Borrador pendiente de revisión por abogado. Este texto aún no es definitivo. Los huecos marcados se completan antes de abrir la beta.

Textos legales

Contrato de encargado de tratamiento

Actualizado el 14 de octubre de 2026 · versión 2026-10-14-borrador

Este contrato regula cómo tratamos los datos personales de terceros que tú subes o conectas a OVERCODE. Cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y forma parte de los Términos: lo aceptas al aceptarlos.

1. Partes

  • Responsable del tratamiento: tú, el titular de la cuenta, o la empresa en cuyo nombre la usas («el cliente»).
  • Encargado del tratamiento: Alex Aguirre (THEOVERCODE), NIF [COMPLETAR: NIF], domicilio [COMPLETAR: domicilio a efectos de notificaciones], Madrid (España).

2. Objeto, naturaleza y finalidad

El encargado trata los datos solo para prestar el servicio OVERCODE: guardarlos, leerlos de Instagram cuando el cliente lo autoriza, calcular métricas, procesarlos con IA cuando el cliente lo pide y enseñárselos en su panel o a los agentes de IA que el cliente conecte.

3. Datos e interesados

  • Audiencia del cliente en Instagram: usuario, comentarios e interacciones, y datos agregados de la audiencia.
  • Clientes y leads del cliente: nombre o alias, importes y fechas de ventas y pagos, notas que el cliente escriba.
  • Cuentas públicas que el cliente analiza: usuario, publicaciones y métricas públicas.
  • Miembros del equipo del cliente: email y actividad dentro del espacio.
  • Material del negocio que el cliente suba (vídeos, audios, documentos), con los datos personales que contenga.

El servicio no está pensado para datos de categorías especiales (salud, ideología, etc.). El cliente no debe subirlos.

4. Duración

Mientras el cliente tenga cuenta. Al terminar, el encargado suprime los datos en un máximo de 30 días, salvo que el cliente pida antes una copia o que una ley obligue a conservarlos. Las copias de seguridad caducan en otros 30 días como mucho.

5. Obligaciones del encargado

  1. Tratar los datos solo siguiendo las instrucciones documentadas del cliente: estas condiciones y lo que el cliente configura en el servicio.
  2. Garantizar que quien accede a los datos está obligado a guardar confidencialidad.
  3. Aplicar las medidas de seguridad del apartado 7.
  4. Recurrir a subencargados solo según el apartado 6.
  5. Ayudar al cliente a responder a los interesados que ejerzan sus derechos.
  6. Notificar al cliente cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en 48 horas desde que se conozca, con la información disponible para que pueda cumplir los artículos 33 y 34 del RGPD.
  7. Ayudar al cliente en las evaluaciones de impacto y consultas previas cuando proceda.
  8. Al terminar, suprimir o devolver los datos según elija el cliente.
  9. Poner a disposición del cliente la información necesaria para demostrar que cumple y permitir una auditoría al año, con 30 días de preaviso, a cargo del cliente y sin poner en riesgo los datos de otros clientes.
  10. Avisar al cliente si una instrucción le parece contraria a la ley.

6. Subencargados

El cliente da una autorización general para usar los subencargados de la lista publicada. Antes de añadir o cambiar uno, el encargado lo publicará en esa página y avisará al cliente con al menos 15 días de antelación. El cliente puede oponerse por motivos razonables de protección de datos; si no hay acuerdo, puede cerrar su cuenta. El encargado impone a cada subencargado las mismas obligaciones de protección de datos por contrato y responde de su cumplimiento.

7. Medidas de seguridad

  • Datos alojados en la Unión Europea, con conexiones cifradas (TLS) y cabeceras de seguridad estrictas.
  • Aislamiento por espacio en la base de datos con reglas a nivel de fila.
  • Tokens de Instagram cifrados con AES-256-GCM, que nunca llegan al navegador.
  • Acceso por código de un solo uso, sin contraseñas, con límite de intentos.
  • Acceso del equipo de operación individual, mínimo y auditado: cada acción queda registrada.
  • Límites de ritmo y de gasto, registro de errores sin datos personales y copias de seguridad.
  • Revisión de seguridad del propio servicio antes de abrirlo a nuevos usuarios.

8. Obligaciones del cliente

  • Tener una base legal para los datos que sube o conecta e informar a los interesados.
  • No subir datos que no necesite ni categorías especiales de datos.
  • Respetar las condiciones de Meta y los derechos de las cuentas que analiza.

9. Transferencias internacionales

Si un subencargado trata datos fuera del Espacio Económico Europeo, se hace con las garantías del capítulo V del RGPD (decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo), indicadas en la lista de subencargados.

10. Responsabilidad

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el encargado usa los datos para otra finalidad o incumple este contrato, será considerado responsable de ese tratamiento.