Acuerdo de Encargo del Tratamiento

Última actualización: 3 de septiembre de 2026 · lioraflow.com

Partes

De una parte, GEEK DEVOPS, S.L., con N.I.F. B40639494 y domicilio en Plaza Mariano Benlliure, 5, 46002 Valencia, España, en calidad de Encargado del Tratamiento (en adelante, el «Encargado» o «Liora Flow»).

De otra, el cliente que contrata el Servicio, en calidad de Responsable del Tratamiento (en adelante, el «Responsable»).

El presente Acuerdo forma parte integrante de las Condiciones Generales de Contratación y resulta de aplicación desde la perfección del contrato, sin necesidad de suscripción independiente. El Responsable que precise ejemplar firmado podrá solicitarlo en [email protected].

1. Objeto y delimitación de roles

1.1. El presente Acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable, en los términos del artículo 28 del Reglamento (UE) 2016/679 (en adelante, el «Reglamento»).

1.2. Delimitación. No todo tratamiento efectuado en el ámbito del Servicio se realiza por cuenta del Responsable. A tal efecto se distingue:

a) Encargo. El Encargado actúa por cuenta del Responsable respecto del contenido que se introduce en el Servicio: audio objeto de traducción, mensajes, ficheros, agenda y metadatos de comunicación; y, en la modalidad de aplicaciones bajo la marca del Responsable, respecto de los textos legales que este publica y del registro de sus aceptaciones. b) Responsabilidad propia. El Encargado actúa como responsable respecto de los datos de la cuenta del cliente, tratados con finalidades de facturación, soporte y prevención del fraude, conforme a la Política de Privacidad. c) Ausencia de tratamiento. En la modalidad de despliegue en infraestructura del Cliente, el Encargado no ostenta condición alguna, al ejecutarse el motor en infraestructura del propio Responsable sin que aquel acceda a la información.

2. Descripción del tratamiento

2.1. Objeto y finalidad. La prestación del Servicio contratado, comprensiva de la traducción de voz en tiempo real, del transporte y traducción de mensajes y ficheros y de las restantes funciones previstas en el Anexo correspondiente. No se efectúa tratamiento alguno con finalidad distinta, salvo el impuesto por norma en los términos de la cláusula 3.3.

2.2. Duración. La vigencia del contrato, y con posterioridad el tiempo necesario para practicar la devolución o supresión previstas en la cláusula 11. Respecto de la información que el Encargado venga obligado a conservar por imposición normativa, el presente Acuerdo mantiene su vigencia durante dicha conservación, conforme a la cláusula 11.3.

2.3. Categorías de interesados. Empleados y colaboradores del Responsable; usuarios finales de este; invitados que acceden mediante enlace sin cuenta; y toda persona que intervenga o escuche en una sala habilitada por el Responsable.

2.4. Categorías de datos.

2.5. Voz y traducción. Ausencia de conservación. El audio se traduce en tiempo real y no es objeto de almacenamiento, ni la grabación, ni la transcripción, ni el texto traducido. De cada sesión subsiste exclusivamente un cómputo de segundos, frases y caracteres, que constituye el soporte de la facturación y no contiene el contenido de lo tratado.

2.6. Mensajes y ficheros. Conservación cifrada y supresión automática. Los mensajes y los ficheros se conservan en los servidores del Encargado, cifrados tanto en la base de datos como en el almacenamiento, al objeto de su entrega a los distintos dispositivos de un mismo usuario, y son suprimidos automáticamente transcurridos quince (15) días. Dicho plazo resulta de aplicación al contenido escrito o cargado por los usuarios, sin perjuicio del cómputo propio que establecen las dos cláusulas siguientes para la vía de trabajos y para las reuniones.

2.6 bis. Vía de trabajos. En el procesamiento de grabaciones, documentos y textos remitidos por el Responsable mediante la vía de trabajos:

a) el fichero de origen se suprime a la conclusión del trabajo, sin sujeción al plazo general por resultar innecesaria su conservación una vez obtenido el resultado; b) el resultado permanece disponible durante quince (15) días, conforme al plazo general de la cláusula anterior, transcurridos los cuales se suprime automáticamente.

