Contrato de encargo del tratamiento
Versión 2026-10b. Este contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y forma parte de los términos del servicio. Lo acepta cada organización al crearse, con la casilla «Acepto el contrato de encargo del tratamiento»; la plataforma guarda la versión aceptada y la fecha.
Esta versión añade la inteligencia artificial, con Amazon Web Services como subencargado en regiones de la Unión Europea, y el conector de IA de la organización, y recoge que cada cliente da un solo consentimiento para todo el servicio, con la comunidad aparte.
Las partes
- La responsable del tratamiento es la organización que se da de alta en Kluva, con el nombre legal y el email de contacto que indica en su alta y en sus ajustes, representada por su titular.
- La encargada del tratamiento es el titular de la plataforma Kluva:
- Titular: Iván Partida Albarrán
- NIF: 20604727Q
- Domicilio: Calle Túmbez, 7, 11690 Olvera (Cádiz)
- Email: ivan@kluva.app
Objeto
Kluva trata, por cuenta de la organización, los datos personales que la organización, su equipo y sus clientes guardan en la plataforma, y los de quienes escriben a la organización desde su página pública, con el único fin de prestarle el servicio descrito en los términos: llevar a sus clientes (su ficha, su plan, su entrenamiento, su progreso, su alimentación, su agenda, sus cobros), comunicarse con ellos, trabajar en equipo, publicar su página y atender a sus interesados, mantener su comunidad, darle las cifras de su negocio y, si la activa, preparar su trabajo con IA.
Duración
Este contrato dura lo que dure el servicio y, después, hasta que se borren los datos como dice el apartado «Fin del encargo». Una versión nueva sustituye a esta cuando la organización la acepta.
Naturaleza y finalidad del tratamiento
Guardar los datos, mostrarlos a quien tiene permiso dentro de la organización y al propio cliente en su app, enviar los emails y avisos que la organización y sus clientes configuran, generar los documentos que se piden (los PDF, las facturas, las exportaciones), cobrar a través de la cuenta de Stripe de la organización y borrar los datos cuando corresponde. También, si la organización lo activa:
- publicar su página pública, recibir los mensajes de su formulario de contacto y guardarlos como interesados, y enviar en su nombre el email con el que un interesado confirma que quiere recibir sus novedades;
- dar a cada cliente su enlace de invitación y contar quién llega con él, para la recompensa que ofrece la organización;
- mostrar en sus grupos lo que publican los clientes que dan su consentimiento, y sus rankings;
- calcular sus informes y la lista de riesgo de baja a partir de los datos que ya guarda la plataforma, sin recoger ninguno nuevo y sin tomar decisiones automatizadas sobre nadie: lo que se hace con ellos lo decide la organización;
- enviar a su cuenta de ActiveCampaign los contactos que han aceptado sus novedades, como dice el apartado «Herramientas que conecta la organización»;
- con la IA, si su titular acepta su texto y la organización la activa: preparar, a petición de un miembro, borradores de entrenamientos, programas, recetas y menús, resúmenes de la semana de un cliente y propuestas de mensajes, y responder a sus preguntas sobre los datos que ese miembro ya puede ver, como dice el apartado «La inteligencia artificial»;
- dar al asistente de IA que conecte un miembro lo que permite el apartado «Herramientas que conecta la organización».
Kluva no usa estos datos para ningún fin propio: ni para publicidad, ni para hacer perfiles, ni para entrenar modelos de inteligencia artificial, ni para venderlos o cederlos, y no permite a sus subencargados hacerlo.
La inteligencia artificial
- Qué recibe el modelo. Solo lo que la tarea necesita de lo que el miembro ya puede ver, con los clientes nombrados por un código y por su nombre de pila y la inicial de su apellido, y nunca su email, su teléfono, su fecha de nacimiento, su dirección ni sus medios de pago.
- De qué clientes. Solo de los que tienen en vigor su consentimiento del servicio y no han activado «No usar mis datos con IA» en su app ni han sido excluidos por la organización. De los demás, la IA no recibe nada: un borrador para ellos es genérico.
