Contrato de Encargo de Tratamiento de Datos Personales (art. 28 RGPD · art. 33 LOPDGDD)

Versión encargo-2026-10-v10 · Última actualización: 21 de octubre de 2026.

Este contrato forma parte de las Condiciones Generales de Servicio y se acepta electrónicamente al darse de alta en el Servicio. Los datos identificativos del Cliente son los facilitados en el alta.

Roles de las partes

Datos	Responsable	Papel del despacho (Cliente)	Papel de Bitaco
Usuarios y empleados del despacho, su actividad en la app y la configuración	Despacho	Responsable	Encargado
Datos de vecinos, propietarios, inquilinos, presidentes, proveedores y terceros de cada comunidad (WhatsApp, incidencias, actas, conocimiento)	Cada comunidad de propietarios	Encargado de la comunidad, en virtud del contrato de administración	Subencargado (art. 28.2 y 28.4 RGPD)
Cuenta, facturación y relación comercial con el despacho	Bitaco	Interesado / cliente	Responsable (fuera de este contrato)

El criterio habitual de la AEPD considera al administrador de fincas encargado de la comunidad. Por eso este contrato cubre los dos supuestos: el Cliente actúa como responsable o, en su caso, como encargado por cuenta de las comunidades (arts. 28.3 y 28.4 RGPD).

CONTRATO DE ENCARGO DEL TRATAMIENTO

El contrato se entiende celebrado en la fecha de su aceptación electrónica, que queda registrada (cláusula 21 de las Condiciones).

REUNIDOS

De una parte, el despacho de administración de fincas que acepta este contrato, con la razón social, el NIF y la persona representante indicados en el alta (el «Cliente»).

De otra parte, Alberto Miguel Fonfria Toledo, persona física empresaria (autónomo), con NIF 20203163D y domicilio profesional en Avenida de Europa 18, 2A, 39750 Colindres (Cantabria), que actúa en su propio nombre y opera con el nombre comercial «Bitaco Fincas» (en adelante, «Bitaco» o el «Encargado»). Contacto de protección de datos: alfonfria@gmail.com. Delegado de protección de datos: no designado (cláusula 11.3).

EXPONEN

I. Que el Cliente ha contratado el Servicio Bitaco Fincas de acuerdo con las Condiciones Generales de Servicio (el «Contrato Principal»).

II. Que el Cliente presta servicios de administración de fincas a las comunidades de propietarios de su cartera, de cuyos datos es encargado del tratamiento, y es responsable de los datos de su propia organización.

III. Que el Cliente declara que dispone de autorización previa por escrito, específica o general, de cada comunidad para recurrir a subencargados (art. 28.2 RGPD), que la conservará y que la aportará si se le pide.

IV. Que, para prestar el Servicio, Bitaco necesita tratar datos personales por cuenta del Cliente. Las partes acuerdan regular ese tratamiento de acuerdo con el art. 28 del RGPD y el art. 33 de la LOPDGDD, con las siguientes

CLÁUSULAS

1. Definiciones

Los términos «datos personales», «tratamiento», «responsable», «encargado», «violación de la seguridad» y similares tienen el significado del art. 4 del RGPD. Por «Datos» se entienden los datos personales tratados por Bitaco por cuenta del Cliente en el marco del Servicio. Por «Comunidades», las comunidades de propietarios por cuenta de las cuales actúa el Cliente.

2. Objeto

2.1. Bitaco tratará los Datos solo para prestar el Servicio descrito en el Contrato Principal y en el Anexo I:

atención de conversaciones de WhatsApp con revisión humana;
base de conocimiento verificada;
incidencias y tareas;
actas asistidas;
exportación, salida, soporte y seguridad.

2.2. El Anexo I detalla la naturaleza y finalidad del tratamiento, las categorías de datos y de interesados y los plazos de conservación.

3. Duración

3.1. Este contrato tiene la misma duración que el Contrato Principal, incluido el piloto. Se extingue con él, salvo las obligaciones que por su naturaleza subsistan: confidencialidad, devolución y supresión, y colaboración ante autoridades.

