Acuerdo de Encargo del Tratamiento

(Artículo 28 del Reglamento (UE) 2016/679 — RGPD)

Última actualización: 16 de junio de 2026 Versión: 1.0

Partes

El Responsable del Tratamiento: el Cliente que contrata la plataforma KeeSpaces (operador o gestor de trasteros), identificado en las Condiciones Particulares del contrato (en adelante, el "Responsable").
El Encargado del Tratamiento: Keemetrix Systems, S.L., con NIF B01957380 y domicilio en C/ Miguel de Unamuno, 30, 03202 Elche (Alicante), España, titular de la plataforma KeeSpaces (en adelante, "Keemetrix" o el "Encargado").

Este Acuerdo forma parte integrante de los Términos y Condiciones de Uso de KeeSpaces (el "Contrato Principal") y se entiende aceptado por el Responsable en el momento de la contratación de la Plataforma. En caso de contradicción en materia de protección de datos, prevalecerá este Acuerdo.

1. Objeto

1.1. El presente Acuerdo regula el tratamiento de datos personales que Keemetrix realiza por cuenta del Responsable como consecuencia de la prestación de los servicios de la plataforma KeeSpaces para la gestión de trasteros (alojamiento, gestión de clientes finales/inquilinos, contratos, facturación, cobros, control de accesos, comunicaciones y demás funcionalidades contratadas).

1.2. Keemetrix tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable —incluidas las instrucciones implícitas en la configuración y el uso normal de la Plataforma y en el Contrato Principal— y no los aplicará ni utilizará con un fin distinto al de la prestación del servicio.

1.3. Si Keemetrix considera que una instrucción infringe el RGPD u otra normativa de protección de datos, lo informará al Responsable.

2. Detalle del tratamiento (art. 28.3 RGPD)

Naturaleza y finalidad: prestación de los servicios de la Plataforma KeeSpaces descritos en el Contrato Principal.
Duración: la vigencia del Contrato Principal, más los plazos de devolución/supresión previstos en la Cláusula 9.
Tipo de datos personales: datos identificativos y de contacto de los clientes finales/inquilinos del Responsable (nombre, apellidos, NIF/NIE, dirección, teléfono, correo electrónico), datos de los contratos de arrendamiento o depósito, datos económicos y de facturación, datos de control de accesos y demás datos que el Responsable incorpore a la Plataforma.
Categorías de interesados: clientes finales (inquilinos) del Responsable, potenciales clientes, y, en su caso, personas de contacto y terceros relacionados con la gestión de los trasteros.
Categorías especiales de datos: no está previsto el tratamiento de categorías especiales (art. 9 RGPD). El Responsable se abstendrá de incorporar dichos datos salvo pacto específico y adopción de garantías adicionales.

3. Obligaciones de Keemetrix (Encargado)

Keemetrix se obliga a:

a) Tratar los datos personales solo siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso lo informará previamente al Responsable cuando esté permitido.

b) Garantizar que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad.

c) Adoptar todas las medidas de seguridad exigidas por el artículo 32 RGPD (Cláusula 5).

d) Respetar las condiciones para recurrir a otro encargado (subencargado) conforme a la Cláusula 4.

e) Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición).

f) Asistir al Responsable en el cumplimiento de sus obligaciones de los artículos 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible.

g) A elección del Responsable, suprimir o devolver todos los datos personales una vez finalizada la prestación, conforme a la Cláusula 9.

h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitir y contribuir a la realización de auditorías, conforme a la Cláusula 8.

i) Notificar al Responsable las violaciones de seguridad de los datos personales (Cláusula 6).

j) Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, conforme al art. 30.2 RGPD.

4. Subencargados (subcontratación)

4.1. El Responsable autoriza con carácter general a Keemetrix a recurrir a subencargados para la prestación del servicio (por ejemplo, proveedores de alojamiento en la nube, pasarelas de pago, servicios de comunicaciones transaccionales y herramientas de soporte y analítica).

4.2. Keemetrix mantendrá una lista actualizada de subencargados a disposición del Responsable e informará de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados, dando al Responsable la posibilidad de oponerse por motivos razonables y justificados relacionados con la protección de datos en un plazo de quince (15) días desde la comunicación. La oposición fundada que impida técnicamente la prestación del servicio podrá facultar a cualquiera de las partes a resolver el contrato sin penalización.

