Versión 1.0 · vigente desde el 2 de noviembre de 2026

Contrato de encargo del tratamiento

Contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes y forma

• Responsable del tratamiento: la entidad cliente (en adelante, la Entidad), identificada en la Plataforma y en su Pedido.
• Encargado del tratamiento: Pedro Luis Salazar Díaz-Marta, NIF 47076096H, con domicilio en calle Médico Pedro Orts, 2, 03005 Alicante, que opera como Nunity.
• Aceptación:
  • Este contrato lo acepta en la Plataforma la persona que administra la Entidad, que declara tener facultades para obligarla.
  • La Plataforma registra la versión aceptada, la fecha y quién la aceptó. Ese registro se incluye en la exportación de la Entidad.
  • Mientras no se acepta, los agentes de la Entidad no pueden dar de alta empresas.
• Anexo III: la autorización de estadísticas anonimizadas es opcional y se acepta aparte.
• Sector público: si la Entidad es una administración o entidad del sector público, prevalece lo que dispongan los pliegos o el contrato administrativo.

2. Objeto

Nunity trata datos personales por cuenta de la Entidad solo para prestarle el servicio de la Plataforma que la Entidad tiene contratado, según el Pedido y las Condiciones del servicio. El Anexo I describe el tratamiento.

Quedan fuera de este encargo los tratamientos en los que Nunity es responsable, que regula la Política de privacidad:

• las cuentas de los usuarios y la seguridad de la Plataforma;
• las fichas públicas comunes de empresas, obtenidas de fuentes públicas;
• la red de entidades: lo que la Entidad publica en ella, los contactos aceptados y los codiseños;
• las estadísticas del Anexo III, si la Entidad lo acepta.

Una corrección que hace la Entidad en su cuaderno nunca modifica la ficha pública común.

3. Instrucciones

• Nunity trata los datos solo siguiendo las instrucciones documentadas de la Entidad. Son instrucciones este contrato, el Pedido, las Condiciones del servicio y lo que los Usuarios de la Entidad hacen en la Plataforma dentro de sus funciones.
• Esto incluye las transferencias a terceros países. La única excepción es que el Derecho de la Unión o de España obligue a Nunity a otra cosa. En ese caso, Nunity informa antes a la Entidad, salvo que ese Derecho lo prohíba por razones de interés público.
• Si Nunity considera que una instrucción infringe la normativa de protección de datos, lo advierte a la Entidad de inmediato.
• Nunity no trata los datos de este encargo para fines propios.

4. Acceso de Nunity a los datos

4.1 Consulta del contenido

Nunity no consulta el contenido de la Entidad en la Plataforma salvo por una de estas tres vías:

1. Como miembro invitado por la Entidad, para un trabajo de servicio que la Entidad le encarga, con los permisos que la Entidad le dé. La Entidad ve en su panel que Nunity es miembro.
2. Con un acceso de soporte que el administrador de la Entidad concede, de lectura o de escritura, durante 30 días como máximo, y que puede revocar en cualquier momento.
3. Con un acceso de emergencia, solo para resolver un incidente grave de seguridad o de disponibilidad, o para cumplir una obligación legal. Queda siempre registrado y se avisa por correo al administrador de la Entidad en el momento en que se abre.

4.2 Administración técnica

Como administrador de los sistemas, Nunity mantiene los servidores, la base de datos, las copias de seguridad, los cambios en la base y los procesos automáticos del servicio (por ejemplo, el resumen semanal o la ingesta del Radar). Para ello tiene acceso técnico a la infraestructura.

• Ese acceso se usa solo para mantener el servicio, sin consultar el contenido.
• La restauración de prueba semanal de las copias se hace en un entorno aislado que se borra al terminar.
• Si para resolver un incidente hace falta ver contenido, se trata como un acceso de emergencia (4.1.3), con su registro y su aviso.

4.3 Notas privadas

Las notas privadas solo las ve su autor, como medida de seguridad. Ninguna de las vías anteriores da acceso a ellas en la Plataforma, y no van en la exportación ordinaria.

Siguen siendo datos de la Entidad. Si el administrador de la Entidad lo pide por escrito para atender un derecho de un interesado o al terminar el servicio, Nunity:

1. extrae solo las notas necesarias;
2. las entrega al administrador por un medio seguro;
3. deja constancia de la extracción;
4. informa al autor.

5. Servicio de dinamización de búsquedas de socios

Si la Entidad pide expresamente a Nunity que dinamice una búsqueda de socios concreta, Nunity actúa por instrucción de la Entidad y solo para esa búsqueda:

• Ve el texto publicado, los tipos de socio, el nivel de madurez tecnológica, la convocatoria objetivo, los encajes del catálogo y el nombre y el correo de quien lo pide.
• Nunca ve el cuaderno ni la identidad de la empresa.
• Contacta a terceros fuera de la Plataforma con un texto que no identifica a la empresa.
• Deja en la Plataforma el estado de su gestión.

