Esta es una traducción para su comodidad. Si difiere de la versión inglesa, prevalece la versión inglesa. Leer la versión inglesa

Acuerdo de encargo del tratamiento

Versión 1.2 - última actualización: 24 de octubre de 2026

Este Acuerdo de encargo del tratamiento («DPA») forma parte de las Condiciones del servicio entre KUZUB LTD, una sociedad limitada privada registrada en Escocia con número de sociedad SC890997, cuyo domicilio social se encuentra en Suite 2/3, 48 West George Street, Glasgow, G2 1BP, United Kingdom («KUZUB», «nosotros» y «nos»), y el Cliente. Se aplica siempre que tratemos Datos Personales del Cliente y entra en vigor cuando el Cliente acepta las Condiciones del servicio.

1. Definiciones, funciones y prevalencia

1.1 Las palabras que comienzan por mayúscula y que no estén definidas en este DPA tienen el significado que se les atribuye en las Condiciones del servicio. En este DPA:

Datos Personales del Cliente significa los datos personales contenidos en el Contenido del Cliente que tratamos por cuenta del Cliente.
Normativa de Protección de Datos significa el UK GDPR y la Data Protection Act 2018; el Reglamento (UE) 2016/679 («RGPD de la UE»), en la medida en que se aplique al tratamiento; la Law of Ukraine «On Personal Data Protection», en la medida en que se aplique al tratamiento; y cualquier otra ley sobre protección de datos personales que se aplique al tratamiento.
Cláusulas Contractuales Tipo significa las cláusulas contractuales tipo anexas a la Commission Implementing Decision (EU) 2021/914.
Subencargado del tratamiento significa un encargado del tratamiento que contratemos para tratar Datos Personales del Cliente.
responsable del tratamiento, encargado del tratamiento, interesado, datos personales, violación de la seguridad de los datos personales, tratamiento y autoridad de control tienen el significado que les atribuye el UK GDPR o, cuando se aplique el RGPD de la UE, el RGPD de la UE.

1.2 El Cliente es el responsable del tratamiento de los Datos Personales del Cliente y nosotros somos su encargado del tratamiento. Si el Cliente trata Datos Personales del Cliente por cuenta de otro responsable del tratamiento, nosotros somos el Subencargado del tratamiento del Cliente, y el Cliente confirma que el responsable del tratamiento ha autorizado nuestra contratación conforme a las condiciones de este DPA.

1.3 Si este DPA y el resto de las Condiciones del servicio entran en conflicto en una cuestión de protección de datos, prevalece este DPA.

1.4 El Anexo 1 describe el tratamiento, el Anexo 2 las medidas técnicas y organizativas y el Anexo 3 los Subencargados del tratamiento. Los anexos forman parte de este DPA.

2. Instrucciones

2.1 Tratamos los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, también en lo que respecta a las transferencias a un tercer país, salvo que la legislación del Reino Unido, o de la Unión Europea o de un Estado miembro a la que estemos sujetos, nos obligue a tratarlos. En ese caso, informamos al Cliente de dicha obligación legal antes del tratamiento, salvo que esa legislación lo prohíba por razones importantes de interés público.

2.2 Las instrucciones documentadas del Cliente son: (a) las Condiciones del servicio, incluido este DPA; (b) el uso que hace el Cliente del Servicio, incluida la carga, el almacenamiento, el uso compartido mediante enlaces, la exportación y la eliminación de Contenido del Cliente, el envío de un Archivo al soporte y la aportación de un Archivo a la Biblioteca Técnica; y (c) cualquier otra instrucción que el Cliente nos dé por escrito y que aceptemos por escrito.

2.3 En particular, el Cliente nos instruye para:

eliminar los Archivos, así como las vistas previas, los Resultados y los enlaces derivados de ellos, tal como establece la cláusula 8.4 de las Condiciones del servicio;
comprobar todos los Archivos en busca de las marcas descritas en la cláusula 7.6 de las Condiciones del servicio; cuando se detecte una marca de clasificación de seguridad estatal o de defensa, detener el tratamiento y eliminar el Archivo de inmediato, y cuando se detecte una marca de confidencialidad comercial, tratar el Archivo normalmente, pero excluirlo del soporte y de la Biblioteca Técnica;
obtener del Contenido del Cliente únicamente las Estadísticas Técnicas enumeradas en la cláusula 8.6 de las Condiciones del servicio, exclusivamente para mantener y mejorar la fiabilidad, la compatibilidad y la seguridad del Servicio; no obtenemos ninguna otra información del Contenido del Cliente sin las instrucciones previas y por escrito del Cliente;
para cada Archivo que el Cliente aporte conforme a la cláusula 10 de las Condiciones del servicio, eliminar los datos enumerados en la cláusula 10.3 de las Condiciones del servicio antes de que el Archivo se almacene en la Biblioteca Técnica; y
para cada Archivo que el Cliente envíe al soporte conforme a la cláusula 9 de las Condiciones del servicio, tratarlo únicamente para responder a la solicitud y corregir el error, y eliminarlo tal como establece la cláusula 9.4.