4. Instrucciones documentadas

4.1. Bitaco tratará los Datos únicamente siguiendo instrucciones documentadas del Cliente, también en lo relativo a las transferencias internacionales (art. 28.3.a RGPD). Constituyen instrucciones documentadas:

este contrato y sus anexos;
el Contrato Principal;
la configuración que el Cliente haga en la aplicación (comunidades, fuentes, permisos, canales, plazos y activación de funciones), que queda registrada con autor y fecha;
las instrucciones escritas adicionales enviadas a alfonfria@gmail.com.

4.2. Si el Derecho de la Unión o de un Estado miembro obliga a Bitaco a un tratamiento distinto, se lo comunicará antes al Cliente, salvo que la ley lo prohíba.

4.3. Bitaco informará inmediatamente al Cliente si considera que una instrucción infringe el RGPD u otra norma de protección de datos (art. 28.3, último párrafo).

4.4. Prohibiciones. Bitaco no usará los Datos:

para fines propios;
para entrenar modelos de IA, ni propios ni de terceros;
para elaborar perfiles o hacer publicidad;
para venderlos o cederlos.

Solo podrá elaborar métricas técnicas agregadas y anónimas.

4.5. Funciones que requieren activación expresa del Cliente. Se activan con registro de quién y cuándo:

(a) respuestas automáticas por WhatsApp;
(b) seguimientos y recordatorios automáticos;
(c) envío de actas por correo electrónico (Resend);
(d) asistencia mediante IA de OpenAI (ajuste por despacho).

Mientras no se activen, permanecen desactivadas.

5. Confidencialidad

5.1. Bitaco garantiza que las personas autorizadas para tratar los Datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b). El compromiso subsiste tras el fin de su relación con Bitaco.

5.2. El acceso del personal de Bitaco se limita a lo necesario para soporte, mantenimiento o seguridad, se hace a petición o con autorización del Cliente (salvo urgencia de seguridad, que se comunicará después) y queda registrado. El soporte ordinario lo presta un asistente automático con IA (cláusula 8 de las Condiciones), y Bitaco se compromete a que ese asistente no tenga acceso a los Datos. Si fuera necesario darle acceso, su proveedor se incluirá antes en el Anexo III con el preaviso y el derecho de oposición de la cláusula 7.2. No existe escalado a una persona de Bitaco en el soporte: lo presta íntegramente el agente de IA y, en incidentes de seguridad o de protección de datos (incluidas las violaciones de seguridad del art. 33 RGPD), se avisa por correo al titular de Bitaco, que los atiende personalmente (cláusulas 9.3 y 10) y notifica al Cliente sin dilación indebida. Esto es distinto del paso a una persona del despacho que atiende a los vecinos por WhatsApp («PERSONA» y urgencias), que corresponde al Cliente y se mantiene conforme a las políticas de Meta. El Servicio envía además un mensaje fijo de urgencias (112) cuando detecta por palabras clave un posible riesgo para las personas, en los tres modos del canal (Observar, Asistir y Piloto automático limitado) y también en solo lectura, como máximo una vez cada 30 minutos por conversación; el Cliente no puede desactivarlo y sigue siendo responsable de atender las urgencias (cláusula 12.7 de las Condiciones). El modo Observar no envía nada a los vecinos, salvo la respuesta fija de urgencia que remite al 112.

6. Medidas de seguridad

6.1. Bitaco aplicará las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo (art. 32 RGPD), y las revisará periódicamente. Podrá actualizarlas siempre que no reduzcan el nivel de protección.

6.2. Bitaco no garantiza la seguridad de los sistemas, dispositivos y credenciales del Cliente ni la de la plataforma de Meta/WhatsApp, cuya cuenta es titularidad del Cliente.

7. Subencargados

7.1. Autorización general. El Cliente otorga a Bitaco una autorización general por escrito para recurrir a los subencargados del Anexo III (lista de subencargados), dentro del alcance de la autorización que el Cliente tenga de cada Comunidad.

7.2. Aviso previo y oposición. Bitaco informará al Cliente de cualquier alta o sustitución de subencargados con un preaviso mínimo de 30 días, por correo electrónico a la dirección del administrador de la cuenta del Cliente y en la página pública de subencargados.

