Acuerdo de Tratamiento de Datos

1. Identificación de las partes

1.1. Encargado del tratamiento (el «Encargado» o el «Club»): THE34CLUB, S.L., NIF B19798867, domicilio en Av. Tarragona 149-151, 43881 Cunit (Tarragona), España. Contacto: info@the34.club.

Protección de datos. El Club no está obligado a designar Delegado de Protección de Datos (art. 37.1 RGPD; art. 34.1 LOPDGDD) y no lo designa voluntariamente. Se nombra un Responsable de privacidad, D. Wilner Ciscal Terry, administrador único, como punto de contacto para interesados, agencias, subencargados y la AEPD, en privacidad@the34.club. Es una figura interna y no tiene el estatuto ni las garantías del Delegado de Protección de Datos.

1.2. Responsable del tratamiento (el «Responsable» o la «Agencia»): la agencia inmobiliaria que acepta las Condiciones Generales, identificada por los datos aportados en el alta — denominación, NIF/CIF, domicilio fiscal y correo de contacto.

1.3. Aceptación. Este Anexo se acepta electrónicamente junto con las Condiciones Generales en el momento del alta y forma parte inseparable de ellas. El Club conserva evidencia de la aceptación — identificador del Responsable y del usuario aceptante, documento y versión aceptados, huella SHA-256 del texto, dirección IP, agente de usuario y sello temporal — conforme a la cláusula 17.3. Esa evidencia es un tratamiento del que el Club es responsable propio (cláusula 4.2.ii).

2. Objeto, naturaleza jurídica y prelación

2.1. Este Anexo regula el tratamiento de datos personales que el Club realiza por cuenta de la Agencia para prestar el Servicio.

2.2. El Club tratará los datos únicamente conforme a este Anexo y a las instrucciones documentadas de la Agencia, y no para fines propios, salvo lo previsto en las cláusulas 4.2 y 17.3.

2.3. Prelación. En caso de conflicto entre las Condiciones Generales y este Anexo en materia de protección de datos, prevalece este Anexo.

2.4. Versiones. El Club publica cada versión en una URL permanente. Una nueva versión que reduzca las garantías del Responsable o amplíe los tratamientos requiere preaviso de treinta (30) días y aceptación expresa; en su defecto, el Responsable podrá resolver sin penalización con derecho a exportación conforme a la cláusula 17.1. Las modificaciones que no reduzcan garantías —correcciones, precisiones, actualización de la lista de subencargados conforme a la cláusula 10.2— surten efecto con su publicación.

3. Definiciones

Los términos «datos personales», «tratamiento», «responsable», «encargado», «interesado», «violación de la seguridad» y «autoridad de control» tienen el significado del artículo 4 RGPD. «Servicio» y «Contrato Principal» tienen el significado de las Condiciones Generales.

4. Delimitación: qué cubre y qué no cubre este Anexo

4.1. Cubre los datos personales de clientes, contactos y contrapartes de la Agencia que esta introduce o genera en el Servicio.

4.2. No cubre, por ser tratamientos en los que el Club actúa como responsable propio:

1. los datos de cuenta, facturación y contacto profesional de la Agencia y de sus usuarios;
2. las evidencias de aceptación (cláusula 1.3), las evidencias de consentimiento y los registros de auditoría de la cláusula 17.3, conservados en cumplimiento de obligaciones legales propias (art. 6.1.c y 6.1.f RGPD);
3. la información agregada y anonimizada que no permite identificar a persona alguna.

5. Descripción del tratamiento encomendado

5.1. Naturaleza y operaciones. Recogida, registro, estructuración, conservación, consulta, utilización, comunicación en el marco del cruce ciego entre agencias, limitación, supresión y anonimización.

5.2. Finalidad. La prestación del Servicio: gestión de cartera y contactos, cruce de demanda y oferta asistido por IA (Ombra), enlaces de interacción con clientes (Nexus), gestión de visitas, negociaciones y calendario de operaciones, y notificaciones operativas. La gestión de contactos incluye un índice de fiabilidad de cada cliente de la Agencia, de 1 a 5 (la «Fiabilidad»), y las notas de conducta que registran sus usuarios. La Fiabilidad se calcula exclusivamente con datos de la propia Agencia: los datos de la ficha del cliente, su antigüedad y actividad en la cartera de la Agencia, la asistencia a las visitas y el estado de las negociaciones que la Agencia registra, la confirmación del correo electrónico en enlaces enviados por la Agencia y sus notas de conducta. Un cliente sin historial recibe una Fiabilidad neutra. La Fiabilidad y las notas solo son visibles para los usuarios de la Agencia. El Club no las comunica a otras agencias ni a terceros distintos de sus subencargados (cláusula 10), no las utiliza para ordenar ni seleccionar propuestas ni para fin propio alguno, y el Servicio no adopta a partir de ellas ninguna decisión.

