Contrato de encargo del tratamiento

Este documento lo ha redactado el equipo técnico de LLAVIA leyendo su propio código, para que describa lo que el sistema hace DE VERDAD y no lo que una plantilla de internet suponga que hace. No lo ha redactado ni revisado un abogado.

Sirve para que las dos partes sepan exactamente de qué están hablando y para que la revisión profesional empiece con el trabajo hecho. NO sirve, todavía, para firmarse tal cual: antes tiene que pasar por un asesor jurídico, y hay decisiones (identidad fiscal del encargado, base de las transferencias internacionales, régimen de responsabilidad) que no son técnicas y no le corresponde tomarlas a quien ha escrito esto.

Al final del documento hay dos listas que no suelen aparecer en un contrato y que aquí sí aparecen: los compromisos que hoy NO se cumplen todavía y las decisiones que están pendientes. Están ahí porque un contrato que promete lo que el sistema no hace es peor que no tener contrato.

QUÉ SIGNIFICA ACEPTARLO HOY. Este texto puede aceptarse en RÉGIMEN PROVISIONAL, y solo para una prueba gratuita: es la única forma de que durante el piloto podamos tratar datos con un encargo escrito por delante, en vez de sin ninguno. Una aceptación provisional obliga a las dos partes desde el minuto uno y se registra marcada como tal.

Y trae una obligación nuestra: cuando el asesor jurídico revise el texto, le presentaremos la versión definitiva para que la acepte de nuevo. Si en esa revisión cambiara algo que a usted no le encaje, puede no aceptarla y terminar la prueba, y sus datos se tratan entonces según la cláusula de fin de contrato. Lo que no vamos a hacer es dar por firmada la versión revisada apoyándonos en que aceptó esta.

LA INMOBILIARIA es la RESPONSABLE del tratamiento. Es decir: los datos de las personas que rellenan el formulario en su web son suyos, y es ella quien decide para qué se usan. Ella responde ante esas personas y ante la Agencia Española de Protección de Datos.

LLAVIA es la ENCARGADA del tratamiento. Trata esos datos POR CUENTA de la inmobiliaria y siguiendo sus instrucciones. LLAVIA no es dueña de esos datos, no los usa para sus propios fines y no se los vende ni los cede a nadie que no esté en el anexo de subencargados.

Dicho en corto: la inmobiliaria manda, LLAVIA ejecuta. Este contrato existe porque el artículo 28 del RGPD obliga a poner por escrito exactamente eso, y sin él la inmobiliaria no puede legalmente dejar que LLAVIA toque los datos de sus clientes.

Este contrato es independiente del consentimiento que la persona marca en el formulario. Ese consentimiento la legitima a ELLA para ser contactada; este contrato regula la relación entre las dos empresas. Hacen falta los dos.

OBJETO: LLAVIA pone a disposición de la inmobiliaria un formulario (widget) que ésta instala en su propia web, recoge lo que las personas escriben en él, lo valida, lo puntúa según lo interesante que sea para esa inmobiliaria, y se lo entrega por correo electrónico y —si la inmobiliaria ha conectado su CRM— también dentro de su CRM.

DURACIÓN: este encargo dura lo que dure el contrato de servicio entre las dos partes. Empieza el día que la inmobiliaria lo acepta (fecha que queda sellada en el sistema junto con la versión exacta del texto aceptado) y termina cuando termina el servicio, por la causa que sea.

Mientras este contrato NO esté aceptado, el formulario de esa inmobiliaria no funciona: no se pinta y no acepta envíos. No es una decisión comercial, es una frontera legal cableada en el producto — sin encargo firmado, LLAVIA no recoge datos de nadie en nombre de esa inmobiliaria.

Esto es la lista completa de operaciones. No hay más:

RECOGIDA. Una persona rellena el formulario en la web de la inmobiliaria. El formulario vive dentro de un marco aislado (iframe) servido por LLAVIA: ni siquiera la propia web de la inmobiliaria puede leer lo que la persona está tecleando.

VALIDACIÓN Y LIMPIEZA. Se comprueba que los datos tengan sentido (que el email sea un email, que el teléfono parezca un teléfono) y se limpian caracteres invisibles que sirven para colar ataques. Si la persona no ha marcado la casilla de consentimiento, no se guarda nada.

