Contrato de encargo del tratamiento

Versión del 04/11/2026

En pocas palabras: la ley pide este contrato para los datos de tus planos. Sigue el modelo de la Comisión Europea, salvo las letras 2.a y 7.7.e. Tu estudio decide; nosotros medimos. Guardamos tus archivos 90 días, o lo que elijas. A la IA le llegan, seudonimizados, un resumen de tu plano y de tu presupuesto, lo que le explicas, los datos del plano que consulta y lo que le has enseñado. Nunca los usamos para nada nuestro ni para otro estudio. Lo acepta el titular con el acuerdo de piloto o, con la venta, con las condiciones.

Cómo está hecho este contrato

Este es un contrato de encargo del tratamiento propio, como pide el artículo 28 del Reglamento General de Protección de Datos (RGPD). Se basa en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/915), como permite el artículo 28.6 del RGPD: usa su estructura y su texto oficial en español, con dos cambios, la cláusula 7.7.e, explicada en ella, y la 2.a, que lo dice. Elegimos las opciones del RGPD y, para los subencargados, la autorización general con 30 días de aviso (cláusula 7.7). No usamos la cláusula 5, que es opcional. Donde dicen «pliego de cláusulas», se refieren a las secciones I a III y a los anexos I a IV, no a las «Cláusulas añadidas».

Lo propio de MideMatic está en los anexos I a IV y en las «Cláusulas añadidas», al final, como permite la cláusula 2. En las cláusulas, «el responsable» eres tú (tu estudio) y «el encargado» somos nosotros.

Cláusulas contractuales tipo

Sección I

Cláusula 1. Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2. Invariabilidad del pliego de cláusulas

a) Este contrato sigue las cláusulas contractuales tipo con dos cambios: esta letra y la cláusula 7.7.e, que se explica en ella. Fuera de eso, las partes solo pueden añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3. Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4. Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Sección II: Obligaciones de las partes

Cláusula 6. Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7. Obligaciones de las partes

7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) AUTORIZACIÓN GENERAL POR ESCRITO: El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) MideMatic no puede pactar con sus subencargados una cláusula de tercero beneficiario a tu favor, porque Google Cloud y Hetzner solo ofrecen sus condiciones estándar. En su lugar: (i) Google Cloud no conserva lo que le enviamos más de lo necesario para responder, salvo lo que dice el anexo IV (la caché de unos minutos y, hasta 30 días, lo que guarde para la seguridad y contra los abusos); (ii) Hetzner se compromete en su contrato de encargo a devolver o borrar los datos al terminar y, en caso de embargo o insolvencia, a avisar y a declarar que los datos pertenecen a sus clientes (§11 y §13.3); y (iii) puedes exportar todos tus datos y borrarlos en cualquier momento, tú mismo, desde Ajustes › Datos y baja.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8. Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;

la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;

la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;

las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9. Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

las consecuencias probables de la violación de la seguridad de los datos personales;

las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

Sección III: Disposiciones finales

Cláusula 10. Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;

el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

Anexo I: lista de partes

Responsable:

Nombre: el estudio, la empresa o el profesional que da de alta su estudio en MideMatic y acepta este contrato, identificado por el correo de su titular y, cuando los da, por su nombre o razón social y su NIF.
Dirección: la de facturación de su cuenta, cuando la da.
Persona de contacto: el titular de la cuenta del estudio (quien la da de alta o a quien se pasa la titularidad), en su correo. Si el responsable tiene delegado de protección de datos, puede darnos su contacto en privacidad@midematic.com.
Firma y fecha de adhesión: la aceptación de este contrato por el titular, en nombre del estudio, con la casilla del alta, que guardamos con la fecha, la hora y la versión.

Encargado:

Nombre: Álvaro Mir Martínez (MideMatic), NIF 44527657W.
Dirección: Av. Francia 38, 46023 Valencia (España).
Persona de contacto: Álvaro Mir Martínez, titular, en privacidad@midematic.com. No tenemos delegado de protección de datos: por nuestro tamaño y actividad, la ley no lo exige.
Firma y fecha de adhesión: la misma aceptación.