5.3. Tipos de datos personales:

1. Identificativos: nombre y apellidos; documento de identidad cuando la Agencia lo aporte para la operación.
2. De contacto: correo electrónico, teléfono, dirección postal.
3. De la operación inmobiliaria: encargos de búsqueda y preferencias (zonas, tipologías, presupuesto), inmuebles de interés, visitas, ofertas e importes, acuerdos, reservas y cierres, y las comunicaciones asociadas.
4. Fiabilidad y notas de conducta: las notas de conducta registradas por los usuarios de la Agencia (etiqueta predefinida, autor, fecha y nota libre opcional) y la Fiabilidad que el Servicio calcula a partir de ellas y de los datos anteriores. Las notas no deben contener los datos excluidos en la cláusula 5.5.

5.4. Categorías de interesados. Clientes compradores, vendedores, arrendatarios y arrendadores de la Agencia; personas de contacto de dichas partes; y demás contrapartes de las operaciones gestionadas.

5.5. No se encomienda el tratamiento de categorías especiales de datos (art. 9 RGPD) ni de datos relativos a condenas e infracciones (art. 10 RGPD). La Agencia se obliga a no introducirlos en el Servicio.

5.6. Duración. Mientras esté vigente el Contrato Principal y, tras su terminación, hasta la completa devolución y supresión conforme a la cláusula 17, sin perjuicio de los plazos de conservación de la cláusula 17.3.

6. Instrucciones del Responsable

6.1. Constituyen la instrucción principal este Anexo, las Condiciones Generales y la configuración del Servicio elegida por la Agencia. Las instrucciones adicionales se cursarán por escrito a privacidad@the34.club.

6.2. El Club informará de inmediato a la Agencia si, en su opinión, una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos, pudiendo suspender su ejecución hasta que se confirme o retire.

6.3. Información en los enlaces Nexus. En los enlaces Nexus el Servicio muestra a los interesados, por cuenta de la Agencia, un texto informativo estándar. Ese texto identifica a la Agencia como responsable y declara como bases jurídicas el consentimiento del interesado para registrar sus respuestas en el enlace y el interés legítimo de la Agencia en gestionar su relación con él, incluidas la Fiabilidad y las notas de conducta. La Agencia que envía enlaces Nexus asume ese texto como información propia o, antes de enviarlos, informa a sus clientes de otro modo conforme a la cláusula 19.

7. Obligaciones generales del Encargado

El Club se obliga a:

1. tratar los datos únicamente siguiendo instrucciones documentadas de la Agencia;
2. garantizar que las personas autorizadas se han comprometido a la confidencialidad o están sujetas a obligación legal de confidencialidad, y que reciben la formación necesaria (cláusula 8);
3. mantener un registro de las actividades de tratamiento efectuadas por cuenta de la Agencia (art. 30.2 RGPD);
4. no comunicar los datos a terceros salvo lo previsto en este Anexo (subencargados, cláusula 10) o instrucción de la Agencia. En el cruce ciego entre agencias, la información visible para terceras agencias antes del acuerdo es información cegada, sin identidad del interesado;
5. asistir a la Agencia conforme a las cláusulas 11, 12 y 13;
6. poner a disposición de la Agencia la información necesaria para demostrar el cumplimiento del art. 28 RGPD, conforme a la cláusula 14;
7. tratar los datos dentro del Espacio Económico Europeo, sin perjuicio de la cláusula 15.

8. Deber de confidencialidad

El deber alcanza a empleados, colaboradores y cualquier persona autorizada, subsiste tras el fin de la relación y se extiende a toda información del Responsable conocida con ocasión del encargo.

