Contrato de encargado del tratamiento

CONTRATO DE ENCARGO DEL TRATAMIENTO

conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD)

JAAN BV – todos los servicios (alojamiento web, VPS y servidores dedicados, Smsbox, 2mail, desarrollo a medida)

Versión: 2.6 – 27 de octubre de 2026

Encargado del tratamiento: JAAN BV (Jaan Internet Solutions), domicilio social en Zelzatestraat 61, 9960 Assenede, Bélgica – KBO 0894.248.245 – privacy@jaan.be – 09 328 03 83

Responsable del tratamiento: el Cliente, tal como se identifica en el Contrato Principal, en el pedido o en la cuenta de cliente.

Artículo 1 – Ámbito de aplicación y orden de prelación

1.1 El presente Contrato de Encargo del Tratamiento forma parte integrante de todo contrato celebrado entre JAAN BV y el Cliente para la prestación de Servicios (el «Contrato Principal»), incluidas las condiciones generales, los pedidos y las descripciones de servicio de JAAN BV.

1.2 Se aplica a todo tratamiento de Datos Personales del Cliente realizado por JAAN BV como encargado del tratamiento en el marco de los Servicios, con independencia del Servicio que contrate el Cliente. El Anexo A describe el tratamiento por Servicio.

1.3 En caso de contradicción entre el presente Contrato de Encargo del Tratamiento y el Contrato Principal, prevalecerá el presente Contrato de Encargo del Tratamiento en lo que respecta al tratamiento de Datos Personales. Si las partes han firmado las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915, dichas cláusulas prevalecerán y los Anexos del presente documento servirán para completar los Anexos II a IV de las mismas.

Artículo 2 – Definiciones

2.1 «Servicios»: los servicios que JAAN BV presta al Cliente, entre ellos el alojamiento web, los servidores virtuales (VPS) y los servidores dedicados, los servicios de mensajería de Smsbox (SMS, WhatsApp Business y mensajes de voz mediante texto a voz [text-to-speech]), los servicios de correo electrónico de 2mail (marketing por correo electrónico y relé SMTP) y el desarrollo a medida.

2.2 «Datos Personales del Cliente»: todos los datos personales que JAAN BV trata por cuenta del Cliente para prestar los Servicios.

2.3 «Subencargado»: todo tercero al que JAAN BV recurra para tratar Datos Personales del Cliente con vistas a la prestación de los Servicios.

2.4 «Servicio de Transmisión»: todo servicio de un operador de telecomunicaciones, agregador de SMS, plataforma de mensajería de un tercero o servidor receptor de correo electrónico que sirve exclusivamente para transmitir mensajes hacia o desde el destinatario. Los proveedores de Servicios de Transmisión no son Subencargados de JAAN BV ni del Cliente (véanse el artículo 7.6 y el Anexo D).

2.5 «Violación de Datos»: una violación de la seguridad de los datos personales en el sentido del artículo 4, punto 12, del RGPD.

2.6 Los términos como «responsable del tratamiento», «encargado del tratamiento», «interesado», «tratamiento» y «autoridad de control» tienen el significado que les atribuye el RGPD.

Artículo 3 – Funciones de las partes

3.1 El Cliente es el responsable del tratamiento de los Datos Personales del Cliente; JAAN BV es el encargado del tratamiento. Si el propio Cliente actúa como encargado del tratamiento por cuenta de un tercero, JAAN BV será subencargado y el Cliente garantiza que su propio contrato de encargo del tratamiento permite recurrir a JAAN BV.

3.2 JAAN BV es responsable del tratamiento independiente de los datos que trata para la gestión de la relación con el cliente: datos de la cuenta, personas de contacto, facturación, soporte, seguridad y prevención del fraude de su propia infraestructura, y cumplimiento de obligaciones legales. Dicho tratamiento se rige por la declaración de privacidad de JAAN BV.

3.3 El Cliente garantiza que dispone de una base jurídica para el tratamiento, que informa correctamente a los interesados y que no encomienda a JAAN BV el tratamiento de datos contrario a la ley, a la política de uso razonable o a las condiciones específicas de JAAN BV. Para los mensajes comerciales enviados a través de Smsbox o 2mail, el Cliente dispone del consentimiento exigido de los destinatarios y aporta la prueba del mismo a solicitud de JAAN BV.

Artículo 4 – Instrucciones

4.1 JAAN BV trata los Datos Personales del Cliente exclusivamente siguiendo instrucciones documentadas del Cliente y para prestar los Servicios. Tienen la consideración de instrucciones el Contrato Principal, el presente Contrato de Encargo del Tratamiento, la configuración de los Servicios por parte del Cliente (panel de control, API, ajustes) y las solicitudes de soporte por escrito.

