Acuerdo de encargo del tratamiento (DPA)

Última actualización: 2 de octubre de 2026

Este acuerdo de encargo del tratamiento (art. 28 RGPD) forma parte de los Términos y Condiciones y se aplica a los datos personales que el cliente trata en PolyBuild. La Política de Privacidad explica el tratamiento del que PolyBuild es responsable.

1. Partes y objeto

Responsable: el cliente (la empresa u oficina titular de la cuenta). Encargado: Polybuild Tecnologies, S.L., NIF B93851665, Carrer Santa Eulàlia 21, 4.º, 08012 Barcelona (España), hola@polybuild.io. El encargado trata datos personales por cuenta del responsable exclusivamente para prestar el servicio PolyBuild descrito en los Términos y Condiciones.

2. Duración

El acuerdo dura lo que dure la prestación del servicio y, después, el tiempo necesario para devolver o suprimir los datos según el apartado 9.

3. Naturaleza y finalidad del tratamiento

Alojamiento, almacenamiento, organización, consulta, transmisión a los usuarios que el responsable autorice, generación de documentos (informes, actas) y, cuando el responsable las active, funciones de IA (transcripción, visión y redacción). La finalidad es prestar el servicio contratado; el encargado no trata los datos para fines propios.

4. Tipos de datos e interesados

Interesados: usuarios y empleados del responsable, agentes de los proyectos (promotores, direcciones facultativas, constructoras, subcontratas, técnicos), y terceros que aparezcan en el contenido (clientes finales, personas en fotografías o grabaciones).

Datos: identificativos y de contacto, datos profesionales y de empresa, fotografías, voz y grabaciones de visitas y reuniones, documentos y actas, datos de horarios y ausencias, y los demás que el responsable introduzca. El responsable no debe introducir categorías especiales de datos (art. 9 RGPD) salvo que sea imprescindible y lo comunique al encargado.

5. Obligaciones del encargado

• Tratar los datos sólo siguiendo las instrucciones documentadas del responsable (los Términos, este acuerdo y el uso que haga del servicio) y avisarle si considera que una instrucción infringe la normativa.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del Anexo III (art. 32 RGPD).
• Respetar las condiciones del apartado 6 para recurrir a otros encargados.
• Asistir al responsable, con medidas técnicas y organizativas, para atender las solicitudes de ejercicio de derechos de los interesados, y en el cumplimiento de los arts. 32 a 36 RGPD.
• Notificar toda violación de seguridad de los datos del responsable sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que tenga constancia, aportando la información de la que disponga para que el responsable cumpla sus propias obligaciones de notificación.
• Llevar un registro de las actividades de tratamiento realizadas por cuenta del responsable.

6. Subencargados

El responsable da una autorización general para recurrir a los subencargados del Anexo II. El encargado informará de cualquier incorporación o sustitución con antelación suficiente para que el responsable pueda oponerse; si la oposición es razonable y no hay alternativa, el responsable podrá resolver el contrato. El encargado impone a cada subencargado las mismas obligaciones de protección de datos que este acuerdo y responde ante el responsable de su cumplimiento.

7. Transferencias internacionales

Algunos subencargados están fuera del EEE. Esas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea o en el Data Privacy Framework, con garantías adecuadas conforme al Cap. V RGPD.

8. Auditoría

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías, incluidas inspecciones, realizadas por el responsable o por un auditor que este designe, con aviso previo razonable, en horario laboral y sin comprometer la seguridad ni los datos de otros clientes.

9. Devolución o supresión al terminar

Mientras la cuenta esté activa, el responsable puede exportar sus datos. Al terminar el servicio, el encargado conserva los datos durante un periodo de gracia de 30 días, en el que el responsable puede recuperarlos o exportarlos; transcurrido ese plazo los suprime (incluidos los ficheros) y borra las copias existentes, salvo que una norma obligue a conservarlos, en cuyo caso los mantiene bloqueados durante el plazo legal.

10. Responsabilidad y ley aplicable

La responsabilidad de las partes se rige por los Términos y Condiciones y por el art. 82 RGPD. Para dudas sobre este acuerdo: hola@polybuild.io.

Anexo I · Descripción del tratamiento

Anexo II · Subencargados

• Supabase — base de datos, autenticación y almacenamiento (región: pendiente de confirmar).
• Cloudflare (R2) — almacenamiento y entrega de ficheros.
• Vercel — alojamiento de la aplicación web.
• Railway — procesamiento en segundo plano (informes, actas, correos).
• Resend — envío de correos transaccionales.
• Stripe — pagos, cuando la facturación esté activa.
• OpenRouter — intermediario de modelos de IA (transcripción, visión y redacción).
• Anthropic — modelos de IA (visión y redacción), a través de OpenRouter.
• Google — calendarios, cuando el cliente los conecte, y modelos de IA a través de OpenRouter.
• Microsoft — calendarios, cuando el cliente los conecte.

Anexo III · Medidas de seguridad

• Cifrado en tránsito (TLS) en todas las comunicaciones.
• Aislamiento de los datos por cuenta mediante control de acceso a nivel de fila en la base de datos, y permisos por rol dentro de cada cuenta.
• Autenticación de los usuarios y verificación en dos pasos para la administración de la plataforma.
• Acceso del personal de PolyBuild limitado a quien lo necesita, con registro de las acciones administrativas.
• Datos de identificación sensibles guardados en un almacén cifrado con registro de accesos.
• Copias de seguridad: recuperación a un instante concreto de la base de datos (PITR), versionado de los ficheros, volcado diario cifrado a un tercer almacén de otro proveedor con retención de 30 copias diarias y 12 mensuales, y ensayo de restauración trimestral.
• Los subencargados del Anexo II aplican sus propias medidas de seguridad y certificaciones, vinculantes por contrato.