Acuerdo de encargo del tratamiento — modelo (Stilops como encargado del tratamiento)

6 y 7: el alojamiento del correo electrónico se ha trasladado de MXroute (EE. UU.) a Hetzner (UE)).

Estado y reserva. Este es el modelo estándar que Stilops ofrece a los clientes que desean celebrar un acuerdo de encargo del tratamiento (art. 28, apartado 3, del RGPD). Ha sido redactado por el propio Stilops y no ha sido revisado por un jurista; el cliente puede proponer su propio modelo. El modelo es transparente sobre lo que Stilops puede y no puede garantizar, sobre todo en materia de subencargados (art. 6) y de transferencias internacionales (art. 7). El acuerdo se perfecciona mediante la firma de ambas partes; la publicación de este modelo no constituye una oferta que se acepte por su uso.

Partes

1. Responsable del tratamiento: [nombre del cliente], con domicilio en [dirección], KvK [número], en lo sucesivo el «Cliente».
2. Encargado del tratamiento: Stilops, con domicilio en [dirección], KvK [número], en lo sucesivo «Stilops».

Este acuerdo de encargo del tratamiento forma parte de las Condiciones Generales del portal de clientes de Stilops (versión registrada en el momento del alta) y, en caso de contradicción en materia de tratamiento de datos personales, prevalece sobre ellas.

Art. 1 — Objeto y duración

1. Stilops trata datos personales exclusivamente por encargo del Cliente, para la prestación del servicio: agentes de IA que formulan propuestas y, previa aprobación del Cliente, ejecutan tareas.
2. El acuerdo tiene vigencia mientras dure la prestación del servicio, más el plazo de conservación del art. 10.

Art. 2 — Naturaleza, finalidad, tipos de datos e interesados (Anexo 1)

Art. 3 — Instrucciones

1. Stilops trata los datos únicamente siguiendo instrucciones documentadas del Cliente. La instrucción se compone de: las Condiciones Generales, este acuerdo y los encargos que el Cliente imparta en el portal.
2. Toda ejecución con efectos requiere en el producto la aprobación expresa del Cliente. Dicha aprobación se considera una instrucción para esa única actuación.
3. Si Stilops considera que una instrucción infringe el RGPD, lo comunicará y no ejecutará la instrucción hasta que el Cliente haya decidido.
4. Base de conocimiento colectiva (solo si el Cliente la activa). Si el ajuste «Participar en la base de conocimiento colectiva» está activado, ello se considera una instrucción del Cliente para que, una vez por semana, a partir del conocimiento que sus agentes hayan adquirido sobre su organización, se extraigan conclusiones generales no atribuibles al Cliente ni a personas. Stilops evalúa manualmente cada conclusión antes de que se transmita a los agentes de otros clientes, y no incluye datos personales, nombres, direcciones ni números. Una conclusión aprobada deja de ser un dato personal; Stilops es responsable de ello por sí mismo. El ajuste está desactivado por defecto y el Cliente puede desactivarlo en cualquier momento; a partir de entonces no se extrae nada más. Las conclusiones ya aprobadas se mantienen, porque no son atribuibles al Cliente.

Art. 4 — Confidencialidad

Las personas que tienen acceso a datos personales en Stilops (a 2-9-2026: el propietario) están obligadas a guardar confidencialidad. El acceso de los agentes de IA se limita a los datos de la organización para la que han sido contratados (separación por organización en la capa de datos, con prueba de regresión).

Art. 5 — Seguridad (art. 32 del RGPD) (Anexo 2)

Stilops adopta, como mínimo:

• cifrado de los secretos de las integraciones en reposo (AES-256-GCM, clave distinta por entorno) y de todas las conexiones en tránsito (TLS);
• hash de contraseñas (scrypt), verificación en dos pasos disponible por cuenta, cookies de sesión http-only, límites de frecuencia en los intentos de inicio de sesión;
• separación de inquilinos (tenants) por identificador de organización, sandbox por ejecución para los agentes que escriben código;
• un registro de auditoría de solo adición (append-only) de cada propuesta, cada ejecución de prueba y cada decisión;
• detección de secretos en la entrada, y una parada de emergencia que detiene toda la actividad de los agentes;
• copias de seguridad cifradas y periódicas con un procedimiento de recuperación documentado; plazos de conservación conforme al documento Plazos de conservación del registro de cumplimiento.

El estado actual de cada medida figura en el registro público de cumplimiento (https://stilops.com/nalevingsregister/nl); el Cliente puede remitirse a él como prueba.