4.2 Si JAAN BV considera que una instrucción infringe el RGPD u otra normativa aplicable, informará de ello inmediatamente al Cliente y podrá suspender su ejecución hasta que la instrucción se haya modificado.

4.3 Si JAAN BV está legalmente obligada a realizar un tratamiento, informará previamente al Cliente de dicha obligación, salvo que la ley lo prohíba por razones importantes de interés público.

Artículo 5 – Confidencialidad

5.1 Se aplica el deber de confidencialidad del artículo 14 de las condiciones generales de JAAN BV. JAAN BV garantiza que únicamente los empleados autorizados a tal efecto tengan acceso a los Datos Personales del Cliente, en la medida necesaria para la prestación de los Servicios, y que estén sujetos a un deber de confidencialidad contractual o legal.

Artículo 6 – Seguridad

6.1 JAAN BV adopta medidas técnicas y organizativas apropiadas en el sentido del artículo 32 del RGPD, tal como se describen en el Anexo B. JAAN BV puede adaptar dichas medidas, siempre que el nivel de seguridad no disminuya.

6.2 El Cliente sigue siendo responsable de la seguridad en su ámbito: la gestión de sus contraseñas, claves API y usuarios, la seguridad del software y de los datos que coloca en una cuenta de alojamiento, un VPS o un servidor dedicado (en caso de gestión administrada [managed]: las aplicaciones y los datos por encima del sistema operativo), y la decisión de enviar o no datos sensibles a través de los Servicios.

Artículo 7 – Subencargados

7.1 El Cliente otorga a JAAN BV una autorización general por escrito para recurrir a Subencargados. Los Subencargados que intervienen en el momento de la celebración del presente Contrato de Encargo del Tratamiento figuran, por Servicio, en el Anexo C.

7.2 JAAN BV informa al Cliente con una antelación mínima de treinta (30) días, por correo electrónico a la dirección de contacto registrada en JAAN BV, de la incorporación o sustitución de un Subencargado. La lista actualizada figura en todo momento en el Anexo C del presente Contrato de Encargo del Tratamiento.

7.3 El Cliente puede oponerse por motivos razonables y justificados en un plazo de diez (10) días hábiles desde dicha notificación. En tal caso, las partes buscarán de buena fe una solución. Si no lo consiguen, el Cliente podrá resolver la parte afectada de los Servicios sin indemnización por resolución.

7.4 JAAN BV impone por escrito a cada Subencargado obligaciones al menos equivalentes a las del presente Contrato de Encargo del Tratamiento y sigue siendo plenamente responsable frente al Cliente del cumplimiento por parte de sus Subencargados.

7.5 Los proveedores de software cuyas licencias JAAN BV revende o utiliza (como Microsoft SPLA) no tratan Datos Personales del Cliente y no son Subencargados.

7.6 Los proveedores de Servicios de Transmisión no son Subencargados. Se limitan a transmitir el contenido de un mensaje a la red o al buzón del destinatario, sin tratar dicho contenido, y están sujetos al secreto de las telecomunicaciones o actúan como responsables del tratamiento independientes para su propia red. JAAN BV elige y cambia libremente a estos proveedores en función del destino, la disponibilidad y la calidad de entrega; las rutas utilizadas forman parte de los secretos empresariales de JAAN BV y no se comunican. El Anexo D lo explica.

Artículo 8 – Transferencias fuera del EEE

8.1 JAAN BV trata los Datos Personales del Cliente en Bélgica. No transfiere Datos Personales del Cliente a países situados fuera del Espacio Económico Europeo, salvo cuando el Anexo C lo indique para un Servicio concreto y con las garantías adecuadas allí señaladas (decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. [EU-U.S. Data Privacy Framework] o cláusulas contractuales tipo).

8.2 El Cliente reconoce que el destinatario de un mensaje puede encontrarse fuera del EEE y que, en tal caso, la entrega de dicho mensaje constituye una transferencia cuya base jurídica determina el Cliente como responsable del tratamiento.

Artículo 9 – Asistencia en relación con los derechos de los interesados

9.1 JAAN BV ayuda al Cliente, teniendo en cuenta la naturaleza del tratamiento, a atender las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). El Cliente puede tramitar él mismo la mayoría de las solicitudes a través del panel de control o de la API del Servicio; en los demás casos, JAAN BV presta asistencia en un plazo de diez (10) días hábiles desde la solicitud.