Anexo II: descripción del tratamiento

Categorías de interesados: las personas que aparecen en tus planos y presupuestos, como promotores, propietarios, técnicos, contratistas, vecinos colindantes o personas de contacto.
Categorías de datos personales: los que lleven tus planos y presupuestos, normalmente en el cajetín del plano o en la cabecera del presupuesto: nombres y apellidos, direcciones de la obra y de contacto, referencias catastrales, firmas, números de colegiado, teléfonos y correos. Los que pueda llevar el nombre de la obra o de sus archivos, o lo que escribe tu estudio en ella (lo que le explica a la IA, líneas de medición escritas a mano, incidencias). Y los de esas personas que puedan quedar en lo que le has enseñado a MideMatic (tus criterios, tus convenciones de dibujo y tus notas).
Datos sensibles (por ejemplo, de salud): el servicio no los necesita: no los subas si no hacen falta para medir. Si aun así los hay, van cifrados y se borran en los mismos plazos. A la IA le llegan un resumen en texto de tu plano y de tu presupuesto, las cantidades medidas, lo que le explicas (en «Explícamelo» y en el chat de la obra), los datos del plano que consulta (cuántos elementos hay, cuánto miden y los textos de la leyenda y de las capas) y lo que le has enseñado (las convenciones de dibujo y las notas de tu estudio), con los nombres y datos personales que el programa reconoce, tapados, y nunca los importes. Nadie de MideMatic los mira, salvo Álvaro Mir Martínez si nos permites mirar esa obra por una incidencia, y solo en lo imprescindible.
Naturaleza del tratamiento: recibimos los archivos cifrados y los guardamos cifrados durante el plazo de conservación que elige tu estudio. Los leemos de forma automática para medir. Preparamos un resumen en texto, con los importes y los nombres y datos personales que el programa reconoce, tapados, que interpreta la IA (anexo IV). La IA lee cada partida y, al final, revisa las mediciones que calcula el programa: le llegan las cantidades medidas, nunca los importes, y señala con ◆ las que conviene revisar, sin cambiar ninguna cifra. Lee también lo que le explica tu estudio, busca en el plano con datos tapados y propone cómo medir; lo que propone en el chat no se aplica sin que tu estudio pulse «Aplicar», y lo que no tiene claro al preparar la obra y lo contestado con una nota de tu estudio llevan ◆ hasta que alguien lo acepta. La conversación de cada obra se guarda cifrada con ella y se borra con ella. Te entregamos el BC3 medido, guardamos el registro de obras y borramos los archivos cuando toca. MideMatic recuerda lo que tu estudio le pide recordar y calcula las huellas de cada obra (abajo). Solo si nos lo permites por una incidencia, miramos esa obra; y solo si el titular nos da acceso de soporte, revisamos tu estudio para resolver lo que nos pide, 72 horas como mucho.
Finalidad: medir los presupuestos que nos envías. Leemos el plano (DWG o DXF) y el presupuesto (BC3) de cada obra, calculamos las mediciones, te hacemos las preguntas que hagan falta y te devolvemos el BC3 medido. También guardar las obras durante el plazo que eliges y el registro de obras, recordar lo que le has enseñado a MideMatic (tus criterios, convenciones y notas) y, por esta instrucción tuya, calcular las huellas de cada obra para no contarte dos veces la misma obra. Solo si nos lo permites para una obra concreta, también resolver una incidencia de esa obra (ver «Conservación para resolver una incidencia»); y, si el titular nos da acceso de soporte, resolver el problema de la cuenta o de los criterios que nos pide. Para nada más. Lo que nunca hacemos está en «Lo que nunca hacemos con tus datos».
Huellas de cada obra: al subir una obra calculamos dos huellas: series de letras o números calculadas, con una clave secreta (HMAC), una a partir del archivo del plano y otra a partir de la lista de códigos y títulos de las partidas (sin cantidades ni precios). Solo se comparan con las de otras obras de tu misma cuenta, para no contarte dos veces la misma obra, y se borran a los 61 días. Con ellas no se puede reconstruir el plano ni leer sus textos, pero, con el mismo archivo, se puede comprobar que ya se subió.
Duración: la de tu contrato con MideMatic, desde la primera obra que subas, también en el piloto. Los archivos de cada obra se guardan durante el plazo de conservación que elige tu estudio (ver «Conservación de los archivos»): por defecto, 90 días desde que el BC3 medido está listo. El registro de obras se guarda mientras exista la cuenta, y lo que le has enseñado a MideMatic, hasta que lo borres o cierres la cuenta; puedes verlos y borrarlos en la aplicación. El resumen para la IA se borra la primera vez que se descarga el BC3 de la obra, o al borrarse sus archivos si no se descarga antes. Al terminar el contrato, lo guardamos solo hasta devolvértelo y borrarlo (cláusula 10.d), como explica «Al terminar». De las copias de seguridad desaparece, como mucho, 30 días después.
Tratamiento por subencargados: Hetzner Online GmbH aloja nuestro servidor, las copias de seguridad de nuestra base de datos y nuestro buzón de correo, del que salen todos los correos que te enviamos. Google Cloud EMEA Limited, con Vertex AI, trata lo que le llega a la IA de cada obra (el resumen en texto, lo que le explicas, los datos del plano que consulta y lo que le has enseñado), para que la IA lo interprete, sin guardarlo más de lo necesario para responder, salvo lo que dice el anexo IV. Son los dos únicos que tratan los datos de tus obras. Los dos, mientras dure el contrato (ver el anexo IV).

