Acuerdo de Encargo del Tratamiento (DPA)
Última actualización: 2 de octubre de 2026
Este Acuerdo forma parte de los Términos de Uso y regula el tratamiento de datos personales realizado por Marmos (encargado del tratamiento) por cuenta del Suscriptor (la marmolería, responsable del tratamiento), conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»). En caso de conflicto en materia de protección de datos, prevalece este Acuerdo.
En una frase: los datos que introduce en la plataforma son suyos y están bajo su responsabilidad. Nosotros solo los tratamos siguiendo sus instrucciones, con seguridad, y no los utilizamos para nada más.
1. Papeles de las partes
El responsable del tratamiento es la marmolería: es ella quien decide qué datos introduce, con qué fin y durante cuánto tiempo. El encargado del tratamiento es Marmos: trata los datos exclusivamente para prestar el servicio, siguiendo las instrucciones documentadas del responsable, expresadas mediante el uso de la plataforma, los Términos y este Acuerdo.
El encargado no tratará los datos para fines propios y no los venderá, cederá ni utilizará con fines publicitarios. El encargado informará de inmediato al responsable si, en su opinión, una instrucción recibida infringe el RGPD u otra disposición de protección de datos.
2. Objeto del tratamiento
| Elemento | Descripción |
|---|---|
| Naturaleza y finalidad | Almacenamiento, organización, consulta, procesamiento y transmisión de datos, para operar las funcionalidades de gestión contratadas por el responsable. |
| Duración | Mientras esté vigente la suscripción, más el periodo de conservación de la Sección 8. |
| Categorías de interesados | Clientes finales de la marmolería; contactos de arquitectos, constructoras y colaboradores; trabajadores y prestadores registrados por el responsable. |
| Categorías de datos | Identificación y contacto (nombre, correo electrónico, teléfono, observaciones); números de identificación fiscal; dirección de contacto y dirección de la obra; datos de agenda (visitas, mediciones); datos de pedidos, presupuestos, proyectos y fotografías; datos de trabajadores, incluidos el puesto y la remuneración, cuando los registre el responsable. |
| Categorías especiales | La plataforma no está diseñada para categorías especiales de datos (artículo 9 del RGPD) ni para datos de menores. El responsable se obliga a no introducirlos — tampoco en campos libres, como observaciones y notas de proyecto. |
3. Obligaciones del responsable del tratamiento
El responsable declara y asume, en exclusiva:
- disponer de una base jurídica válida para cada dato que introduce y para cada fin que persigue;
- facilitar a los interesados la información de los artículos 13 y 14 del RGPD y obtener el consentimiento cuando esa sea la base aplicable;
- introducir solo datos adecuados, pertinentes y limitados a lo necesario, conforme a los principios del artículo 5;
- mantener los datos exactos y actualizados, y configurar correctamente los accesos de sus usuarios;
- atender las solicitudes de los interesados y responder ante la autoridad de control y los tribunales en su condición de responsable;
- no introducir categorías especiales de datos, datos de menores ni datos obtenidos ilícitamente.
El encargado no verifica la licitud, la exactitud ni el origen de los datos introducidos por el responsable y no responde de ellos.
4. Obligaciones del encargado del tratamiento
- tratar los datos únicamente siguiendo instrucciones documentadas del responsable, también en lo relativo a las transferencias fuera del Espacio Económico Europeo;
- aplicar las medidas de seguridad del artículo 32 del RGPD — cifrado en tránsito, hash de las contraseñas, separación lógica por marmolería en todas las consultas, control de acceso por perfil, registro de eventos y copias de seguridad periódicas;
- imponer un deber de confidencialidad a todas las personas autorizadas para tratar los datos;
- asistir al responsable, en la medida de lo razonable y con los medios disponibles en la plataforma, en la respuesta a las solicitudes de los interesados y en el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, violaciones de la seguridad y evaluaciones de impacto);
- atender, mediante las funcionalidades disponibles o por solicitud validada, las peticiones de copia y de supresión de los datos;
- comunicar las violaciones de la seguridad conforme a la Sección 7.
