Acuerdo de Encargo de Tratamiento (DPA)

Entre las partes:

• RESPONSABLE DEL TRATAMIENTO ("Cliente"): la persona física o jurídica titular de la cuenta de usuario en MeigaHub, identificada en su perfil y, en su caso, en la firma del presente Acuerdo.
• ENCARGADO DEL TRATAMIENTO ("Prestador"): MeigaHub, S.L., titular de la plataforma accesible en meigahub.com, con domicilio y datos de contacto disponibles en el Aviso Legal.

Ambas partes reconocen capacidad suficiente para suscribir el presente Acuerdo de Encargo de Tratamiento de Datos Personales (en adelante, "DPA" o "Acuerdo"), que regula el tratamiento de datos personales que el Prestador realiza por cuenta del Cliente con motivo de la prestación de los servicios de la plataforma MeigaHub.

---

1. Marco normativo

El presente Acuerdo se rige por:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento General de Protección de Datos, "RGPD"), en particular su artículo 28.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD").
• Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, relativa a las Cláusulas Contractuales Tipo. El Prestador tiene suscritas con sus subencargados las Cláusulas Contractuales Tipo aplicables a cada transferencia (Módulo 3, encargado → subencargado), y pone copia de las mismas a disposición del Cliente cuando lo solicite. Las transferencias concretas y su salvaguarda figuran en el Anexo III.
• Directrices del Comité Europeo de Protección de Datos (CEPD/EDPB) y de la Agencia Española de Protección de Datos (AEPD).

2. Objeto y descripción del tratamiento (Anexo I, art. 28.3 RGPD)

2.1. Objeto

El Prestador tratará por cuenta del Cliente los datos personales necesarios para la ejecución de los servicios contratados a través de la plataforma MeigaHub, incluyendo: asistente conversacional, automatizaciones, gestión de contactos y leads, campañas de email, gestión de búsquedas de oportunidades, almacenamiento documental, integración con canales de mensajería y demás funcionalidades descritas en las Condiciones del Servicio.

2.2. Naturaleza del tratamiento

Recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción.

2.3. Finalidad

Permitir que el Cliente preste sus propios servicios y gestione su actividad mediante las funcionalidades de MeigaHub. El Prestador no utilizará los datos personales tratados por cuenta del Cliente para finalidades propias, para entrenar o ajustar modelos de inteligencia artificial, ni para perfilado comercial. El Prestador conserva internamente, sin que salgan de su infraestructura y sin compartirlos entre clientes, ejemplos de uso correcto de herramientas con la única finalidad de mejorar el servicio; si en el futuro se destinaran a ajustar un modelo, se comunicará al Cliente con antelación y podrá excluirse.

2.4. Duración

El presente Acuerdo permanecerá vigente mientras dure la relación contractual entre Cliente y Prestador, y se extinguirá conforme a lo previsto en la cláusula 11 (Finalización).

2.5. Categorías de interesados

Las decididas en cada momento por el Cliente, que típicamente incluyen: clientes y potenciales clientes del Cliente, leads comerciales, contactos profesionales, empleados del Cliente que utilizan la plataforma, candidatos, proveedores y, en general, cualquier persona física cuyos datos el Cliente introduzca o procese a través de MeigaHub.

2.6. Categorías de datos personales

• Datos identificativos: nombre, apellidos, alias.
• Datos de contacto: dirección postal, teléfono, correo electrónico, identificadores de mensajería (Telegram, WhatsApp, etc.).
• Datos profesionales y empresariales: cargo, empresa, sector, sitio web, NIF/CIF/VAT.
• Datos de comunicación: contenido de mensajes intercambiados con el asistente y por canales conectados.
• Datos económicos no sensibles: estado de oportunidades, leads, importes orientativos.
• Datos técnicos: IP (almacenada con hash), user-agent, identificadores internos.

El Cliente se compromete a no introducir categorías especiales de datos (Art. 9 RGPD: salud, religión, ideología, etnia, biométricos, orientación sexual) ni datos de menores, salvo previo acuerdo escrito específico y adopción de medidas reforzadas.

2.7. Carácter sistemático del tratamiento

Continuado durante la vigencia del contrato, con flujos automatizados activados por el Cliente.

3. Obligaciones del Prestador (encargado)

El Prestador, conforme al Art. 28.3 RGPD, se obliga a:

1. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales. Estas instrucciones son las dadas en este Acuerdo, en las Condiciones del Servicio y mediante la configuración que el Cliente realiza en su panel. Se exceptúa el caso en que el Prestador esté obligado a tratar los datos por el Derecho de la Unión o del Estado miembro que le sea aplicable; en tal supuesto informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad.
3. Adoptar todas las medidas técnicas y organizativas necesarias en virtud del Art. 32 RGPD (ver Anexo II — Medidas de seguridad).
4. Respetar las condiciones para recurrir a subencargados previstas en la cláusula 5 y en el Anexo III.
5. Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas, para que pueda responder a los ejercicios de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas), en un plazo máximo de diez (10) días naturales desde la solicitud del Cliente, y sin coste cuando la asistencia consista en información o extracciones ya disponibles en la plataforma.
6. Ayudar al Cliente a cumplir las obligaciones de los Arts. 32 a 36 RGPD (seguridad, brechas, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible.
7. Notificar al Cliente sin dilación indebida y, a más tardar, en 48 horas tras tener conocimiento de cualquier violación de la seguridad de los datos personales, conforme al Art. 33 RGPD.
8. A elección del Cliente, suprimir o devolver todos los datos personales a la finalización de los servicios, salvo obligación legal de conservación (ver cláusula 11).
9. Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del Art. 28 RGPD, así como permitir y contribuir a auditorías (ver cláusula 9).
10. Informar de inmediato al Cliente si, en su opinión, una instrucción recibida infringe el RGPD u otra norma de protección de datos de la Unión o de los Estados miembros. Mientras la discrepancia no se resuelva, el Prestador podrá suspender la ejecución de esa instrucción concreta, sin que ello se considere incumplimiento.
11. Mantener su propio registro de actividades de tratamiento realizadas por cuenta del Cliente (Art. 30.2 RGPD) y ponerlo a disposición del Cliente y de la autoridad de control cuando lo soliciten.

4. Obligaciones del Cliente (responsable)

El Cliente garantiza que:

1. El tratamiento que encarga al Prestador es lícito y dispone de una base jurídica válida conforme al Art. 6 RGPD (y, en su caso, Art. 9) para todos los datos que introduzca en la plataforma.
2. Ha cumplido el deber de información a los interesados (Arts. 13 y 14 RGPD), incluyendo la comunicación de que sus datos pueden ser tratados por MeigaHub como encargado.
3. Mantendrá el Registro de Actividades de Tratamiento exigido por el Art. 30 RGPD.
4. No utilizará la plataforma para tratar datos prohibidos por las Condiciones del Servicio (campañas spam, datos obtenidos ilícitamente, perfilado masivo sin base legal, etc.).
5. Realizará, cuando proceda, la Evaluación de Impacto en Protección de Datos (EIPD) conforme al Art. 35 RGPD.

4 bis. Derechos del Cliente

Además de las garantías anteriores, el Cliente conserva frente al Prestador, como responsable del tratamiento, los siguientes derechos exigibles:

1. Impartir y modificar instrucciones documentadas sobre el tratamiento en cualquier momento.
2. Recibir asistencia en los plazos comprometidos en la cláusula 3 para atender los derechos de los interesados y las obligaciones de los Arts. 32 a 36.
3. Ser informado de toda violación de la seguridad que le afecte y de cualquier alta o cambio de subencargado, y oponerse motivadamente a estos últimos.
4. Auditar el cumplimiento del Prestador en los términos de la cláusula 9.
5. Obtener la devolución o la supresión de los datos a la finalización de los servicios, conforme a la cláusula 11.

5. Subencargados (Art. 28.2 y 28.4 RGPD)

El Cliente autoriza con carácter general al Prestador para contratar a los subencargados listados en el Anexo III — Lista pública de subencargados, accesible permanentemente en https://meigahub.com/legal/subprocessors.

El Prestador:

• Informará al Cliente con una antelación mínima de 30 días de cualquier alta o cambio relevante de subencargados, mediante publicación en la URL anterior y aviso en el panel.
• El Cliente tendrá derecho a oponerse motivadamente dentro de ese plazo. En caso de desacuerdo no resuelto, podrá resolver el contrato sin penalización.
• Impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en el presente Acuerdo. El Prestador responde frente al Cliente del cumplimiento por parte de sus subencargados.

6. Transferencias internacionales (Cap. V RGPD)

El alojamiento principal —y por tanto la totalidad de los datos en reposo— se presta en el centro de datos de OVH en Beauharnois (Quebec, Canadá), al amparo de la Decisión de adecuación 2002/2/CE y, con carácter adicional, de Cláusulas Contractuales Tipo con el proveedor. Todo el tráfico entra a través de Cloudflare, Inc. (Estados Unidos), que termina la conexión cifrada. Otros subencargados están también fuera del Espacio Económico Europeo. En todos los casos, el Prestador garantiza una base válida para la transferencia:

• Decisión de adecuación aplicable cuando exista (p. ej., EU-US Data Privacy Framework para los proveedores adheridos), o
• Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), Módulo 3, complementadas con las medidas suplementarias técnicas, contractuales y organizativas necesarias (cifrado en tránsito y reposo, minimización, seudonimización cuando proceda, auditoría de accesos).

Cada transferencia incluye, cuando es exigible, una Evaluación de Impacto de Transferencia (TIA) basada en las Recomendaciones 01/2020 del CEPD.

