Anexo 3 — Acuerdo de Encargo del Tratamiento (artículo 28 del RGPD)

Versión NLS-2.0 · En vigor desde el 27 de octubre de 2026 · Última actualización: 27 de octubre de 2026

El presente Acuerdo de Encargo del Tratamiento (DPA) se aplica cuando NLS trata Datos Personales por cuenta del Miembro en su calidad de responsable del tratamiento.

1. Definiciones

«Responsable del tratamiento», «Encargado del tratamiento», «Datos Personales», «Brecha de Seguridad de los Datos Personales», «Tratamiento» e «Interesado» tienen el significado que les atribuye el RGPD. «Datos Personales del Miembro» significa los Datos Personales tratados por NLS por cuenta del Miembro en la prestación de los Servicios.

2. Funciones

Respecto de los Datos Personales del Miembro, el Miembro es el responsable del tratamiento y NLS es el encargado del tratamiento, salvo cuando las circunstancias reales del tratamiento llevado a cabo por las partes exijan otra calificación. Cada parte sigue siendo responsable de las obligaciones aplicables a su función. NLS podrá actuar de forma independiente como responsable del tratamiento en lo relativo a la administración de cuentas, la facturación, la seguridad, la prevención del fraude, el cumplimiento normativo y sus propios registros de auditoría.

3. Instrucciones

NLS tratará los Datos Personales del Miembro únicamente siguiendo instrucciones documentadas del Miembro, incluidas las instrucciones inherentes al uso/configuración de los Servicios por parte del Miembro, salvo que esté obligado a efectuar el tratamiento en virtud del Derecho de la Unión o de los Estados miembros. En tal caso, NLS informará al Miembro de dicha exigencia legal antes del tratamiento, salvo que la ley lo prohíba.

4. Objeto y duración

El tratamiento tiene por objeto la prestación de las funcionalidades de CRM, leads, clientes, operaciones, documentos, comunicaciones, citas, asistencia mediante IA y demás funcionalidades relacionadas de la plataforma NLS durante la vigencia de los Servicios, más los plazos de conservación/supresión permitidos.

5. Naturaleza y fines

Alojamiento, organización, recuperación, visualización, búsqueda, emparejamiento, comunicación, generación de documentos, flujo de trabajo de operaciones, soporte a la formalización electrónica, seguridad, copia de seguridad, exportación, supresión y demás tratamientos necesarios para prestar las funcionalidades seleccionadas por el Miembro.

6. Interesados

Compradores, vendedores, arrendadores, arrendatarios, clientes potenciales, leads, clientes, partes de operaciones, firmantes, titulares reales, representantes, asesores profesionales, personal del Miembro y otras personas cuya información el Miembro facilite a NLS o le indique que trate.

7. Tipos de datos

Datos identificativos y de contacto; requisitos de los clientes; datos de inmuebles y de operaciones; comunicaciones; citas/tareas; información profesional; documentos; firmas y datos de auditoría; información financiera/de cuentas cuando se incluya en formularios de operaciones; información de prevención del blanqueo de capitales/conocimiento del cliente (AML/KYC) cuando el Miembro la incluya; y otra información que el Miembro decida tratar. El Miembro no deberá facilitar categorías especiales de datos del artículo 9 salvo que ello sea necesario y lícito, esté respaldado por garantías adecuadas y NLS permita el tratamiento correspondiente.

8. Confidencialidad

NLS garantizará que las personas autorizadas para tratar los Datos Personales del Miembro estén sujetas a obligaciones de confidencialidad.

9. Seguridad

NLS aplicará medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo. Dichas medidas podrán incluir, según proceda, controles de acceso, almacenamiento protegido de documentos, transmisión segura, copias de seguridad, registro de actividad, acceso con privilegios mínimos, gestión de vulnerabilidades/parches y procedimientos de gestión de incidentes.

10. Subencargados

El Miembro otorga una autorización general por escrito para que NLS recurra a los subencargados que figuran en el registro de subencargados mantenido por NLS. NLS impondrá a los subencargados obligaciones sustancialmente equivalentes a las del artículo 28. NLS notificará con una antelación razonable las incorporaciones o sustituciones previstas cuando sea necesario, permitiendo al Miembro oponerse a ellas por motivos razonables relacionados con la protección de datos.

11. Transferencias internacionales

NLS no transferirá Datos Personales del Miembro a un tercer país salvo siguiendo instrucciones del Miembro o mediante un mecanismo lícito previsto en el Capítulo V del RGPD. Cuando proceda, NLS aplicará Cláusulas Contractuales Tipo, un mecanismo de adecuación u otra garantía válida, junto con medidas complementarias cuando sea necesario.

12. Solicitudes de los interesados

Teniendo en cuenta la naturaleza del tratamiento, NLS prestará asistencia razonable, mediante medidas técnicas y organizativas apropiadas, para que el Miembro pueda responder a las solicitudes formuladas al amparo del Capítulo III del RGPD. Si NLS recibe una solicitud relativa exclusivamente a datos controlados por el Miembro, NLS podrá remitir al solicitante al Miembro, salvo que la ley disponga otra cosa.

13. Asistencia en el cumplimiento

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, NLS asistirá razonablemente al Miembro en el cumplimiento de las obligaciones previstas en los artículos 32 a 36, incluidas las relativas a la seguridad, la evaluación de brechas, las evaluaciones de impacto relativas a la protección de datos (EIPD) y la consulta previa, cuando proceda.

14. Notificación de brechas de seguridad

NLS notificará al Miembro sin dilación indebida una vez que tenga conocimiento de una Brecha de Seguridad de los Datos Personales que afecte a los Datos Personales del Miembro, y facilitará la información de que razonablemente disponga para respaldar la evaluación del Miembro y el cumplimiento de sus obligaciones de notificación. La notificación no constituye un reconocimiento de culpa.

15. Devolución y supresión

A la terminación, y a elección del Miembro, NLS devolverá o suprimirá los Datos Personales del Miembro, salvo que la ley exija su conservación. Los datos contenidos en copias de seguridad podrán permanecer hasta su expiración normal, siempre que sigan protegidos y no se restauren para su uso activo salvo a efectos de una recuperación legítima ante desastres. Ciclo de vida actual de las copias de seguridad: hasta 30 días, sujeto a la verificación final en el entorno de producción.

16. Auditoría

NLS pondrá a disposición del Miembro la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 y permitirá la realización de auditorías por parte del Miembro o de un auditor independiente, con sujeción a condiciones razonables de preaviso, confidencialidad, seguridad y no perturbación de la actividad. NLS podrá atender las solicitudes ordinarias mediante informes/certificaciones de terceros vigentes, cuando estén disponibles.

17. Instrucciones ilícitas

NLS informará al Miembro si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos de la Unión o de los Estados miembros aplicable, y podrá suspender el tratamiento afectado mientras las partes resuelven la cuestión.

18. Obligaciones del Miembro

El Miembro garantiza que sus instrucciones son lícitas; que dispone de una base de legitimación adecuada; que ha facilitado la información exigida a los interesados; que no instruirá a NLS para que trate datos de forma ilícita; y que utilizará adecuadamente los permisos y los controles de conservación de la Plataforma.

Apéndice del Acuerdo de Encargo del Tratamiento — infraestructura de tratamiento actual

Contacto en materia de protección de datos

Para cualquier consulta sobre sus datos personales o para ejercer sus derechos, póngase en contacto con nuestro contacto de privacidad, Conor O’Connor, en [email protected].