Anexo III: medidas técnicas y organizativas

Cifrado: los archivos viajan cifrados (HTTPS) y se guardan cifrados, con una llave por obra. El nombre de la obra y el de los archivos también se guardan cifrados. Las claves las guardamos nosotros, aparte.
Ubicación: los archivos se guardan y se miden solo en nuestro servidor de Hetzner en Finlandia, y no damos acceso a ellos desde fuera del Espacio Económico Europeo (el riesgo que queda con Google Cloud está en «Dónde están tus datos»). La IA trata lo que le llega (un resumen tapado de tu plano y de tu presupuesto, las cantidades medidas, lo que le explicas, los datos del plano que consulta y lo que le has enseñado, siempre tapados) en la multirregión «eu» de Google Cloud, en la Unión Europea. Las copias de seguridad de la base de datos van cifradas a otro almacenamiento de Hetzner, aparte del servidor, también en Helsinki (Finlandia), y nunca llevan los archivos de las obras.
Cada estudio solo ve lo suyo: cada dato lleva su estudio, y la base de datos impide que un estudio vea las filas de otro aunque el programa se equivoque. Lo comprueban pruebas automáticas antes de cada versión.
La IA, con lo mínimo: a la IA le llegan un resumen en texto de tu plano y de tu presupuesto, las cantidades medidas, lo que le explicas (en «Explícamelo» y en el chat de la obra), los datos del plano que consulta (cuántos elementos hay, cuánto miden y los textos de la leyenda y de las capas) y lo que le has enseñado (las convenciones de dibujo y las notas de tu estudio), con los nombres y datos personales que el programa reconoce, tapados, y con un seudónimo en lugar del nombre de la obra y de los archivos, por una sola salida del programa, que lo comprueba a la ida y a la vuelta. Nunca el archivo del plano, ni imágenes de él, ni los importes, ni el BC3 entero. Para la seguridad y contra los abusos, y solo para eso, Google puede guardar, cifrados, los textos que le enviamos y los que responde la IA hasta 30 días, con acceso restringido a sus sistemas automáticos y a su personal de seguridad autorizado y sin usarlos para entrenar modelos. Aparte de eso, no guarda lo que le enviamos más tiempo del necesario para responder, y tenemos apagado su registro de peticiones y respuestas. Tenemos apagado el registro de peticiones y respuestas de Google Cloud. Para responder más rápido, Google reutiliza durante unos minutos (5 por defecto, que se renuevan si se reutiliza) el cálculo interno que hace el modelo con lo que le enviamos (la llamada «caché»): un estado interno temporal, ligado solo a nuestro proyecto de Google Cloud, que no usan otros proyectos ni recibe Anthropic. Aunque va seudonimizado, sigue siendo un dato personal, y lo tratamos como tal. Las herramientas de la IA solo leen datos de esa obra (y, para recordar, la memoria de tu estudio), nunca de otra obra ni de otro estudio, y ninguna cambia nada: la IA propone, el programa comprueba lo que propone, lo del chat no se aplica sin «Aplicar» y lo que no tiene claro al preparar la obra y lo contestado con una nota de tu estudio llevan ◆ hasta que alguien lo acepta.
Archivos con trampa: los planos y los presupuestos se leen en una zona aislada del servidor, sin red ni acceso al resto, con límites de tiempo y de memoria.
Borrado automático: en los plazos del anexo II y de «Conservación de los archivos», también de las copias temporales. Lo que se borra de la base de datos desaparece de las copias de seguridad, como mucho, 30 días después.
Registros técnicos sin contenido: los registros del servicio no guardan el contenido de los planos, ni el nombre de las obras o de los archivos, ni lo que se manda a la IA. Los de funcionamiento se guardan 30 días.
Acceso mínimo: solo accede quien lo necesita, con cuentas personales, comprometido por escrito a guardar el secreto u obligado a ello por ley. Hoy, solo Álvaro Mir Martínez, y nunca una IA. Todas las cuentas de administración tienen verificación en dos pasos. Una persona solo mira una obra si lo permites en una incidencia, o todo el estudio si su titular nos da acceso de soporte (72 horas como mucho), y cada acceso queda registrado y lo ve tu estudio.
Copias y recuperación: copias de seguridad cifradas de la base de datos (con tu cuenta, el registro de obras y lo que le has enseñado a MideMatic), guardadas en otro almacenamiento de Hetzner, aparte del servidor, también en Helsinki (Finlandia), con su clave guardada aparte. Lo que se borra sale de ellas en 30 días como mucho. No llevan los archivos de las obras. Si se pierde algo, lo recuperamos de la última copia, y lo que se había borrado se vuelve a borrar.
Acceso de tu estudio: cada persona entra con su llave de acceso o con un código que llega a su correo (vale 10 minutos), sin contraseñas. Como mucho 2 sesiones abiertas por persona, que se cierran solas tras 30 minutos sin actividad y a las 8 horas. Cada persona ve sus sesiones y puede cerrarlas. El titular invita y quita usuarios, y le avisamos si una cuenta se usa a la vez desde dos sitios.
Portabilidad y supresión: el titular puede exportar todo el estudio, borrar los archivos de cualquier obra, quitar una obra del registro y, como cualquier usuario, borrar lo que le habéis enseñado a MideMatic, en la aplicación.
Mantenimiento: actualizaciones de seguridad al día y revisión de estas medidas al menos una vez al año, y después de cada brecha o cambio importante.
Seguridad física y certificados: los centros de datos de Hetzner, con certificación ISO/IEC 27001, y la IA generativa de Vertex AI, de Google Cloud, con certificaciones ISO/IEC 27001, 27017 y 27018 y auditorías SOC 1, SOC 2 y SOC 3.
Incidentes: registro interno de incidentes y un procedimiento para avisar de las brechas.
Brechas de seguridad (cláusula 9): una brecha es, por ejemplo, que se pierdan datos o que alguien acceda a ellos sin permiso. Si sufrimos una (también si la sufren Hetzner o Google Cloud) que afecte a datos personales que tratamos por tu encargo, te avisaremos sin dilación indebida, con un primer aviso en 24 horas como mucho desde que la conozcamos, al correo del titular de tu estudio y desde nuestro buzón de Hetzner; y después, lo que vayamos sabiendo. Te avisamos siempre, sin valorar antes si hay riesgo: esa valoración te toca a ti. El aviso dice lo que sepamos en ese momento (qué ha pasado; qué datos están afectados y, aproximadamente, cuántas personas y registros; las consecuencias probables; lo que hemos hecho y lo que proponemos hacer para limitar el daño; y dónde preguntar), y lo completamos a medida que sepamos más.
Ayuda para atender los derechos de las personas (cláusula 8): si alguien nos pide ejercer sus derechos sobre datos de tus planos, no le contestamos nosotros. Te pasamos su petición, desde nuestro buzón de Hetzner, como muy tarde el día laborable siguiente, con la información que tengamos, para que la resuelvas tú. Te ayudamos a responder en lo que podamos: por ejemplo, borrando los archivos de una obra o quitándola del registro.
Ayuda con tus demás obligaciones (cláusula 8): te damos la información que tengamos para ayudarte con la seguridad, con las brechas de seguridad, con las evaluaciones de impacto (el estudio de riesgos que pide la ley en algunos casos), con qué datos salen y adónde, y con las consultas previas a la autoridad de protección de datos (artículos 32 a 36 del RGPD). Llevamos un registro de los tratamientos que hacemos para nuestros clientes (artículo 30.2 del RGPD).

Anexo IV: lista de subencargados

Con la autorización general de la cláusula 7.7, esta es la lista acordada. Solo Hetzner y Google Cloud tratan los datos de tus obras. La misma lista, con sus fechas y sus cambios, está en «Subencargados».

Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen, Alemania; delegado de protección de datos: data-protection@hetzner.com, +49 9831 505-216). Aloja nuestro servidor: guarda los archivos de tus obras, cifrados, durante el plazo de conservación, y la medición se hace en él. El servidor está en su centro de datos de Helsinki (Finlandia). Es una empresa alemana, sujeta a la ley alemana y de la Unión Europea. Guarda también, cifradas, las copias de seguridad de nuestra base de datos (lo que se borra sale de ellas en 30 días como mucho), con tu cuenta, el registro de obras y lo que le has enseñado a MideMatic, en otro almacenamiento, aparte del servidor, también en Helsinki. Nunca llevan los archivos de las obras. También guarda nuestro buzón de correo, en Alemania, del que salen todos los correos que te enviamos, sin píxeles ni enlaces de seguimiento; también los que llevan datos de una obra, como el aviso de una brecha o una petición de derechos que te pasamos. Interviene si nos escribes con datos de una obra o nos envías un plano por correo, aunque no debes. Los planos que nos lleguen por correo los borramos del buzón y de la papelera en cuanto los vemos, y desaparecen de las copias automáticas de Hetzner en 14 días como máximo. Su contrato de encargo cubre el servidor, la Storage Box de las copias y el alojamiento del correo. Por contrato, trata los datos solo en la Unión Europea o el Espacio Económico Europeo, y no puede pasarlos fuera de ellos sin nuestro permiso previo.
Google Cloud EMEA Limited (70 Sir John Rogerson’s Quay, Dublín 2, Irlanda), con su servicio Vertex AI, en la multirregión «eu» de Google Cloud, en la Unión Europea. Su contrato de encargo es el «Cloud Data Processing Addendum», con el Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo para las transferencias. Recibe el resumen en texto de cada obra, las cantidades medidas, lo que le explica tu estudio (en «Explícamelo» y en el chat de la obra), los datos del plano que consulta la IA y lo que tu estudio le ha enseñado (sus convenciones de dibujo y sus notas), con los nombres y datos personales que el programa reconoce, tapados, y un seudónimo en lugar del nombre de la obra y de los archivos, para que la IA (Claude Opus 5.5, de Anthropic) lo interprete. Nunca recibe el archivo del plano, imágenes de él, los importes ni el BC3 entero. La llamada va a la multirregión «eu» de Google Cloud, que trata los datos solo en Estados miembros de la Unión Europea. Google no usa lo que recibe para entrenar ni ajustar modelos, ni se lo da a Anthropic. Para la seguridad y contra los abusos, y solo para eso, Google puede guardar, cifrados, los textos que le enviamos y los que responde la IA hasta 30 días, con acceso restringido a sus sistemas automáticos y a su personal de seguridad autorizado y sin usarlos para entrenar modelos. Aparte de eso, no guarda lo que le enviamos más tiempo del necesario para responder, y tenemos apagado su registro de peticiones y respuestas. Para responder más rápido, Google reutiliza durante unos minutos (5 por defecto, que se renuevan si se reutiliza) el cálculo interno que hace el modelo con lo que le enviamos (la «caché»): un estado interno temporal, ligado solo a nuestro proyecto de Google Cloud, que no usan otros proyectos ni recibe Anthropic. Forma parte de un grupo de Estados Unidos: lo que eso supone está en «Transferencias fuera de Europa».

Anthropic, que hace el modelo Claude, no es subencargado: no recibe tus datos. Lo decimos por transparencia.

Hetzner y Google Cloud tienen sus propios subencargados, que aparecen en sus contratos de encargo y en sus listas: la de Google Cloud y la de Hetzner. Si uno de nuestros subencargados cambia los suyos, te avisamos en cuanto lo sepamos, con un enlace a «Subencargados» (Google Cloud nos avisa con 30 días como mínimo; Hetzner, con tiempo y con 14 días para oponerse, que puede acortar). Puedes oponerte como a un cambio nuestro: se lo trasladamos y, si no hay solución, puedes terminar el contrato sin coste.

Cláusulas añadidas

Tus instrucciones

Tus instrucciones documentadas (cláusula 7.1) son este contrato, el acuerdo de piloto y lo que pidas a MideMatic al usarlo: qué obras subes, qué contestas, qué descargas, qué borras y qué quitas del registro. También son instrucciones tuyas, y quedan registradas con quién y cuándo, el plazo de conservación que elige el titular y si la IA de tu estudio está encendida o apagada; y el acceso de soporte que nos dé el titular (72 horas como mucho), que queda registrado. Las huellas de cada obra son instrucción tuya, en el anexo II.