ALMACENAMIENTO. El lead se guarda en la base de datos de LLAVIA, en una tabla marcada como solo-servidor: no está publicada en ninguna API y no se puede consultar desde fuera.

PUNTUACIÓN. Un motor calcula una nota de 0 a 100 según el tipo de solicitud, la zona, el importe, la urgencia declarada y si la persona ya ha simulado su hipoteca, aplicando además las preferencias que la propia inmobiliaria haya configurado. La puntuación es DETERMINISTA: son reglas y pesos, no un modelo de inteligencia artificial. Junto a la nota se guarda el desglose de por qué salió esa nota.

ENTREGA. Si se cumplen todas las condiciones, el lead se envía por correo a la dirección de contacto de la inmobiliaria, con sus datos y el desglose de la puntuación. Si algún comercial de la inmobiliaria ha conectado su Gmail y lo ha compartido con sus agentes, el correo sale desde SU cuenta. Si la inmobiliaria tiene conectado su CRM (Inmovilla), además se crea allí la ficha del cliente.

NO SE HACE NINGUNA OTRA COSA. En concreto: no se usan estos datos para entrenar modelos, no se cruzan con los de otras inmobiliarias, no se usan para publicidad, no se venden y no se envían a ningún proveedor de inteligencia artificial (ver cláusula 11 y el anexo de subencargados, donde esto se explica con detalle).

TAMPOCO SE TOMAN DECISIONES AUTOMATIZADAS con efectos jurídicos sobre las personas (art. 22 RGPD). La puntuación ordena una lista de trabajo para un comercial; no deniega a nadie un servicio ni un crédito. Quien llama, decide y contrata es siempre una persona de la inmobiliaria.

Los que la persona escribe en el formulario:

· Nombre (obligatorio).

· Email (obligatorio).

· Teléfono (opcional).

· Zona o municipio de interés (opcional).

· Presupuesto, si compra o busca hipoteca; o precio de su inmueble, si vende o quiere publicarlo (opcional).

· Urgencia declarada: si le corre prisa, si es para los próximos meses o si solo está mirando (opcional).

· Si ya ha simulado su hipoteca (opcional).

· Un mensaje libre de hasta 2.000 caracteres. Es el único campo donde la persona puede escribir lo que quiera, así que es también el único por el que podrían entrar datos más sensibles de los que se piden. LLAVIA no los pide ni los necesita.

Y los que genera el sistema alrededor:

· El tipo de solicitud (comprar, vender, hipoteca, alquilar/publicar).

· La prueba del consentimiento: que la casilla se marcó, la fecha y la hora exactas, y la VERSIÓN del texto que la persona leyó. Se guarda la versión y no solo un «sí» porque dentro de un año hay que poder decir QUÉ aceptó exactamente.

· De qué clave de widget entró, es decir, de qué web de la inmobiliaria salió.

· La puntuación y su desglose.

NO SE TRATAN CATEGORÍAS ESPECIALES de datos (salud, ideología, religión, origen étnico, orientación sexual, datos biométricos). El formulario no los pide. Si una persona los escribiera por su cuenta en el campo de mensaje libre, entrarían por accidente, no por diseño; la inmobiliaria, como responsable, debe borrarlos si los detecta.

NO SE GUARDA LA DIRECCIÓN IP de quien rellena el formulario. Se usa en memoria, durante un minuto, solo para frenar el envío masivo automatizado, y no se escribe en ninguna tabla.

NO SE ESCRIBEN DATOS PERSONALES EN LOS REGISTROS TÉCNICOS (logs). Cuando algo falla se anota qué agencia y qué tipo de solicitud, nunca el nombre, el email ni el teléfono.

De las personas que rellenan voluntariamente el formulario en la web de la inmobiliaria. En la práctica, cuatro perfiles: quien quiere comprar una vivienda, quien quiere vender la suya, quien busca financiación o hipoteca, y quien quiere alquilar o publicar un inmueble.

Son personas que NO tienen cuenta en LLAVIA y que probablemente no saben que LLAVIA existe más allá de la línea que leen bajo la casilla de consentimiento. Por eso su derecho al olvido y sus demás derechos los ejercen ante la INMOBILIARIA, que es la responsable, y LLAVIA se los ejecuta (ver cláusula 12).

