Versión inicial de trabajo · revisión legal formal programada para antes del lanzamiento comercial. Este documento no sustituye la firma del contrato principal de servicios.
1. Partes y Alcance
Este Acuerdo de Tratamiento de Datos (en adelante, "DPA") regula las obligaciones de RAXAR como encargado del tratamiento cuando prestamos servicios a un cliente (en adelante, "Responsable") que, en el curso normal de la contratación, nos instruye para tratar datos personales de terceros (empleados, clientes finales, prospectos) en su nombre.
— Responsable del tratamiento: el cliente que contrata los servicios de RAXAR.
— Encargado del tratamiento: SOLUTIONS RAXAR, S.L. (marca «RAXAR») · NIF B88688205 · C/ Cardenal Parrado, 3, Esc. 2, 18013 Granada (España).
— Objeto del tratamiento: ejecución de los servicios SaaS contratados (automatizaciones, dashboards, agentes autónomos, integraciones, formación, consultoría estratégica).
Este DPA se integra automáticamente en el contrato principal firmado con el cliente. Prevalece sobre cualquier condición contradictoria del contrato principal en lo relativo a protección de datos.
2. Naturaleza y Finalidad del Tratamiento
RAXAR tratará los datos personales del Responsable exclusivamente para las finalidades descritas en el contrato de servicios:
— Prestación de los servicios SaaS contratados (procesamiento de leads, triaje de emails, scoring de candidatos, análisis de documentos, monitorización de sistemas, etc.).
— Ejecución de las automatizaciones y workflows configurados por el cliente o bajo sus instrucciones.
— Almacenamiento, procesamiento y devolución de los resultados al cliente mediante la plataforma RAXAR y los canales integrados.
— Soporte técnico y resolución de incidencias (cuando el cliente lo solicite expresamente).
RAXAR no utilizará los datos del Responsable para fines propios (entrenamiento de modelos, benchmarking comercial, cesión a terceros, perfilado cruzado entre clientes). El aislamiento multi-tenant se aplica a nivel de base de datos mediante Row Level Security (RLS) e identificación por client_id en todas las operaciones.
3. Categorías de Interesados y Datos
Según el servicio contratado, los datos personales tratados pueden incluir:
— Datos de contacto — nombre, email, teléfono, empresa, cargo.
— Datos profesionales — CV, experiencia, formación (en el caso de Gestión de Talento).
— Comunicaciones — emails entrantes/salientes, conversaciones de chat (en el caso de Bandeja Inteligente/Chat de Soporte IA).
— Datos financieros operativos — facturas, pedidos, documentos contables (en el caso de Cobro Inteligente y Análisis Documental).
— Datos técnicos — logs, métricas de uso, identificadores de sesión (para monitorización y análisis).
El Responsable garantiza haber obtenido las bases legales adecuadas para que RAXAR pueda tratar estos datos en su nombre.
4. Obligaciones del Encargado (RAXAR)
RAXAR se compromete a:
— Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable.
— Garantizar que el personal autorizado para tratar los datos esté sujeto a deberes de confidencialidad vinculantes.
— Aplicar medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD (ver sección 6).
— Asistir al Responsable en el cumplimiento de sus obligaciones RGPD, incluyendo:
· Atención de derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición) en un plazo máximo de 15 días naturales desde la solicitud.
· Evaluaciones de impacto (EIPD / DPIA) relativas a los tratamientos realizados por RAXAR.
· Notificación de brechas de seguridad (sin demora indebida, nunca más allá de 48 horas desde el conocimiento).
— Permitir auditorías razonables por parte del Responsable o de un auditor externo designado por éste, previa notificación con 30 días naturales de antelación.
— Devolver o suprimir los datos personales al finalizar la prestación de los servicios, conforme a las instrucciones del Responsable (ver sección 8).
5. Subencargados del Tratamiento
RAXAR utiliza los siguientes subencargados del tratamiento para prestar los servicios contratados. El cliente da su consentimiento general al subencargo con la firma del contrato; cualquier cambio sustancial será notificado con 30 días de antelación para permitir objeción motivada.
