Encargo de tratamiento

Última actualización: 15 de octubre de 2026

Contrato de encargo de tratamiento según el artículo 28 del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de uso y se acepta al dar de alta un negocio. Si necesitas firmarlo aparte, escríbenos a [email protected].

1. Las partes

• Responsable del tratamiento: el negocio que se da de alta en Pathing.
• Encargado del tratamiento: Andrés Rodríguez, titular de Pathing (pathing.app), contacto [email protected].

2. Objeto, duración y finalidad

El encargado trata los datos solo para prestar al negocio el servicio de Pathing: llevar sus trabajos paso a paso, sus clientes, proveedores y colaboradores, sus citas y materiales, y los avisos que el negocio decide mandar. El encargo dura mientras el negocio use el servicio.

3. Datos y personas afectadas

• Personas: los clientes, proveedores y colaboradores del negocio, y su equipo.
• Datos: los que el negocio decida guardar: nombre y datos de contacto, los trabajos o pedidos con sus pasos, fechas, importes cobrados y pendientes, los campos que el propio negocio cree (por ejemplo, medidas o detalles de un encargo), notas, mensajes enviados, fotos y adjuntos, y el registro de quién cambió qué.
• Datos de categoría especial: Pathing no es una historia clínica. Si el negocio guarda datos de salud (por ejemplo, el tratamiento de un paciente o las alergias de un cliente), debe tener base legal para hacerlo, guardar solo lo imprescindible y no enseñárselo a colaboradores de fuera. A esos datos se les aplican las mismas medidas del punto 4.

4. Obligaciones del encargado

1. Tratar los datos solo siguiendo las instrucciones del negocio, que son el uso que el negocio hace de la app, también en cuanto a transferencias fuera del Espacio Económico Europeo (solo las del punto 5). Si una instrucción le parece contraria a la ley, lo dirá. Si una ley le obligara a tratar los datos de otra forma, se lo dirá al negocio antes, salvo que esa ley lo prohíba.
2. No usar los datos para nada distinto del servicio, ni cederlos, salvo a los subencargados del punto 5 o por obligación legal.
3. Asegurarse de que quien acceda a los datos por su parte está obligado a guardar confidencialidad.
4. Aplicar medidas de seguridad adecuadas al riesgo (artículo 32 del RGPD), entre ellas:
   • cifrado de las comunicaciones (HTTPS) y datos alojados en la Unión Europea;
   • cada negocio, aislado del resto en la base de datos, de forma que nadie de otro negocio puede leer ni cambiar sus datos;
   • roles por negocio, y colaboradores de fuera que solo ven los trabajos que se les mandan, con los datos que el negocio marque;
   • verificación en dos pasos, llaves de acceso y volver a confirmar la identidad antes de lo delicado;
   • aviso por correo a cada persona cuando se entra en su cuenta desde un dispositivo nuevo, con un botón para cerrar todas sus sesiones;
   • registro de quién cambió qué; lo que entra en el circuito no se borra, se anula o se archiva;
   • copias de seguridad diarias de la base de datos, cifradas, que se guardan 90 días y se prueba cada semana que se pueden recuperar.
5. Ayudar al negocio a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación y portabilidad), y pasarle cualquier petición que le llegue directamente.
6. Avisar al negocio sin dilación indebida, y en todo caso en menos de 72 horas desde que lo sepa, de cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que el negocio pueda notificarla si corresponde.
7. Ayudar al negocio, en lo que esté a su alcance, con las evaluaciones de impacto y consultas a la autoridad de control.
8. Poner a disposición del negocio la información necesaria para demostrar que cumple este encargo y permitir las auditorías razonables que el negocio pida.

5. Subencargados

El negocio autoriza a usar estos proveedores, que tratan los datos solo para prestar el servicio y con las mismas obligaciones:

Si se añade o cambia alguno, se avisará con al menos 30 días de antelación, y el negocio podrá oponerse y darse de baja sin coste. El encargado impone a cada subencargado las mismas obligaciones de este encargo y responde ante el negocio de lo que haga (artículo 28.4 del RGPD).

Si alguien del negocio conecta Claude con su cuenta, o el negocio manda un mensaje por WhatsApp desde su propio teléfono, lo hace por decisión del negocio; ni Anthropic ni WhatsApp son subencargados de Pathing (ver la política de privacidad).

6. Al terminar

Cuando el negocio deje el servicio, decide si sus datos se le devuelven (en un formato abierto), se entregan a otro proveedor o se borran. El encargado lo hará en los 30 días siguientes; de las copias de seguridad desaparecen en 90 días como mucho, cuando se renuevan. Si una ley obliga a conservar algún dato, se devuelve al negocio, que lo conservará. El encargado solo podrá guardar, bloqueado, lo necesario mientras puedan derivarse responsabilidades de su relación con el negocio (artículo 33 de la LOPDGDD).

7. Lo que corresponde al negocio

• Tener base legal para tratar los datos de sus clientes, proveedores y equipo, y darles la información que pide el RGPD.
• Decidir quién entra en Pathing, con qué rol, y qué ve cada colaborador de fuera.
• Decidir, y decirle a su equipo, si se puede conectar Claude con las cuentas del negocio.
• Atender las peticiones de sus clientes (acceso, rectificación, supresión…), con la ayuda del punto 4. El negocio puede cambiar o vaciar los datos de un cliente desde su ficha; para borrar también su historial, nos lo pide y lo hacemos en 30 días como mucho, dejando el número de las fichas para no romper la trazabilidad.
• Supervisar el tratamiento, con la información y las auditorías del punto 4.

8. Responsabilidad

Si el encargado usa los datos para otra cosa, los comunica o incumple este encargo, será considerado responsable de ese tratamiento y responderá de las infracciones en que haya incurrido.