2.4 Informamos inmediatamente al Cliente si, en nuestra opinión, una instrucción infringe la Normativa de Protección de Datos.

2.5 El Cliente es responsable de disponer de una base jurídica para el tratamiento que instruya, de proporcionar a los interesados la información que exige la Normativa de Protección de Datos, incluidas las personas nombradas en los dibujos y los Destinatarios nombrados en los Presupuestos, y de garantizar que sus instrucciones cumplen la Normativa de Protección de Datos. El Cliente no debe cargar datos personales de categorías especiales ni datos personales relativos a condenas e infracciones penales.

3. Confidencialidad

Garantizamos que toda persona a la que autoricemos a tratar Datos Personales del Cliente está sujeta a una obligación de confidencialidad, ya sea contractual o legal. Nuestro personal accede al Contenido del Cliente únicamente en los casos establecidos en la cláusula 8.2 de las Condiciones del servicio y registramos cada uno de esos accesos.

4. Seguridad

4.1 Aplicamos las medidas técnicas y organizativas descritas en el Anexo 2 para garantizar un nivel de seguridad adecuado al riesgo, conforme a lo exigido por el artículo 32 del UK GDPR y del RGPD de la UE.

4.2 Podemos actualizar las medidas del Anexo 2, siempre que no se reduzca el nivel de protección de los Datos Personales del Cliente.

5. Subencargados del tratamiento

5.1 El Cliente nos autoriza de forma general y por escrito a contratar Subencargados del tratamiento. Los Subencargados del tratamiento contratados en la fecha de este DPA figuran en el Anexo 3.

5.2 Informamos al Cliente por correo electrónico al menos 30 días antes de que un Subencargado del tratamiento nuevo o sustituto empiece a tratar Datos Personales del Cliente y actualizamos el Anexo 3 ese mismo día. El Cliente puede oponerse por correo electrónico a legal@cutmeter.com antes de que finalice dicho plazo. Si no podemos atender la oposición cambiando la forma en que prestamos el Servicio a ese Cliente, el Cliente puede eliminar su Cuenta o cancelar Pro antes de que el nuevo Subencargado del tratamiento empiece a prestar sus servicios; en ese caso, se reembolsa el precio pagado por la parte no utilizada del Periodo de Suscripción, calculado en días completos.

5.3 Imponemos a cada Subencargado del tratamiento, mediante contrato escrito, obligaciones de protección de datos sustancialmente iguales a las de este DPA, proporcionando garantías suficientes para aplicar medidas técnicas y organizativas adecuadas. Seguimos siendo responsables ante el Cliente del cumplimiento de las obligaciones de cada Subencargado del tratamiento.

6. Transferencias

6.1 El Cliente autoriza las transferencias necesarias para prestar el Servicio tal como se describe en la sección 6 del Aviso de privacidad y en el Anexo 3: almacenamiento de Archivos y de nuestra base de datos en la Unión Europea, tratamiento en el centro de datos de Cloudflare más cercano al usuario y acceso por parte de Subencargados del tratamiento desde terceros países con arreglo a las garantías indicadas en el Anexo 3.

6.2 Las transferencias de Datos Personales del Cliente desde el Espacio Económico Europeo a nosotros se basan en la decisión de adecuación de la Comisión Europea relativa al Reino Unido. Si dicha decisión deja de aplicarse a esas transferencias, las Cláusulas Contractuales Tipo se incorporan a este DPA desde esa fecha, de la siguiente manera, cuando los números de las cláusulas se refieren a las Cláusulas Contractuales Tipo: el Módulo Dos se aplica cuando el Cliente es responsable del tratamiento y el Módulo Tres cuando el Cliente es encargado del tratamiento; el Cliente es el exportador de datos y KUZUB el importador de datos; la cláusula 7 no se aplica; se aplica la opción 2 de la cláusula 9(a), con el plazo de preaviso indicado en la sección 5.2; el texto opcional de la cláusula 11 no se aplica; en la cláusula 17 se aplica la opción 2 y la ley de Irlanda es la ley elegida para el caso descrito en ella; en la cláusula 18(b), los tribunales son los del Estado miembro en el que esté establecido el Cliente; y los Anexos 1, 2 y 3 de este DPA completan los Anexos I, II y III de las Cláusulas Contractuales Tipo. Si las Cláusulas Contractuales Tipo entran en conflicto con este DPA, prevalecen aquellas.

