Anexo de encargo de tratamiento (art. 28 RGPD)

Krepko es una plataforma operada por Calefaltec S.L.N.E.

Krepko · Versión 1.0 · Agosto 2026 · Forma parte de los Términos y condiciones del servicio

Este anexo regula el tratamiento que Calefaltec S.L.N.E. («el Encargado»), como operadora de la plataforma Krepko, realiza por cuenta de la empresa cliente («el Responsable») sobre los datos personales que esta introduce en el servicio.

1. Objeto, duración y naturaleza del tratamiento

El Encargado trata los datos personales que el Responsable introduce en Krepko con la única finalidad de prestar el servicio contratado: almacenamiento, organización, consulta, generación de documentos (presupuestos, facturas, órdenes de trabajo y análogos), envío de comunicaciones que el Responsable ordene desde la plataforma (email, enlaces de portal) y copia de seguridad. La duración coincide con la vigencia del contrato de servicio.

2. Tipos de datos e interesados

Interesados: clientes y contactos comerciales del Responsable; en su caso, empleados del Responsable dados de alta como usuarios o técnicos. Categorías de datos: identificativos y de contacto (nombre, dirección, teléfono, email), datos fiscales, datos comerciales y de facturación, firmas manuscritas digitalizadas en documentos de trabajo, fotografías de intervenciones y registros horarios. El servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD); el Responsable se compromete a no introducirlas.

3. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se materializan en el uso ordinario de la plataforma, y no utilizarlos para fines propios.
• Garantizar que las personas autorizadas a tratar datos están sujetas a un deber de confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas apropiadas al riesgo (cifrado del tráfico, hash de contraseñas, aislamiento entre clientes, copias de seguridad, control de accesos).
• No comunicar los datos a terceros salvo autorización del Responsable u obligación legal.
• Asistir al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, en la atención de solicitudes de ejercicio de derechos de los interesados, trasladándole sin dilación las que reciba directamente.
• Notificar al Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a sus datos, con la información disponible para que el Responsable pueda cumplir sus propias obligaciones de notificación.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este anexo y colaborar con las auditorías razonables que el Responsable solicite, en condiciones acordadas y sin comprometer la seguridad ni la confidencialidad de otros clientes.
• Al finalizar el servicio, y a elección del Responsable: facilitar la exportación de los datos en formatos estándar (CSV y PDF) y suprimirlos definitivamente en el plazo de 30 días desde la finalización, salvo que una norma exija su conservación.

4. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el servicio. La lista vigente es la publicada en la Política de privacidad (apartado A.3). El Encargado informará de cualquier adición o sustitución con antelación razonable, mediante actualización de dicha lista y aviso, para que el Responsable pueda oponerse por motivos justificados; imponiendo a cada subencargado obligaciones equivalentes a las de este anexo. Las transferencias fuera del EEE se amparan en decisiones de adecuación o cláusulas contractuales tipo.

5. Obligaciones del Responsable

El Responsable garantiza que dispone de base jurídica para los datos que introduce, que informa a sus interesados conforme a los arts. 13 y 14 RGPD, y que las comunicaciones que ordena enviar desde la plataforma cumplen la normativa aplicable (incluida la LSSI-CE para comunicaciones comerciales). Cuando active funcionalidades opcionales que impliquen tratamientos específicos (por ejemplo, geolocalización de técnicos, si estuviera disponible), el Responsable es quien debe recabar el consentimiento o base jurídica correspondiente de sus empleados; la plataforma condicionará estas funciones a su activación expresa por el Responsable.

6. Responsabilidad

Cada parte responde de los daños derivados del incumplimiento de las obligaciones que el RGPD le impone específicamente en su rol respectivo.

Historial: v1.0 · Agosto 2026 — versión inicial.