5. Subencargados
El responsable concede al encargado una autorización general para recurrir a subencargados para infraestructura, almacenamiento, envío de correos electrónicos, autenticación, notificaciones y pago — las categorías indicadas en la Política de Privacidad, Sección 4.
El encargado impone a los subencargados obligaciones de protección de datos no inferiores a las de este Acuerdo y responde de ellos ante el responsable. Los cambios previstos se comunicarán con una antelación razonable; si el responsable tiene una objeción fundada, puede poner fin a la suscripción sin coste.
6. Transferencias internacionales
El servicio se opera desde Brasil y puede implicar subencargados situados fuera del Espacio Económico Europeo. Esas transferencias se realizan conforme al Capítulo V del RGPD: sobre la base de una decisión de adecuación, cuando exista, o de las cláusulas contractuales tipo aprobadas por la Comisión Europea, que las partes consideran incorporadas a este Acuerdo en la medida en que sean necesarias.
7. Violaciones de la seguridad de los datos
El encargado notificará al responsable, sin dilación indebida y en un plazo no superior a 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta, indicando lo que se conozca: naturaleza, datos afectados, interesados implicados, medidas adoptadas y mitigación.
La notificación a la autoridad de control y a los interesados corresponde al responsable del tratamiento (artículos 33 y 34 del RGPD), a quien compete valorar su obligatoriedad y efectuarla en el plazo legal de 72 horas, con el apoyo informativo del encargado. Cuando Marmos sea el responsable de los datos afectados, esa obligación le corresponde a él.
8. Terminación, devolución y supresión
- La cancelación de la suscripción interrumpe el cobro, pero no constituye, por sí sola, una instrucción de supresión. El responsable puede solicitar una copia mediante las funcionalidades disponibles o el canal de soporte.
- Recibida y validada la instrucción de supresión, el responsable dispone de 30 días para obtener la copia puesta a su disposición antes de la supresión.
- Transcurrido ese plazo, el encargado suprime o anonimiza los datos, salvo que el Derecho de la Unión o de un Estado miembro, u otra obligación legal a la que esté sujeto el encargado, exija su conservación.
- Las copias de seguridad se sobrescriben en el ciclo normal de rotación; hasta entonces, siguen sujetas a este Acuerdo.
- La supresión es irreversible.
9. Responsabilidad
Cada parte responde del incumplimiento de las obligaciones que este Acuerdo le atribuye. La responsabilidad del encargado frente al responsable respeta el límite de la Sección 9 de los Términos de Uso, excepto en caso de dolo o culpa grave y en los supuestos en que la ley prohíba la limitación. Nada de lo dispuesto en este Acuerdo limita los derechos de los interesados conforme al artículo 82 del RGPD.
El responsable mantendrá indemne al encargado, en la medida de su responsabilidad acreditada, frente a reclamaciones de interesados, de la autoridad de control o de terceros que deriven de la falta de base jurídica, la recogida excesiva, la introducción de categorías especiales de datos o de datos de menores, una instrucción ilícita o un fallo en la gestión de los accesos de sus propios usuarios. Esta obligación no cubre actos u omisiones imputables al encargado.
10. Auditoría
El encargado pone a disposición del responsable la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Previa solicitud escrita, como máximo una vez al año y bajo confidencialidad, facilita las auditorías realizadas por el responsable o por un auditor autorizado por este; las auditorías presenciales y las pruebas de intrusión requieren acuerdo previo, un preaviso de 30 días y corren a cargo del responsable, sin acceso a datos de otros suscriptores ni al código fuente.
11. Contacto
Canal de privacidad del encargado: WhatsApp +55 (74) 99811-4405. El responsable debe mantener en la plataforma un contacto válido para las comunicaciones de protección de datos.