El Cliente podrá oponerse de forma motivada dentro de ese plazo.
Si la oposición no se resuelve de forma razonable (por ejemplo, manteniendo el proveedor anterior o desactivando la función afectada), el Cliente podrá resolver el Contrato Principal sin penalización y con reembolso de la parte proporcional de la cuota pagada no consumida. Se aplicará la cláusula 12.
En casos de urgencia por seguridad o continuidad del servicio, el preaviso podrá ser menor, con comunicación inmediata y el mismo derecho de oposición.

7.3. Bitaco impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato (art. 28.4), en particular garantías suficientes de medidas técnicas y organizativas. Se admiten los DPA estándar de los proveedores y, cuando proceda, el módulo 3 (encargado a encargado) de las cláusulas contractuales tipo.

7.4. Bitaco sigue siendo plenamente responsable ante el Cliente del cumplimiento de sus subencargados.

7.5. WhatsApp / Meta. La cuenta de WhatsApp Business (WABA), el número y el método de pago asociados son titularidad del Cliente (el despacho), que acepta directamente las condiciones de Meta, incluidas las WhatsApp Business Data Processing Terms. Meta factura directamente al Cliente el uso de conversaciones y plantillas; Bitaco no interviene en esa facturación ni aplica recargos (cláusula 4.3 de las Condiciones). Bitaco actúa únicamente como proveedor tecnológico conectado a la cuenta del Cliente. La integración se realiza mediante Tech Provider propio con Embedded Signup de Meta, con la app de Meta de Bitaco; no se utiliza 360dialog ni otro BSP. Como Meta trata los datos en virtud de la cuenta WABA del Cliente, Meta es encargado contratado directamente por el Cliente (no subencargado de Bitaco) y figura en el Anexo III a efectos informativos.

8. Transferencias internacionales

8.1. Bitaco solo transferirá Datos fuera del EEE a los subencargados y con las garantías del Anexo III:

decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), para entidades certificadas;
o cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914), con las medidas complementarias que procedan.

8.2. Bitaco elaborará y pondrá a disposición del Cliente una evaluación de impacto de las transferencias (TIA) para los proveedores que traten Datos en EE. UU. sin certificación DPF (hoy, Supabase en lo relativo a soporte y subencargados, y OpenAI si se activa la IA).

8.3. Bitaco priorizará la región UE cuando el proveedor la ofrezca:

Supabase: eu-north-1 (Estocolmo, Suecia);
Vercel: funciones de servidor hoy en EE. UU. (región iad1), con traslado previsto a la UE (arn1, Estocolmo, Suecia). La red de distribución (CDN) de Vercel es global: los contenidos estáticos se sirven desde nodos cercanos al usuario y las peticiones entran por el punto de presencia más próximo. Se mantienen las garantías de transferencia de Vercel (Marco de Privacidad de Datos y cláusulas contractuales tipo de su DPA);
OpenAI (único proveedor de IA, desactivado por defecto): tratamiento en EE. UU., con cláusulas contractuales tipo y, cuando la entidad receptora esté certificada, el Marco de Privacidad de Datos UE-EE. UU.; registros de supervisión de abuso de hasta 30 días.

9. Asistencia en el ejercicio de derechos

9.1. Teniendo en cuenta la naturaleza del tratamiento, Bitaco asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas, para que el Cliente (y, a través de él, la Comunidad) atienda los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas:

la aplicación permite al Cliente buscar, exportar y rectificar los datos por contacto, y exportar por despacho;
supresión por contacto: si el Cliente no puede suprimir directamente desde la aplicación los datos de un interesado, lo solicitará por escrito a alfonfria@gmail.com, identificando al interesado y los datos afectados. Bitaco ejecutará la supresión en un plazo máximo de 15 días desde la solicitud, la confirmará al Cliente y, si este lo pide, le certificará por escrito la supresión, con su fecha y alcance. Los datos suprimidos desaparecerán de las copias de seguridad en su ciclo natural de rotación, sin exceder 30 días. Si en ese tiempo hubiera que restaurar una copia para recuperar el Servicio, Bitaco volverá a suprimir esos datos antes de reanudar el tratamiento.