- Quién decide. La IA no toma decisiones automatizadas ni tiene ninguna vía propia hacia un cliente: lo que prepara lo revisa y lo usa un miembro, con sus permisos. Un mensaje enviado a partir de un borrador lleva la marca «Con ayuda de IA».
- Dónde. En los modelos de Anthropic que ofrece Amazon Web Services (Amazon Bedrock), en regiones de la Unión Europea, como subencargado de Kluva. AWS no usa las peticiones para entrenar modelos, y Anthropic no accede a ellas.
- Cuánto se guarda. Los borradores, 30 días; las conversaciones de cada miembro con el asistente, que solo ve ese miembro, 30 días desde la última; los resúmenes de la semana de un cliente, 7 días; y de cada uso, sin su texto, quién lo pidió, la tarea, el modelo, su coste y a qué clientes tocó, 13 meses. Lo que un miembro adopta (un entrenamiento guardado en la biblioteca, un mensaje enviado) pasa a ser contenido de la organización.
Tipos de datos
- Identificación y contacto de los clientes: nombre, email, teléfono, fecha de nacimiento y género, si se indican, la cuenta con la que entran en su app, sus etiquetas, las notas del equipo y su estado.
- Datos de salud y otras categorías especiales, solo con el consentimiento explícito que el cliente da al aceptar la invitación (arts. 6.1.a y 9.2.a del RGPD): uno solo para todo el servicio, que cubre lo siguiente y que, si lo retira, deja de recogerlo y lo borra:
- Comunidad, con un consentimiento aparte y opcional: lo que el cliente publica, comenta y reacciona en los grupos de la organización, con sus fotos, y sus denuncias. Se trata como dato de salud.
- Los consentimientos y la IA: qué texto y versión aceptó cada cliente, cuándo, y si lo retiró; si ha activado «No usar mis datos con IA» o la organización le ha excluido; y lo que guarda la IA, como dice su apartado.
- Entrenamiento y plan: los programas, rutinas, tareas y formularios asignados, las respuestas y los logros.
- Agenda: las sesiones, citas y reservas, y los bonos que se descuentan.
- Archivos: los documentos y fotos que el equipo comparte con un cliente, generales o de salud, y los que sube el propio cliente, que siempre se tratan como datos de salud porque pueden serlo (un informe médico, por ejemplo).
- Pagos: las compras, suscripciones, bonos, facturas y devoluciones de cada cliente, con los datos fiscales que se indican para facturar; los datos de la tarjeta o la cuenta bancaria los trata Stripe en la cuenta de la organización, y Kluva no los ve.
- Interesados: de quien escribe desde la página pública o la organización añade a mano, su nombre, su email, su teléfono y su mensaje si los da, la clase o el producto por el que pregunta, cómo llegó (el formulario, una clase, el enlace de un cliente o a mano) y qué cliente le invitó, su declaración de que es mayor de edad, su estado y las notas del equipo. Se pide que no escriba datos de salud en el mensaje.
- Comunicaciones comerciales: si un interesado o un cliente acepta recibir las novedades de la organización, el texto que aceptó, cuándo y cómo, cuándo lo confirmó y, si lo retira, cuándo y por qué vía.
- Referidos: el código del enlace de invitación de cada cliente, quién llegó con él y las recompensas (cupones de la tienda de la organización) que se le dieron.
- Rankings: si un cliente elige aparecer en el ranking de un grupo, su nombre y la inicial de su apellido junto a sus sesiones hechas o sus semanas de racha; nunca su peso, sus medidas, sus cargas ni otro dato de salud.
- La página pública: sus textos e imágenes, los perfiles del equipo que la organización elige mostrar, su número de WhatsApp y, si los añade, los identificadores de su píxel de Meta y de su etiqueta de Google.
- El equipo: el nombre, el email, el rol, el perfil profesional y la agenda de cada miembro, y los mensajes del chat interno.
