Partes
El presente contrato se celebra entre la empresa cliente identificada en el pedido de The Climb (el «Responsable») y The Tech Nation S.L., NIF B19412451, Passeig de Gràcia 2, 08007 Barcelona, España (el «Encargado»).
Forma parte de las condiciones generales y se acepta con ellas al hacer el pedido. Responde al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
1. Objeto
El Encargado trata datos personales por cuenta del Responsable para prestar The Climb, plataforma de formación en IA para equipos. El detalle del tratamiento figura en el anexo 1. En materia de protección de datos, este contrato prevalece sobre las condiciones generales.
2. Duración
El presente contrato de encargo se aplica durante toda la vigencia de las condiciones generales y después hasta la supresión de los datos prevista en la cláusula 10.
3. Instrucciones
3.1. El Encargado solo trata los datos siguiendo instrucciones documentadas del Responsable. Son instrucciones las condiciones generales, este contrato, la configuración de la empresa en la aplicación (invitaciones, roles, equipos, bajas) y las solicitudes escritas del Responsable.
3.2. Si una instrucción le parece contraria al RGPD o a la normativa aplicable, el Encargado lo comunica de inmediato al Responsable.
3.3. El Encargado no utiliza los datos de los colaboradores para fines propios.
4. Confidencialidad
Las personas autorizadas por el Encargado para tratar los datos están sujetas a confidencialidad. Solo acceden en la medida necesaria para el servicio, el soporte y la seguridad.
5. Seguridad
El Encargado aplica las medidas técnicas y organizativas del anexo 2 (artículo 32 del RGPD). Puede actualizarlas sin reducir su nivel.
6. Subencargados
6.1. El Responsable otorga una autorización general para recurrir a los subencargados del anexo 3.
6.2. Toda incorporación o sustitución se comunica por correo con al menos 30 días de antelación. El Responsable puede oponerse por un motivo razonable relacionado con la protección de datos. Si no hay solución, puede resolver sin coste la parte del servicio afectada.
6.3. El Encargado impone a cada subencargado obligaciones de protección equivalentes y responde de su cumplimiento.
7. Transferencias fuera del Espacio Económico Europeo
7.1. La aplicación está alojada en Estados Unidos (anexo 3). El Responsable queda informado y lo acepta.
7.2. Cada transferencia se realiza según las garantías ofrecidas por el proveedor (Marco de Privacidad de Datos o cláusulas contractuales tipo), conforme al capítulo V del RGPD: decisión de adecuación (UE) 2023/1795 para las empresas certificadas, o cláusulas contractuales tipo de la decisión (UE) 2021/914, completadas si es necesario con medidas adicionales.
8. Asistencia
El Encargado asiste al Responsable, en la medida de lo posible y según la naturaleza del tratamiento:
- en la atención de las solicitudes de ejercicio de derechos; toda solicitud recibida directamente se le traslada en un plazo de 5 días hábiles;
- en la evaluación de impacto (artículo 35 del RGPD), aportando la descripción del servicio y de las medidas de seguridad;
- en la consulta previa a la autoridad de control si procede.
9. Violaciones de seguridad
El Encargado notifica al Responsable toda violación de datos personales sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento de ella. Aporta la información del artículo 33.3 del RGPD de que disponga y la completa después.
10. Fin del tratamiento
10.1. Baja de un colaborador. Cuando el administrador del Responsable registra una baja, el acceso de la persona se corta de inmediato. Sus datos se seudonimizan automáticamente 30 días después: se sustituyen el nombre, el correo y el equipo, se borra el nombre de sus certificados (que siguen siendo verificables sin nombre), se borran las notas libres de sus bloqueos, así como las notas de revisión, y se suprime la cuenta de acceso si no sirve para ninguna otra empresa. Los datos de progreso se conservan vinculados a un perfil sin nombre ni correo. El administrador puede anular la baja antes de que termine el plazo.
10.2. Fin del contrato. Los datos se conservan 6 meses para permitir una reactivación o una exportación y después se suprimen. Las copias de seguridad desaparecen al final de su ciclo de rotación en el proveedor de alojamiento. Durante esos 6 meses, el Responsable puede pedir la exportación de sus datos en un formato estructurado, o su supresión anticipada.
10.3. Si se le pide, el Encargado confirma la supresión por escrito. Solo se conservan los datos que la ley obliga a conservar.
10.4. Certificados. La huella criptográfica de un certificado, anclada en la cadena de bloques de Bitcoin para probar su fecha, no puede borrarse. No contiene ningún nombre y no permite identificar a nadie una vez suprimido el certificado.
11. Documentación y auditoría
11.1. El Encargado lleva el registro de las actividades de tratamiento realizadas por cuenta de sus clientes (artículo 30.2 del RGPD). Pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28.
11.2. El Responsable puede realizar una auditoría como máximo una vez al año, salvo violación de datos, con 30 días de preaviso, a su cargo, mediante un auditor sujeto a confidencialidad y sin acceso a los datos de otros clientes. El Encargado puede responder primero mediante un cuestionario y su documentación de seguridad.