9.2. Si un interesado se dirige directamente a Bitaco, esta trasladará la solicitud al Cliente en un máximo de 5 días hábiles y no la contestará sin su instrucción, salvo para indicar al interesado a quién debe dirigirse.

9.3. Canal. Las solicitudes, instrucciones y comunicaciones de este contrato se dirigen a alfonfria@gmail.com y las atiende personalmente el titular de Bitaco. No se tramitan a través del asistente automático de soporte. Si un interesado o el Cliente plantea una de ellas a ese asistente, este le indicará el canal adecuado (cláusula 8.4 de las Condiciones).

10. Violaciones de la seguridad

10.1. Bitaco notificará al Cliente sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia de cualquier violación de la seguridad que afecte a los Datos. Lo hará a la dirección de correo del administrador de la cuenta del Cliente e incluirá, en la medida en que la conozca, la información del art. 33.3 RGPD:

naturaleza de la violación;
categorías y número aproximado de interesados y registros afectados;
consecuencias probables;
medidas adoptadas o propuestas;
punto de contacto.

Si no dispone de toda la información, la facilitará de forma gradual.

10.2. Bitaco colaborará para que el responsable pueda notificar a la AEPD en 72 horas y, si procede, comunicarlo a los interesados (arts. 33 y 34). No notificará a la autoridad ni a los interesados en nombre del Cliente salvo instrucción escrita.

10.3. Bitaco documentará todas las violaciones, incluidos sus hechos, efectos y medidas correctoras.

10.4. La gestión de las violaciones de la seguridad, incluidas su notificación y la colaboración con el Cliente, la realiza personalmente el titular de Bitaco, no el asistente automático de soporte. El Cliente comunicará a alfonfria@gmail.com cualquier incidencia de seguridad que detecte.

11. Otras obligaciones de asistencia y registro

11.1. Bitaco asistirá al Cliente en las evaluaciones de impacto (art. 35) y en las consultas previas (art. 36), si proceden, aportando la información técnica de que disponga.

11.2. Bitaco llevará el registro de actividades de tratamiento como encargado (art. 30.2).

11.3. Bitaco no ha designado delegado de protección de datos porque no está obligado a ello (art. 37 RGPD y art. 34 LOPDGDD). Si llegara a estarlo, lo designará y lo comunicará al Cliente.

12. Destino de los Datos al terminar

12.1. Al terminar la prestación del Servicio, por cualquier causa, y a elección del Cliente:

(a) devolución: el Cliente puede descargar la exportación completa en un ZIP (JSON y CSV con manifiesto y huellas, y los PDF de las actas; los documentos y fotografías originales que haya subido el Cliente no van en el ZIP estándar, pero se le entregan a petición, dentro de los 30 días posteriores a la baja, mediante enlaces temporales en la propia aplicación, art. 28.3.g RGPD y Ley de Datos) durante un plazo de 30 días;
(b) supresión: pasado ese plazo, o antes si el Cliente lo pide por escrito, Bitaco suprimirá los Datos de la base de datos, el almacenamiento de archivos (Storage) y las cuentas de usuario (Auth), y revocará los tokens de WhatsApp, en un plazo máximo de 30 días desde la solicitud del Cliente o, si no la hay, desde el fin del contrato (que, a estos efectos, incluye el plazo de exportación del apartado a). Bitaco podrá ejecutar la supresión mediante procesos manuales o automatizados;
(c) los Datos desaparecerán de las copias de seguridad en su ciclo natural de rotación, sin exceder 30 días desde la supresión, y no se restaurarán Datos suprimidos. Si en ese tiempo hubiera que restaurar una copia para recuperar el Servicio de otros clientes, Bitaco volverá a suprimir esos Datos;
(d) los subencargados suprimirán los datos según sus plazos (Anexo III). Por ejemplo, en OpenAI con store:false solo quedan registros de supervisión de abuso de hasta 30 días, salvo que se haya concedido Zero Data Retention;
(e) si el Cliente lo pide, Bitaco le entregará una certificación por escrito de la supresión, con su fecha y alcance (base de datos, archivos y cuentas de usuario) y, cuando sea posible, los recuentos de registros, objetos y usuarios eliminados.