- Datos técnicos: los avisos y emails enviados y si se entregaron, el registro de actividad de la organización (qué se hizo, quién y cuándo, nunca lo que decían los datos) y, si conecta ActiveCampaign, cada sincronización con sus cifras y su error, sin datos de los contactos.
Los informes y la lista de riesgo de baja no son datos nuevos: se calculan al consultarlos con lo que ya hay.
Categorías de interesados
- Los clientes de la organización, mayores de 18 años, también quienes compran con un enlace de compra.
- Las personas que escriben a la organización desde su página pública, también las que llegan con el enlace de un cliente, y las que la organización añade como interesadas.
- Los miembros del equipo de la organización.
Obligaciones de la organización
- Tener una base jurídica para cada tratamiento, informar a sus clientes, a sus interesados y a su equipo, y mantener al día su nombre legal y su email de contacto, que la app y la página pública muestran como los de su responsable.
- Invitar a la app solo a personas de 18 años o más, recoger los datos de salud solo con el consentimiento que la app pide a cada cliente al aceptar la invitación, y no pedirlos por otras vías.
- Si activa la IA: revisar lo que prepara antes de usarlo, respetar el «No usar mis datos con IA» de cada cliente sin condicionar por ello su servicio, y llevar su propia evaluación de impacto, con la información que Kluva le dé.
- Enviar novedades solo a quien las ha aceptado y confirmado, y dejar de enviarlas a quien se da de baja, también fuera de Kluva.
- Si añade etiquetas de Meta o de Google a su página, responder con esas empresas de lo que recogen, nombrarlas en su información de privacidad y aceptar antes el texto que la plataforma le muestra.
- Moderar sus grupos con las normas de la comunidad, atender las denuncias de sus miembros y avisar a las autoridades si una denuncia revela una amenaza para la vida o la seguridad de alguien.
- Dar sus instrucciones a través de la configuración y del uso de la plataforma o por escrito al email de Kluva, y responder de que sean lícitas.
- Atender las peticiones de sus clientes y de sus interesados sobre sus datos, con las herramientas que la plataforma le da.
Obligaciones de Kluva
- Instrucciones. Tratar los datos solo siguiendo las instrucciones documentadas de la organización: este contrato, los términos, la configuración de la plataforma y lo que la organización y su equipo hacen en ella, también en cuanto a transferencias internacionales, salvo que la ley obligue a otra cosa; en ese caso, se lo dirá antes, si la ley lo permite. Si una instrucción le parece contraria a la ley, se lo dirá de inmediato.
- Confidencialidad. Las personas que Kluva autoriza a tratar los datos se comprometen por escrito a la confidencialidad o tienen esa obligación por ley, y solo acceden a los datos de una organización cuando hace falta para prestar el servicio, resolver una incidencia o atender una petición de la organización, o cuando lo exige la ley.
- Seguridad. Aplicar las medidas del apartado «Medidas de seguridad» y revisarlas según el riesgo, como pide el artículo 32 del RGPD.
- Subencargados. Seguir las reglas del apartado «Subencargados».
- Derechos de los interesados. Ayudar a la organización a atenderlos. La plataforma le da las herramientas: exportar todos los datos de un cliente, borrarlos, corregirlos y registrar la retirada de su consentimiento, excluirle de la IA, y exportar o borrar sus interesados; el cliente, en su app, puede descargar sus datos, retirar su consentimiento y activar «No usar mis datos con IA» por su cuenta. Si un interesado se dirige a Kluva, le trasladará su petición a la organización sin responderla por ella.
- Ayuda con las demás obligaciones. Ayudar a la organización, con la información de que disponga, en la seguridad del tratamiento, la notificación de brechas, las evaluaciones de impacto y las consultas a la autoridad de control (arts. 32 a 36 del RGPD).
- Brechas de seguridad. Avisar a la organización, por email a su titular y a su email de contacto, sin dilación indebida desde que tenga constancia de una brecha que afecte a sus datos, con lo que sepa de ella (qué ocurrió, qué datos y cuántos interesados afecta, sus consecuencias probables y las medidas tomadas), y completarlo a medida que lo sepa.
