Encargo de tratamiento (art. 28 RGPD)

Encargo breve según el art. 28 RGPD: contrato de encargo del tratamiento entre la empresa y la operadora de Sollmaß. Versión: 30 de octubre de 2026. Prevalece el original alemán.

Celebración

La empresa celebra este acuerdo en la app, en Ajustes → Contratos y privacidad: de forma electrónica, por una persona que pueda firmar por ella, o por escrito, con una copia impresa y firmada que sube allí. El formato electrónico es suficiente (art. 28, apdo. 9 RGPD). La encargada ha firmado el acuerdo de forma electrónica.

El acuerdo entra en vigor con su celebración. Rige mientras exista el contrato de uso de Sollmaß según las condiciones, incluida la prueba, y termina con él. Lo que pasa después con los datos lo regula el apartado «Duración, supresión, prueba».

Partes

Responsable: la empresa de oficios que usa Sollmaß, con la razón social y la dirección que indica al celebrarlo.

Encargada: High5Manufaktur GmbH, Am Buchenhain 2, 76359 Marxzell, Alemania — producto Sollmaß, dominio sollmass.de. Contacto: [email protected], teléfono +49 7248 25592-70.

La empresa sigue siendo dueña de los datos. Sollmaß solo los trata para prestar la app.

No es encargo de tratamiento, sino tratamiento propio de la operadora: las solicitudes a través de este sitio, las peticiones de prueba y las facturas de las licencias. Para eso rige la política de privacidad.

Objeto y fines

Alojamiento y explotación del software. Instrucción: solo lo que la empresa registra o dispara en Sollmaß. Fin: cumplimiento del contrato, sin uso propio de los datos del mandante.

Sistema operativo para oficios: datos maestros (empresa, equipo, clientes, objetos), expedientes, documentos (del presupuesto a la factura y la reclamación), libro de pagos, tiempo, almacén, auditoría, acciones de IA opcionales, envío de los correos de la app. El CSV DATEV es una exportación a la empresa, no una transmisión por nuestra parte.

Datos

Datos del mandante y de clientes finales: contactos, objetos, expedientes, documentos, pagos, tiempos y ausencias, almacén, archivos y fotos de obra, firmas, auditoría. Además, los mensajes que entran en la app: correos del buzón de la empresa con sus adjuntos, mensajes de WhatsApp y llamadas de urgencia con los datos de quien llama.

Datos de cuenta de los usuarios, acceso por enlace mágico (guardado solo como hash), sesiones, registro.

Datos de ubicación de las personas empleadas solo si la empresa activa el GPS al entrar y al salir.

Las categorías especiales (art. 9 RGPD) no son la finalidad del software. Si la empresa registra una ausencia como «enfermedad», surge igualmente un dato de salud. La empresa decide si lleva esa indicación; una ausencia también se puede registrar sin motivo.

Instrucción y lugar

Tratamiento solo en el marco de la app y conforme a instrucciones documentadas de la empresa. Lugar del tratamiento: servidores de Hetzner Online GmbH en el centro de datos de Falkenstein/Vogtland, Alemania. Los datos solo salen de la UE a través de los subencargados indicados a continuación y a través de los servicios que la propia empresa configura.

Subencargados del tratamiento

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: servidores, base de datos (Postgres), archivos y copias de seguridad de la aplicación, centro de datos de Falkenstein/Vogtland.
  • Cloudflare, Inc., San Francisco, EE. UU.: DNS, red y protección frente a ataques para app.sollmass.de, envío de todos los correos de la app ([email protected]) y, si está configurado, el almacenamiento de objetos R2 para los archivos subidos. Transferencia a EE. UU. sobre la base del Marco de Privacidad de Datos UE-EE. UU., complementado con las cláusulas contractuales tipo de la UE.
  • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur: funciones de IA a través del IONOS AI Model Hub en un centro de datos en Alemania, solo si la empresa usa funciones de IA, para la petición correspondiente — texto y fotos. Si IONOS está configurado, el texto y las fotos solo van allí.
  • OpenAI, Google (Gemini) o xAI: solo si la empresa usa funciones de IA, para la petición correspondiente — texto y fotos mientras IONOS no esté configurado, y archivos de audio subidos para transcribir (OpenAI o Google). Transferencia a EE. UU. sobre la base del Marco de Privacidad de Datos UE-EE. UU., en la medida en que el proveedor esté certificado, y en lo demás de las cláusulas contractuales tipo de la UE.
  • Servicio de mapas de OpenStreetMap (staticmap.openstreetmap.de, openstreetmap.org): solo al abrir el mapa en el tablero de planificación, con la dirección IP del dispositivo y las coordenadas de las intervenciones de hoy.