12.2. Bitaco solo podrá conservar Datos bloqueados cuando una norma lo exija, y durante el plazo legal.

13. Demostración del cumplimiento y auditorías

13.1. Bitaco pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del art. 28 (art. 28.3.h): este contrato, el registro de actividades, las medidas del Anexo II, los DPA y certificaciones de los subencargados (SOC 2, ISO 27001 de Supabase y Vercel) y los resultados de las pruebas internas.

13.2. El Cliente, o un auditor independiente obligado a confidencialidad que no sea competidor de Bitaco, podrá hacer auditorías e inspecciones:

con un preaviso de 30 días;
como máximo una vez al año, salvo violación de seguridad o requerimiento de una autoridad;
en horario laboral y sin acceso a datos de otros clientes;
a cargo del Cliente.

Las auditorías de los subencargados se harán mediante sus informes de terceros.

14. Obligaciones del Cliente

El Cliente se obliga a:

(a) contar con la autorización de cada Comunidad y con una base jurídica para el tratamiento;
(b) informar a los interesados (arts. 13 y 14 RGPD) por cuenta de la Comunidad, usando si quiere la plantilla del Anexo IV, y publicar el aviso antes de incorporar datos reales;
(c) incorporar solo los datos necesarios, sin categorías especiales salvo que sean imprescindibles;
(d) mantener activado el aviso de asistente automático (Anexo IV.1);
(e) custodiar el libro de actas y la documentación oficial (art. 19 LPH);
(f) supervisar el tratamiento.

15. Responsabilidad

15.1. Si Bitaco infringe el RGPD al determinar por sí misma los fines y medios del tratamiento, será considerada responsable de ese tratamiento (art. 28.10).

15.2. La responsabilidad derivada de este contrato, incluida la derivada de la normativa de protección de datos, se rige por la cláusula 14 de las Condiciones Generales: su importe total no superará el importe efectivamente pagado por el Cliente en los 12 meses anteriores al hecho causante, salvo dolo o culpa grave.

16. Ley y jurisdicción

Este contrato se rige por la ley española, el RGPD y la LOPDGDD. Las partes no se someten a arbitraje. Para cualquier controversia, se someten a los Juzgados y Tribunales de Santander, salvo que una norma imperativa establezca otro fuero, como el del domicilio del consumidor cuando corresponda.

Aceptado electrónicamente por el Cliente en la fecha que consta en el registro de aceptación.

ANEXO I · Descripción del tratamiento

1. Comunidades incluidas: las que el Cliente da de alta en la aplicación, que mantiene la lista actualizada junto con la autorización de subencargo de cada una.

2. Naturaleza. Recogida, registro, organización, estructuración, conservación, consulta, utilización, comunicación autorizada (respuestas por WhatsApp y actas por correo), seudonimización, cotejo y supresión.

3. Finalidades:

(a) recibir y atender por WhatsApp las consultas y avisos de los interesados de cada Comunidad, con respuesta automática solo desde conocimiento verificado y con fuente, o con derivación a una persona;
(b) registrar y hacer seguimiento de incidencias, tareas y vencimientos, incluida su asignación a proveedores;
(c) mantener una base de conocimiento verificada por Comunidad;
(d) preparar borradores de actas a partir de notas o fotografías, con OCR local (Tesseract.js) dentro de la infraestructura del Servicio y sin enviarlas a terceros, y archivar el PDF aprobado;
(e) si se activa, enviar actas aprobadas por correo a destinatarios elegidos por el Cliente;
(f) si se activa, proponer el siguiente paso de un asunto mediante IA (OpenAI), con seudonimización previa;
(g) exportación, salida, trazabilidad, seguridad y soporte.

4. Categorías de interesados:

propietarios;
inquilinos y ocupantes;
presidentes, secretarios y miembros de juntas;
proveedores y su personal;
usuarios y empleados del Cliente;
terceros mencionados en mensajes o documentos.

