Contrato de encargo del tratamiento
Versión 2026-10-24 · última actualización: 24 de octubre de 2026
Contrato entre el Cliente de Jelanda, que actúa como responsable del tratamiento, y Yolanda Ibáñez Brenlla (NIF 13128651K, Barrio Brazomar 52 A, escalera E, bajo, puerta 7, 39709 Castro-Urdiales (Cantabria)), titular de Jelanda, que actúa como encargada del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de contratación y se acepta con ellas por medios electrónicos (art. 28.9 RGPD). Jelanda guarda la fecha, la versión, el usuario y la IP de cada aceptación. Si el Cliente lo pide, se le entrega en PDF firmado electrónicamente.
1. Objeto, duración y finalidad
Jelanda trata datos personales por cuenta del Cliente solo para prestarle el servicio contratado: gestión de clientes, alumnos o pacientes, agenda, reservas, bonos, pagos, ficha y comunicaciones, atención telefónica y saliente con Marta, chat con Sofía, confirmaciones y recordatorios de citas y campañas por WhatsApp a quien dio su permiso, y demás módulos contratados. El encargo dura lo mismo que el contrato de servicio, más el plazo de devolución y supresión de la cláusula 10.
2. Datos e interesados
- Interesados: clientes, alumnos, pacientes y contactos del Cliente; personas que llaman a sus números o escriben en su web; sus empleados y profesionales usuarios del panel.
- Datos: identificativos y de contacto; citas, reservas, asistencia, bonos y pagos (sin datos de tarjeta, que trata Stripe); notas y documentos; datos que dan en las llamadas o chats y sus resúmenes; aceptación del canal WhatsApp y los mensajes de cita enviados y recibidos por ese canal.
- Categorías especiales: datos de salud de la ficha clínica, cuando el Cliente es un centro sanitario o de bienestar. Se guardan cifrados con una clave propia de cada Cliente.
3. Instrucciones
Jelanda trata los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato, la configuración que el Cliente hace en su panel y las que dé por escrito. Si una instrucción le parece contraria a la normativa, avisará al Cliente antes de cumplirla. Jelanda no usa los datos del Cliente para fines propios ni los cede, salvo obligación legal, que comunicará al Cliente si la ley lo permite.
4. Confidencialidad
Las personas que acceden a los datos lo hacen solo cuando es necesario para el servicio o el soporte, y están obligadas a guardar secreto, también después de terminar su relación con Jelanda.
5. Seguridad (art. 32 RGPD)
- Separación de los datos de cada Cliente en todas las consultas.
- Cifrado en tránsito (HTTPS) y cifrado propio por Cliente de la ficha clínica.
- Contraseñas con hash robusto; sesiones invalidadas al cambiar la contraseña; roles y permisos por usuario.
- Copias de seguridad diarias cifradas, guardadas en la UE y rotadas en 35 días como máximo; prueba periódica de restauración.
- Monitorización 24 horas con alertas, registro de accesos y actualización de dependencias.
- En las llamadas de Marta: sin grabación del audio, identificación como IA al empezar y límites de servidor para las salientes.
- En WhatsApp: solo plantillas aprobadas con los datos de la cita (nunca motivo ni datos de salud) o, en campañas, con el texto que el Cliente rellena; solo a quien ha aceptado el canal (y, para campañas, el permiso expreso de WhatsApp), baja inmediata por STOP o «No enviar más» y registro de cada envío y respuesta.
6. Subencargados
El Cliente autoriza de forma general que Jelanda use los subencargados de esta lista. Jelanda firma con cada uno un contrato con las mismas obligaciones de protección de datos, y responde ante el Cliente de su cumplimiento. Cualquier alta o cambio se avisará por email con 15 días de antelación; el Cliente podrá oponerse de forma motivada y, si no hay alternativa, darse de baja sin coste.