7. Medidas de seguridad (Art. 32 RGPD — Anexo II)

El Prestador implanta, entre otras:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256) para credenciales, claves API y datos sensibles.
• Autenticación multifactor (2FA TOTP) obligatoria para administradores, personal de soporte y toda cuenta que pueda emitir comunicaciones a terceros desde la plataforma; disponible para el resto.
• Control de acceso basado en rol, segregación multi-tenant a nivel de aplicación y base de datos.
• Hash SHA-256 de direcciones IP (cumplimiento de minimización).
• Sistema de detección de amenazas con bloqueo automático de IPs reincidentes.
• Doble registro de las llamadas a APIs cloud, de acceso restringido a administradores: uno de uso, que guarda únicamente metadatos y se conserva 13 meses, y otro de verificación del enmascarado, que conserva 30 días una muestra de hasta 4.000 caracteres del texto ya seudonimizado en el 5 % de las llamadas y en aquellas con sospecha de identificador residual.
• Copias de seguridad cifradas y pruebas periódicas de restauración.
• Política de contraseñas y rotación de claves.
• Aislamiento de red entre servidores LLM de usuarios (red Tailscale con ACL deny-by-default).
• Registro de eventos de seguridad y revisión periódica.

8. Violaciones de seguridad (Art. 33 RGPD)

El Prestador notificará al Cliente, sin dilación indebida y no más tarde de 48 horas desde el momento en que tenga conocimiento de una violación de seguridad que afecte a los datos personales tratados por cuenta del Cliente, mediante correo electrónico dirigido a la dirección asociada a la cuenta del Cliente —o a la dirección específica que este haya designado por escrito para asuntos de privacidad—, incluyendo:

• Naturaleza de la violación y categorías y número aproximado de interesados afectados.
• Consecuencias probables y medidas adoptadas o propuestas para mitigarlas.
• Contacto del DPO o responsable interno del Prestador.

La notificación al Cliente no exime a éste de sus propias obligaciones de notificación frente a la autoridad de control (AEPD) y, en su caso, a los interesados.

9. Auditoría y verificación

El Cliente podrá, con un preaviso razonable de 30 días y como máximo una vez al año (salvo violación de seguridad), solicitar:

• Información documental sobre las medidas de seguridad implementadas.
• Acceso a informes recientes de auditoría o certificaciones del Prestador (si existen).
• Auditoría presencial o remota, realizada por personal del Cliente o auditor independiente no competidor del Prestador, sujeta a confidencialidad y a las medidas necesarias para preservar la seguridad y la confidencialidad de los demás clientes.

Los costes razonables de la auditoría serán a cargo del Cliente salvo que la auditoría revele incumplimientos materiales del Prestador.

10. Responsabilidad e indemnización

Cada parte responderá frente a la otra por los daños causados por incumplimiento de sus respectivas obligaciones bajo el RGPD y el presente Acuerdo, sin perjuicio de los regímenes de responsabilidad conjunta previstos en el Art. 82 RGPD frente a interesados.

La responsabilidad económica del Prestador frente al Cliente derivada del presente Acuerdo queda limitada en los términos previstos en las Condiciones del Servicio, salvo dolo o culpa grave o cuando la limitación no sea válida conforme a la legislación imperativa.

11. Finalización del Acuerdo

Baja iniciada por el Cliente. Cuando el Cliente elimina su cuenta desde el panel, la supresión es inmediata e irreversible y no existe ventana de gracia. El Cliente puede exportar sus datos en cualquier momento antes de solicitarla, desde esa misma pantalla. Las copias de seguridad cifradas que aún los contengan se purgan en un plazo máximo de treinta (30) días.

Terminación por cualquier otra causa. El Prestador actuará, a elección del Cliente expresada por escrito en los 30 días siguientes:

• Devolverá al Cliente los datos personales en un formato estructurado y de uso común, o
• Suprimirá los datos personales y certificará por escrito la supresión, a partir del registro de borrado.

Transcurrido dicho plazo sin instrucciones, el Prestador procederá a la supresión. Podrán conservarse copias únicamente en la medida y por el tiempo exigidos por una obligación legal (p. ej., facturación), con acceso restringido.

12. Comunicaciones y delegado de protección de datos

Para cualquier asunto relativo a este Acuerdo: hola@meigahub.com.

El Cliente designará, si dispone de él, a su Delegado de Protección de Datos (DPO) como interlocutor preferente para los avisos previstos en el presente DPA.

13. Ley aplicable y jurisdicción

El presente Acuerdo se rige por la legislación española y, en particular, por el RGPD y la LOPDGDD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Ourense, sin perjuicio del derecho del Cliente consumidor a acudir a su fuero propio cuando la legislación imperativa así lo determine.

---

Anexo I — Descripción del tratamiento

Recogida en la cláusula 2 del presente Acuerdo.

Anexo II — Medidas técnicas y organizativas de seguridad

Recogidas en la cláusula 7 del presente Acuerdo. Cualquier cambio material en dichas medidas eleva la versión de este Acuerdo y se comunica igual que un cambio de subencargado, de modo que lo firmado y lo vigente no puedan divergir. Versión vigente disponible bajo solicitud a hola@meigahub.com.

Anexo III — Lista de subencargados autorizados

Disponible y actualizada permanentemente en https://meigahub.com/legal/subprocessors.

---