9. Medidas de seguridad

9.1. El Club aplicará medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), que incluyen como mínimo:

1. Aislamiento multi-tenant: separación lógica estricta de los datos de cada agencia a nivel de aplicación y de consultas;
2. Control de acceso basado en roles, autenticación con credenciales individuales y tokens de sesión, y principio de mínimo privilegio;
3. Cifrado en tránsito (TLS) en todas las comunicaciones y cifrado en reposo en los sistemas de almacenamiento gestionados del proveedor de infraestructura;
4. Medios y documentos en almacenamiento privado, accesibles únicamente mediante URLs firmadas de caducidad corta (15–60 minutos);
5. Registro de auditoría: diario de eventos de solo adición para las transiciones relevantes del ciclo de vida de las operaciones y registro de acciones administrativas;
6. Enlaces Nexus con caducidad y control de acceso por token de un solo contexto;
7. Procedimientos de supresión y anonimización: anonimización in situ que preserva el historial operativo sin identidad (Considerando 26 RGPD), con umbrales de k-anonimidad en métricas agregadas; la supresión de un interesado elimina además sus notas de conducta y cualquier valor almacenado de su Fiabilidad; exportación de los datos de la Agencia en formato estructurado (JSON) por su titular;
8. Copias de seguridad periódicas con restauración a un punto en el tiempo;
9. Separación de entornos de producción y pruebas.

9.2. El Club podrá actualizar las medidas siempre que no reduzcan el nivel de protección.

9.3. El Club no ostenta certificación propia (ISO 27001, ENS, SOC 2) y no la afirma. Las certificaciones de sus subencargados son de estos y no del Club.

10. Subencargados

10.1. Autorización general. La Agencia autoriza de forma general la contratación de subencargados para la prestación del Servicio. El Club impondrá a cada uno, por contrato, obligaciones equivalentes a las de este Anexo, y responde frente a la Agencia del cumplimiento de aquellos.

10.2. Lista, cambios y derecho de oposición. El Club mantiene publicada y actualizada la lista de subencargados en app.the34.club/legal/subencargados, que forma parte de este Anexo. Informará de cualquier adición o sustitución con al menos quince (15) días de antelación a que el nuevo subencargado trate datos, por correo electrónico o notificación in-app. La Agencia podrá oponerse por motivos justificados relacionados con la protección de datos; si la oposición no puede resolverse de buena fe, la Agencia podrá resolver el Contrato Principal sin penalización respecto del Servicio afectado, con derecho a exportación conforme a la cláusula 17.

11. Asistencia en el ejercicio de derechos de los interesados

11.1. El Club asistirá a la Agencia, mediante las funcionalidades del Servicio (consulta de la ficha del interesado, exportación de los datos de la Agencia, supresión y anonimización, registro de consentimientos) y, cuando sea necesario, mediante asistencia directa, en la atención de solicitudes de los artículos 15 a 22 RGPD.

11.2. Si un interesado se dirige directamente al Club, este lo comunicará sin dilación a la Agencia y no responderá por sí salvo instrucción de esta.

12. Violaciones de la seguridad de los datos personales

12.1. El Club notificará a la Agencia, sin dilación indebida y a más tardar dentro de las 48 horas desde que tenga conocimiento de ella, toda violación de la seguridad que afecte a datos del encargo, facilitando la información del art. 33.3 RGPD de que disponga —naturaleza, categorías e interesados afectados aproximados, consecuencias probables, medidas adoptadas o propuestas—, pudiendo completarla de forma escalonada.

12.2. Corresponde a la Agencia la notificación a la autoridad de control y, en su caso, a los interesados. El Club prestará la cooperación necesaria y documentará la violación y su respuesta.

13. Asistencia en seguridad, evaluaciones de impacto y consulta previa

El Club asistirá a la Agencia en el cumplimiento de los artículos 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga. La decisión sobre la necesidad de una evaluación de impacto (art. 35) o de una consulta previa (art. 36) corresponde a la Agencia.

14. Información y auditorías

14.1. El Club pondrá a disposición de la Agencia la información necesaria para demostrar el cumplimiento de este Anexo y permitirá y contribuirá a auditorías e inspecciones realizadas por la Agencia o por un auditor mandatado por ella que no sea competidor del Club.

14.2. Primer nivel: documentación. El Club atenderá las solicitudes de información mediante: (i) este Anexo y sus anexos; (ii) la descripción actualizada de medidas de seguridad; (iii) los informes o certificaciones de sus subencargados de que disponga; y (iv) respuestas escritas a cuestionarios razonables de seguridad, máximo una vez al año natural salvo violación de seguridad o requerimiento de autoridad. Véase la cláusula 9.3 sobre certificaciones.

