Acuerdo de Tratamiento de Datos (DPA)

Encargado del Tratamiento · Artículo 28 del RGPD · Versión 1.1 · Última actualización: Agosto 2026

Este Acuerdo regula el tratamiento de datos personales que AIMMO (Alejandro Hernández Jiménez, NIF 51197744C, en adelante el «Encargado») realiza por cuenta de la agencia cliente (en adelante, el «Responsable») al prestar el servicio AIMMO. Forma parte de los Términos y Condiciones del Servicio y se entiende aceptado al contratar.

1. Objeto y papeles

El Responsable (la agencia) determina los fines y medios del tratamiento. El Encargado (AIMMO) trata los datos únicamente siguiendo las instrucciones documentadas del Responsable, que son las recogidas en estos Términos y en el uso normal de la plataforma.

2. Objeto, duración, naturaleza y finalidad

Naturaleza y finalidad: prestación del servicio SaaS de AIMMO (gestión de cartera, leads y operaciones inmobiliarias, generación asistida de documentos y análisis).
Duración: mientras esté vigente el contrato de servicio.
Tipos de datos: datos identificativos y de contacto, datos económicos y de la operación inmobiliaria, y los documentos que el Responsable aporte. El Responsable se compromete a no introducir categorías especiales de datos salvo que sea imprescindible y lícito.
Categorías de interesados: clientes finales del Responsable (compradores, vendedores, inquilinos, propietarios) y personal del Responsable.

3. Obligaciones del Encargado (Art. 28.3 RGPD)

Tratar los datos solo según las instrucciones del Responsable.
Garantizar la confidencialidad de las personas autorizadas a tratarlos.
Aplicar las medidas de seguridad del artículo 32 (ver cláusula 6).
Respetar las condiciones para recurrir a subencargados (cláusula 4).
Asistir al Responsable para responder a los derechos de los interesados (acceso, rectificación, supresión, oposición, portabilidad, limitación).
Asistir al Responsable en materia de seguridad y evaluaciones de impacto, y notificarle cualquier brecha de seguridad en un plazo máximo de 24 horas desde que AIMMO tenga conocimiento de ella. El plazo es numérico a propósito: el Responsable dispone de 72 horas para notificar a la autoridad de control (Art. 33 RGPD), y AIMMO puede recibir el aviso de un subencargado hasta 48 horas después del incidente — las 24 horas restantes son las que le quedan al Responsable para llegar a tiempo.
A elección del Responsable, suprimir o devolver los datos al finalizar el servicio en un plazo máximo de 30 días, y eliminar las copias salvo obligación legal de conservación.
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

4. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados. AIMMO comunicará al Responsable cualquier alta o sustitución con al menos 15 días de antelación, y durante ese plazo el Responsable podrá oponerse por motivos razonables relativos a la protección de datos.

Subencargado	Finalidad	Ubicación y garantía
Anthropic	Modelo de IA (redacción de borradores)	EE. UU. · Cláusulas Contractuales Tipo · se le envían datos minimizados o seudonimizados
Stripe	Procesamiento de pagos de la suscripción	UE/EE. UU. · Cláusulas Contractuales Tipo · no recibe datos de los clientes finales
Hetzner	Alojamiento de la plataforma y la base de datos	UE (Alemania) · contrato de encargo estándar
Brevo	Correo transaccional (avisos e invitaciones)	UE (Francia)
Sentry	Monitorización de errores (sin datos personales ni cuerpo de la petición)	UE (región alemana) · sin transferencia internacional
Google (Drive)	Copia de seguridad fuera de sitio (rotación a 35 días)	UE/EE. UU. · la copia se cifra (AES-256-GCM) antes de salir del servidor y se almacena cifrada: Google conserva un fichero opaco y no puede leer su contenido

Lista vigente a agosto de 2026. No están activos hoy, y se añadirán a esta lista antes de activarse: Google Calendar y Google Sheets (volcado de visitas y exportación, que en su día requerirán que el Responsable conecte la integración), Meta/WhatsApp Business (mensajería con el cliente final) y Twilio (SMS).

5. Plazos de conservación y supresión

El Encargado conserva los datos solo el tiempo necesario para prestar el servicio (Art. 5.1.e). Estos son los plazos aplicados, que forman parte de las instrucciones documentadas del Responsable:

Categoría	Plazo	Qué ocurre al vencer
Contactos y cartera (CRM), documentos, contenido generado	Vida de la cuenta — lo decide el Responsable	Supresión con la baja, o antes si el Responsable lo pide
Clientes potenciales (leads) sin consentimiento	24 horas	Anonimización automática (sin consentimiento no hay base para conservarlos)
Clientes potenciales (leads) inactivos	3 años	Anonimización automática: se borra el dato personal y queda el registro disociado
Prevención de blanqueo (AML/KYC)	10 años	Obligación legal (Ley 10/2010, Art. 25): prevalece sobre el derecho de supresión
Registro contable de la suscripción	4–6 años	Obligación mercantil y fiscal · se conserva sin datos personales
Historial de uso de herramientas	30 días	Borrado automático
Copias de seguridad	14 días local · 35 días fuera de sitio	Rotación automática. Si se restaura una copia, las supresiones ya solicitadas se vuelven a aplicar, de modo que un dato borrado no reaparece
Sesiones y credenciales de acceso	Acceso 15 min · renovación 30 días	Caducidad y revocación
Trazabilidad de cumplimiento (quién borró qué y cuándo)	Largo plazo, sin datos personales	Se conserva como evidencia (Art. 17.3.e)

A la terminación del contrato, y a elección del Responsable, los datos se devuelven o se suprimen, salvo aquellos que una obligación legal (AML, fiscal) obligue a conservar; esos quedan bloqueados y solo se usan para atender a la autoridad competente. El detalle técnico de cada plazo y de su método de borrado está en la Política de Retención de AIMMO, que se entrega al Responsable a petición y forma parte de este Acuerdo.

6. Medidas de seguridad (Art. 32)

AIMMO aplica, entre otras: cifrado de los datos personales sensibles, aislamiento multi-tenant (cada agencia solo accede a sus datos), control de accesos por rol, registro y trazabilidad de operaciones, copias de seguridad y procedimientos de recuperación, y minimización de los datos enviados a la IA (sin información personal innecesaria).

7. Transferencias internacionales

Cuando un subencargado esté fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea u otra garantía adecuada del RGPD, según se detalla en la tabla de la cláusula 4.

8. Responsabilidad

Cada parte responde de su propio incumplimiento del RGPD. El Responsable garantiza disponer de la base legal y del consentimiento necesarios sobre los datos de sus clientes finales que introduce en AIMMO.

Encargado: Alejandro Hernández Jiménez · NIF: 51197744C · Calle Virgen de la Alegría 17, 28027 Madrid · somos.aimmo@gmail.com · Para solicitar una copia firmada de este DPA, escribe a esa dirección.