Contrato de encargo del tratamiento

Versión: 2026-10-13
Se aplica a: HiText Business (planes mensual y anual y grabación gratis con hablantes)

Este contrato regula cómo tratamos, por cuenta del cliente, los datos personales que contienen las grabaciones que sube a HiText Business, conforme al artículo 28 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD») y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).

1. Partes

• Responsable del tratamiento (el «Cliente»): la persona física o jurídica titular de la cuenta de HiText Business, con los datos que indique al registrarse y al pagar.
• Encargado del tratamiento (el «Encargado»): Roberto Díaz Badra, profesional autónomo que opera con el nombre comercial Disruptive Normality, con sede en España, contacto: disruptivenormality@gmail.com.

2. Aceptación y versión

El Cliente acepta este contrato al marcar la casilla correspondiente antes de subir la grabación gratis con hablantes o antes de pagar la suscripción, lo que ocurra primero. Guardamos la versión aceptada, la fecha y un identificador seudónimo de la conexión desde la que se aceptó. Este contrato forma parte de las condiciones del servicio y prevalece sobre ellas en lo relativo a la protección de datos.

3. Objeto

El Encargado presta al Cliente un servicio en línea que, a partir de grabaciones de audio o vídeo que sube el Cliente:

• transcribe la grabación y separa las intervenciones por hablante (opción activada por defecto, que el Cliente puede desactivar para usar la transcripción normal sin hablantes);
• genera documentos con plantillas (entrevista por hablante, síntesis de varias entrevistas, acta de reunión o el formato del propio Cliente);
• guarda las transcripciones, los documentos, los proyectos, los nombres de los hablantes, el glosario y las plantillas del Cliente para que pueda consultarlos, editarlos y exportarlos;
• avisa al Cliente por correo electrónico cuando una transcripción está lista.

El Encargado solo trata los datos para prestar este servicio, siguiendo las instrucciones documentadas del Cliente. Se consideran instrucciones documentadas este contrato, el uso que el Cliente hace del servicio (subir, procesar, editar, exportar y borrar) y su configuración.

4. Duración

Este contrato dura lo mismo que la relación del Cliente con HiText Business, grabación gratis con hablantes incluida, y sigue aplicándose mientras el Encargado conserve datos del Cliente según el apartado 12.

5. Datos y personas afectadas

Tipos de datos personales:

• la voz de las personas que aparecen en las grabaciones y el contenido de lo que dicen;
• los datos que se mencionen en la conversación: nombres, cargos, datos de contacto o profesionales, opiniones y experiencias;
• los nombres que el Cliente asigna a los hablantes, los nombres de los archivos y proyectos, el glosario y las plantillas;
• las transcripciones y los documentos generados.

Personas afectadas: personas entrevistadas y entrevistadoras, asistentes y participantes en reuniones, y terceros mencionados en las grabaciones.

Datos excluidos. HiText Business no está diseñado para tratar categorías especiales de datos (artículo 9 del RGPD: datos de salud, origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona, y datos sobre la vida o la orientación sexual) ni datos relativos a condenas e infracciones penales (artículo 10 del RGPD). El Cliente se compromete a no usar el servicio para grabaciones cuyo objeto sea tratar esos datos, como consultas médicas, sesiones de terapia o asuntos penales. Si a pesar de ello aparecen de forma incidental en una grabación, el Cliente es el único responsable de contar con una base jurídica válida para tratarlos.

Separación de hablantes, no identificación. El servicio distingue las voces dentro de cada grabación para atribuir las intervenciones. No crea plantillas de voz ni compara voces entre grabaciones para identificar a personas: los nombres de los hablantes los pone el Cliente.

6. Obligaciones del Cliente

El Cliente, como responsable del tratamiento:

• decide qué graba y qué sube, y garantiza que tiene una base jurídica para hacerlo;
• informa a las personas grabadas y, cuando la ley lo exija, obtiene su consentimiento;
• atiende los derechos de las personas afectadas, con la ayuda del Encargado prevista en el apartado 10;
• no sube datos excluidos según el apartado 5;
• mantiene la seguridad de su cuenta (contraseña y acceso a su correo).

7. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos solo según las instrucciones documentadas del Cliente, también en lo relativo a las transferencias internacionales, salvo que lo exija el Derecho de la Unión o de un Estado miembro. En ese caso, informará al Cliente antes de tratar los datos, salvo que ese Derecho lo prohíba.
2. Informar inmediatamente al Cliente si considera que una instrucción infringe el RGPD u otra norma de protección de datos.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
4. Aplicar las medidas de seguridad del apartado 9.
5. Respetar las condiciones del apartado 8 para recurrir a otros encargados (subencargados).
6. Ayudar al Cliente, con medidas técnicas y organizativas apropiadas, a responder a las solicitudes de ejercicio de derechos de las personas afectadas.
7. Ayudar al Cliente a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de seguridad, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
8. Suprimir o devolver los datos al terminar el servicio, según el apartado 12.
9. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, según el apartado 13.
10. Llevar el registro de actividades de tratamiento por cuenta de terceros del artículo 30.2 del RGPD.
11. No usar los datos del Cliente para fines propios, no venderlos ni cederlos, y no usarlos para entrenar modelos de inteligencia artificial, ni permitir que lo hagan sus subencargados.

El Encargado puede tratar datos técnicos y de uso agregados o asociados a la cuenta (por ejemplo, la duración de los archivos, el número de documentos o los errores del servicio) para facturar, controlar la cuota, prevenir abusos y mantener la seguridad del servicio, sin acceder para ello al contenido de las grabaciones.

8. Subencargados

El Cliente autoriza de forma general al Encargado a recurrir a subencargados. Los que intervienen a la fecha de esta versión son:

• Google Cloud y Firebase (Google Ireland Limited y Google LLC): autenticación, base de datos y almacenamiento de archivos, alojados en la Unión Europea, y funciones de servidor que procesan los archivos y las peticiones, que se ejecutan en Estados Unidos.
• Google Vertex AI (Google Ireland Limited y Google LLC): transcripción con separación de hablantes mediante modelos Gemini, en la ubicación multirregional de la Unión Europea.
• Deepgram (Deepgram, Inc.): transcripción de respaldo cuando el servicio principal falla y de los archivos de más de 60 minutos, mediante su punto de acceso de la Unión Europea y con la opción de no usar los datos para mejorar sus modelos.
• Replicate (Replicate, Inc.): transcripción normal (sin hablantes) con el modelo Whisper, cuando el Cliente desactiva la separación por hablantes o transcribe un enlace de vídeo. Estados Unidos.
• Firecrawl: obtención de la pista de audio cuando el Cliente transcribe un enlace de vídeo. Estados Unidos.
• OpenAI (servicio de API para empresas): redacción de los documentos a partir de la transcripción y, en la transcripción normal, detección de idioma, traducción y resumen. Puede tratar los datos en Estados Unidos.
• Resend (Plus Five Five, Inc.): envío de los avisos por correo electrónico. Recibe la dirección de correo del Cliente y el nombre del archivo, nunca el texto de la transcripción. Estados Unidos.
• Stripe (Stripe Payments Europe, Limited): cobro de la suscripción y facturas. Trata los datos de facturación del Cliente, no el contenido de las grabaciones.
• RevenueCat (RevenueCat, Inc.): estado de la suscripción para desbloquear el plan en la web y en la app. Recibe un identificador de la cuenta y los datos de la suscripción, no el contenido de las grabaciones. Estados Unidos.

El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y sigue siendo responsable ante el Cliente de su cumplimiento.

Cambios. El Encargado avisará al Cliente con al menos 15 días de antelación, por correo electrónico o con un aviso en el servicio, antes de añadir o sustituir un subencargado. Si el Cliente se opone por motivos razonables de protección de datos, puede cancelar la suscripción antes de que el cambio se aplique y pedir la supresión de sus datos.