7. Asistencia y violaciones de la seguridad de los datos personales

7.1 El Servicio permite al Cliente acceder, corregir, exportar y eliminar por sí mismo el Contenido del Cliente, que es la principal forma en que ayudamos al Cliente a responder a las solicitudes de los interesados. Si recibimos una solicitud de un interesado relativa a Datos Personales del Cliente, se la remitimos al Cliente en un plazo de 5 Días Hábiles y no respondemos a ella nosotros mismos, salvo para informar al interesado de que la hemos remitido. Cuando se nos solicite, proporcionamos al Cliente cualquier otra información que obre en nuestro poder y que necesite para responder a la solicitud.

7.2 Proporcionamos al Cliente la información sobre el Servicio que obre en nuestro poder y que necesite para cumplir sus obligaciones relativas a la seguridad del tratamiento, la notificación de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a las autoridades de control.

7.3 Notificamos al Cliente cualquier violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente sin dilación indebida y, en cualquier caso, a más tardar 48 horas después de tener conocimiento de ella, por correo electrónico a la dirección de la Cuenta del Cliente. La notificación describe, en la medida en que se conozca en ese momento, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas; cuando no se disponga de toda esta información de una vez, la proporcionamos por fases a medida que esté disponible. Adoptamos las medidas necesarias para contener la violación y reducir sus efectos.

7.4 Si un tribunal o una autoridad nos solicita que divulguemos Datos Personales del Cliente, informamos al Cliente antes de divulgarlos, salvo que la ley lo prohíba, y divulgamos únicamente aquello que estemos legalmente obligados a divulgar.

8. Eliminación y devolución

8.1 Los Datos Personales del Cliente se eliminan tal como establece la cláusula 8.4 de las Condiciones del servicio. Cuando se elimina la Cuenta del Cliente, eliminamos los Datos Personales del Cliente que contenga en un plazo de 30 días y las copias de nuestras copias de seguridad cifradas se sobrescriben en los 30 días siguientes, salvo que la legislación del Reino Unido o de la Unión Europea o de un Estado miembro nos obligue a conservarlos.

8.2 Antes de eliminar su Cuenta, el Cliente puede obtener una copia del Contenido del Cliente mediante las funciones de exportación descritas en la cláusula 16 de las Condiciones del servicio. Exportar antes de la eliminación es la forma en que el Cliente elige la devolución de los Datos Personales del Cliente; eliminar la Cuenta sin exportar es su elección de eliminación.

8.3 Las Estadísticas Técnicas y la geometría desidentificada de la Biblioteca Técnica no contienen datos personales y no son Datos Personales del Cliente. Si nuestras comprobaciones detectan datos personales que permanezcan en la Biblioteca Técnica, los eliminamos.

9. Registros, información y auditorías

9.1 Conservamos un registro del tratamiento que realizamos por cuenta del Cliente, tal como exige la Normativa de Protección de Datos a los encargados del tratamiento.

9.2 Ponemos a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del UK GDPR y del RGPD de la UE. Esta consiste en este DPA y sus anexos, así como en nuestras respuestas por escrito a las preguntas escritas del Cliente, proporcionadas en un plazo de 30 días; el Cliente puede enviar un conjunto de preguntas cada 12 meses y conjuntos adicionales después de una violación de la seguridad de los datos personales que le afecte o cuando una autoridad de control se lo exija.

9.3 Si la información prevista en la sección 9.2 no es suficiente para demostrar el cumplimiento, si una autoridad de control lo exige o después de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente, permitimos y facilitamos una auditoría, incluida una inspección, por parte del Cliente o de un auditor independiente que el Cliente designe, que esté sujeto a confidencialidad y que no sea nuestro competidor. El Cliente nos avisa por escrito con al menos 30 días de antelación; la auditoría se realiza en Días Hábiles, cubre únicamente nuestros propios locales y sistemas y, salvo después de una violación o cuando una autoridad de control lo exija, se realiza como máximo una vez cada 12 meses. Para los locales y sistemas de los Subencargados del tratamiento, proporcionamos los informes de auditoría y las certificaciones que los Subencargados del tratamiento ponen a nuestra disposición. Cada parte asume sus propios costes de una auditoría.

