Acuerdo de encargo del tratamiento

1. Partes y roles

El cliente de Mythos App (la organización titular del espacio) actúa como responsable del tratamiento de los datos personales que introduce en el servicio (clientes, contactos, documentos, etc.). Chimeno Software actúa como encargado respecto de esos datos, al prestar Mythos App. Respecto de las cuentas de usuario del SaaS, la facturación del plan y la seguridad de la plataforma, Chimeno Software puede actuar también como responsable, según se describe en la política de privacidad.

2. Objeto y duración

El encargo consiste en alojar, almacenar, transmitir y tratar los datos del cliente únicamente para prestar Mythos App (asistente comercial B2B, facturación, gastos, inventario y funciones relacionadas), durante la vigencia del contrato de servicio y los plazos legales de conservación aplicables.

3. Instrucciones

El encargado solo tratará los datos siguiendo las instrucciones documentadas del responsable (uso del producto, configuración y solicitudes por escrito a chimeno.software@gmail.com), salvo obligación legal en contrario. No se utilizarán los datos del tenant para finalidades ajenas al servicio.

4. Subencargados autorizados

El responsable autoriza el uso de los siguientes subencargados / proveedores necesarios para el servicio (ubicación indicativa):

• Supabase — Postgres, Auth, Storage — UE (Fráncfort).
• Vercel — hosting de la aplicación.
• Sentry — monitorización de errores — ingestión DE/UE.
• PostHog — analítica de producto (UE) — solo si el usuario final consiente. La cookie de analítica se deposita en el dominio de Mythos App, no en posthog.com; los eventos se envían al proyecto EU de PostHog.
• Resend — correo transaccional.
• Stripe — pagos de la suscripción Mythos.
• Upstash — Redis (rate limiting / ops), sin caché de datos de negocio del tenant.

Cualquier cambio material de subencargados se comunicará con antelación razonable (p. ej. vía correo o aviso en el producto), pudiendo el responsable oponerse por motivos legítimos de protección de datos.

5. Inteligencia artificial (LLM)

Bloqueo vigente: Mythos App no envía datos personales de clientes del tenant a proveedores de modelos de lenguaje (p. ej. Anthropic / OpenAI) mientras no exista un DPA (u equivalente Art. 28) firmado o aceptado con dicho proveedor y una base jurídica adecuada. La pantalla de asistente IA permanece como placeholder sin llamadas a modelos.

6. Seguridad y brechas

El encargado aplicará medidas técnicas y organizativas adecuadas (control de acceso, cifrado en tránsito, aislamiento multi-tenant mediante RLS, registro de incidencias). Ante una brecha de seguridad que afecte a datos personales, se seguirá el procedimiento interno de notificación (orientado al plazo de 72 horas ante la AEPD cuando proceda) y se informará al responsable sin dilación indebida.

7. Asistencia, devolución y destrucción

El encargado asistirá al responsable, en la medida de lo posible, en el ejercicio de derechos de los interesados y en evaluaciones de impacto cuando corresponda. Al terminar el servicio, a elección del responsable, se devolverán o destruirán/anonimizarán los datos personales del tenant, salvo obligación legal de conservación (p. ej. facturas). La vía operativa de exportación al darse de baja se describe en los términos y condiciones.

8. Contacto

Chimeno Software — chimeno.software@gmail.com. Este documento es el anexo de encargo aplicable al uso de Mythos App; un contrato firmado con anexo DPA extendido puede complementar estas cláusulas cuando el cliente lo requiera.