12. Responsabilidad
La responsabilidad de cada parte se rige por el artículo 82 del RGPD y por las condiciones generales.
13. Ley aplicable
Ley española, tribunales de Barcelona, como las condiciones generales.
Anexo 1. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Interesados | colaboradores del Responsable invitados a The Climb (empleados, becarios, colaboradores externos), incluidos sus administradores, People y Sherpas |
| Identidad y cuenta | nombre, correo profesional, rol (escalador, Sherpa, administrador, People), equipo, estado, fechas de invitación, de alta y de baja, identificador de acceso, fecha de la última visita |
| Aprendizaje | respuestas al cuestionario inicial y de seguimiento pregunta por pregunta (incluidos rol y tamaño de empresa), nivel, seis puntuaciones de autoevaluación, insignias, puntos de experiencia, racha, etapas y puntos de control, última actividad, avatar, herramienta de IA declarada, tiempo activo (total y por etapa) |
| Ejercicios | estado, puntuación, intentos y detalles breves por ejercicio (herramienta, modo, casillas marcadas, revisión por un Sherpa, validación con acompañamiento), número de pruebas rechazadas, revisión humana (veredicto, fecha, nota de quien revisa, borrada con la seudonimización); el texto de las respuestas no se conserva |
| Repasos | aciertos y errores por concepto |
| Señales | bloqueos señalados con nota libre opcional; respuestas al clima del equipo, incluido un campo libre |
| Certificados | nombre completo, nombre de la empresa, programa, nivel, competencias, fechas, estado, firma electrónica, huella anclada en Bitcoin |
| Ajustes de la empresa | logotipo, nombre del programa |
| Soporte y auditoría | sesiones de soporte (quién la pidió, motivo), registro de las acciones de administración sin dirección de correo |
| Datos técnicos | dirección IP, navegador, páginas solicitadas, en los registros de los proveedores de alojamiento |
| Categorías especiales | ninguna prevista; se pide a los usuarios que no las introduzcan |
| Naturaleza de las operaciones | alojamiento, almacenamiento, consulta, cálculo de niveles y progreso, visualización a los roles autorizados, cálculo de totales por equipo, emisión y verificación pública de certificados, envío de invitaciones y correos de acceso, sesiones de soporte, seudonimización y supresión |
| Finalidades | formación de los colaboradores en IA, seguimiento del progreso, dinamización de los equipos, certificados, paneles para los responsables; en totales y sin nombres, mejora de los contenidos de The Climb (tiempo y pruebas rechazadas por etapa) |
| Visibilidad | el administrador y People ven el progreso de cada persona con su nombre; cada miembro ve a sus compañeros de equipo y a los Sherpas con su nombre, a los demás compañeros sin nombre; clima del equipo y bloqueos solo en totales, a partir de 5 respuestas; el certificado es visible para cualquier persona que tenga su enlace o su número |
| Exclusiones | ninguna decisión automatizada con efectos jurídicos o significativos; ninguna evaluación por una IA; la aplicación no llama a ningún modelo de IA; ninguna publicidad |
| Duración | vigencia del contrato y después cláusula 10 |
Anexo 2. Medidas de seguridad
- Autenticación: cuentas y accesos gestionados por Clerk; contraseña, código o enlace enviado por correo, doble autenticación disponible.
- Control de acceso: cada función de servidor (Convex) comprueba el rol de la persona y su empresa antes de devolver un dato; cada empresa solo ve sus propios datos.
- Cifrado en tránsito: todas las comunicaciones van por HTTPS.
- Bajas: acceso cortado en cuanto se registra una baja; seudonimización automática a los 30 días (cláusula 10.1).
- Registro de auditoría: acciones de administración y modificaciones hechas por MCP registradas (autor, acción, objeto, fecha, asistente conectado), sin dirección de correo.
- Soporte: una sesión de soporte en la cuenta de un miembro solo se abre a petición del Responsable o de la persona, o para tratar un incidente; queda registrada con la persona que la abrió y su motivo.
- Acceso MCP: reservado a los Yetis y al equipo del Encargado, ninguna herramienta para los colaboradores del cliente; autorización OAuth con PKCE, permisos limitados por ámbito, rol comprobado en cada llamada, sesiones de suplantación rechazadas.
- Minimización: el texto de las respuestas a los ejercicios no se conserva; clima del equipo y bloqueos mostrados a los responsables en totales a partir de 5 respuestas, sin las notas libres.
- Formularios públicos: límites contra los abusos, direcciones IP conservadas en forma de huella.
- Integridad de los certificados: firma electrónica Ed25519 y sellado de tiempo mediante anclaje público.
- Organización: acceso del personal del Encargado limitado a lo necesario y sujeto a confidencialidad; procedimiento de notificación de violaciones (cláusula 9).
Anexo 3. Subencargados
La lista de subencargados autorizados, con su servicio, los datos afectados, su ubicación y las garantías de transferencia, está publicada en la página Subencargados del tratamiento. Forma parte de este contrato.