9.2 Si JAAN BV recibe directamente de un interesado una solicitud relativa a Datos Personales del Cliente, la remitirá al Cliente sin dilación indebida y no la responderá ella misma, salvo que el Cliente se lo pida.

Artículo 10 – Violaciones de Datos

10.1 JAAN BV notifica toda Violación de Datos que afecte a Datos Personales del Cliente sin dilación indebida y, a más tardar, dentro de las veinticuatro (24) horas siguientes a haber tenido conocimiento de ella, por correo electrónico a la dirección de contacto del Cliente registrada en JAAN BV.

10.2 La notificación incluye, en la medida en que se conozcan: la naturaleza de la Violación de Datos, las categorías y el número aproximado de interesados y de datos afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que aún no esté disponible se facilitará posteriormente de forma gradual.

10.3 JAAN BV no notifica ella misma una Violación de Datos a la autoridad de control ni a los interesados en nombre del Cliente, salvo que el Cliente lo solicite por escrito o la ley obligue a JAAN BV a hacerlo.

Artículo 11 – Evaluación de impacto relativa a la protección de datos

11.1 JAAN BV presta al Cliente, a petición de este, una asistencia razonable en la realización de una evaluación de impacto relativa a la protección de datos (EIPD) y en una eventual consulta previa a la autoridad de control, en la medida en que estas se refieran a los Servicios y sobre la base de la información de que disponga JAAN BV.

Artículo 12 – Información y auditoría

12.1 JAAN BV pone a disposición del Cliente, a petición de este, toda la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y del presente Contrato de Encargo del Tratamiento, incluida la descripción de las medidas del Anexo B y, si se dispone de ellos, certificados o informes de auditoría de terceros.

12.2 Si dicha información no resulta razonablemente suficiente, el Cliente, o un auditor independiente designado por él y sujeto a confidencialidad, podrá realizar una auditoría como máximo una vez al año, previa notificación por escrito con una antelación mínima de treinta (30) días, en horario de oficina y sin perturbar la prestación de servicios a otros clientes ni acceder a los datos de estos. En caso de sospecha de Violación de Datos o por orden de la autoridad de control se aplicará un plazo más breve.

12.3 Cada parte asume sus propios costes. Si la auditoría requiere más de un día hábil de JAAN BV, JAAN BV podrá facturar el tiempo adicional a su tarifa horaria habitual, salvo que la auditoría ponga de manifiesto un incumplimiento por parte de JAAN BV.

Artículo 13 – Devolución y supresión

13.1 Durante la vigencia, el Cliente puede exportar él mismo sus datos en todo momento a través del Servicio (copias de seguridad, volcados de bases de datos, exportaciones de listas de contactos y registros de mensajes) o solicitar una exportación a la tarifa vigente.

13.2 Tras la finalización del Contrato Principal, o del Servicio afectado, JAAN BV suprime todos los Datos Personales del Cliente, incluidas las copias de seguridad según su rotación normal, en un plazo de noventa (90) días, salvo que el Cliente solicite por escrito su devolución antes de esa fecha o exista una obligación legal de conservación. A petición del Cliente, JAAN BV confirma la supresión por escrito.

Artículo 14 – Responsabilidad

14.1 El régimen de responsabilidad del Contrato Principal se aplica al presente Contrato de Encargo del Tratamiento, sin perjuicio del artículo 82 del RGPD y de las disposiciones imperativas del RGPD que no pueden excluirse contractualmente.

Artículo 15 – Duración

15.1 El presente Contrato de Encargo del Tratamiento estará vigente mientras JAAN BV trate Datos Personales del Cliente y finalizará automáticamente tras la supresión o la devolución a que se refiere el artículo 13.

Artículo 16 – Derecho aplicable y tribunales competentes

16.1 El presente Contrato de Encargo del Tratamiento se rige por el Derecho belga. Los tribunales del distrito judicial de Flandes Oriental, sección de Gante, tendrán competencia exclusiva, sin perjuicio del derecho del Cliente y de los interesados a presentar una reclamación ante la Autoridad belga de Protección de Datos (GBA/APD).

Anexo A – Descripción del tratamiento por Servicio

Común a todos los Servicios: la duración del tratamiento es la vigencia del Contrato Principal más el plazo de supresión del artículo 13; el tratamiento comprende el almacenamiento, la transmisión, la copia de seguridad y la gestión técnica; no se prevé el tratamiento de categorías especiales de datos personales, salvo que el Cliente las trate él mismo a través del Servicio, en cuyo caso responde él mismo de ello.