LO QUE LE TOCA:

· Instalar el formulario únicamente en webs de las que sea titular o tenga autorización, y declarar esos dominios. El sistema solo permite que el formulario se pinte en los dominios declarados.

· Tener su propia política de privacidad publicada y actualizada, informando de que sus datos los procesa LLAVIA como encargada. LLAVIA le facilita este documento y la lista de subencargados para que pueda enlazarlos.

· Usar los leads que recibe SOLO para la finalidad para la que la persona dio su consentimiento: contactarla sobre su solicitud. Meterlos en una lista de correo comercial es una finalidad distinta y necesita su propia base legal.

· Atender los derechos de esas personas en el plazo legal de un mes, y avisar a LLAVIA cuando necesite que ejecute un borrado.

· Mantener actualizada su dirección de contacto: si no hay a dónde entregar, los leads se quedan retenidos.

· Ser consciente de que, una vez el lead le ha sido entregado (en su correo y en su CRM), esa copia es SUYA y bajo su control exclusivo. LLAVIA no puede borrarla por ella.

LO QUE PUEDE EXIGIR:

· Dar instrucciones por escrito sobre cómo se tratan sus datos, y que LLAVIA las cumpla.

· Pedir en cualquier momento la información de la cláusula 15 y auditar.

· Oponerse a un subencargado nuevo (cláusula 11).

· Recuperar o hacer borrar todos sus datos al terminar el contrato (cláusula 14).

LLAVIA trata los datos personales únicamente siguiendo las instrucciones documentadas de la inmobiliaria. Este contrato es la instrucción inicial y describe todo lo que se hace hoy; cualquier instrucción posterior debe darse por escrito (correo electrónico vale) y quedará unida a este documento.

La configuración que la inmobiliaria hace en su portal —sus zonas de trabajo, los pesos por tipo de lead, su nota mínima para recibir entregas, los dominios donde instala el formulario— también son instrucciones suyas y el sistema las obedece.

Si LLAVIA entiende que una instrucción infringe el RGPD o la normativa española de protección de datos, lo dirá por escrito antes de ejecutarla.

LLAVIA no tratará estos datos para fines propios. Si alguna vez lo hiciera, dejaría de ser encargada y pasaría a ser responsable de ese tratamiento, con todas las consecuencias del art. 28.10.

Transferencias fuera del Espacio Económico Europeo: ver cláusula 16.

Todas las personas que en LLAVIA tienen acceso a estos datos están sujetas a un compromiso de confidencialidad, por contrato o por obligación legal, que sigue vigente después de que dejen de trabajar allí.

El acceso se da por necesidad: quien no necesita ver un dato para hacer su trabajo, no lo ve. Los datos personales de los leads viven en una tabla que no está expuesta en ninguna API pública y a la que solo llega el servidor de la aplicación.

AVISO DE HONESTIDAD: a fecha de este borrador LLAVIA es una organización muy pequeña. La cláusula es exigible igual, pero la inmobiliaria debe saber que «el personal» puede ser hoy una sola persona, y que la garantía real de esta cláusula está en los controles técnicos de la cláusula 9, no en un organigrama.

Estas son las medidas que EXISTEN Y ESTÁN VERIFICADAS en el código a fecha de este documento. No se enumera aquí nada que no se pueda enseñar funcionando:

· AISLAMIENTO ENTRE CLIENTES. Cada lead pertenece a una agencia y toda consulta filtra por ella. El identificador de la agencia sale SIEMPRE de la sesión del usuario o de la clave del widget resuelta en el servidor, nunca de la URL ni del cuerpo de una petición. Esto es lo que impide que una inmobiliaria vea —o reciba— los clientes de otra.

· LA BASE DE DATOS NO ESTÁ ABIERTA. La tabla de leads tiene seguridad a nivel de fila activada sin políticas y con los permisos retirados a los roles públicos: no se puede leer desde fuera del servidor, ni siquiera para consultarla. Hay un verificador que lo comprueba contra el servicio real, con la clave pública, y falla si alguien abriera un permiso por el panel del proveedor. Matiz honesto: ese verificador solo ejerce cuando tiene credenciales; en la integración continua se salta a sí mismo con un aviso, así que la garantía viene de ejecutarlo contra el entorno real, no de que la CI esté en verde.

· CIFRADO EN TRÁNSITO. Todo el tráfico va por HTTPS.

· CIFRADO DE LAS CREDENCIALES DE TERCEROS. Los tokens con los que se accede al Gmail o al CRM de la inmobiliaria se guardan cifrados con AES-256-GCM, con claves derivadas de una clave maestra que no está en el repositorio. Sin esa clave la aplicación no cifra, no descifra y lo dice: nunca guarda un token en claro.

· EL FORMULARIO ESTÁ AISLADO de la web que lo aloja: va en un marco propio con una política de seguridad de contenido estricta y una lista blanca de dominios. Ni la web de la inmobiliaria ni un script infectado en ella pueden leer lo que la persona teclea.

· DEFENSAS DE ENTRADA: campo trampa contra robots, límite de peticiones por dirección IP y por clave de widget, comprobación de origen, límites de longitud en todos los campos y limpieza de caracteres de control.

· SIN DATOS PERSONALES EN LOS REGISTROS TÉCNICOS ni en los recibos de ejecución de los agentes. Hay una comprobación automática que rechaza un recibo si detecta datos personales en crudo.

· LOS DATOS PERSONALES NO VIAJAN EN LA COLA DE TRABAJOS. Los trabajos pendientes llevan identificadores; la ficha se reconstruye leyendo el lead en el momento de usarla. Así un borrado alcanza también a los trabajos que estaban esperando.

· ENTREGA HONESTA. Un lead no se marca como entregado hasta que la entrega ha ocurrido de verdad, y no se reenvía nunca dos veces.

LO QUE NO HAY (y se dice, en vez de callarlo): ver la cláusula 18, «compromisos pendientes». En particular, hoy no existe una copia de seguridad con restauración probada y documentada más allá de la que ofrece el proveedor de base de datos por defecto, ni un cifrado adicional a nivel de columna sobre los datos de contacto.

LLAVIA avisará a la inmobiliaria SIN DILACIÓN INDEBIDA en cuanto tenga conocimiento de una violación de seguridad que afecte a sus datos, y en todo caso dentro de las 24 horas siguientes, para que ella pueda cumplir su propio plazo de 72 horas ante la Agencia Española de Protección de Datos (art. 33 RGPD).

El aviso incluirá qué ha pasado, a qué datos y a cuántas personas afecta aproximadamente, las consecuencias probables y qué se está haciendo para contenerlo. Si no se sabe todo de golpe, se manda lo que se sepa y se completa después: un aviso tarde es peor que un aviso incompleto.

Quien notifica a la autoridad y, en su caso, a las personas afectadas, es la INMOBILIARIA, porque es la responsable. LLAVIA le da toda la información que necesite para hacerlo.

LLAVIA se apoya en otras empresas para prestar el servicio. Se llaman subencargados y están todos, sin excepción, en el anexo de este documento, con qué datos ve cada uno y desde dónde. La inmobiliaria autoriza a esos subencargados al aceptar este contrato.

LLAVIA impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume aquí, y responde ante la inmobiliaria si alguno de ellos incumple, como si el incumplimiento fuera propio.

AUTORIZACIÓN GENERAL CON DERECHO DE OPOSICIÓN: si LLAVIA quiere añadir o cambiar un subencargado, lo avisará con 30 días de antelación. Durante ese plazo la inmobiliaria puede oponerse por motivos razonables de protección de datos; si no se llega a un acuerdo, puede resolver el contrato sin penalización.

La lista viva está publicada y es parte de este contrato. Ver el anexo al final.

SOBRE LA INTELIGENCIA ARTIFICIAL, con precisión: los datos de los leads de la inmobiliaria NO se envían hoy a ningún proveedor de modelos de lenguaje. La puntuación de un lead es determinista y no llama a ningún modelo. LLAVIA sí usa modelos de lenguaje en OTRAS partes de su producto (el asistente conversacional y el explicador de resultados de su propia web pública), donde LLAVIA actúa como responsable y no intervienen datos de esta inmobiliaria. Si esto cambiara, sería un subencargado nuevo y se aplicaría el preaviso de 30 días de esta misma cláusula.

Las personas que rellenaron el formulario tienen derecho a acceder a sus datos, rectificarlos, borrarlos, oponerse, pedir que se limite el tratamiento y llevárselos a otro sitio. Reclamarán a la INMOBILIARIA, porque es la responsable.

LLAVIA la ayuda con las medidas técnicas necesarias para atenderlas:

· SUPRESIÓN: la inmobiliaria puede borrar los datos de contacto de un lead desde su propio portal, ella sola y al momento, sin pedir permiso a nadie ni esperar a LLAVIA. Puede hacerlo cualquier miembro con permiso de gestión, no solo el propietario de la cuenta: el RGPD da un mes para atender la petición y no pregunta si el jefe estaba de vacaciones.

· El borrado pone a nulo el nombre, el email, el teléfono y el mensaje libre, y sella la fecha. La fila se conserva SIN identificar a nadie, porque hay que poder demostrar qué consentimiento se recogió y cuándo (arts. 5.2 y 7.1). No es reversible.

· El borrado además PARA EL TRATAMIENTO EN CURSO: cancela los trabajos que estuvieran esperando en la cola para ese lead, y el motor comprueba la marca de borrado antes de puntuar o entregar nada. Un lead borrado no se envía por correo ni se escribe en un CRM, aunque el trabajo llevara horas encolado.

· ACCESO Y PORTABILIDAD: la inmobiliaria puede exportar los leads de su portal. Para una petición individual que no cubra esa exportación, LLAVIA la atiende a requerimiento en un plazo máximo de 10 días hábiles, para que a la inmobiliaria le quede margen dentro de su mes legal.

LÍMITE IMPORTANTE Y HONESTO: el borrado alcanza a lo que está en los sistemas de LLAVIA. NO alcanza a las copias que ya se entregaron —el correo en la bandeja de la inmobiliaria y la ficha creada en su CRM—. Esas copias son de la inmobiliaria y le toca a ella purgarlas, que es además lo que le exige el art. 19 del RGPD. El sistema se lo dice explícitamente cuando borra un lead que ya había sido entregado.

LLAVIA ayuda a la inmobiliaria a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone:

· Seguridad del tratamiento (art. 32): las medidas de la cláusula 9, y la información necesaria para que la inmobiliaria valore si le bastan.

· Notificación de brechas (arts. 33 y 34): lo de la cláusula 10.

· Evaluación de impacto y consulta previa (arts. 35 y 36): si la inmobiliaria tuviera que hacer una, LLAVIA le facilita la descripción técnica del tratamiento, el flujo de datos, la lista de subencargados y las medidas de seguridad. La evaluación la hace ella; LLAVIA aporta los datos.

Al terminar el servicio, y a elección de la inmobiliaria manifestada por escrito, LLAVIA DEVUELVE todos los datos personales o los SUPRIME, y borra las copias existentes, salvo que una ley obligue a conservarlos.

Cómo funciona en la práctica: la inmobiliaria dispone de 30 días desde el fin del contrato para pedir la devolución en un formato estructurado y de uso común. Pasados esos 30 días sin instrucción, LLAVIA procede a la supresión.

Se conservará únicamente, y de forma disociada —sin nombre, email ni teléfono—, la evidencia del consentimiento y el rastro de auditoría, porque el propio RGPD obliga a poder demostrar qué se aceptó y cuándo (arts. 5.2 y 7.1). Ese resto no permite identificar ni volver a contactar a nadie.

ESTO YA FUNCIONA, y así:

· QUÉ CUENTA COMO FIN DE LA RELACIÓN: la baja efectiva de la suscripción. Un recibo impagado NO lo es. Una tarjeta caducada o un cobro que falla dejan a la inmobiliaria sin servicio mientras se resuelven, pero NO disparan ningún borrado: responder a una deuda destruyendo los datos de terceros sería desproporcionado e irreversible.