10. Duración, responsabilidad y ley aplicable

10.1 Este DPA se aplica mientras tratemos Datos Personales del Cliente, incluso después de que finalicen las Condiciones del servicio.

10.2 La responsabilidad de cada parte en virtud de este DPA o en relación con él está sujeta a los límites de la cláusula 17 de las Condiciones del servicio, en la medida en que lo permita la Normativa de Protección de Datos. Nada de lo dispuesto en este DPA limita los derechos de los interesados en virtud de la Normativa de Protección de Datos.

10.3 Este DPA se rige por la legislación de Escocia y está sujeto a la cláusula 23 de las Condiciones del servicio, salvo que las Cláusulas Contractuales Tipo, cuando se incorporen conforme a la sección 6.2, se rijan por la ley y estén sujetas a los tribunales indicados en dicha sección.

Anexo 1 - Detalles del tratamiento

Objeto: la prestación del Servicio al Cliente conforme a las Condiciones del servicio.
Duración: mientras el Cliente utilice el Servicio y hasta la eliminación conforme a la sección 8.
Naturaleza: almacenamiento; análisis de dibujos (lectura, medición y comprobación de la geometría); corrección de la geometría; cálculo de Presupuestos; visualización; uso compartido mediante enlaces que cree el Cliente; exportación; bloqueo y eliminación de Archivos con marcas de clasificación de seguridad estatal o de defensa; exclusión de Archivos con marcas de confidencialidad comercial del soporte y de la Biblioteca Técnica; obtención de Estadísticas Técnicas; eliminación de datos de Archivos Aportados; extracción de los datos del pedido del texto de los mensajes que el Cliente pegue en la función opcional de Pro para la recepción de pedidos; y gestión de Archivos enviados al soporte.
Fines: prestar el Servicio al Cliente tal como describen las Condiciones del servicio, mantenerlo seguro y ejecutar las instrucciones de la sección 2.3.
Tipos de datos personales: nombres, iniciales, firmas (como imágenes o líneas dibujadas), cargos, direcciones de correo electrónico, números de teléfono y otros datos identificativos que aparezcan en cajetines, texto, atributos, propiedades de archivo o nombres de capas de los Archivos; nombres y datos de contacto de los Destinatarios introducidos en Presupuestos y pedidos; nombres y otros datos de los Destinatarios y de su personal contenidos en los mensajes pegados en la función de recepción de pedidos; y nombres de los operadores de máquinas en informes de máquinas.
Categorías de interesados: el personal del Cliente; los Destinatarios del Cliente y su personal; diseñadores, ingenieros, delineantes y aprobadores nombrados en los dibujos; y operadores de máquinas.
Categorías especiales de datos personales: ninguna. El Cliente no debe cargarlos.
Frecuencia: continua, mientras el Cliente utilice el Servicio.