9. Medidas de seguridad

El Encargado aplica, como mínimo, estas medidas, teniendo en cuenta el estado de la técnica, el coste y los riesgos del tratamiento:

• cifrado de las comunicaciones (HTTPS/TLS) y cifrado de los datos almacenados que ofrece Google Cloud;
• acceso a los datos de cada cuenta limitado a su titular mediante reglas de seguridad por usuario, y acceso del servidor con cuentas de servicio de privilegios mínimos;
• peticiones firmadas entre los servicios del Encargado;
• borrado automático de las grabaciones según el apartado 11;
• acceso a los sistemas limitado al personal del Encargado que lo necesita;
• revisión de las medidas cuando cambia el servicio o se detecta una incidencia.

10. Derechos de las personas afectadas

Si una persona afectada se dirige al Encargado para ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento o portabilidad sobre datos que trata por cuenta del Cliente, el Encargado lo comunicará al Cliente sin dilación indebida y, como tarde, en 5 días hábiles, sin responder él mismo a la solicitud salvo instrucción del Cliente. El servicio permite al Cliente consultar, exportar, corregir y borrar sus archivos y documentos por sí mismo.

11. Conservación y borrado de las grabaciones

• Archivo original de audio o vídeo: se borra al terminar la transcripción. Si el proceso falla, una regla automática lo elimina como tarde a los 7 días de subirlo.
• Transcripciones, documentos, proyectos y plantillas: se conservan en la cuenta del Cliente mientras este no los borre. El Cliente puede borrar cada archivo, con sus documentos, o todos sus datos desde los ajustes de la cuenta.
• Copias de los subencargados: los proveedores de transcripción y de redacción tratan el contenido solo durante el procesamiento y pueden conservarlo temporalmente según sus condiciones para empresas, por ejemplo para prevenir abusos, sin usarlo para entrenar modelos.

12. Fin del servicio: devolución y supresión

Al terminar la suscripción, o después de usar la grabación gratis, el Cliente puede seguir entrando en su cuenta para consultar y exportar sus documentos, y borrarlos cuando quiera. Si el Cliente lo pide por escrito, el Encargado suprimirá todos sus datos en un plazo máximo de 30 días. Si no lo pide, el Encargado suprimirá los datos de la cuenta cuando pasen 12 meses sin actividad. Se exceptúan los datos que el Encargado deba conservar por obligación legal, como los de facturación, que se conservan bloqueados durante los plazos legales.

13. Información y auditorías

El Encargado pondrá a disposición del Cliente, cuando lo pida, la información necesaria para demostrar el cumplimiento de este contrato, en primer lugar mediante documentación y respuestas por escrito. Si no fuera suficiente, el Cliente podrá realizar una auditoría, como máximo una vez al año, con un preaviso de 30 días, a su cargo, sin acceder a datos de otros clientes y con el compromiso de confidencialidad del auditor.

14. Violaciones de la seguridad de los datos

Si el Encargado tiene conocimiento de una violación de la seguridad que afecte a datos del Cliente, se lo notificará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas, por correo electrónico a la dirección de la cuenta. La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las posibles consecuencias, las medidas adoptadas o propuestas y un punto de contacto.

15. Transferencias internacionales

Algunos subencargados tratan datos fuera del Espacio Económico Europeo (en particular, en Estados Unidos), según se indica en el apartado 8. Esas transferencias se hacen con garantías adecuadas conforme al capítulo V del RGPD: la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. y/o las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), con las medidas complementarias que correspondan. El Cliente puede pedir más información sobre estas garantías.

16. Responsabilidad

Cada parte responde de sus obligaciones conforme al artículo 82 del RGPD. Si el Encargado trata los datos para fines propios o infringe este contrato, será considerado responsable del tratamiento en lo que se refiere a ese tratamiento.

17. Cambios en este contrato

El Encargado puede actualizar este contrato para adaptarlo a cambios legales o del servicio. Publicará cada versión con su fecha en esta página y avisará al Cliente por correo electrónico con al menos 15 días de antelación si los cambios son importantes. Si el Cliente no está de acuerdo, puede cancelar la suscripción antes de que entren en vigor.

18. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Las Palmas de Gran Canaria, salvo que la ley establezca otro fuero imperativo.

19. Contacto

Para cualquier cuestión sobre este contrato o sobre protección de datos: disruptivenormality@gmail.com.