Art. 6 — Subencargados

1. El Cliente otorga autorización general para los subencargados que figuran en la lista de https://stilops.com/nalevingsregister/documenten/subverwerkers (Anexo 3). Dicha lista indica, por cada parte, si existe un acuerdo de encargo del tratamiento y dónde se lleva a cabo el tratamiento.
2. Stilops informará al Cliente al menos 30 días antes de incorporar un nuevo subencargado o de realizar una modificación sustancial, a través del portal o por correo electrónico. Dentro de ese plazo, el Cliente podrá formular una objeción motivada; si las partes no llegan a un acuerdo, el Cliente podrá resolver el contrato sin plazo de preaviso.
3. Stilops impone a sus subencargados las mismas obligaciones que las recogidas en este acuerdo, en la medida en que el subencargado lo ofrezca. Cuando no sea así, así se indica en la lista.
4. Stripe tiene un papel híbrido, no único. Como subencargado (conforme a este artículo), Stripe actúa únicamente en la medida en que ejecuta la orden de pago en nombre de Stilops (tratamiento de datos de transacciones, vinculación con cliente/factura). Para la prevención del fraude, AML/KYC y las propias obligaciones legales de Stripe como entidad de pago, Stripe determina por sí misma los fines y los medios; en esa medida, Stripe es responsable del tratamiento independiente y dicho tratamiento queda fuera de este acuerdo. El Cliente celebra este acuerdo con conocimiento de esta distinción.

Art. 7 — Transferencia fuera del EEE

1. El alojamiento y el almacenamiento del servicio, así como el alojamiento del correo electrónico de Stilops, se llevan a cabo en la UE (Hetzner, Alemania).
2. El modelo de lenguaje (Anthropic), el DNS/protección del tráfico (Cloudflare) y los pagos (Stripe) corresponden a empresas estadounidenses. Ofrecen cláusulas contractuales tipo de la UE; si Stilops las ha aceptado se indica, por cada parte, en la lista de subencargados.

Art. 8 — Violaciones de la seguridad de los datos

Stilops notificará una violación de la seguridad relativa a datos personales del Cliente sin dilación indebida y se esforzará por notificarla en un plazo de 24 horas desde su constatación, con la información del procedimiento de incidentes y violaciones de datos §5 (para clientes, en el portal: https://portal.stilops.com/portal/naleving). El Cliente decide sobre la notificación a la Autoriteit Persoonsgegevens (autoridad neerlandesa de protección de datos) y a los interesados; Stilops le prestará asistencia al respecto.

Art. 9 — Asistencia

Stilops asistirá al Cliente, a un coste razonable en la medida en que el trabajo quede fuera del servicio, en las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad: todos los datos de una organización pueden exportarse y suprimirse por organización), en una evaluación de impacto (DPIA) y en la consulta previa.

Art. 10 — Finalización del tratamiento

A la finalización del servicio, los datos del Cliente se suprimirán una vez transcurrido el plazo de conservación establecido por el Cliente (mínimo 183 días), con excepción de lo que Stilops deba conservar por ley (facturas, siete años) y de la prueba de las aceptaciones. A petición del Cliente, Stilops entregará una exportación antes de la supresión.

Art. 11 — Auditoría

1. Stilops pone a disposición la información necesaria para demostrar el cumplimiento: el registro público de cumplimiento, este modelo, los plazos de conservación, el procedimiento de incidentes (en el portal) y, a petición, los registros de log pertinentes del registro de auditoría del Cliente.
2. El Cliente podrá, una vez al año, con un preaviso de 30 días y a sus expensas, hacer realizar una auditoría por un auditor independiente sujeto a confidencialidad. Stilops podrá sustituirla por un informe independiente reciente (por ejemplo, ISAE 3402) en cuanto disponga de él — a 2-9-2026 no existe.

Art. 12 — Responsabilidad y disposiciones finales

La responsabilidad se rige por las Condiciones Generales. Es de aplicación el Derecho neerlandés; los litigios se someterán al juez competente en [partido judicial]. En caso de modificación del RGPD o del servicio, las partes adaptarán este acuerdo de común acuerdo; Stilops podrá introducir una aclaración sin previo aviso; una modificación de fondo recibirá un nuevo número de versión y un preaviso de 30 días.

Anexo 1 — Resumen del tratamiento: art. 2. Anexo 2 — Medidas de seguridad: art. 5 y el registro de cumplimiento. Anexo 3 — Subencargados: la Lista de subencargados en https://stilops.com/nalevingsregister/documenten/subverwerkers.

Firma: