Contrato de encargo del tratamiento

Cómo tratamos, por tu cuenta, los datos personales de otras personas que subes a Polimake.

Última actualización: 5 de noviembre de 2026

Este contrato regula cómo trata Polimake los datos personales que sus clientes suben a los servicios, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679), al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD) y al modelo de la Agencia Española de Protección de Datos.

Forma parte de los Términos de servicio y lo aceptas junto con ellos cuando creas tu cuenta o contratas un plan. Se aplica siempre que subas a Polimake datos personales de otras personas. Si necesitas una copia firmada por ambas partes, pídela en dpo@polimake.com.

1. Partes y funciones

El Responsable eres tú, el cliente de Polimake: la persona o empresa titular de la cuenta que decide qué datos sube y para qué.
El Encargado es NEBULAR MEDIA SLU (Polimake), NIF B56931686, Calle Platería 6, Piso 2B, 30004 Murcia, España. Contacto de protección de datos: dpo@polimake.com.
Este contrato cubre solo los datos que Polimake trata por cuenta del Responsable. Los datos que Polimake trata para sus propios fines (la cuenta del cliente, la facturación, la seguridad o la comunicación comercial) se rigen por la política de privacidad.

2. Objeto, duración, naturaleza y finalidad

Objeto. Polimake trata los datos personales incluidos en el contenido del Responsable solo para prestarle los servicios contratados: la nube, la sincronización de la app de escritorio, Studio, el agente de diseño con IA y el conector para asistentes.
Operaciones de tratamiento: recogida y registro al subir los archivos; almacenamiento y copias de seguridad; organización y estructuración; conversión de formatos y generación de vistas previas; análisis con IA para etiquetar, describir y buscar; generación de diseños a partir de las instrucciones del Responsable; consulta; comunicación a las personas con quien el Responsable comparte y a las redes sociales en las que decide publicar; supresión.
Duración. La misma que el contrato de servicios. Al terminar se aplica la sección 14.

3. Datos y personas afectadas

Tipos de datos: imágenes y vídeos en los que aparecen personas, con su imagen y su voz; nombres, datos de contacto y otros datos que contengan los archivos, metadatos, textos y comentarios; nombre y email de los miembros del equipo y de los invitados; e instrucciones dadas a la IA.
Personas afectadas: los clientes del Responsable y sus representantes; las personas que aparecen en los archivos; los empleados, colaboradores e invitados del Responsable; y cualquier otra persona cuyos datos el Responsable decida subir.
Categorías especiales. El servicio no está pensado para categorías especiales de datos (salud, origen étnico, opiniones políticas, religión, vida sexual o datos biométricos con los que identificar a una persona). El Responsable no las subirá salvo que sea necesario y lícito, y no pedirá a Polimake que identifique a personas por su rostro.

4. Instrucciones del Responsable

Polimake trata los datos solo siguiendo las instrucciones documentadas del Responsable, que son: los Términos de servicio, este contrato y lo que el Responsable hace en el servicio (subir, compartir, publicar, pedir a la IA, borrar). Si Polimake considera que una instrucción infringe el RGPD u otra norma de protección de datos, avisará de inmediato al Responsable.

5. Obligaciones del Encargado

Polimake se compromete a:

No usar los datos para fines propios. En ningún caso los usará para otra cosa que prestar el servicio. En particular, nunca los usará para entrenar modelos de inteligencia artificial, propios o de terceros, ni como ejemplo o en publicidad, salvo que el Responsable lo autorice expresamente.
Llevar el registro de actividades de tratamiento que realiza por cuenta del Responsable (art. 30.2 RGPD).
No comunicar los datos a terceros, salvo a los subencargados autorizados (sección 8), a quienes el Responsable decida compartir o publicar, o cuando lo exija la ley. En este último caso, informará antes al Responsable, salvo que la ley lo prohíba.
Aplicar las medidas de seguridad del Anexo I.
Ayudar al Responsable con los derechos de las personas (sección 10), las violaciones de seguridad (sección 11) y las evaluaciones de impacto (sección 12).
Poner a disposición del Responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías (sección 15).

6. Confidencialidad

Polimake mantendrá en secreto los datos, también después de terminar el contrato. Solo accederán a ellos las personas de su equipo que lo necesiten para prestar el servicio, que se han comprometido por escrito a mantener la confidencialidad y conocen sus obligaciones de protección de datos. Polimake guarda esa documentación a disposición del Responsable.

7. Seguridad

Polimake aplica las medidas técnicas y organizativas adecuadas al riesgo que exige el artículo 32 del RGPD, descritas en el Anexo I. Puede mejorarlas con el tiempo, pero nunca rebajar su nivel de protección.

8. Subencargados

Autorización. El Responsable autoriza a Polimake a recurrir a los subencargados del Anexo II.
Cambios. Antes de añadir o sustituir un subencargado, Polimake avisará al Responsable por email con al menos 30 días de antelación, indicando quién es, qué hará y dónde.
Oposición. El Responsable puede oponerse por motivos razonables de protección de datos dentro de ese plazo, escribiendo a dpo@polimake.com. Si no se encuentra una solución, el Responsable puede resolver el contrato sin coste, y Polimake le devolverá la parte pagada no disfrutada.
Mismas obligaciones. Cada subencargado queda obligado por contrato a lo mismo que Polimake en este contrato. Polimake sigue siendo plenamente responsable ante el Responsable de lo que hagan sus subencargados.

9. Transferencias internacionales

Todos los subencargados tratan los datos en la Unión Europea salvo el inicio de sesión (Auth0), que hoy está en EE. UU. y estamos trasladando a la UE. Polimake solo lo permite con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. (DPF), si el subencargado está adherido, o las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulo de encargado a encargado), con medidas adicionales cuando hacen falta.

10. Ayuda con los derechos de las personas

Si una persona ejerce ante Polimake sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad sobre datos del Responsable, Polimake se lo trasladará al Responsable por email a más tardar el día hábil siguiente, sin responderle por su cuenta salvo para indicarle que se dirija al Responsable. Polimake ayudará al Responsable, con las funciones del servicio o como sea razonable, a atender esas solicitudes.

11. Violaciones de seguridad

Polimake notificará al Responsable cualquier violación de la seguridad de sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento de ella, por email a la dirección de la cuenta.
La notificación incluirá, como mínimo: la naturaleza de la violación, con las categorías y el número aproximado de personas y registros afectados; un contacto para obtener más información; las consecuencias probables; y las medidas adoptadas o propuestas para remediarla y mitigar sus efectos.
Si no es posible dar toda la información a la vez, se dará por fases, sin demora.
Notificar a la AEPD y a las personas afectadas corresponde al Responsable. Polimake le ayudará con la información de que disponga.

12. Evaluaciones de impacto y consulta previa

Polimake ayudará al Responsable, con la información de que disponga, a realizar las evaluaciones de impacto relativas a la protección de datos y, en su caso, la consulta previa a la autoridad de control.

13. Obligaciones del Responsable

El Responsable se compromete a:

tener una base legal para tratar los datos que sube, y el consentimiento o la autorización que exija la ley para usar la imagen de las personas que aparecen en sus archivos (Ley Orgánica 1/1982);
informar a las personas afectadas del tratamiento;
dar instrucciones conformes con la ley y supervisar el tratamiento;
no subir categorías especiales de datos salvo en los términos de la sección 3.

14. Fin del encargo: devolución o supresión

Al terminar el contrato, el Responsable puede descargar sus datos durante al menos 30 días, con las funciones del servicio o pidiendo una exportación (sección 20 de los Términos de servicio). En ese plazo puede elegir también que Polimake los entregue a otro proveedor que designe.
Después, Polimake suprimirá los datos y todas sus copias. Las copias de seguridad se borran en su ciclo normal y, como máximo, a los 90 días del fin del contrato.
Si la ley obliga a conservar algún dato, Polimake lo mantendrá bloqueado, solo a disposición de las autoridades y durante el plazo legal (art. 32 LOPDGDD), y lo suprimirá después.
A petición del Responsable, Polimake certificará por escrito la supresión.

15. Auditorías e inspecciones

Polimake pondrá a disposición del Responsable la información necesaria para demostrar que cumple este contrato: primero, documentación, informes y certificaciones. Si eso no basta, el Responsable, o un auditor independiente sujeto a confidencialidad, podrá hacer una auditoría con un preaviso razonable de al menos 30 días, en horario laboral, sin acceder a datos de otros clientes ni comprometer la seguridad del servicio. Cada parte asume sus costes, salvo que la auditoría revele un incumplimiento relevante de Polimake.

16. Contacto de protección de datos

Para cualquier cuestión sobre este contrato, el Responsable puede escribir a dpo@polimake.com.

17. Responsabilidad y prelación

La responsabilidad de cada parte se rige por los Términos de servicio y por el artículo 82 del RGPD.
Si un encargado determina por su cuenta los fines y los medios del tratamiento, pasa a ser responsable de ese tratamiento (art. 28.10 RGPD).
En materia de protección de datos, este contrato prevalece sobre los Términos de servicio y sobre cualquier otro acuerdo entre las partes.

18. Cambios

Polimake podrá actualizar este contrato para adaptarlo a cambios legales o del servicio, avisando con al menos 30 días de antelación, como indica la sección 25 de los Términos de servicio. Los cambios nunca rebajarán la protección de los datos.

Anexo I. Medidas de seguridad

Cifrado de las comunicaciones con TLS entre tu dispositivo, nuestros servidores y nuestros proveedores.
Control de acceso por roles y con el mínimo privilegio: cada persona del equipo accede solo a lo que necesita.
Separación del contenido de cada cuenta y permisos por proyecto, carpeta, colección y archivo, que decide el Responsable.
Autenticación gestionada por un proveedor especializado, sin contraseñas guardadas por Polimake.
Registro de las operaciones sensibles, para detectar y investigar incidentes.
Copias de seguridad periódicas, para poder recuperar los datos tras un incidente.
Minimización: resúmenes cifrados en lugar de direcciones IP cuando basta con ellos, y ningún dato más de los necesarios.
Proveedores seleccionados por sus garantías de seguridad, con contrato de encargo y obligaciones equivalentes.
Gestión de incidentes: un procedimiento para detectar, contener, notificar y documentar las violaciones de seguridad.
Revisión periódica de la seguridad, incluidas auditorías de código y de configuración.
Confidencialidad del equipo por escrito y formación en protección de datos.

Anexo II. Subencargados autorizados

Subencargado	Servicio	Ubicación	Garantía si sale de la UE
Cloudflare, Inc.	Servidores de aplicación, bases de datos y almacenamiento de archivos y vistas previas (R2)	UE	DPF y cláusulas contractuales tipo
DigitalOcean, LLC	Servidor y base de datos de la nube	UE	DPF y cláusulas contractuales tipo
Qdrant Solutions GmbH (Qdrant Cloud)	Índice de búsqueda semántica del contenido	UE	No sale de la UE
Google (Google Ireland Ltd. y Google LLC)	IA Gemini, en modalidad de pago y sin entrenamiento: análisis de imágenes de la nube y agente de diseño	UE	DPF y cláusulas contractuales tipo
Vercel Inc.	Alojamiento y entrega de la web	UE	DPF y cláusulas contractuales tipo
Auth0 (Okta, Inc.)	Inicio de sesión de los usuarios del Responsable y de sus invitados	EE. UU. (en traslado a la UE)	DPF y cláusulas contractuales tipo

Polimake actualizará esta lista con el procedimiento de la sección 8.

Documentos relacionados: Términos de servicio · Política de privacidad · Política de cookies · Aviso legal