2.6 ter. Reuniones. El registro de una reunión se suprime transcurridos quince (15) días desde su finalización. Al admitirse su convocatoria con hasta cuarenta y cinco (45) días de antelación, dicho registro subsiste desde el momento de la convocatoria. Se aplica, además, un límite absoluto de noventa (90) días desde su creación, transcurrido el cual se suprime aunque la reunión no llegue a celebrarse.

2.6 quater. Metadatos de comunicación. Los metadatos —interlocutores y momento de la comunicación, participación en llamadas de grupo, dispositivos y presencia— subsisten mientras exista la cuenta del usuario a que se refieren, por resultar necesarios para la prestación, y se suprimen con la supresión de dicho usuario o de la cuenta del Responsable, conforme a la cláusula 11.

Los eventos de conexión a una sala se suprimen a los quince (15) días.

2.7. Categorías especiales. Datos biométricos. El Servicio no trata datos biométricos: no practica identificación por voz, no genera plantillas biométricas y no conserva elemento alguno apto para el reconocimiento de una persona por sus características acústicas. La voz se traduce y no se conserva.

2.8. Restantes categorías del artículo 9. El Servicio no está concebido para el tratamiento de datos relativos a la salud, a la ideología o a las creencias, ni el Encargado los requiere del Responsable. No obstante, dado que el contenido de lo manifestado por los intervinientes no es determinable a priori, el Responsable cuya actividad comporte previsiblemente el tratamiento de tales categorías —a título de ejemplo, consultas sanitarias objeto de traducción— deberá comunicarlo con anterioridad a la contratación, por incidir en la evaluación de impacto de ambas Partes.

2.9. Representación cartográfica de una ubicación compartida. La imagen del mapa que acompaña a una ubicación compartida puede obtenerse por dos vías, de efectos distintos para el interesado:

a) a través del servicio de intermediación del Encargado, en cuyo caso la petición la cursa este y al proveedor cartográfico únicamente se le transmiten las coordenadas, sin que le alcancen la dirección IP ni identificador alguno del interesado; b) mediante petición directa del dispositivo que muestra el mensaje, cuando la imagen se identifique en él mediante una dirección del propio proveedor cartográfico —supuesto que las aplicaciones admiten actualmente respecto de LocationIQ y de Google Maps—, en cuyo caso dicho proveedor recibe además la dirección IP del dispositivo que la solicita.

El Encargado hace constar expresamente ambos supuestos por no resultar equivalentes en sus efectos.

3. Instrucciones y régimen del tratamiento

3.1. Sujeción a instrucciones. El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable, integradas por el presente Acuerdo, por el contrato y por la configuración establecida en el panel de administración.

3.2. Instrucciones contrarias a la normativa. Recibida una instrucción que el Encargado considere infractora de la normativa de protección de datos, se lo comunicará al Responsable y suspenderá su ejecución hasta su aclaración.

3.3. Tratamiento impuesto por norma. Cuando el Derecho de la Unión o de un Estado miembro obligue al Encargado a tratar datos al margen de las instrucciones recibidas, lo comunicará previamente al Responsable, salvo que dicha norma lo prohíba por razones de interés público.

3.4. Confidencialidad y limitación de acceso. El acceso al contenido se restringe al personal que lo precise para la operación del Servicio. Toda persona con acceso se halla obligada por escrito al deber de confidencialidad, cuya vigencia subsiste tras la extinción de su relación con el Encargado.

3.5. Prohibición de uso para entrenamiento. El Encargado no emplea el contenido del Responsable para el entrenamiento, ajuste ni evaluación de modelo alguno, propio o de tercero, ni siquiera previa anonimización.

3.6. Ausencia de análisis. El Encargado no elabora perfiles, no analiza el contenido y no lo indexa con finalidad distinta de su entrega al destinatario.