· EL AVISO. El día que se detecta la baja, LLAVIA escribe a la dirección de contacto de la inmobiliaria diciéndole qué se va a borrar, cuántos leads son, la FECHA EXACTA en que ocurrirá y el enlace para descargarse todos sus datos. Si el aviso no llega a salir, no se da por avisada: se reintenta, porque un borrado silencioso de quien nunca fue informado vaciaría de contenido esta cláusula.

· LA DEVOLUCIÓN. Se hace descargando desde el portal la exportación completa de sus leads en CSV —un formato estructurado y de uso común, art. 20 RGPD—, sin cuotas ni truncamientos: el fichero declara cuántas filas trae y cuántas hay. Es la «elección del responsable» que exige el art. 28.3.g: se lleva sus datos, o no hace nada y se suprimen.

· LOS 30 DÍAS SON UNA RED, no un trámite. Una baja puede ser un error —un clic, una tarjeta, un socio que cancela sin avisar al otro—, y un borrado inmediato convertiría ese error en la destrucción irreversible de la cartera de clientes de una inmobiliaria. Si vuelve a contratar dentro de ese plazo, no se borra nada.

· LA SUPRESIÓN, cumplidos los 30 días, alcanza a TODOS sus leads vigentes —sean de ayer o de hace dos años— y aplica exactamente la misma redacción que el borrado individual de la cláusula 12: nombre, email, teléfono y mensaje libre a nulo, trabajos en cola cancelados, y la evidencia del consentimiento conservada de forma disociada. Queda registrada, sin datos personales, con la fecha de baja y si hubo aviso previo.

LLAVIA pone a disposición de la inmobiliaria toda la información necesaria para demostrar que cumple este contrato, y permite y contribuye a las auditorías —incluidas inspecciones— que la inmobiliaria o un auditor que ella designe quieran realizar.

En la práctica y sin necesidad de pedir nada: la inmobiliaria ve en su portal el estado de cada lead, su puntuación con el desglose, por qué se entregó o por qué no, y por qué vía salió. El sistema registra un recibo de cada ejecución de sus agentes.

A requerimiento por escrito, con 15 días de preaviso y como máximo una vez al año (salvo que haya habido una brecha o lo exija una autoridad, en cuyo caso no hay límite): la descripción técnica del tratamiento, la lista de subencargados vigente, las medidas de seguridad y los resultados de las verificaciones automáticas de aislamiento.

Las auditorías se harán en horario laboral, sin interrumpir el servicio y con un compromiso de confidencialidad del auditor. La inmobiliaria no podrá acceder, en ningún caso, a datos de otras inmobiliarias.

La base de datos está en la Unión Europea (Fráncfort, Alemania). El objetivo de LLAVIA es que los datos se queden en la UE.

Sin embargo, algunos proveedores del anexo son empresas estadounidenses o pueden procesar datos fuera del Espacio Económico Europeo. El anexo marca cuáles, uno por uno.

Cuando haya transferencia internacional, tendrá que estar amparada en una de las bases del capítulo V del RGPD: una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE.UU., si el proveedor está certificado) o las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, con su correspondiente análisis de impacto de la transferencia.

⚠️ DECISIÓN PENDIENTE DEL TITULAR: verificar, proveedor a proveedor, cuál es la base concreta de cada transferencia en el contrato de tratamiento de datos que cada uno publica, y dejarla escrita en el anexo. Hoy el anexo señala QUIÉN implica transferencia, pero no afirma cuál es su base legal, porque eso no se puede leer en el código: se lee en el contrato del proveedor. Afirmarlo sin haberlo comprobado sería exactamente el tipo de promesa vacía que este documento evita.

Los leads se conservan mientras dure el contrato de servicio y, como máximo, 24 meses desde la última actividad del expediente, salvo que la inmobiliaria indique un plazo menor o la persona pida antes su supresión. Cumplido el plazo, los datos de contacto se suprimen automáticamente y queda solo el registro disociado de la cláusula 14.

ESTO YA FUNCIONA. Hay un proceso programado que se ejecuta a diario, agencia por agencia, y suprime los datos de contacto de todo lead cuya última actividad supere el plazo. «Última actividad» significa la última vez que el expediente se movió, no la fecha en que entró: un lead antiguo que su comercial trabajó la semana pasada sigue vivo y no se toca.

