CRM Luz y Gas

Contrato de encargo del tratamiento de datos

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la LOPDGDD. Forma parte de las Condiciones de uso y se acepta al registrarse. Se refiere solo a los datos de los clientes finales que el usuario introduce en el CRM; los datos de la propia cuenta del usuario los trata CRM Luz y Gas como responsable (ver Política de privacidad).

1. Objeto, naturaleza y duración

El Encargado tratará los datos personales necesarios para prestar al Cliente el servicio de CRM (alojamiento y gestión de clientes, ofertas, contratos y renovaciones, generación de estudios, lector de facturas, envío de documentos y conexión con compañías con las credenciales del Cliente). El tratamiento consiste en almacenar, organizar, consultar, transmitir cuando el Cliente lo ordena, conservar y suprimir. Dura mientras esté vigente la suscripción o prueba, más el plazo de devolución y supresión de la cláusula 8.

2. Tipos de datos y personas afectadas

Personas afectadas: clientes y posibles clientes del Cliente. Datos: identificación y contacto (nombre, NIF/CIF, email, teléfono, dirección), datos del suministro (CUPS, consumos, potencia, tarifa, compañía actual), datos de facturas, datos bancarios cuando el Cliente los introduce para tramitar un contrato (IBAN) y datos de la gestión comercial. No se prevé el tratamiento de categorías especiales de datos, que el Cliente se compromete a no introducir.

3. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente (estas condiciones y el uso que hace del CRM) y no usarlos para fines propios ni cederlos a terceros, salvo obligación legal; en ese caso se lo comunicará antes, si la ley lo permite. Si considera que una instrucción infringe la normativa, se lo dirá.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD descritas en la cláusula 5.
• Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento, para atender el ejercicio de derechos de los interesados (si recibe una solicitud directa, se la traslada sin demora y no la responde por su cuenta) y en el cumplimiento de los artículos 32 a 36 RGPD.
• Notificar al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información de la que disponga para que el Cliente pueda cumplir sus obligaciones ante la autoridad y los afectados.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso, durante horario laboral y sin comprometer la seguridad ni los datos de otros clientes.

4. Subencargados

El Cliente da una autorización general para que el Encargado recurra a subencargados que le presten servicios técnicos, con las mismas obligaciones de protección de datos que este contrato. Actualmente interviene un único subencargado: Hostinger International Limited, que aloja el servidor del CRM (en Francia), gestiona el dominio y envía el correo electrónico de los avisos del servicio. Las copias de seguridad se guardan cifradas en equipos propios del Encargado. Los pagos los gestiona Stripe de forma independiente y no accede a los datos de los clientes finales. La lista vigente está siempre en /legal/subencargados. El Encargado informará al Cliente de cualquier cambio previsto en la lista con antelación suficiente para que pueda oponerse; si se opone y no hay alternativa razonable, podrá cancelar el servicio. Puede pedir la lista actualizada en pendiente de indicar. El Encargado responde ante el Cliente del cumplimiento de sus subencargados.

5. Medidas de seguridad

• Datos de cada empresa en ficheros y espacios separados: una empresa no puede ver ni modificar los de otra.
• Control de accesos por rol y por usuario; contraseñas almacenadas con función de resumen (hash); sesiones con caducidad; limitación de intentos y de peticiones.
• Comunicaciones cifradas (HTTPS); credenciales de terceros (por ejemplo, la cuenta del Cliente en una compañía) guardadas cifradas.
• Registros de actividad (auditoría) de accesos y acciones sensibles.
• Copias de seguridad periódicas y cifradas, y restricción del acceso del personal a quien lo necesite.
• Protección frente al acceso automatizado masivo y revisión periódica de la seguridad.

6. Obligaciones del Cliente

El Cliente, como responsable, es quien determina los fines y medios: debe contar con una base legal para tratar los datos y para contactar con sus clientes, informarles, atender sus derechos, obtener su autorización o representación antes de consultar datos de su suministro o tramitar contratos en su nombre, introducir solo los datos necesarios y mantenerlos actualizados, y proteger sus credenciales de acceso. Responde de la licitud de los datos que introduce.

7. Transferencias internacionales

El Encargado no transferirá datos fuera del Espacio Económico Europeo salvo que el subencargado lo haga con las garantías del capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo). El Cliente autoriza esas transferencias en esos términos.

8. Fin del servicio: devolución y supresión

Al terminar el servicio el Cliente puede pedir la exportación de sus datos (el CRM permite además descargar un Excel completo en cualquier momento). Pasados 90 días desde la baja, el Encargado suprime los datos (permanecen 30 días más en una papelera interna antes del borrado definitivo, incluidas las copias de seguridad en sus ciclos normales de renovación), salvo que una ley obligue a conservarlos, en cuyo caso los mantendrá bloqueados y sin tratarlos para otros fines. El Cliente puede pedir la supresión inmediata escribiendo a pendiente de indicar.

9. Responsabilidad

Cada parte responde de sus incumplimientos conforme al RGPD. La responsabilidad contractual del Encargado frente al Cliente se rige por las Condiciones de uso, sin perjuicio de los derechos de los interesados y de lo que la ley no permita limitar.

10. Aceptación y versión

El Cliente acepta este contrato marcando la casilla correspondiente al registrarse. Guardamos la fecha, la versión (2026-10-10.2), la huella del texto y los datos técnicos de la aceptación como prueba.

Versión 2026-10-10.2 · Última actualización: 10 de octubre de 2026.