5. Categorías de datos:

identificativos y de contacto: nombre, teléfono móvil (WhatsApp, en formato E.164), nombre de perfil de WhatsApp y correo;
relación con la Comunidad: vivienda o local, portal, planta, condición y cargos;
contenido de los mensajes y respuestas, incluidas las sugeridas;
incidencias: descripción, ubicación, fotografías y documentos, estado, proveedor y notas;
actas: asistentes, representaciones, intervenciones, votaciones, acuerdos y, en su caso, datos de deudores de la Comunidad (art. 16.2 LPH; minimizar su uso);
documentación de la Comunidad;
usuarios del Cliente: nombre, correo, rol, registros de acceso y actividad, e IP;
metadatos técnicos: identificadores, fechas y estados de entrega.

Categorías especiales: no se solicitan. Si aparecen de forma espontánea, el sistema deriva el mensaje a una persona, sin respuesta automática y sin enviarlo al modelo de IA. Menores: sus datos no se solicitan.

6. Operaciones excluidas:

elaboración de perfiles;
decisiones exclusivamente automatizadas con efectos jurídicos (art. 22 RGPD);
evaluación de solvencia;
publicidad;
cesión a terceros;
entrenamiento de modelos.

7. Plazos de conservación por defecto (configurables por el Cliente):

Dato	Plazo por defecto
Contenido de mensajes de WhatsApp	12 meses desde el último mensaje, o 6 meses tras cerrar la incidencia vinculada (lo que sea más tarde), con un tope de 24 meses. Después se suprime el contenido y se conservan los metadatos
Contactos inactivos	Revisión y anonimización a los 24 meses sin actividad
Notas libres de incidencias	12 meses tras el cierre
Registro de incidencias y tareas (sin texto del vecino)	5 años tras el cierre o hasta la exportación y la petición de borrado
Borradores de actas, fotografías y notas originales	30 días tras la aprobación. Abandonados: 90 días
PDF de actas aprobadas (copia de trabajo)	Mientras dure el contrato
Registros de actividad	24 meses
Usuarios dados de baja	30 días
Tras la terminación	Exportación disponible 30 días. Supresión en un máximo de 30 días (cláusula 12). Copias de seguridad: ciclo natural de rotación, sin exceder 30 días

ANEXO II · Medidas técnicas y organizativas

Control de acceso y aislamiento

Separación por despacho mediante Row Level Security de PostgreSQL en las tablas públicas, con políticas por company_id. Pruebas automáticas de aislamiento entre despachos.
Funciones privilegiadas con search_path fijo. Operaciones de máquina limitadas a service_role.
Roles de administrador y empleado comprobados en el servidor. Bloqueo tras intentos fallidos de acceso (5 por cuenta e IP, con 15 minutos de bloqueo).
Almacenamiento privado por company_id/community_id, URL firmadas temporales, límite de tamaño y validación del tipo de archivo.
En implantación: Segundo factor obligatorio para administradores. En implantación: Alta de despachos solo por invitación durante el piloto.

Cifrado

TLS en tránsito. HSTS y CSP con nonce en la app; CSP estricta en la web.
Cifrado en reposo del proveedor: AES-256 en Supabase.
En implantación: Copias externas cifradas (AES-256-GCM) con la clave custodiada aparte.

Canal de WhatsApp

Verificación de firma HMAC-SHA256 de los webhooks de Meta, con comparación en tiempo constante.
Idempotencia por identificador de mensaje.
Se almacena solo la huella del contenido bruto del webhook, no el contenido completo.

Salvaguardas de automatización e IA

Respuesta automática solo con una entrada verificada y con fuente. La base de datos rechaza auto_reply sin fuente.
Derivación a una persona en los asuntos jurídicos, económicos, conflictivos o sensibles.
Aviso de asistente automático y palabra «PERSONA».
IA desactivada por defecto, global y por despacho. Si se activa:
- store:false;
- salida con JSON Schema estricto y sin reintentos;
- límite de 10 KB de contexto y de tokens;
- presupuesto por evento;
- seudonimización de teléfonos, correos, DNI/NIE, IBAN y nombres antes del envío;
- corte por contenido sensible;
- registro solo de hashes, tokens y coste, nunca del prompt.

Registro y trazabilidad

Registro de actividad por despacho, cronología por comunidad y fuente asociada a cada respuesta.
Logs técnicos con identificadores redactados.