- Información y auditorías. Poner a disposición de la organización la información necesaria para demostrar que cumple este contrato y permitir las auditorías e inspecciones de la organización o de un auditor que ella designe, sujeto a confidencialidad, con un preaviso razonable y sin acceder a los datos de otras organizaciones.
- Registro. Llevar el registro de actividades de tratamiento que hace como encargada (art. 30.2).
Medidas de seguridad
- Los datos se guardan y se procesan en regiones de la Unión Europea: la base de datos, el almacenamiento de archivos, la API, las páginas públicas y el envío de emails en la Unión Europea (la base de datos en Fráncfort, Alemania) y la IA en las regiones de la Unión Europea de Amazon Web Services.
- Cada organización está aislada de las demás en la propia base de datos: cada fila lleva su organización, la base de datos aplica reglas de acceso por fila (RLS) que solo dejan ver y tocar lo de la organización de quien pregunta, y la API entra con un usuario de base de datos restringido.
- Dentro de la organización, cada miembro ve y hace solo lo que permiten su rol y la visibilidad de clientes que se elija. La base de datos rechaza leer o escribir un dato de salud de un cliente sin su consentimiento en vigor, y los interesados nunca son visibles para los clientes.
- Todo viaja cifrado (HTTPS, con HSTS). Las contraseñas las gestiona el servicio de autenticación y nunca se guardan en claro. Cada cuenta puede activar la verificación en dos pasos, y la base de datos la exige en cada sesión de una cuenta que la tiene activada.
- Los archivos de los clientes y las fotos de la comunidad se guardan en almacenamiento privado y se sirven con enlaces firmados que caducan a los 5 minutos como mucho. Las fotos se guardan sin sus metadatos EXIF, que pueden decir dónde se hicieron.
- Los enlaces de invitación y los de los calendarios iCal se guardan como huella (hash), no en claro; los permisos de Google Calendar y la clave de ActiveCampaign, cifrados con AES-256-GCM.
- La página pública no ejecuta código en el navegador del visitante si la organización no le añade etiquetas, y las de Meta y Google no se cargan hasta que el visitante las acepta en el aviso de cookies. Su formulario tiene límites de envíos y la dirección IP del visitante solo se usa para aplicarlos, sin guardarla con sus datos.
- Los registros técnicos identifican por códigos, nunca por nombres, emails ni datos de salud; el registro de actividad apunta qué se hizo, quién y cuándo. Las aplicaciones tienen una política de seguridad de contenidos (CSP) estricta y límites de peticiones.
- La IA: las peticiones viajan cifradas al modelo, con su registro de peticiones apagado; los registros técnicos nunca guardan lo que se pidió ni lo que respondió; lo que escribe un cliente se le da al modelo como datos, nunca como instrucciones; y la IA no tiene ninguna herramienta que envíe, asigne, cobre o borre nada.
- Cuando un cliente retira su consentimiento del servicio, sus datos de salud y lo que la IA preparó sobre él se borran en un plazo máximo de 30 días, salvo que lo vuelva a dar antes; si retira el de la comunidad, lo que publicó en ella. Un interesado se borra 12 meses después de su último contacto o del último cambio de la organización, y el que se hace cliente, a los 30 días. Lo que se borra desaparece de las copias de seguridad en un plazo máximo de 30 días.
Subencargados
La organización da a Kluva una autorización general para recurrir a otros encargados. Los de hoy, con su servicio, la ubicación de los datos y la garantía de cada uno, están en la página de subencargados. Antes de que un subencargado nuevo empiece a tratar datos, Kluva lo añade a esa página con su fecha y avisa por email al titular de cada organización. La organización puede oponerse, con motivos razonables, escribiendo a ivan@kluva.app; si no se llega a una solución, puede cancelar el servicio. Cada subencargado se obliga por contrato a lo mismo que Kluva en este contrato, y Kluva responde ante la organización de lo que haga.