Informamos con antelación sobre nuevos subencargados; la empresa puede oponerse por causa justificada.

Servicios de la empresa

Si la empresa deposita credenciales propias, transmitimos los datos, siguiendo sus instrucciones, al proveedor que ella elija. Esos proveedores no son subencargados nuestros; la empresa celebra por su cuenta los contratos necesarios.

  • Su buzón de correo (IMAP), del que la app recoge mensajes y adjuntos.
  • Meta (WhatsApp Business Cloud API) para los mensajes entrantes.
  • Su servicio de SMS para la alerta de urgencia a la guardia. El SMS contiene nombre, teléfono y dirección del expediente y va solo a la guardia asignada, nunca a quien llama.
  • Otras interfaces que ella registre, por ejemplo contabilidad o acceso bancario.

Las credenciales de esos servicios las guardamos cifradas (AES-256-GCM) y no las volvemos a mostrar.

Obligaciones y TOM

Separación de mandantes en cada consulta y en la base de datos, roles con ámbito de visión (titular, oficina, obra, subcontratista), tratamiento bajo instrucción, apoyo en los derechos de los interesados, notificación de violaciones de la seguridad.

Acceso por enlace mágico, tokens y sesiones solo como hash. Transmisión con TLS; de Cloudflare al servidor, por un túnel cifrado; HSTS. Credenciales de terceros cifradas. Documentos emitidos bloqueados en su contenido y con suma de comprobación, libro de pagos sin cambios posteriores, registro de todas las acciones relevantes.

Dicho con franqueza: la base de datos y los archivos están sin cifrar en el servidor; no hay cifrado del disco. La copia de seguridad diaria está en el mismo servidor. Una copia cifrada fuera de casa la pondremos en marcha en cuanto esté decidido el almacenamiento necesario; entonces entrará de antemano en la lista de subencargados del tratamiento.

Duración, supresión, prueba

El acuerdo rige mientras la empresa use Sollmaß. Tras el fin del contrato, la empresa puede consultar y exportar sus datos durante 30 días; tras una prueba sin pedido, durante 90 días desde el fin de la prueba. Después cerramos la empresa: borramos los datos personales sin obligación legal de conservación; los documentos que deben conservarse quedan bloqueados hasta el final del plazo y después se borran (art. 28, apdo. 3, letra g RGPD). Detalles: CG, apartado 3. Prueba: diario de eventos de auditoría, hash de documentos, libro de pagos.

Antes del cierre, la empresa exporta sus datos (exportación GoBD, DATEV, CSV). Lo que no exporte y nosotros no tengamos que conservar — tiempos, pedidos, libro de almacén, diario de obra — desaparece después.

Se conservan los documentos que exigen el derecho mercantil y el fiscal: documentos emitidos con su copia, libro de pagos, facturas recibidas, registro. Plazo: hasta el 31/12 del año del cierre más ocho años; después los suprimimos. Ejemplo: cierre en el año 2026, supresión a partir del 01/01/2035.

Otros plazos: mensajes entrantes sin expediente, 2 años; copias de seguridad, 14 días (copias de disco, 7 días).

Derechos de los interesados: los contactos se pueden anonimizar en la app; los documentos emitidos conservan su copia, porque el derecho fiscal lo exige (art. 17 apdo. 3 lit. b RGPD). Prueba: diario de eventos de auditoría, hash de documentos, libro de pagos.

Preguntas: [email protected].