3.7. Garantías del Responsable. El Responsable garantiza al Encargado que:

a) dispone de base jurídica válida para cada uno de los tratamientos que le encomienda, conforme a los artículos 6 y, en su caso, 9 del Reglamento; b) ha informado a los interesados en los términos de los artículos 13 y 14 del Reglamento, con inclusión expresa de la intervención de un encargado y de la naturaleza automatizada del tratamiento; c) ha recabado, cuando resulte exigible, las autorizaciones que imponga la normativa del lugar en que se encuentren los intervinientes, en particular en materia de captación de la voz; d) las instrucciones que imparte son conformes a la normativa aplicable; e) no remitirá al Encargado datos de las categorías del artículo 9 del Reglamento sin haberlo comunicado previamente conforme a la cláusula 2.8.

4. Medidas de seguridad

4.1. Las medidas técnicas y organizativas implantadas conforme al artículo 32 del Reglamento se relacionan en el Anexo II.

4.2. Cláusula de no regresión. El Encargado podrá reforzar dichas medidas en cualquier momento. No reducirá el nivel de protección durante la vigencia del contrato.

5. Violaciones de la seguridad

5.1. Notificación al Responsable. Producida una violación de la seguridad que afecte a datos personales tratados por cuenta del Responsable, el Encargado se lo notificará sin dilación indebida, con la información de que disponga en dicho momento: naturaleza del incidente, categorías y volumen aproximado de datos e interesados afectados, medidas adoptadas y recomendaciones. La información incompleta se completará de forma sucesiva.

5.2. Alcance del compromiso. La expresión «sin dilación indebida» se emplea en el sentido del artículo 33 del Reglamento. No se establece plazo cerrado en horas por resultar indeterminable a priori el momento en que un incidente resulta caracterizable, y por desplazar dicha fijación el objeto de la diligencia debida.

5.3. Notificación a la autoridad y a los interesados. Corresponde al Responsable, en su condición de tal, la notificación a la autoridad de control y, en su caso, la comunicación a los interesados, así como la observancia del plazo de setenta y dos horas del artículo 33 del Reglamento. El Encargado le prestará cuanta asistencia resulte necesaria a tal fin.

6. Subencargados

6.1. Autorización general. El Responsable autoriza con carácter general la subcontratación por el Encargado de otros tratadores, con sujeción a las siguientes condiciones, asumidas por este:

a) la imposición contractual a cada subencargado de obligaciones equivalentes a las asumidas por el Encargado frente al Responsable; b) la responsabilidad plena del Encargado por la actuación de sus subencargados; c) el mantenimiento actualizado de la relación de subencargados en el Anexo III.

6.2. Comunicación de altas y cambios. Toda incorporación o sustitución de subencargado se comunicará con treinta (30) días naturales de antelación, mediante correo electrónico a la dirección asociada a la cuenta.

6.3. Derecho de oposición. Durante dicho plazo el Responsable podrá oponerse por motivo razonable fundado en protección de datos. No hallándose alternativa satisfactoria, el Responsable podrá resolver el contrato sin penalización, reembolsándosele la parte proporcional de la suscripción abonada y no disfrutada.

La resolución surtirá efecto con anterioridad a la incorporación del subencargado al que se hubiera opuesto, de modo que los datos del Responsable no lleguen a ser tratados por él. El crédito de minutos no será objeto de conversión en metálico, conservando las condiciones de su adquisición hasta su consumo o caducidad.

6.4. Sustitución urgente. La sustitución de un subencargado por razones de seguridad —indisponibilidad o compromiso del proveedor— podrá practicarse sin observancia del plazo previsto, comunicándose tan pronto se ejecute y subsistiendo íntegro el derecho de oposición.