No damos a nadie los datos personales de tus planos y presupuestos, salvo a los subencargados del anexo IV o si una ley nos obliga (cláusulas 7.1 y 7.7).

Lo que nunca hacemos con tus datos

Con los datos de tu estudio (sus obras, lo que le explica a la IA y lo que le ha enseñado), MideMatic nunca:

los usa para sus propios fines (tampoco para mejorar su programa ni para contactar con las personas que aparecen en ellos);
entrena modelos de inteligencia artificial, ni deja que nadie lo haga;
los pasa a otro estudio, ni los mezcla con los suyos: lo que le enseña tu estudio solo vale para tu estudio.

Si lo hiciéramos, pasaríamos a ser responsables de ese tratamiento (artículo 28.10 del RGPD y artículo 33.2 de la Ley Orgánica 3/2018). Los datos de uso (cuántas obras se hacen al mes, cuántas partidas se midieron o cuánta IA usó cada obra) no llevan el contenido de las obras. Los tratamos como responsables, para facturar, para la seguridad y para saber cuánto se usa el servicio (ver la privacidad).

La inteligencia artificial

La única IA que trata tus datos es la de MideMatic: Claude Opus 5.5, de Anthropic, a través de Vertex AI, de Google Cloud (anexo IV), con lo mínimo que explica el anexo III.
La IA interpreta, busca en el plano lo que le explica tu estudio y propone cómo medirlo. Nunca pone una cifra suya: las cifras las calcula siempre el programa o las escribe tu estudio. Lo que propone en el chat no se aplica sin que una persona de tu estudio pulse «Aplicar»; lo que no tiene claro al preparar la obra y lo contestado con una nota de tu estudio llevan ◆ en la aplicación hasta que alguien lo acepta, y en el BC3 no se distingue. Tu estudio revisa las mediciones antes de usar el presupuesto.
Lo que tu estudio le enseña (sus criterios, sus convenciones de dibujo y sus notas) solo se guarda si lo pide (sin «Recordar», solo se apunta la forma de la respuesta y en qué obra se dio, para proponer guardarla si se contesta lo mismo en dos obras), en la memoria de tu estudio, separada de la de los demás, donde se ve, se cambia y se borra en «Criterios del estudio», hasta que lo borres o cierres la cuenta.
El titular puede apagarla cuando quiera. Entonces MideMatic prepara las obras solo con preguntas, y no hay «Explícamelo» ni chat.
Las incidencias y lo que escribes en «Esta pregunta no tiene sentido» no las lee ninguna IA, tampoco la de MideMatic: solo una persona. Para medir, investigar una incidencia o atenderte, no introducimos tus planos, tus presupuestos ni tus correos en ningún otro asistente ni modelo de IA, tampoco en los que usamos para desarrollar MideMatic.
Cómo lo explicamos en la aplicación y en la web, en «Cómo usamos la IA».

Conservación de los archivos

Por defecto, los archivos de cada obra (el plano, el BC3 original y los medidos, las respuestas, los recortes del plano y la conversación con la IA) se guardan 90 días desde que el BC3 medido está listo o, si la obra nunca se acaba, desde su última actividad.
Tu estudio lo elige: el titular puede elegir «Borrar al descargar» (72 horas después de la primera descarga del BC3), «90 días» o «Mientras tenga la cuenta», y cambiarlo cuando quiera. Es tu instrucción documentada (artículo 28.3.a del RGPD; Directrices 07/2020 del Comité Europeo de Protección de Datos, apartados 84, 116 y 118). Guardamos cada cambio, con quién lo hizo, cuándo y de qué a qué. Con «Mientras tenga la cuenta», te avisamos una vez al año para que revises lo guardado.
Borrar antes: cada obra tiene «Borrar ahora» (el titular y la persona a cargo de la obra, su «Responsable» en la aplicación). Siete días antes del borrado automático te avisamos en la aplicación, con «Mantener 90 días más».
El registro de obras: de cada obra guardamos, mientras exista la cuenta, su nombre, su fecha, quién la creó, su Responsable, su estado, sus partidas medidas y pendientes, sus incidencias y cuándo se borraron sus archivos. El titular puede quitar una obra del registro, y entonces se borran su nombre y su ficha (y sus archivos, si quedaban).
El historial de cada obra: cuando se borran sus archivos, guarda solo los hechos (la fecha, quién y qué) y se borra su contenido: las respuestas, los valores de antes, las explicaciones de las incidencias, las líneas escritas a mano y los nombres de archivo. Cada anotación del historial se guarda 2 años; si das de baja el estudio, se borra con lo demás. Lo que tu estudio ha enseñado a MideMatic (sus criterios, sus convenciones y sus notas) no se toca.
El resumen para la IA y la tabla que deshace el tapado se borran la primera vez que se descarga el BC3 de la obra, o al borrarse sus archivos si no se descarga antes.
Las copias de seguridad no llevan los archivos de las obras.

Conservación para resolver una incidencia

Si marcas una incidencia o «Esta pregunta no tiene sentido» y marcas la casilla «Permitir que MideMatic mire esta obra»:

Solo para esa obra, y solo si lo marcas tú. Nunca lo hacemos por nuestra cuenta.
Hasta cerrar la incidencia y, como mucho, 14 días, en una copia aparte de los archivos de esa obra. Los archivos de la obra siguen la conservación de tu estudio.
Cifrados y en el mismo servidor de la Unión Europea. Para mirarlos, se descifran en ese servidor, en una carpeta privada; no se copian a ningún otro sistema.
Solo para resolver esa incidencia. Para eso, una persona de MideMatic (Álvaro Mir Martínez) puede abrir y revisar los archivos. Nunca una IA. Nunca se usan para otra cosa: ni para entrenar modelos de inteligencia artificial ni para otras obras.

Tu permiso cuenta como una instrucción tuya. Apuntamos cada permiso, cada vez que se abren los archivos para investigar el fallo y cuándo termina (la fecha, el número de la incidencia, el número de la obra, nunca su nombre, y quién lo hizo; nunca los planos). Lo ves en el historial de la obra. Esa constancia no se puede cambiar y queda bloqueada 5 años desde cada anotación, también si borras tu cuenta.

Qué te toca a ti

Tener un motivo que admita la ley (una base legal) para tratar los datos de tus planos y presupuestos, e informar a las personas que aparecen en ellos (artículos 13 y 14 del RGPD). En esa información puedes decir que usas un proveedor para medir los presupuestos, con una IA en la Unión Europea.
Enviarnos solo lo necesario. Si el cajetín o la cabecera no hacen falta para medir, puedes quitarlos o taparlos antes de subirlos.
No escribir nombres de personas en el nombre de la obra, en lo que le explicas a la IA, en las notas del estudio ni en las incidencias: no hacen falta para medir.
Elegir el plazo de conservación que necesites y darnos instrucciones que cumplan la ley.
Atender los derechos de las personas y decidir si hay que avisar de una brecha de seguridad a la autoridad o a los afectados.
Subir los planos solo por MideMatic. Si nos llegan por correo, los borramos y te pedimos que los subas en la aplicación.

Subencargados: aviso, oposición y salida

Sus contratos de encargo les imponen, en esencia, las mismas obligaciones de protección de datos que tenemos contigo (cláusula 7.7.b), salvo la cláusula de tercero beneficiario (cláusula 7.7.e). Y seguimos respondiendo ante ti de lo que hagan.
Te avisamos antes de añadir o cambiar un subencargado, por correo al titular de tu estudio y en la aplicación, al menos 30 días antes (cláusula 7.7), con su nombre, su dirección, su contacto, lo que hará, qué datos recibirá, dónde y desde cuándo.
Puedes oponerte en ese plazo escribiendo a privacidad@midematic.com. Si no encontramos una solución, puedes terminar el contrato sin coste antes de que se aplique el cambio, y te devolvemos lo que hayas pagado por el tiempo que quede. En el piloto, dejarlo no cuesta nada.
Un subencargado nuevo no empieza a tratar los datos de las obras hasta que pasan esos 30 días.

Transferencias fuera de Europa

Los datos de tus planos y presupuestos no salen del Espacio Económico Europeo: nuestro servidor y las copias están en Finlandia, y la IA los trata en la multirregión «eu» de Google Cloud, en la Unión Europea. No damos acceso a ellos desde fuera (cláusula 7.8: solo con tu instrucción, o si lo exige el Derecho de la Unión o de un Estado miembro, y avisándote antes salvo que esa ley lo prohíba).