— Hostinger International Ltd. (Chipre) — Alojamiento VPS (servidores en la UE).
— Cloudflare (almacenamiento de objetos R2 · depósito restringido a la Unión Europea) — Custodia de las copias de seguridad externas. El fichero se cifra en origen —contenido y nombres de fichero— con una clave que RAXAR custodia en exclusiva, de modo que el proveedor no puede acceder a su contenido. El proveedor pertenece a un grupo con matriz en EE.UU. El encargo se rige por el Acuerdo de Tratamiento de Datos estándar de Cloudflare, que forma parte de sus condiciones de servicio e incorpora las Cláusulas Contractuales Tipo.
— Cloudflare (DNS autoritativo) — Resolución de nombres de los dominios de RAXAR. No interviene como red de distribución de contenidos: los dominios resuelven directamente contra el servidor de RAXAR en la Unión Europea.
— Scaleway SAS (Francia · región de París) — Inferencia de modelos de lenguaje: proveedor principal de 8 de los 9 agentes internos de RAXAR. Datos alojados y procesados en la Unión Europea, sin transferencia internacional. El acuerdo de encargo del tratamiento con este proveedor está pendiente de formalización.
— Anthropic Ireland, Limited (Irlanda), con su grupo —entre otras, Anthropic PBC, en EE.UU.— y los subencargados de su lista pública — Modelos Claude para el Chat de Soporte IA, los agentes y el trabajo del equipo de RAXAR con la cuenta de empresa de Claude (plan «Team»), en la que Anthropic actúa como encargado según sus condiciones comerciales y su acuerdo de tratamiento. Almacena los datos en EE.UU. y puede tratarlos también en otros países; la salida fuera del EEE la hace Anthropic Ireland hacia su grupo y sus subencargados, y su acuerdo no concreta con qué mecanismo del Capítulo V del RGPD (ver el apartado 7).
— Groq (para clientes del EEE, según su acuerdo de servicios, Groq UK Limited, Reino Unido; puede tratar los datos en EE.UU. y en otros países donde Groq o sus subencargados operan) — Procesamiento NLP de alta velocidad. Su acuerdo de tratamiento de datos (en vigor desde el 15 de octubre de 2025), que forma parte de sus condiciones de servicio, incorpora las Cláusulas Contractuales Tipo (módulos 2 y 3) en la medida en que sean legalmente necesarias; para la salida hacia EE.UU. y hacia sus subencargados se compromete a un mecanismo legal sin concretar cuál.
— Google LLC (EE.UU.) — Modelos Gemini para el agente interno de generación de contenido de marketing. Transferencia internacional al amparo del Data Processing Addendum for Products Where Google is a Data Processor, que incorpora las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y el Marco de Privacidad de Datos UE-EE.UU.
— PostHog Inc. (EU Cloud) — Analítica de producto. Servidores en la UE.
— Stripe Payments Europe Ltd. (Irlanda) — Procesamiento de pagos (solo datos de facturación B2B, no acceso a datos de interesados del cliente).
— Sanity.io (Noruega / EEE) — Gestión de contenido público (no datos personales del cliente).
— Telegram FZ LLC (fuera del Espacio Económico Europeo) — Notificaciones operativas internas al equipo de RAXAR. Las alertas derivadas de los tratamientos del Responsable no incluyen datos identificativos de los interesados —ni nombre, ni correo, ni teléfono, ni el contenido de su consulta—: solo el tipo de aviso, la hora y un identificador interno de registro (seudonimización: ese identificador permite localizar el registro en los sistemas de RAXAR, pero no viaja acompañado de datos personales).
Lo que esta página no decía hasta el 22 de octubre de 2026. Desde al menos junio y hasta el 21 de octubre de 2026 (y, en un caso que estamos comprobando, en mayo) tratamos datos personales del encargo de un cliente con servicios de inteligencia artificial que no figuraban en esta relación, o en condiciones distintas de las que aquí se describen:
— Suscripciones individuales de Claude (planes «Pro» y «Max» de Anthropic), con las condiciones de Anthropic para consumidores: Anthropic trata lo que recibe por esa vía como responsable, no como encargado nuestro, en EE.UU. y en otros países fuera del Espacio Económico Europeo, y sin acuerdo de encargo del tratamiento.
— La cuenta de empresa de Claude (plan «Team»), sin la autorización previa de ese cliente.
— Nuestro asistente interno de operaciones envió fragmentos de documentos con direcciones de correo de ese cliente a Scaleway (Francia), a opencode.ai (un servicio de acceso a modelos de lenguaje; estamos comprobando quién lo presta y dónde trata los datos) y, posiblemente, a Groq (EE.UU.).
— Del 22 al 26 de septiembre de 2026, algunos avisos internos por Telegram llevaron datos identificativos y contenido de respuestas a un cuestionario.
— Estamos comprobando si intervinieron otros servicios: GitHub, Codex, Grok Bot, Cursor, DeepSeek (en mayo, antes de prestar los servicios) y un clasificador de correo que usa Groq.
Se lo hemos notificado a ese cliente como violación de la seguridad de los datos personales (artículo 33 del RGPD).
La lista completa y actualizada es el Anexo III de este documento. Notificaciones de cambios se envían al email de contacto registrado del Responsable con 30 días de antelación.
6. Medidas de Seguridad (art. 32 RGPD)
RAXAR aplica las siguientes medidas técnicas y organizativas, revisadas periódicamente:
Técnicas:
— Cifrado en tránsito (TLS 1.3) para todas las comunicaciones entre cliente, dashboard y backend.
— Las copias de seguridad externas viajan y se almacenan cifradas en origen —contenido y nombres de fichero— con una clave que el proveedor de almacenamiento no posee.
— Aislamiento multi-tenant mediante Row Level Security (RLS) en PostgreSQL con 138+ políticas activas en el esquema de producción.
— Autenticación multifactor (2FA) obligatoria para acceso administrativo a la plataforma.
— Rotación periódica de credenciales y tokens de acceso (trimestral mínimo; incidencia → inmediata).
— Logging centralizado, monitorización en tiempo real y guardrails en las llamadas de los agentes internos y del panel a sistemas de IA (no en todas: el detalle, en la Política de Privacidad).
— Backups automáticos diarios con retención offsite en ubicación geográficamente separada.
— Sandboxing y validación estricta (allowlist) para cualquier ejecución de código generado por IA.
Organizativas:
— Principio de mínimo privilegio y RBAC granular (4 roles: superadmin, admin, team, client).
— Compromiso de confidencialidad firmado por todo el personal con acceso a datos.
— Política documentada de respuesta a incidentes con RTO/RPO definidos.
— Formación en RGPD y seguridad para el equipo.
— Revisión anual de proveedores y subencargados.
7. Transferencias Internacionales
Cuando un servicio requiere transferir datos a un país fuera del Espacio Económico Europeo (EEE), RAXAR exige:
— Transferencia a países con decisión de adecuación de la Comisión Europea, o
— Cláusulas Contractuales Estándar (SCCs 2021/914) en vigor, complementadas con las medidas adicionales requeridas tras la sentencia Schrems II del TJUE (C-311/18), o
— Normas Corporativas Vinculantes (BCRs) aplicables del subencargado.
Con Anthropic no podemos acreditar hoy cuál de estas garantías ampara la salida fuera del EEE que hace el propio proveedor. Con Groq, la contraparte está en el Reino Unido, que tiene decisión de adecuación, pero no podemos acreditar cuál ampara el tratamiento posterior en EE.UU. (ver abajo).