Anexo B – Medidas técnicas y organizativas

B.1 General (todos los Servicios)

• Ubicaciones: todos los sistemas se encuentran en Bélgica, en LCL Datacenter en Diegem y en el centro de datos de JAAN BV en Zelzate. El centro de datos de JAAN BV en Zelzate está protegido con control de acceso limitado al personal autorizado, videovigilancia y un sistema de alarma. LCL Datacenter en Diegem es un centro de colocación profesional con vigilancia 24/7, control de acceso, protección contra incendios y alimentación eléctrica y refrigeración redundantes.
• Red: cortafuegos a nivel de infraestructura y de hipervisor; aislamiento de red entre los entornos de los clientes (Proxmox VE); tráfico de administración separado del tráfico de los clientes; tráfico hacia y desde los Servicios cifrado con TLS.
• Gestión de accesos: cuentas personales con privilegios mínimos; acceso de administración exclusivamente a través de VPN y claves SSH; revisión periódica de los derechos de acceso; revocación inmediata en caso de baja del empleado; supervisión continua contra el fraude y el abuso en la pasarela de Smsbox, con bloqueo de los accesos sospechosos.
• Continuidad: bases de datos con replicación maestro-maestro en dos ubicaciones; copias de seguridad diarias con un plazo de conservación de catorce (14) días en un servidor de copias de seguridad independiente.
• Gestión de parches: las actualizaciones de seguridad de los sistemas operativos y del software de plataforma se aplican semanalmente; las vulnerabilidades críticas, inmediatamente después de que esté disponible un parche.
• Registro y supervisión: los registros del sistema, de acceso y de aplicaciones se limitan, por aplicación, a lo necesario para la seguridad, la depuración de errores y las obligaciones legales (véase el Anexo E); supervisión de la disponibilidad y de comportamientos anómalos.
• Malware y spam: filtrado de virus y spam en la infraestructura de correo; prevención automatizada de intrusiones con cortafuegos, fail2ban y detección de fraude; JAAN BV emplea todos los medios razonables para lograr la máxima seguridad de su infraestructura y, por motivos de seguridad, no hace públicos los medios de detección concretos.
• Personal: obligación de confidencialidad en los contratos de trabajo y de prestación de servicios; principio de necesidad de conocer (need-to-know).
• Gestión de incidentes: procedimiento documentado para la detección, contención y notificación de incidentes de seguridad (véase el artículo 10); los incidentes significativos se notifican al Centro de Ciberseguridad de Bélgica conforme a la ley NIS2 de 26 de abril de 2024; mecanismo de notificación de contenidos ilícitos conforme a la Ley de Servicios Digitales (Digital Services Act).
• Supresión: borrado seguro de los soportes de datos al retirarlos del servicio; supresión de los datos de los clientes conforme al artículo 13.

B.2 Alojamiento web

• Separación de las cuentas de cliente a nivel de sistema operativo y de servidor web (cuentas de SiteWorx con usuario propio).
• Tráfico de correo protegido con TLS, compatibilidad con SPF/DKIM/DMARC; detección automatizada de malware y scripts maliciosos en las cuentas de cliente, con notificación al Cliente cuando se detecten.

B.3 VPS y servidores dedicados

• VPS: aislamiento completo de las máquinas virtuales en el hipervisor. Servidor dedicado: servidor físico de uso exclusivo del Cliente, en el centro de datos de JAAN BV.
• No administrado (unmanaged): el Cliente gestiona él mismo el sistema operativo y los datos y es responsable de la seguridad dentro del VPS.
• Administrado (managed): JAAN BV gestiona el sistema operativo conforme a las medidas de B.1 (actualizaciones de seguridad semanales, cortafuegos, fail2ban, supervisión, acceso de administración mediante VPN y claves SSH). El acceso de administración solo se utiliza para el mantenimiento, la seguridad y el soporte a petición del Cliente; el Cliente sigue siendo responsable de sus aplicaciones y datos.
• Las copias de seguridad del servidor completo (diarias o semanales, en un servidor de copias de seguridad independiente) y, para los VPS, las instantáneas de disco (1× o 2× al día, en el hipervisor) son opciones independientes para servidores administrados y no administrados; en cada caso se conservan las cuatro (4) últimas. Sin estas opciones, el Cliente se encarga él mismo de sus copias de seguridad.