14.3. Segundo nivel: auditoría in situ. Requerirá preaviso escrito de quince (15) días, se limitará a una por año natural salvo violación de seguridad o requerimiento de autoridad, se realizará en horario laboral sin interferir en el servicio a otras agencias —respetando el aislamiento multi-tenant— y correrá a costa de la Agencia.

15. Transferencias internacionales

No se realizarán transferencias fuera del Espacio Económico Europeo salvo las estrictamente derivadas de los subencargados publicados conforme a la cláusula 10.2 y, en tal caso, al amparo de una decisión de adecuación (incluido el EU-U.S. Data Privacy Framework, cuando aplique) o de cláusulas contractuales tipo con las medidas suplementarias necesarias. La lista publicada indica, para cada subencargado, el país de tratamiento y el mecanismo aplicable.

16. Duración y suspensión

Este Anexo estará vigente mientras lo esté el Contrato Principal y, tras su terminación, hasta la completa devolución y supresión conforme a la cláusula 17, sin perjuicio de los plazos de conservación de la cláusula 17.3.

17. Devolución y supresión al término

17.1. A la terminación del Contrato Principal, y a elección de la Agencia, el Club devolverá los datos del encargo en formato estructurado de uso común (CSV/JSON) y/o los suprimirá o anonimizará irreversiblemente, junto con las copias existentes, en el plazo máximo de treinta (30) días desde la solicitud o, en su defecto, desde el fin del plazo de exportación previsto en las Condiciones Generales.

17.2. Excepciones. Quedan exceptuados: (i) los datos cuya conservación exija una obligación legal, que quedarán bloqueados (art. 32 LOPDGDD) durante el plazo correspondiente; y (ii) las evidencias de la cláusula 17.3.

17.3. Conservación de evidencias:

1. Las evidencias de consentimiento captadas en los enlaces Nexus y flujos equivalentes —sello temporal, dirección IP, correo electrónico en forma de hash, tipo y texto del consentimiento, sin identidad en claro— se conservan seis (6) años, plazo alineado con el art. 30 del Código de Comercio, en cumplimiento de obligaciones legales y para la formulación, el ejercicio o la defensa de reclamaciones.
2. Conforme al art. 17.3.e) RGPD, dicha conservación sobrevive a las solicitudes de supresión: se ejecuta la supresión o anonimización del resto de datos del interesado, y las evidencias descritas —que no contienen identidad en claro— se mantienen durante el plazo indicado.
3. Las evidencias de aceptación de la cláusula 1.3 se conservan durante la vigencia del Contrato Principal y seis (6) años desde su terminación.
4. Los registros operativos anonimizados de las operaciones, sin identidad de los interesados, se conservan como historial de la plataforma conforme al Considerando 26 RGPD.

18. Responsabilidad

Cada parte responderá de los daños derivados de sus propios incumplimientos, conforme al artículo 82 RGPD. El Club responderá cuando haya actuado al margen de las instrucciones lícitas de la Agencia o haya incumplido las obligaciones que el RGPD impone específicamente a los encargados. El régimen de limitación de responsabilidad de las Condiciones Generales se aplica sin que pueda limitar la responsabilidad frente a interesados o autoridades derivada del art. 82 RGPD.

19. Obligaciones del Responsable

La Agencia se obliga a:

1. garantizar que las instrucciones que imparta son lícitas y conformes al RGPD y a la LOPDGDD;
2. disponer de la base jurídica adecuada para cada tratamiento encomendado y, cuando sea el consentimiento, haberlo recabado válidamente y poder acreditarlo, así como haber facilitado a los interesados la información de los artículos 13 y 14 RGPD;
3. realizar, cuando proceda, la evaluación de impacto (art. 35) y las consultas previas (art. 36), correspondiéndole la decisión sobre su necesidad;
4. comunicar al Club, sin dilación indebida, las rectificaciones, actualizaciones o supresiones que conozca y deban reflejarse en el Servicio;
5. no introducir en el Servicio categorías especiales de datos (art. 9) ni datos de condenas e infracciones (art. 10);
6. velar de forma continuada por que el tratamiento encomendado cumpla la normativa.

20. Ley aplicable y jurisdicción

Se rigen por las cláusulas correspondientes de las Condiciones Generales. En lo no previsto, legislación española.