Google Cloud EMEA Limited forma parte de un grupo de Estados Unidos y podría recibir peticiones de autoridades de allí (por ejemplo, por la CLOUD Act). Su contrato de encargo no dice nada de esas peticiones; para las transferencias usa: para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU., al que está adherida Google LLC, y, para otros países, las cláusulas contractuales tipo de la Unión Europea. Lo que hacemos además está en «Dónde están tus datos».

Si algún día hiciera falta enviarlos fuera, lo trataríamos como un cambio de subencargado: te avisaríamos con 30 días de antelación, con el mecanismo legal que se usaría, y podrías oponerte.

Al terminar

Al terminar el contrato (o el piloto), tu estudio elige (artículo 33.3 de la Ley Orgánica 3/2018): que te lo devolvamos (tienes al menos 30 días para descargarlo todo: los archivos de las obras que se conserven, el registro de obras y lo que le has enseñado a MideMatic; Reglamento (UE) 2023/2854, de Datos, artículo 25), que se lo pasemos al encargado que nos digas, o que lo borremos. Si nos dices que una ley te obliga a conservarlos, no los borramos sin devolvértelos antes. Después lo borramos todo: los archivos, el registro de obras, lo que le has enseñado y las copias temporales. Las copias de seguridad de la base de datos desaparecen, como mucho, 30 días después, y nunca llevan archivos de obras; los planos que nos llegaran por correo desaparecen de las copias automáticas del buzón en 14 días como máximo. No guardamos ninguna copia bloqueada de tus obras (apartada por si la pidiera un juez o una autoridad). Te enviamos un certificado de borrado por correo, con las fechas (artículo 28.3.g del RGPD; Directrices 07/2020 del Comité Europeo de Protección de Datos, apartados 140 y 141; y artículo 33, apartados 3 y 4, de la Ley Orgánica 3/2018).

Solo guardamos, bloqueado, lo que pueda dar lugar a responsabilidades (artículo 33.4 de la Ley Orgánica 3/2018), nunca con el nombre de tus obras: lo que aceptaste, hasta 6 años después de que acabe el acuerdo de piloto o el contrato; cuando se venda, las facturas, los cobros, los libros y sus justificantes, 6 años; y tus reclamaciones y la constancia de los cambios de la conservación, de los permisos por incidencias y de los accesos de soporte, 5 años. Lo explica la política de privacidad.

Auditorías

Esto completa la cláusula 7.6: las auditorías se hacen a intervalos razonables o si hay indicios de incumplimiento. Primero facilitamos, sin coste, nuestra documentación y los certificados de nuestros proveedores. Si no te basta o hay indicios de incumplimiento, puedes auditar tú o un auditor independiente, con 30 días de preaviso o, si hay un incidente o indicios de incumplimiento, con el que sea razonable, y con confidencialidad. Cada parte paga sus costes; si pides más de una auditoría al año sin indicios, podemos repercutir costes razonables y justificados, nunca si se encuentra un incumplimiento. La auditoría solo alcanza al tratamiento de tus datos: no da acceso a datos de otros clientes.

Cambios de este contrato

Las cláusulas de las secciones I a III siguen las cláusulas tipo con dos cambios, la 2.a y la 7.7.e, y no cambian (cláusula 2). Si cambiamos los anexos o estas cláusulas añadidas, te lo avisamos a ti, por correo y en la aplicación, al menos 30 días antes: no basta con publicarlo aquí. Nunca para usar tus datos con otros fines ni para rebajar las medidas del anexo III. Si no estás de acuerdo, puedes terminar el contrato sin coste antes de que se aplique el cambio y te devolvemos lo que hayas pagado por el tiempo que quede (como dicen el acuerdo de piloto y, en la venta, las condiciones). Los cambios de subencargados siguen la cláusula 7.7.

Otras reglas

Este contrato forma parte del acuerdo de piloto (y, cuando abramos la venta, de las condiciones de contratación) y lo acepta el titular, en nombre de su estudio. Dura lo mismo que tu contrato con MideMatic. Seguimos obligados a guardar el secreto después de que termine.
Si este contrato y el acuerdo de piloto dicen cosas distintas sobre protección de datos, vale lo que dice este contrato. Y, dentro de él, las cláusulas de las secciones I a III valen por encima de todo lo demás (cláusula 4).
Si terminas el encargo por la cláusula 10, termina también el piloto (o tu suscripción, cuando se venda, y te devolvemos lo que hayas pagado por el tiempo que quede).
Este contrato se rige por la ley española y por el RGPD.