B.4 Smsbox

• Inicio de sesión con cuentas personales; compatibilidad con passkeys/WebAuthn; sesiones seguras; acceso a la API con claves por cuenta.
• Content Security Policy con nonces; todas las conexiones mediante HTTPS.
• Mensajes de voz: solo salientes, generados a partir de texto en el momento del envío; no se realizan grabaciones de audio del destinatario ni se conservan archivos de audio; solo se conservan el texto, el número y el estado de la llamada, durante el mismo plazo que los SMS.
• La baja mediante STOP solo es posible cuando el Cliente ha activado la posibilidad de respuesta; en ese caso, el envío se realiza a través del shortcode 8676 (Bélgica) alquilado por JAAN BV y las respuestas STOP se incorporan automáticamente a una lista de bloqueo por cuenta. En todos los demás casos, las solicitudes STOP son tratadas y gestionadas por el propio operador móvil del destinatario, en la medida en que este lo admita; JAAN BV no tiene acceso a esas listas. Además, el Cliente prevé él mismo una posibilidad de baja en sus mensajes. Minimización de datos: solo se conservan el número, el contenido, el estado y la hora.
• El contenido de los mensajes, los informes de entrega y los registros correspondientes se conservan durante trece (13) meses y, a continuación, se suprimen o anonimizan automáticamente (véase el Anexo E); la conservación en los Servicios de Transmisión se configura lo más breve posible.

B.5 2mail

• Envío a través de la infraestructura Postfix propia de JAAN BV con TLS; limitación de velocidad por dominio y calentamiento de IP (IP warm-up); SPF, DKIM y DMARC.
• Tratamiento automático de rebotes y quejas; las bajas se incorporan inmediatamente a una lista de bloqueo que se sincroniza con los servidores de correo.
• Los datos de seguimiento (aperturas, clics) se conservan conforme al Anexo E; las listas de contactos se suprimen en cuanto el Cliente las elimina o conforme al artículo 13.

Anexo C – Subencargados

Esta lista recoge los Subencargados en el sentido del artículo 2.3. No figuran en ella los proveedores de Servicios de Transmisión (artículos 2.4 y 7.6) ni los licenciantes de software (artículo 7.5). Esta lista constituye información empresarial confidencial y solo puede utilizarse para el cumplimiento del RGPD por parte del Cliente.

Los proveedores de conectividad de los centros de datos (Destiny, Telenet) prestan exclusivamente transporte de internet y no son Subencargados. Google Analytics solo se utiliza en los sitios web públicos de JAAN BV, para los que la propia JAAN BV es responsable del tratamiento, y no en los portales de clientes. Última actualización: 24 de octubre de 2026.

Anexo D – Aclaración sobre los Servicios de Transmisión

¿Por qué no figuran los operadores de telecomunicaciones, los agregadores de SMS y los servidores de correo receptores en la lista de Subencargados?

Un mensaje que el Cliente envía a través de Smsbox o 2mail debe entregarse físicamente en la red móvil o en el buzón del destinatario. Para ello, el mensaje pasa por redes de terceros: los operadores de telecomunicaciones y sus agregadores en el caso de los SMS, la plataforma de Meta en el caso de WhatsApp, y el servidor de correo del destinatario (por ejemplo, Microsoft, Google o el servidor de correo propio de una empresa) en el caso del correo electrónico.

Estas partes no tratan el contenido del mensaje por cuenta del Cliente. Se limitan a transmitirlo, del mismo modo que el servicio postal entrega una carta. Además, los operadores de telecomunicaciones están sujetos al secreto de las telecomunicaciones y no pueden consultar el contenido. Los servidores de correo receptores son gestionados por el destinatario o por su propio proveedor, al margen de cualquier instrucción del Cliente o de JAAN BV. Por ello actúan como mero conducto o como responsables del tratamiento independientes para su propia red, y no como encargados ni subencargados del tratamiento en el sentido del artículo 28 del RGPD. Este enfoque es habitual en el sector de los servicios de comunicación.

Meta (WhatsApp Business Platform) constituye una excepción: Meta conserva y trata los mensajes en su plataforma por encargo del usuario empresarial y, por ello, sí figura como Subencargado en el Anexo C.

La elección de las rutas de transmisión por destino es un secreto empresarial de JAAN BV y no forma parte de la información facilitada en virtud del presente Contrato de Encargo del Tratamiento. JAAN BV garantiza que todo proveedor utilizado está sujeto al secreto de las telecomunicaciones o a obligaciones contractuales de confidencialidad, y que los mensajes destinados a destinatarios dentro del EEE se entregan a través de proveedores establecidos en el EEE.

Anexo E – Plazos de conservación

Estos plazos se aplican a los Datos Personales del Cliente durante la vigencia. Tras la finalización del Servicio se aplica el artículo 13 (supresión en un plazo de 90 días). Los mismos plazos figuran en jaan.be/data-retentie.