que no se aplican a lo que la ley no permita limitar.

10Contacto, modificaciones y prevalencia

Para cualquier asunto de este contrato, incluidas las brechas, el contacto de Nombran es hola@nombran.com. Las modificaciones se comunicarán al cliente con 30 días de antelación. En lo relativo a protección de datos, este contrato prevalece sobre los términos del servicio en caso de contradicción.

IAnexo I. Medidas de seguridad

Cifrado en tránsito (HTTPS) en todas las conexiones con el panel y los proveedores.
Separación lógica de los datos de cada cliente: toda consulta se limita al cliente de la persona que accede, y esa regla se comprueba con pruebas automáticas.
Contraseñas almacenadas únicamente como hash; enlaces de invitación de un solo uso y con caducidad.
Roles con permisos mínimos: solo el propietario y los administradores gestionan el equipo y el cobro.
Limitación de intentos de inicio de sesión (por cuenta y por dirección IP) y registros técnicos de las peticiones en la infraestructura.
Copia diaria de la configuración de los clientes en almacenamiento versionado, y conservación permanente de las respuestas originales de los motores para poder reconstruir los resultados.
Alertas automáticas de errores, de disponibilidad y de gasto, con aviso por correo al equipo.
Acceso del personal a los datos limitado a quien lo necesita para prestar soporte, con compromiso de confidencialidad.

IIAnexo II. Subencargados

Ver la lista vigente de subencargados.

Versión del contrato: 2026-10-25