6. Confidencialidad

Nunity guarda secreto sobre los datos que trata por este encargo, también después de que termine. Las personas que trabajen para Nunity con acceso a ellos se comprometen por escrito a la confidencialidad y reciben la formación necesaria.

7. Seguridad

Nunity aplica las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo según el artículo 32 RGPD, y las revisa cuando cambian el servicio o los riesgos.

8. Subencargados

• Autorización general. La Entidad autoriza a Nunity a recurrir a los subencargados de la lista publicada en /legal/subencargados, que forma parte de este contrato.
• Obligaciones. Nunity impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y responde ante la Entidad de su cumplimiento.
• Altas y sustituciones. Nunity avisa por correo al administrador de la Entidad con al menos 30 días de antelación.
  • La Entidad puede oponerse dentro de ese plazo por motivos razonables relacionados con la protección de datos.
  • Si no se encuentra una solución, la Entidad puede terminar el servicio afectado sin penalización.
• Cambios urgentes. Si un cambio es urgente por seguridad o por la caída de un proveedor, Nunity puede hacerlo antes, avisando en cuanto lo hace. La Entidad conserva el mismo derecho de oposición.
• Ruta del modelo de IA. La lista autoriza dos rutas. Pasar de una a otra se avisa por correo al administrador en el momento del cambio.
• Proveedores de un subencargado. Cuando un subencargado reenvía los datos a sus propios proveedores (como hace la ruta de enrutamiento del modelo), Nunity limita en su configuración cuáles puede usar, y la lista los nombra.

9. Transferencias internacionales

Los datos de la Entidad se alojan en la Unión Europea. Solo hay transferencias fuera del Espacio Económico Europeo en los casos que indica la lista de subencargados. En cada caso, la lista dice qué garantía del capítulo V del RGPD se aplica.

10. Asistencia a la Entidad

• Derechos de los interesados:
  • Si Nunity recibe una solicitud dirigida a la Entidad, se la traslada en un máximo de cinco días hábiles y no la responde por su cuenta.
  • La Plataforma permite a la Entidad consultar, corregir, exportar y borrar los datos para atenderlas.
  • Las notas privadas se extraen por el procedimiento de la cláusula 4.3.
• Seguridad, evaluaciones de impacto y consultas previas: Nunity facilita la información que la Entidad necesite para cumplir los artículos 32 a 36 RGPD.

11. Violaciones de seguridad

• Plazo: Nunity notifica a la Entidad cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que la conozca, por correo al administrador.
• Contenido, en la medida en que se conozca:
  • la naturaleza de la violación;
  • las categorías y el número aproximado de interesados y registros afectados;
  • las consecuencias probables;
  • las medidas adoptadas o propuestas;
  • un contacto.

Lo que no se conozca entonces se envía en cuanto se sepa.

• Autoridad e interesados: notificarles corresponde a la Entidad, con la ayuda de Nunity.

12. Duración, devolución y supresión

• Este contrato dura lo que dure el servicio y, después, el periodo de solo lectura.
• Caducidad:
  • cuando un nivel contratado caduca, la Entidad conserva 12 meses el acceso en solo lectura y la exportación de sus datos;
  • Nunity avisa de la caducidad en la portada Hoy a 60 días, y por correo al administrador a 30 días y el día que caduca.
• Al terminar los 12 meses:
  • Nunity avisa por correo al administrador;
  • 30 días después, borra los datos de la Entidad en un plazo máximo de 30 días;
  • si la Entidad lo pide antes, se los devuelve en un formato estructurado de uso común, con las notas privadas si las pide (cláusula 4.3), y después los borra;
  • Nunity confirma el borrado por escrito si la Entidad lo pide.
• Copias de seguridad: las que contengan los datos se borran al cumplirse su ciclo de conservación (Anexo II).
• Datos bloqueados: Nunity solo los conserva cuando una ley se lo exija, y solo durante el plazo que esa ley fije.

Plazos durante el servicio:

• notas de un agente que se da de baja: se sellan y se borran a los 90 días de su baja;
• boletines del Radar: los enviados, a los 24 meses; los borradores sin tocar, a los 90 días.

13. Demostración del cumplimiento y auditorías

• Nunity pone a disposición de la Entidad la información necesaria para demostrar que cumple este contrato y mantiene el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
• La Entidad puede auditar el cumplimiento una vez al año, y además después de una violación de seguridad que afecte a sus datos.
• Cada auditoría:
  • se avisa con 30 días;
  • corre a cargo de la Entidad;
  • no interfiere en el servicio ni accede a datos de otras entidades;
  • empieza por la información documental, y solo pasa a una inspección si esa información no basta.
• Las autoridades de control pueden auditar cuando lo pidan.