Los subencargados actuales con transferencia internacional de datos personales son Anthropic, Groq y Google (EE.UU.). En el caso de Anthropic, la contraparte es Anthropic Ireland, Limited, dentro del EEE; la salida fuera del EEE la hace Anthropic Ireland hacia su grupo y sus subencargados, y su acuerdo de tratamiento le obliga a exigirles obligaciones de protección sustancialmente equivalentes y a responder de ellos, pero no concreta con qué mecanismo del Capítulo V del RGPD, y no lo tenemos por escrito de Anthropic. En el caso de Groq, su acuerdo de tratamiento de datos (en vigor desde el 15 de octubre de 2025), que forma parte de sus condiciones de servicio, incorpora las Cláusulas Contractuales Tipo (módulos 2 y 3) en la medida en que sean legalmente necesarias; para la salida hacia EE.UU. y hacia sus subencargados se compromete a un mecanismo legal sin concretar cuál. Las transferencias a Google se realizan al amparo del Data Processing Addendum for Products Where Google is a Data Processor, que incorpora las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y el Marco de Privacidad de Datos UE-EE.UU.; las garantías del Capítulo V del RGPD están formalizadas y en vigor desde la contratación del servicio. Telegram FZ LLC está también fuera del EEE, pero no figura entre los anteriores porque recibe únicamente avisos operativos internos sin datos identificativos de los interesados: tipo de aviso, hora e identificador interno de registro. La inferencia de los demás agentes internos se ejecuta en Scaleway SAS (Francia), dentro del EEE y sin transferencia internacional. Si el cliente objeta motivadamente una transferencia específica, RAXAR ofrecerá alternativas disponibles (por ejemplo, enrutado a modelos locales en torre RAXAR mediante privacy_mode) o, si no fuera posible mantener el servicio sin dicha transferencia, la extinción del servicio afectado.
8. Retención y Devolución / Supresión
Durante la vigencia del contrato, RAXAR conservará los datos por el tiempo estrictamente necesario para la prestación de los servicios, conforme a las instrucciones del Responsable.
Al finalizar el contrato (por cualquier causa), el Responsable dispone de 30 días naturales para elegir:
— Devolución de los datos en formato estructurado (CSV, JSON, SQL dump), o
— Supresión certificada de todos los datos tratados, incluyendo copias de respaldo.
Pasados los 30 días sin instrucción, RAXAR procederá por defecto a la supresión certificada. Los backups offsite se purgan según el ciclo establecido (retención máxima: 90 días tras la supresión). RAXAR emitirá un certificado de supresión a solicitud del Responsable.
RAXAR podrá conservar los datos estrictamente necesarios para cumplir obligaciones legales propias (facturación fiscal, defensa de reclamaciones) por el mínimo tiempo legalmente exigido.
9. Notificación de Brechas de Seguridad
Si RAXAR tiene conocimiento de una violación de la seguridad de los datos personales tratados por cuenta del Responsable (en los términos del art. 4.12 RGPD), notificará al Responsable sin demora indebida y, en todo caso, dentro de las 48 horas siguientes al conocimiento.
La notificación incluirá, en la medida disponible:
— Naturaleza de la violación y categorías / volumen aproximado de interesados y datos afectados.
— Consecuencias probables y medidas adoptadas o propuestas para mitigar efectos.
— Datos de contacto del Responsable de Seguridad de RAXAR.
— Estado de la investigación y plan de notificación a interesados y autoridades, si aplicara.
RAXAR mantendrá un registro interno de brechas a disposición del Responsable o autoridades de control.
10. Derechos de los Interesados
RAXAR asistirá al Responsable en la atención de solicitudes de los interesados (derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición) mediante:
— Un canal dedicado para la transmisión de solicitudes: `privacidad@raxar.es`.
— Herramientas self-service en la plataforma RAXAR cuando el volumen de solicitudes lo justifique.
— Respuesta técnica dentro de 15 días naturales desde la recepción de la solicitud del Responsable, para permitir al Responsable responder al interesado dentro del plazo legal de 30 días.
El Responsable es el único legitimado para responder directamente al interesado; RAXAR no contactará al interesado por iniciativa propia salvo instrucción explícita.
11. Vigencia, Ley Aplicable y Resolución
Este DPA entra en vigor con la firma del contrato principal de servicios y permanece vigente mientras dure dicho contrato más el período de retención posterior (sección 8).
Se rige por la legislación española y europea aplicable en materia de protección de datos (RGPD, LOPDGDD). Para cualquier controversia relacionada con este DPA, las partes se someten con renuncia expresa a cualquier otro fuero a los Juzgados y Tribunales de la ciudad de Algeciras (España), salvo que la normativa aplicable al Responsable o a los interesados imponga otro fuero obligatorio.