Anexo 2 - Medidas técnicas y organizativas

Cifrado: todas las conexiones al Servicio utilizan HTTPS cifrado; nuestros proveedores cifran los Archivos y nuestra base de datos en reposo.
Separación de Cuentas: las reglas de acceso a la base de datos garantizan que cada Cuenta solo pueda leer y modificar sus propios datos y que los Archivos almacenados se mantengan bajo claves que no se compartan entre Cuentas.
Motor de cálculo separado: el motor de cálculo se ejecuta como un servicio separado sin datos propios almacenados y su código no se envía a los navegadores.
Minimización y conservación: los Archivos caducan automáticamente 24 horas después de su carga, salvo que se guarden; los registros nunca contienen el contenido de los Archivos, los nombres de archivo ni los nombres de capas o bloques, sino únicamente el tamaño del archivo, la versión del motor, la hora y los códigos de error; las Estadísticas Técnicas se limitan a los campos enumerados en la cláusula 8.6 de las Condiciones del servicio y no están vinculadas a Cuentas; antes de que un mensaje pegado en la función de recepción de pedidos se envíe al modelo de lenguaje, se eliminan de él las direcciones de correo electrónico y los números de teléfono, y no se conservan ni el mensaje ni la respuesta del modelo.
Control de acceso: el acceso a los sistemas de producción se limita al personal identificado que lo necesita y está protegido mediante autenticación multifactor; el personal solo abre el Contenido del Cliente en los casos establecidos en la cláusula 8.2 de las Condiciones del servicio y cada acceso se registra con la fecha, la persona y el motivo; los Archivos enviados al soporte solo pueden ser abiertos por el personal de soporte.
Marcas: los Archivos en los que el Servicio detecta una marca de clasificación de seguridad estatal o de defensa se eliminan inmediatamente y nunca se almacenan; los Archivos con una marca de confidencialidad comercial no pueden enviarse al soporte ni aportarse a la Biblioteca Técnica.
Archivos Aportados: los datos enumerados en la cláusula 10.3 de las Condiciones del servicio se eliminan antes del almacenamiento y se comprueban muestras de la Biblioteca Técnica para detectar datos personales restantes.
Ausencia de Contenido del Cliente real en desarrollo: desarrollamos y probamos el Servicio con archivos sintéticos; el Contenido del Cliente real se utiliza para ese fin únicamente cuando se trata de un Archivo Aportado, un Archivo enviado al soporte por su error o Contenido del Cliente proporcionado en virtud de un acuerdo escrito separado con su Cliente.
Seguridad de la aplicación: se valida cada solicitud al Servicio; las notificaciones de pago solo se aceptan con una firma válida; las dependencias de software se mantienen actualizadas; y cada versión principal recibe una revisión de seguridad antes de ponerse en funcionamiento.
Resiliencia: el Servicio funciona en la red de Cloudflare, que protege contra ataques de denegación de servicio; nuestra base de datos se guarda diariamente en forma cifrada, las copias de seguridad se conservan durante un máximo de 30 días y probamos la restauración a partir de una copia de seguridad al menos una vez al año.
Incidentes: seguimos un procedimiento escrito para incidentes, incluida la notificación de la sección 7.3.
Personal: todas las personas que tienen acceso a Datos Personales del Cliente están sujetas a confidencialidad y reciben instrucciones sobre protección de datos antes de que se les conceda acceso.

Anexo 3 - Subencargados del tratamiento

Cloudflare, Inc. (United States of America): alojamiento y ejecución del Servicio, almacenamiento de Archivos y seguridad de la red. Los Archivos se almacenan en la Unión Europea; el tratamiento se realiza en el centro de datos de Cloudflare más cercano al usuario. Garantías para el acceso desde terceros países: las condiciones de tratamiento de datos de Cloudflare, que incorporan las Cláusulas Contractuales Tipo y el United Kingdom's International Data Transfer Addendum, y la certificación de Cloudflare conforme al EU-US Data Privacy Framework y su UK Extension.
Supabase, Inc. (United States of America): base de datos y sistema de inicio de sesión, que almacena Pedidos Guardados, Tarifas, Presupuestos y otro Contenido del Cliente en la Unión Europea. Garantías para el acceso desde terceros países: las condiciones de tratamiento de datos de Supabase, que incorporan las Cláusulas Contractuales Tipo y el United Kingdom's International Data Transfer Addendum.
Plus Five Five, Inc. (Resend) (Estados Unidos de América): entrega de los correos electrónicos enviados por el Servicio al Cliente, como enlaces de inicio de sesión y avisos sobre solicitudes de pedido, que pueden contener nombres y datos de contacto. Garantías para las transferencias: condiciones de tratamiento de datos de Resend que incorporan las Cláusulas Contractuales Tipo y el Addendum internacional de transferencia de datos del Reino Unido.
Anthropic, PBC (Estados Unidos de América): modelo de lenguaje en el que se basa la función opcional de Pro para la recepción de pedidos, que recibe el texto de un mensaje pegado por el Cliente, sin direcciones de correo electrónico ni números de teléfono, para extraer los datos del pedido. Anthropic no utiliza el texto para entrenar sus modelos y lo elimina en un plazo de 30 días, salvo que deba conservarlo durante más tiempo por imperativo legal o para hacer cumplir sus políticas de uso. Garantías para las transferencias: condiciones de tratamiento de datos de Anthropic que incorporan las Cláusulas Contractuales Tipo y el Addendum internacional de transferencia de datos del Reino Unido.

Paddle no es un Subencargado del tratamiento: no recibe Contenido del Cliente y trata los datos de pago como responsable del tratamiento independiente.