7. Asistencia en el ejercicio de derechos

7.1. El Encargado asistirá al Responsable en la atención de las solicitudes de acceso, rectificación, supresión, portabilidad, oposición y limitación que le dirijan los interesados.

a) Resolución autónoma desde el panel. El panel de administración permite al Responsable suprimir a una persona y todo lo suyo, previa confirmación de su alcance, sin intervención del Encargado. b) Asistencia del Encargado en los demás supuestos. Las restantes solicitudes se atienden con la asistencia del Encargado en los términos de la cláusula siguiente, sin coste. c) El Encargado incorporará al panel las funcionalidades adicionales que vaya desarrollando, sin que ello altere la asistencia comprometida en la letra anterior.

7.2. Asistencia adicional. En los supuestos de la cláusula 7.1.b), y en cuantos otros las funcionalidades del panel resulten insuficientes, el Encargado prestará la asistencia de forma manual y sin coste. Si el volumen de solicitudes excediera de lo razonable en atención a la dimensión de la cuenta, o si la atención requiriese desarrollo específico, se comunicará previamente al Responsable y se presupuestará a coste, sin que en ningún caso se desatienda un plazo legal por razón de la discusión sobre su importe.

7.3. Solicitudes dirigidas al Encargado. Recibida por el Encargado una solicitud relativa a datos tratados por cuenta del Responsable, aquel se abstendrá de contestarla y la remitirá sin demora a este, por corresponder la condición de interesado a un usuario del Responsable.

8. Evaluaciones de impacto y consultas previas

El Encargado facilitará al Responsable la información necesaria para la realización de las evaluaciones de impacto y de las consultas previas a la autoridad de control, en lo relativo a los tratamientos que aquel ejecuta. Parte sustancial de dicha información se contiene en el presente Acuerdo y en sus Anexos.

9. Transferencias internacionales

9.1. Compromiso. El Servicio se presta dentro del Espacio Económico Europeo.

9.2. Ubicación concreta. El Encargado no publica la relación de emplazamientos dentro de dicho ámbito, por resultar variable en función de las necesidades de capacidad y por constituir información relativa a su infraestructura. Dentro del Espacio Económico Europeo, el emplazamiento concreto no altera el nivel de protección ni los derechos de los interesados. El Responsable que lo precise para su expediente de cumplimiento podrá solicitarlo por escrito, obligándose el Encargado a facilitarlo y a comunicar sus modificaciones.

9.3. Transferencias fuera del Espacio Económico Europeo. El Encargado no trasladará el tratamiento fuera de dicho ámbito sin preaviso de treinta (30) días naturales, resultando de aplicación el derecho de oposición y la facultad de resolución previstos en la cláusula 6.3.

9.4. Transferencias actualmente existentes. Se practican transferencias, limitadas a lo estrictamente necesario, en los supuestos relacionados en el Anexo III, cada uno con su propio alcance:

Todas ellas se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en decisión de adecuación vigente. En ninguna de ellas se transfiere el contenido tratado por cuenta del Responsable —audio, transcripciones, traducciones, mensajes ni ficheros—, que no abandona el Espacio Económico Europeo.

10. Auditoría

10.1. El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de las obligaciones del presente Acuerdo.

10.2. Auditoría. Resultando dicha información insuficiente, el Responsable podrá practicar auditoría, por sí o mediante tercero independiente que no ostente la condición de competidor del Encargado, con periodicidad anual, preaviso de treinta (30) días naturales, en horario laboral, sin interrupción del Servicio y con sujeción de lo conocido al deber de confidencialidad. Cuando una autoridad de control imponga periodicidad distinta, prevalecerá esta.

10.3. Costes. Cada Parte asumirá los propios, salvo que la auditoría constate un incumplimiento sustancial del presente Acuerdo imputable al Encargado, en cuyo caso los asumirá este. No tendrán tal consideración los hallazgos menores ni las recomendaciones de mejora.

11. Devolución y supresión

11.1. Extinguido el contrato, y a elección del Responsable, el Encargado devolverá los datos en formato estructurado y de uso común, o bien procederá a su supresión.

11.2. Régimen supletorio. A falta de instrucción del Responsable, el Encargado procederá a la supresión. Con carácter previo lo comunicará y concederá el plazo de portabilidad previsto en la Política de Ciclo de Vida y Cese.