Cualquier modificación de este DPA requerirá acuerdo por escrito. RAXAR podrá actualizar la lista de subencargados y las medidas de seguridad conforme a los procedimientos descritos en las secciones 5 y 6, comunicándolo al Responsable con la antelación prevista.
12. Evaluación de Impacto (EIPD / DPIA)
RAXAR pone a disposición del Responsable, bajo solicitud, la siguiente documentación para asistir en la realización de la *Data Protection Impact Assessment* (DPIA / EIPD · Art. 35 RGPD):
— Ficha técnica de los tratamientos realizados por nuestros sistemas.
— Diagrama de flujos de datos y sub-procesadores intervinientes.
— Evaluación de riesgos y medidas de mitigación aplicadas (de nuestras plantillas internas basadas en `Plantilla_EIPD_IA.docx`).
— Registro de actividades de tratamiento (RAT · Art. 30) relativo a los servicios contratados.
Solicitudes a privacidad@raxar.es · respuesta en 15 días naturales.
13. Contacto
Para cualquier cuestión relacionada con este DPA o con la protección de datos personales en RAXAR:
— Email dedicado: privacidad@raxar.es
— Contacto general: hello@raxar.es
— Contacto legal: legal@raxar.es
— Responsable designado (DPD / DPO): RAXAR no está obligada legalmente a designar un DPD (Art. 37 RGPD · no hay observación sistemática a gran escala ni tratamiento a gran escala de categorías especiales como actividad principal). El canal dedicado `privacidad@raxar.es` es gestionado por el equipo directivo con responsabilidad formal en materia de protección de datos.
La autoridad de control competente en España es la Agencia Española de Protección de Datos (AEPD, www.aepd.es). Los interesados afectados por tratamientos realizados por RAXAR como encargado pueden presentar reclamación ante la AEPD o ante la autoridad competente de su residencia.
Anexo I · Detalles del Tratamiento
Objeto: prestación de servicios SaaS de automatización e inteligencia artificial según el contrato principal.
Duración: mientras esté en vigor el contrato de servicios + período de retención post-terminación definido en la sección 8.
Naturaleza del tratamiento: recogida, estructuración, almacenamiento, consulta, uso, comunicación (al propio Responsable), conservación, supresión o destrucción de datos personales.
Finalidad específica: prestación de las funcionalidades del producto contratado (e.g. triaje automático de emails entrantes del Responsable, scoring de leads captados por el Responsable, etc.).
Tipo de datos personales: datos de contacto, profesionales, comunicaciones, datos financieros operativos y datos técnicos según servicio (detallado en sección 3).
Categorías de interesados: empleados, clientes, prospectos, candidatos y cualquier otra persona física cuyos datos el Responsable introduzca o autorice el procesamiento en la plataforma RAXAR.
Anexo II · Medidas Técnicas y Organizativas (TOMs)
Medidas implementadas por RAXAR conforme al Art. 32 RGPD:
A. Pseudonimización y cifrado de datos personales:
— Cifrado en tránsito TLS 1.3.
— Las copias de seguridad externas viajan y se almacenan cifradas en origen —contenido y nombres de fichero— con una clave que el proveedor de almacenamiento no posee.
— Pseudonimización lógica mediante tenant_id en todas las tablas operativas.
B. Confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas:
— RLS (Row Level Security) con 138+ políticas activas.
— 2FA obligatoria para administradores.
— Backups diarios automáticos con verificación de integridad.
— Arquitectura resiliente con contenedores auto-healing y vigilancia automática continua con aviso.
C. Capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente:
— RPO objetivo: 24 horas.
— RTO objetivo: 4 horas para servicios críticos · 8h para no críticos.
— Runbooks de respuesta a incidentes documentados.
D. Proceso de verificación, evaluación y valoración regulares de la eficacia:
— Auditorías técnicas trimestrales.
— Pruebas de *disaster recovery* semestrales.
