Contrato de encargo del tratamiento (DPA) conforme al art. 28 del RGPD
Última actualización: 27 de octubre de 2026
Al utilizar los servicios de weblens GmbH, el Cliente reconoce y acepta como vinculante el presente DPA.

1. Partes del contrato

Responsable del tratamiento:
El Cliente (en particular, el operador del sitio web o de los servicios en línea en los que se implanta la solución encargada)

Encargado del tratamiento:
weblens GmbH
Birkenstraße 23, 40233 Düsseldorf, Alemania
Registro Mercantil: HRB 104423 (Juzgado de Distrito de Düsseldorf)
Directores generales: Paul Tiedtke, Florian Piltz

2. Objeto del tratamiento

El Encargado del tratamiento presta al Responsable del tratamiento servicios para la puesta a disposición de una solución de diálogo y asesoramiento basada en IA para asistir a los usuarios de sitios web o plataformas, en particular en los ámbitos de:

• Búsqueda de información

• Recomendaciones de productos

• Apoyo en la toma de decisiones

• Interacción con clientes (asesoramiento, navegación, generación de oportunidades de venta)

Los detalles sobre las categorías de datos personales y de interesados se recogen en el Anexo 1.

3. Duración

El presente DPA permanecerá en vigor durante toda la relación contractual entre las Partes.

4. Derechos y obligaciones

Responsable del tratamiento:

• Garantiza el cumplimiento del RGPD.

• Imparte instrucciones documentadas al Encargado del tratamiento.

Encargado del tratamiento:

• Trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento.

• Aplica medidas técnicas y organizativas apropiadas de conformidad con el art. 32 del RGPD.

• Asiste al Responsable del tratamiento en el cumplimiento de los derechos de los interesados.

• Asiste al responsable en el cumplimiento de sus obligaciones conforme a los arts. 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto, consulta previa).

• Notifica al responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales (art. 33, apdo. 2 del RGPD).

• Informa inmediatamente al responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

5. Subencargados

Subencargado

Servicio prestado

Ubicación

Transferencia de datos a tercer país

Garantías

OpenAI Ireland Ltd.

API de procesamiento del lenguaje

Irlanda / EE. UU.

Sí

SCC, DPA

Cloudflare Inc.

CDN, DNS, TLS, protección DDoS, alojamiento

EE. UU.

Sí

SCC, DPA

Neon Inc.

Alojamiento de PostgreSQL

EE. UU.

Sí

SCC, DPA

Clerk Inc.

Autenticación

EE. UU.

Sí

SCC, DPA

Sentry Inc.

Registro, monitorización

EE. UU.

Sí

SCC, DPA

El responsable otorga una autorización general por escrito para recurrir a subencargados (art. 28, apdo. 2 del RGPD). El encargado informa al responsable con antelación de cualquier incorporación o sustitución prevista; el responsable puede oponerse por motivos justificados de protección de datos en un plazo de 14 días.

Cuando un subencargado esté certificado conforme al Marco de Privacidad de Datos UE-EE. UU., las transferencias a EE. UU. quedan cubiertas además por la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (art. 45 del RGPD).

6. Medidas técnicas y organizativas

Véase el Anexo 2.

7. Supresión de los datos

Los datos se suprimirán a la terminación del contrato o por instrucción del Responsable del tratamiento, salvo que existan obligaciones legales de conservación.

8. Derechos de auditoría

El Responsable del tratamiento podrá verificar el cumplimiento del presente DPA. El Encargado del tratamiento facilitará toda la información razonablemente necesaria para dichas auditorías.

9. Confidencialidad

Todas las personas autorizadas para tratar datos personales por cuenta del Encargado del tratamiento están sujetas a obligaciones de confidencialidad.

10. Disposiciones finales

Se aplica el derecho alemán. Las modificaciones deberán realizarse por escrito. El uso continuado de los servicios tras la notificación de modificaciones constituye la aceptación de dichas modificaciones.

Anexo 1 – Descripción del tratamiento

Interesados: Visitantes del sitio web, clientes
Categorías de datos personales: Entradas de texto, historiales de chat, direcciones IP (si procede), información del navegador
Actividades de tratamiento: Análisis, generación de respuestas, almacenamiento temporal para la mejora de la calidad
Plazo de conservación: Solo durante el tiempo necesario; supresión por instrucción o de conformidad con los requisitos legales

Anexo 2 – Medidas técnicas y organizativas (TOM)

• Control de acceso físico: Tratamiento exclusivamente en centros de datos certificados

• Control de acceso a los sistemas: Inicios de sesión por usuario, autenticación segura

• Control de acceso a los datos: Acceso basado en roles, restringido al personal autorizado

• Control de la transferencia de datos: Transmisión cifrada, vinculación contractual de los subencargados

• Control de la introducción de datos: Registro de los accesos administrativos

• Control del tratamiento: Tratamiento únicamente de conformidad con las condiciones contractuales

• Control de la separación: Separación lógica de clientes (tenants)

• Control de la supresión: Supresión manual o automatizada una vez cumplida la finalidad

• Control de la disponibilidad: Redundancia, copias de seguridad

• Privacidad desde el diseño: Minimización de datos, transparencia

• Confidencialidad: Formación del personal y compromisos de confidencialidad

• Documentación: Documentación de las TOM a efectos de responsabilidad proactiva