| Proveedor | Para qué | Dónde | Garantía si sale de la UE |
|---|---|---|---|
| Railway Corporation | Servidor de la aplicación y base de datos | UE (Países Bajos) | Datos alojados en la UE; para el acceso de soporte desde EE. UU., cláusulas contractuales tipo |
| Vercel Inc. | Alojamiento del panel y de la web | EE. UU. (red global) | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| Cloudflare, Inc. | DNS, seguridad de red y monitorización | EE. UU. (red global) | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| BunnyWay d.o.o. (bunny.net) | Copias de seguridad cifradas, vídeo y documentos | UE (Eslovenia / Alemania) | Datos alojados en la UE |
| Stripe Payments Europe, Ltd. | Cobro de la suscripción | UE (Irlanda) y EE. UU. | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| Resend (Plus Five Five, Inc.) | Envío de emails de la plataforma | EE. UU. | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| Anthropic, PBC | Modelo de IA de Marta, Sofía y el copiloto clínico | EE. UU. | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| Deepgram, Inc. | Transcripción de voz de Marta (sin uso para entrenar sus modelos) | UE (endpoint europeo; empresa en EE. UU.) | Audio procesado en la UE; para el acceso de soporte desde EE. UU., cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| ElevenLabs, Inc. | Voz sintética de Marta | EE. UU. | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| LiveKit, Inc. | Transporte de audio de las llamadas de Marta | EE. UU. (red global) | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| DIDWW Ireland Ltd. | Números de teléfono y enrutado de llamadas | UE (Irlanda) | Datos tratados en la UE |
| Meta Platforms Ireland Limited (WhatsApp Business Platform) | Envío y recepción de los mensajes de WhatsApp (confirmaciones y recordatorios de citas, campañas a quien dio su permiso, avisos al responsable), solo para los clientes que activan el canal | UE (Irlanda) y EE. UU. (Meta Platforms, Inc.) | Cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor esté adherido, Marco de Privacidad de Datos UE-EE. UU. |
| Isotest, S.L. | Titular de las cuentas técnicas (Vercel, GitHub, DIDWW) con las que se presta el servicio; soporte técnico | UE (España) | Contrato de encargo con la titular de Jelanda; datos tratados en la UE |
| Holded Technologies, S.L. | Facturación de Jelanda a sus clientes | UE (España) | Datos tratados en la UE |
Los proveedores de IA (Anthropic, Deepgram y ElevenLabs) tratan los datos solo para dar el servicio y, por contrato, no los usan para entrenar sus modelos.
7. Derechos de los interesados
Jelanda ayuda al Cliente a atender las peticiones de acceso, rectificación, supresión, oposición, limitación y portabilidad, sobre todo con las herramientas del panel (edición, exportación y borrado o anonimización). Si una persona se dirige a Jelanda, se trasladará la petición al Cliente en un máximo de 5 días laborables.
8. Violaciones de seguridad
Jelanda avisará al Cliente sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, de cualquier violación de la seguridad que afecte a sus datos. Incluirá lo que se sepa de su naturaleza, los datos e interesados afectados, las consecuencias probables y las medidas tomadas, para que el Cliente pueda notificarla a la AEPD en 72 horas si procede.
9. Otras ayudas al Cliente
Jelanda facilitará la información que el Cliente necesite para sus evaluaciones de impacto, consultas a la autoridad y registro de actividades, y llevará su propio registro de actividades como encargada.
10. Fin del encargo
Al terminar el contrato, el Cliente dispone de 30 días para pedir la exportación de sus datos. Después, Jelanda los suprime y las copias de seguridad se borran en su rotación, en 35 días como máximo. Solo se conservan bloqueados los datos que exija la ley.
11. Auditoría
Jelanda pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. El Cliente puede hacer o encargar una auditoría con 30 días de preaviso, en horario laboral, sin acceder a datos de otros clientes y asumiendo su coste, salvo que revele un incumplimiento de Jelanda.
12. Obligaciones del Cliente
El Cliente garantiza que tiene base legal para los tratamientos que encarga; que informa a sus interesados, incluido que Marta y Sofía son asistentes de IA y que los datos se tratan con los subencargados de la lista; que recoge los consentimientos necesarios (en particular para la ficha clínica y el copiloto de IA); y que vigila el cumplimiento del RGPD en el uso que hace del servicio.
13. Responsabilidad y ley aplicable
Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD, con los límites de las condiciones de contratación salvo cuando la ley no lo permita. Este contrato se rige por la ley española y por la jurisdicción pactada en las condiciones de contratación.