— Revisión anual de proveedores y sub-procesadores.
— Logs centralizados con retención 90 días para forensics.
Anexo III · Sub-Procesadores Autorizados
Lista actualizada de sub-procesadores con acceso potencial a datos personales del Responsable. Esta relación es la lista vigente y se notifica por email al Responsable cualquier cambio sustancial con 30 días de antelación.
Infraestructura:
— Hostinger International Ltd. (Chipre · servidores en la UE · ISO 27001 según el proveedor) · alojamiento VPS.
— Cloudflare (almacenamiento de objetos R2 · depósito restringido a la UE) · copias de seguridad externas, cifradas en origen con clave que el proveedor no posee · encargo regido por el Acuerdo de Tratamiento de Datos estándar de Cloudflare, que forma parte de sus condiciones de servicio e incorpora las Cláusulas Contractuales Tipo.
— Cloudflare (DNS autoritativo) · resolución de nombres de los dominios de RAXAR · no actúa como red de distribución de contenidos.
Modelos IA · carril europeo (sin transferencia internacional):
— Scaleway SAS (Francia · región de París) · inferencia de modelos de lenguaje para los agentes internos de RAXAR ('gpt-oss-120b' y 'mistral-medium-3.5-128b') · proveedor principal por volumen. Acuerdo de encargo pendiente de formalización.
Modelos IA (transferencia internacional):
— Anthropic Ireland, Limited (Irlanda), con su grupo y su lista pública de subencargados · modelos Claude, incluida la cuenta de empresa (plan «Team») · almacenamiento en EE.UU.; mecanismo de transferencia no concretado en su acuerdo (apartado 7) · con datos de un cliente, solo con su autorización previa por escrito (artículo 28.2 del RGPD). Mientras la pide, las tareas ya iniciadas que se le han comunicado continúan sin esa autorización; para todo lo demás, solo datos inventados y recuentos.
— Groq (Groq UK Limited para clientes del EEE; tratamiento en EE.UU. y otros países) · procesamiento NLP rápido · Cláusulas Contractuales Tipo (módulos 2 y 3) en la medida legalmente necesaria; salida hacia EE.UU. sin mecanismo concretado (apartado 7).
— Google LLC (EE.UU.) · modelos Gemini ('gemini-2.5-flash') para el agente interno de generación de contenido de marketing · transferencia al amparo del Data Processing Addendum for Products Where Google is a Data Processor, que incorpora las Cláusulas Contractuales Tipo de la Comisión Europea y el Marco de Privacidad de Datos UE-EE.UU.
— OpenAI Ireland Ltd. (Irlanda, con transferencias a EE.UU.) · respaldo y desbordamiento · sin uso registrado en el periodo actual.
Analítica y observabilidad:
— PostHog Inc. (EU Cloud) · analítica de producto agregada y anonimizada.
— GlitchTip (self-hosted en nuestra infraestructura EU) · error tracking técnico.
Comunicación y email:
— Infraestructura self-hosted Stalwart (EU · sin sub-procesador externo de email).
— Telegram FZ LLC (fuera del Espacio Económico Europeo) · notificaciones operativas internas al equipo de RAXAR. Las alertas derivadas de los tratamientos del Responsable no incluyen datos identificativos de los interesados —ni nombre, ni correo, ni teléfono, ni el contenido de su consulta—: solo el tipo de aviso, la hora y un identificador interno de registro (seudonimización: ese identificador permite localizar el registro en los sistemas de RAXAR, pero no viaja acompañado de datos personales).
Pagos:
— Stripe Payments Europe Ltd. (Irlanda · EU) · procesamiento de pagos (datos de facturación B2B del Responsable · no datos de interesados).
CMS contenido público:
— Sanity.io (Noruega · EEE) · sin datos personales del Responsable.
El Responsable puede objetar motivadamente cualquier sub-procesador en un plazo de 30 días naturales desde la notificación. Si no fuera posible mantener el servicio afectado sin ese sub-procesador, las partes acordarán una solución razonable (alternativa técnica, exclusión del servicio afectado, o resolución parcial sin penalización).