14. Responsabilidad

Cada parte responde de sus propios incumplimientos de este contrato y de la normativa de protección de datos, conforme al artículo 82 RGPD. Si Nunity trata los datos para fines distintos de los encargados, o los comunica o usa incumpliendo este contrato, se le considerará responsable de ese tratamiento.

15. Cambios en este contrato

Los cambios se avisan con al menos 30 días de antelación, salvo que los imponga una norma, y la nueva versión debe aceptarla el administrador de la Entidad. Si la Entidad no la acepta, puede terminar el servicio sin penalización antes de que entre en vigor.

16. Ley y jurisdicción

Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de la ciudad de Alicante, salvo que una norma imperativa disponga otro fuero.

Anexo I · Descripción del tratamiento

Anexo II · Medidas de seguridad

Acceso y aislamiento

• Los datos de cada Entidad están aislados en la propia base de datos por reglas de acceso por organización y por rol. Se comprueban con una batería de pruebas antes de cada cambio en la base.
• Nunity consulta el contenido de una Entidad solo por las tres vías de la cláusula 4.1, con registro. La administración técnica sigue la cláusula 4.2.
• Las notas privadas solo son accesibles para su autor en la Plataforma.
• La base de datos y la administración de la autenticación no están expuestas a Internet. El acceso a los servidores es por SSH, solo con clave y desde direcciones autorizadas.
• Contraseñas guardadas con cifrado irreversible. La recuperación de contraseña responde siempre igual, para no revelar qué cuentas existen.

Cifrado y red

• Todas las conexiones van cifradas con TLS.
• Cortafuegos en cada servidor, con solo los puertos necesarios abiertos.

Continuidad

• Copia diaria de la base, conservada 30 días en almacenamiento separado en la UE, y copia adicional antes de cada cambio en la base.
• Copias del disco del servidor que guarda el proveedor de alojamiento durante 7 días.
• Restauración de prueba cada semana, en un entorno aislado.
• Producción separada del entorno de desarrollo, en otro servidor y con otras credenciales. El entorno de desarrollo solo contiene datos de prueba.

Vigilancia

• Comprobación externa de la disponibilidad y avisos de cada proceso programado.
• Registro de errores propio, recortado para que no contenga datos de las Entidades.

Proveedores

• Modelos de IA procesados en la UE. Ningún proveedor del modelo usa los datos para entrenar. La ruta principal funciona con retención cero.
• Ninguna consulta con el NIF de una persona física sale a un proveedor de fuera de la UE.

Organización

• Cambios en el software probados de forma automática antes de llegar a producción y promovidos por versión.
• Compromiso de confidencialidad de toda persona con acceso a los datos.

Anexo III · Autorización de estadísticas anonimizadas (opcional)

El administrador de la Entidad acepta este anexo aparte, y puede retirar la autorización cuando quiera.

1. Qué autoriza. La Entidad autoriza a Nunity a usar los datos estructurados de su uso de la Plataforma para:

• elaborar estadísticas y un observatorio de la innovación en las empresas y áreas industriales;
• ofrecer comparativos a las entidades;
• mejorar el servicio (por ejemplo, las instrucciones a la IA, las fuentes, la elección de modelos o el diseño de la Plataforma).

Para este fin, Nunity es responsable del tratamiento, con la base y la información que recoge la Política de privacidad (apartado 3.6). Es un fin estadístico, compatible con el original (arts. 5.1.b y 89 RGPD).

2. Qué datos se usan. Solo datos estructurados:

• eventos de actividad;
• confirmaciones y correcciones;
• señales aceptadas o descartadas;
• palancas y convocatorias;
• el sector y la zona de las empresas.

3. Qué nunca se usa, ni siquiera anonimizado:

• las notas, privadas o no;
• el contenido de las reuniones;
• los correos;
• los textos libres.

4. Cómo se hace:

• Los datos se seudonimizan en un espacio de análisis separado, al que solo accede el rol de plataforma de Nunity.
• Lo excluido no llega a ese espacio, y una prueba automática lo comprueba.
• La identidad del agente va siempre sustituida por un código.
• Nada sale de ese espacio si no reúne al menos cinco entidades y, cuando cuenta empresas, diez empresas.
• Cada publicación externa pasa además una revisión manual.

5. Límites. Nunity nunca:

• da a terceros datos de una Entidad concreta;
• revela qué empresas trabaja cada Entidad;
• mide el rendimiento de un agente o de una Entidad ante un tercero (por ejemplo, el organismo que la financia) sin autorización expresa de la Entidad.

6. Contrapartida. La Entidad recibe los comparativos que Nunity elabore con estos datos, en la medida en que el umbral del punto 4 lo permita.

7. Retirada. Si la Entidad retira la autorización:

• Nunity deja de incorporar sus datos;
• borra los datos seudonimizados de la Entidad en el espacio de análisis en un plazo de 30 días;
• los resultados agregados ya elaborados se conservan, porque no son datos personales.