Anexo de encargo de tratamiento (art. 28 RGPD)
Krepko es una plataforma operada por Calefaltec S.L.N.E.
Krepko · Versión 1.3 · Octubre 2026 · En vigor desde el 10 de noviembre de 2026 · Forma parte de los Términos y condiciones del servicio
Este anexo regula el tratamiento que Calefaltec S.L.N.E. («el Encargado»), como operadora de la plataforma Krepko, realiza por cuenta de la empresa cliente («el Responsable») sobre los datos personales que esta introduce en el servicio.
1. Objeto, duración y naturaleza del tratamiento
El Encargado trata los datos personales que el Responsable introduce en Krepko con la única finalidad de prestar el servicio contratado: almacenamiento, organización, consulta, generación de documentos (presupuestos, facturas, órdenes de trabajo y análogos), envío de comunicaciones que el Responsable ordene desde la plataforma (email, enlaces de portal), copia de seguridad, y la recepción de los documentos que terceros envían por correo a la dirección de recepción del Responsable, cuando éste activa esa función. Lo recibido de un remitente que el Responsable no ha admitido queda retenido, sin leerse, hasta que el Responsable lo admite o lo descarta; lo descartado se borra. La duración coincide con la vigencia del contrato de servicio.
2. Tipos de datos e interesados
Interesados: clientes y contactos comerciales del Responsable; proveedores del Responsable y las personas que figuren en los documentos que éstos le envían; en su caso, empleados del Responsable dados de alta como usuarios o técnicos. Categorías de datos: identificativos y de contacto (nombre, dirección, teléfono, email), datos fiscales, datos comerciales y de facturación, firmas manuscritas digitalizadas en documentos de trabajo, fotografías de intervenciones y registros horarios. El servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD); el Responsable se compromete a no introducirlas.
3. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se materializan en el uso ordinario de la plataforma, y no utilizarlos para fines propios.
- Garantizar que las personas autorizadas a tratar datos están sujetas a un deber de confidencialidad.
- Aplicar las medidas de seguridad técnicas y organizativas apropiadas al riesgo (cifrado del tráfico, hash de contraseñas, aislamiento entre clientes, copias de seguridad, control de accesos).
- No comunicar los datos a terceros salvo autorización del Responsable u obligación legal.
- Asistir al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, en la atención de solicitudes de ejercicio de derechos de los interesados, trasladándole sin dilación las que reciba directamente.
- Notificar al Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a sus datos, con la información disponible para que el Responsable pueda cumplir sus propias obligaciones de notificación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este anexo y colaborar con las auditorías razonables que el Responsable solicite, en condiciones acordadas y sin comprometer la seguridad ni la confidencialidad de otros clientes.
- Al finalizar el servicio: facilitar la exportación de los datos en formatos estándar (CSV y PDF), avisar al Responsable por email con 7 días de antelación y suprimirlos definitivamente a los 30 días de la finalización, previa copia de seguridad que el Encargado conserva 14 días sólo para poder recuperarlos ante un error. Si el Responsable tiene facturas emitidas o fichajes del registro de jornada, que una norma le obliga a conservar, la supresión no es automática: el Encargado se los entrega y acuerda con él cómo proceder.
4. Subencargados
El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el servicio. La lista vigente es la publicada en la Política de privacidad (apartado A.3). El Encargado informará de cualquier adición o sustitución con antelación razonable, mediante actualización de dicha lista y aviso, para que el Responsable pueda oponerse por motivos justificados; imponiendo a cada subencargado obligaciones equivalentes a las de este anexo. Las transferencias fuera del EEE se amparan en decisiones de adecuación o cláusulas contractuales tipo.
Además, para ofrecer sugerencias de dirección, la plataforma consulta el servicio público CartoCiudad (Instituto Geográfico Nacional / Centro Nacional de Información Geográfica, España) con el texto de la dirección que se escribe, sin nombre ni otros datos del interesado; y los mapas muestran el mapa base del Instituto Geográfico Nacional, cuyas imágenes pide el navegador de quien mira el mapa. Ambos, en los términos descritos en la Política de privacidad (apartado A.3).
Por orden del Responsable, y porque la ley se lo exige a él, la plataforma remite los registros de sus facturas a la Agencia Tributaria (VERI*FACTU) o a la hacienda foral que le corresponda (TicketBAI) cuando el Responsable activa esa función; y envía los documentos y avisos por el servidor de correo propio del Responsable cuando este lo configura, cuyo proveedor elige y contrata él.
5. Obligaciones del Responsable
El Responsable garantiza que dispone de base jurídica para los datos que introduce, que informa a sus interesados conforme a los arts. 13 y 14 RGPD, y que las comunicaciones que ordena enviar desde la plataforma cumplen la normativa aplicable (incluida la LSSI-CE para comunicaciones comerciales). Cuando active funcionalidades opcionales que impliquen tratamientos específicos, el Responsable es quien debe contar con la base jurídica correspondiente respecto de sus empleados; la plataforma condiciona estas funciones a su activación expresa por el Responsable. En particular, la geolocalización al fichar del registro de jornada está desactivada por defecto; si el Responsable la activa, la posición se guarda sólo en el momento de fichar y sólo con el consentimiento de cada trabajador, que la plataforma recaba y registra, y se conserva con el registro de jornada: 4 años, tras los que se elimina.
6. Responsabilidad
Cada parte responde de los daños derivados del incumplimiento de las obligaciones que el RGPD le impone específicamente en su rol respectivo.
Historial: v1.0 · Agosto 2026 — versión inicial. v1.1 · Septiembre 2026 — se añade CartoCiudad. v1.2 · Septiembre 2026 (anunciada para el 29 de octubre de 2026; no llegó a entrar en vigor por separado: sus cambios entran con la 1.3) — el plazo de supresión real (aviso de 7 días, borrado a los 30 con copia de 14, y la salvedad de facturas y fichajes); el mapa base del Instituto Geográfico Nacional, la Agencia Tributaria y las haciendas forales, y el correo propio del Responsable; la geolocalización al fichar tal como funciona. v1.3 · Octubre 2026 (en vigor desde el 10 de noviembre de 2026, con el preaviso del apartado 14 de los Términos; incluye los cambios de la 1.2) — la recepción de documentos de proveedor por correo: objeto, interesados, y lo que pasa con lo que envía un remitente no admitido.