Algunos subencargados pertenecen a grupos de fuera de la Unión Europea y podrían acceder a los datos para darles soporte, y Stripe trata datos de pago también en los Estados Unidos; esas transferencias se protegen con las cláusulas contractuales tipo de la Comisión Europea o con el Marco de Privacidad de Datos UE-EE. UU., como indica esa página.
Herramientas que conecta la organización
ActiveCampaign. Si la organización conecta su propia cuenta de ActiveCampaign, Kluva envía a esa cuenta, por instrucción de la organización, cada noche y cuando lo pide: el email, el nombre y los apellidos, el teléfono si se dio, si es cliente o interesado y las etiquetas de la organización que ella elige, solo de los clientes y los interesados que han aceptado y confirmado sus novedades y no las han retirado. Nunca envía datos de salud ni otros consentimientos. Cuando alguien retira su consentimiento en Kluva, se borra de la plataforma o deja de ser cliente, Kluva le da de baja de la lista en ActiveCampaign (guarda su email hasta 30 días, solo para eso), y cuando alguien se da de baja en ActiveCampaign, Kluva lo recibe y registra la retirada.
ActiveCampaign no es un subencargado de Kluva: es el proveedor que la organización contrata directamente, y trata esos datos como encargado de la organización, con sus propias condiciones. La organización responde de tener con ActiveCampaign el contrato del artículo 28 del RGPD, de que la transferencia a los Estados Unidos, donde ActiveCampaign puede tratar los datos, esté cubierta por una garantía válida (su adhesión al Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo, según lo que ActiveCampaign ofrezca en cada momento), de informar de ello a sus contactos, de no elegir etiquetas que digan algo de la salud de nadie, y de lo que haga con los datos en su cuenta, que Kluva no borra al borrar a un cliente ni al terminar el servicio.
El asistente de IA de un miembro (el conector). Si la organización activa el conector, cada miembro puede autorizar a un asistente de IA de un tercero que él elige a entrar en Kluva con su cuenta, con los permisos que acepta y nunca más que los suyos. Ese asistente puede leer la biblioteca de la organización, crear borradores que aparecen en la aplicación para que el equipo los revise, y leer de los clientes que ese miembro ya ve su nombre, su agenda y sus rutinas y plantillas, nunca sus datos de salud. No puede enviar, asignar, reservar, cobrar ni borrar nada. El asistente no es un subencargado de Kluva: trata los datos como encargado de la organización, que responde de elegirlo, de su contrato, de dónde trata los datos y de informar a sus clientes. Cada conexión se puede revocar en Ajustes > IA y termina sola tras 90 días sin uso.
Las etiquetas de Meta y de Google. Las carga el navegador del visitante de la página pública, solo después de que las acepte, y envían sus datos directamente a esas empresas; Kluva no les envía ningún dato. La organización es responsable, junto con ellas, de lo que recogen.
El email con el que un interesado confirma que quiere recibir novedades lo envía Kluva en nombre de la organización; caduca a los 7 días, y sin confirmar no se envía nada a ActiveCampaign.
Fin del encargo
Mientras dura el servicio, la organización puede exportar los datos de cada cliente y sus interesados. Cuando termina, la organización queda en solo lectura 30 días y después suspendida, y durante todo ese tiempo puede seguir exportando y borrando los datos de sus clientes. Sus datos se borran 90 días después del fin del servicio, y desaparecen de las copias de seguridad en un plazo máximo de 30 días más.
La única excepción es lo que la ley obliga a conservar: cuando la organización borra a un cliente, las facturas que le emitió y los pagos que nombran se guardan 6 años desde su emisión, sin el cliente y visibles solo en Facturas, y se borran después. Antes del borrado por fin del servicio, la organización debe descargar las facturas que esté obligada a conservar. Lo que la organización tenga en su cuenta de ActiveCampaign es suyo y no se borra con ella.
Responsabilidad y ley aplicable
Cada parte responde de cumplir lo que el RGPD y este contrato le imponen. Si Kluva trata los datos para otro fin o contra las instrucciones de la organización, será responsable de ese tratamiento. Este contrato se rige por la ley española y por la cláusula de jurisdicción de los términos del servicio.