EL PLAZO ES CONFIGURABLE POR LA INMOBILIARIA, que es quien decide como responsable del tratamiento. Puede fijar uno MENOR —seis meses, tres— y el sistema lo aplica solo a sus datos. Lo que no puede es fijar uno mayor: 24 meses es el techo de esta cláusula, y el sistema recorta cualquier configuración que lo supere en lugar de obedecerla. Si no configura nada, se aplican los 24 meses.

QUÉ HACE EXACTAMENTE la purga, para que no haya sorpresas: pone a nulo el nombre, el email, el teléfono y el mensaje libre —lo mismo, exactamente, que el borrado lead a lead de la cláusula 12, con el mismo código— y sella la fecha. Cancela además los trabajos que estuvieran en cola para ese lead, para que no se entregue por correo o al CRM algo cuyo plazo acaba de vencer. La fila sobrevive SIN identificar a nadie: se conserva la evidencia del consentimiento (arts. 5.2 y 7.1). No es reversible.

Cada ronda deja un rastro auditable —cuántos leads, de qué agencia, con qué plazo y con qué fecha de corte—, sin ningún dato personal dentro de ese rastro.

LO QUE ESTA CLÁUSULA NO PROMETE, dicho para que no se dé por supuesto: el proceso se ejecuta aproximadamente una vez al día, no a una hora garantizada. El despertador es un programador de tareas externo que en la práctica se retrasa, y se ha comprobado que lo hace. Para un plazo medido en meses esa deriva es irrelevante, y por eso se elige un proceso diario y no uno que dependa de correr a una hora concreta; pero prometer aquí una puntualidad que el programador no da sería una promesa vacía.

Esta cláusula no es habitual en un contrato. Está aquí porque la alternativa —firmar promesas que el sistema no cumple— es peor. Cada punto es trabajo de código pendiente:

YA RESUELTOS desde la versión anterior de este texto, y por eso salen de la lista: la PURGA AUTOMÁTICA POR RETENCIÓN de la cláusula 17 y la DEVOLUCIÓN O SUPRESIÓN AL TERMINAR EL CONTRATO de la cláusula 14. Las dos eran bloqueantes; las dos están construidas, probadas y descritas en su propia cláusula. Se dejan nombradas aquí, y no simplemente borradas, porque quien compare esta versión con la anterior tiene derecho a saber qué cambió.

1. REGISTRO DE ACTIVIDADES DE TRATAMIENTO del art. 30.2 (el que le corresponde al encargado). No consta que exista como documento formal.

2. PROCEDIMIENTO ESCRITO DE RESPUESTA A BRECHAS (cláusula 10) con responsable, canal y plantilla de aviso. Hoy la cláusula compromete un plazo que ningún procedimiento sostiene.

3. COPIA DE SEGURIDAD CON RESTAURACIÓN PROBADA Y DOCUMENTADA (cláusula 9). Hoy se depende de lo que el proveedor de base de datos haga por defecto, sin una prueba de restauración propia.

4. ACEPTACIÓN EN LÍNEA QUE SELLE LA VERSIÓN. BLOQUEANTE. El mecanismo está construido y probado, pero deliberadamente desactivado mientras este documento siga siendo un borrador sin revisión jurídica: firmar sobre un texto que el propio sistema declara no apto fabricaría justo la evidencia que este trabajo viene a construir.

5. VERIFICAR Y DOCUMENTAR LA BASE DE CADA TRANSFERENCIA INTERNACIONAL (cláusula 16).

6. CONTRATO DE ENCARGO FIRMADO CON CADA SUBENCARGADO (cláusula 11). La cláusula afirma que LLAVIA les impone las mismas obligaciones; hay que poder enseñar ese papel de cada uno.

La inmobiliaria acepta este encargo en línea, desde su portal. Al aceptar, el sistema sella la fecha, la hora y la VERSIÓN EXACTA de este texto, igual que hace con el consentimiento que marcan las personas en el formulario. Así, dentro de dos años, se puede decir no solo que se firmó, sino QUÉ se firmó.

Este documento se rige por el Reglamento (UE) 2016/679 y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.

⚠️ RECORDATORIO FINAL: mientras el estado de este documento sea BORRADOR, no debe presentarse a ningún cliente como contrato firmable.