Disponibilidad

Medidas razonables de continuidad, incluidas copias de seguridad periódicas a través del proveedor de infraestructura (cláusula 6.4 de las Condiciones).
En implantación: Copias diarias (PITR más copia externa cifrada), retención de 35 días, prueba de restauración documentada y custodio con suplente designados.

Ciclo de vida

Exportación completa con manifiesto y huellas.
Supresión por contacto y al terminar ejecutada por Bitaco dentro de los plazos de las cláusulas 9.1 y 12.
En implantación: retención automática y purga de salida, incluidos archivos y cuentas de usuario.

Organizativas

Compromisos de confidencialidad.
Acceso de soporte registrado.
Procedimiento de gestión de brechas con notificación en 48 horas.
Revisión semestral de subencargados.
Gestión de secretos en Vercel (variables Sensitive), sin claves en el repositorio.
En implantación: Rotación documentada de credenciales.
En implantación: Formación del personal en protección de datos y en alfabetización en IA.

ANEXO III · Subencargados autorizados

Ver la lista de subencargados (versión vigente: subencargados-2026-10-v7), que forma parte de este contrato en la versión vigente en la fecha de firma.

ANEXO IV · Información a los vecinos (la publica el Cliente por cuenta de la Comunidad)

IV.1 Primer mensaje automático de WhatsApp. Se envía antes de la primera respuesta automática, de nuevo a los 90 días y cuando cambia el contexto:

Texto vigente: el del aviso de IA publicado por Bitaco en su versión vigente (publicado en /aviso-ia). Bitaco puede actualizar su redacción sin cambiar este contrato siempre que siga informando, en el primer mensaje automático, de que se trata de un asistente automático (con inteligencia artificial cuando esté activada), de que se puede pedir hablar con una persona escribiendo «PERSONA» y del enlace al aviso de privacidad del Cliente.

IV.2 Aviso completo (segunda capa). Texto que la Comunidad o el despacho publica como información detallada (art. 13 RGPD), enlazado desde el primer mensaje de WhatsApp. Los datos entre corchetes los completa el despacho:

Información sobre el tratamiento de tus datos y el uso de inteligencia artificial

Responsable: tu comunidad de propietarios, representada por su administrador de fincas, [NOMBRE DEL DESPACHO]. Contacto: [CONTACTO DEL DESPACHO]. Proveedor tecnológico: Alberto Miguel Fonfria Toledo, persona física empresaria (autónomo), que opera con el nombre comercial «Bitaco Fincas» (en adelante, «Bitaco»), que actúa como encargado del despacho (subencargado del tratamiento).

Qué hacemos con tu mensaje. Cuando escribes al despacho por WhatsApp, un sistema automático clasifica y prioriza tu mensaje para orientarlo al equipo. Las respuestas automáticas que puedas recibir son textos fijos (acuses, preguntas de aclaración o confirmaciones) o el contenido de una ficha de información validada por el despacho; el sistema no redacta respuestas nuevas. El despacho responde del contenido de sus fichas. Por defecto, el canal funciona en modo asistido (una persona del despacho revisa antes de responder); el modo automático limitado solo se usa si el despacho lo activa expresamente.

Si quieres hablar con una persona, escribe PERSONA: tu consulta pasa al equipo del despacho, que te responde en su horario de atención ([HORARIO DEL DESPACHO]). Este canal no atiende emergencias: si hay un riesgo inmediato para personas o bienes, llama al 112.

Inteligencia artificial. Si el despacho activa la función de IA (está desactivada por defecto), Bitaco envía a OpenAI (su único proveedor de IA, también del asistente de soporte) solo la parte mínima necesaria del asunto, seudonimizada. El tratamiento se realiza hoy en Estados Unidos, con cláusulas contractuales tipo y, cuando la entidad receptora esté certificada, el Marco de Privacidad de Datos UE-EE. UU. OpenAI no usa estos datos para entrenar sus modelos y puede conservarlos hasta 30 días para prevención de abusos.

Tus datos. [Finalidades, base jurídica, destinatarios, conservación y derechos, según el aviso de privacidad del despacho.] Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante el despacho, y reclamar ante la AEPD (aepd.es).

Texto de esta versión (encargo-2026-10-v10)