4.3. Keemetrix impondrá a todo subencargado, mediante contrato, las mismas obligaciones de protección de datos previstas en este Acuerdo, y responderá frente al Responsable del cumplimiento por parte del subencargado.

5. Medidas de seguridad (art. 32 RGPD)

5.1. Keemetrix aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que podrán incluir, según proceda:

Seudonimización y/o cifrado de los datos personales.
Capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios.
Capacidad de restaurar la disponibilidad y el acceso a los datos en caso de incidente físico o técnico (copias de seguridad).
Procesos de verificación, evaluación y valoración periódicas de la eficacia de las medidas.
Control de accesos basado en el principio de mínimo privilegio y registro de actividad.

5.2. El Responsable es responsable de la adecuada configuración de los parámetros de seguridad que la Plataforma ponga a su disposición y del uso diligente de las credenciales por parte de sus usuarios.

6. Notificación de violaciones de seguridad

6.1. Keemetrix notificará al Responsable, sin dilación indebida y a más tardar en setenta y dos (72) horas desde que tenga conocimiento efectivo de una violación de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Responsable.

6.2. La notificación incluirá, en la medida de lo disponible: la naturaleza de la violación, las categorías y número aproximado de interesados y de registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas para mitigarla y prevenir futuros incidentes.

6.3. Corresponde al Responsable valorar y, en su caso, notificar la violación a la autoridad de control y/o a los interesados conforme a los artículos 33 y 34 RGPD, con la asistencia de Keemetrix.

7. Transferencias internacionales

Cuando la prestación del servicio implique transferencias de datos fuera del Espacio Económico Europeo, Keemetrix garantizará que se realicen al amparo de una decisión de adecuación de la Comisión Europea o, en su defecto, mediante las garantías adecuadas previstas en el Capítulo V del RGPD (en particular, cláusulas contractuales tipo), informando de ello al Responsable.

8. Auditoría

8.1. Keemetrix pondrá a disposición del Responsable la información razonablemente necesaria para acreditar el cumplimiento de este Acuerdo, incluyendo, cuando disponga de ellos, certificaciones o informes de auditoría de terceros independientes.

8.2. El Responsable podrá realizar auditorías, por sí o mediante un auditor independiente sujeto a confidencialidad, previa notificación con una antelación mínima de treinta (30) días, en horario laboral, sin afectar a la operativa de Keemetrix y como máximo una vez al año (salvo requerimiento de autoridad competente o tras una violación de seguridad). Los costes de la auditoría serán a cargo del Responsable, salvo que esta revele un incumplimiento sustancial imputable a Keemetrix.

9. Devolución o supresión de los datos

9.1. A la finalización de la prestación del servicio, a elección del Responsable, Keemetrix devolverá los datos personales (en un formato estructurado y de uso común) o los suprimirá, junto con cualquier copia existente, salvo que la conservación venga exigida por el Derecho de la Unión o nacional.

9.2. A tal efecto, Keemetrix habilitará un periodo de exportación de treinta (30) días desde la terminación, transcurrido el cual procederá a la supresión segura de los datos, sin perjuicio del bloqueo de aquellos que deba conservar por obligación legal durante los plazos de prescripción correspondientes.

10. Responsabilidad

10.1. Cada parte responderá de los daños y perjuicios causados por el incumplimiento de las obligaciones que le incumben en virtud del RGPD y de este Acuerdo.

10.2. El Responsable garantiza que dispone de base de legitimación suficiente para el tratamiento, que ha cumplido sus deberes de información frente a los interesados y que las instrucciones impartidas a Keemetrix son conformes a la normativa. El Responsable mantendrá indemne a Keemetrix frente a reclamaciones derivadas del incumplimiento de estas obligaciones.

10.3. La limitación de responsabilidad pactada en el Contrato Principal será de aplicación también a este Acuerdo, en la medida permitida por la normativa imperativa de protección de datos.

11. Duración

Este Acuerdo estará vigente mientras Keemetrix trate datos personales por cuenta del Responsable y, en todo caso, durante la vigencia del Contrato Principal. Las obligaciones de confidencialidad y de supresión/devolución subsistirán a su terminación.

Acuerdo suscrito por aceptación de los Términos y Condiciones de KeeSpaces — Keemetrix Systems, S.L.