11.3. Conservación legalmente impuesta. El Encargado conservará exclusivamente aquello a lo que venga obligado, y en particular la documentación soporte de la facturación durante seis (6) años, conforme al artículo 30 del Código de Comercio. Durante dicho periodo la información permanecerá amparada por el presente Acuerdo.

11.4. Copias de seguridad. La supresión se practica de forma inmediata sobre los sistemas en explotación. Las copias de seguridad no admiten supresión selectiva: la información en ellas contenida se destruye con la copia completa a su vencimiento, sin que hasta entonces sea objeto de acceso ni de utilización alguna.

El periodo de conservación de las copias es el establecido por el Encargado con su proveedor de alojamiento y se comunica por escrito al Responsable que lo solicite.

12. Responsabilidad

12.1. Responsabilidad no limitable. La responsabilidad directa frente al interesado por los daños causados por el Encargado, en los términos del artículo 82 del Reglamento, se rige por lo dispuesto en dicha norma, sin que estipulación alguna del presente Acuerdo la limite.

12.2. Régimen general. En lo demás, y sin perjuicio de lo dispuesto en la cláusula 15.7 de las Condiciones Generales, resulta de aplicación el límite de responsabilidad de su cláusula 15.6. En particular, el Encargado no asume el reembolso de sanciones administrativas impuestas al Responsable, respondiendo cada Parte de las suyas ante su propia autoridad de control, conforme al reparto que la norma establece.

12.3. Exclusiones. Sin perjuicio de lo dispuesto en la cláusula 12.1, el Encargado no responderá de las consecuencias derivadas de las instrucciones del Responsable, de la remisión por este de datos carentes de habilitación, de la omisión de la información a los intervinientes, del uso de sus credenciales por persona no legitimada, ni del retraso del Responsable en la notificación disponiendo en plazo de la información facilitada por el Encargado.

ANEXO I · Tratamiento por modalidad

ANEXO II · Medidas técnicas y organizativas

Cifrado en tránsito. La totalidad del tráfico se cifra. Las credenciales se transmiten, como regla, en cabeceras y no en la ruta de la petición, existiendo una prueba automatizada que recorre el código fuente y falla cuando aparece un punto de entrada nuevo que las admita en la dirección.

Dicha prueba mantiene una relación cerrada de excepciones, cada una con su justificación: los enlaces de un solo uso remitidos por correo —alta, invitación y recuperación de contraseña—, en los que la propia dirección es la credencial y caduca con su uso; el pase de invitado; y la clave de la interfaz de programación admitida como parámetro, para codificadores y dispositivos que no pueden fijar una cabecera, uso desaconsejado en la documentación y registrado. Fuera de esa relación, ningún punto de entrada las admite.

Cifrado en reposo. Los mensajes, los ficheros adjuntos y los secretos de configuración se cifran con claves diferenciadas por categoría, de modo que el compromiso de una no comprometa las restantes. La base de datos local de la aplicación —móvil y de escritorio— se encuentra asimismo cifrada.

Control de acceso. Autenticación mediante sesiones con caducidad; segregación de funciones dentro de una misma cuenta; y almacenamiento de las claves de API exclusivamente como resumen criptográfico, resultando irrecuperables incluso para el propio Encargado.

Supresión automática. Los mensajes y ficheros se destruyen automáticamente al vencimiento de su plazo, sin depender de actuación humana.

Limitación de tasa. Límites de frecuencia por usuario y por dirección de origen, con valores propios para el alta, el acceso, la búsqueda de personas, las llamadas y los mensajes, al objeto de impedir que un uso abusivo degrade el servicio de terceros o permita ensayos de credenciales. Se aplica además un límite por cuenta al número de trabajos en cola simultáneos.

Registro. Se registran las operaciones y no su contenido, existiendo pruebas automatizadas que impiden la escritura de credenciales o de contenido de mensajes en los registros.

Aislamiento. Separación lógica de los datos por cliente y por sede. El motor de traducción se ejecuta en la propia máquina, sin invocación de servicio externo alguno.

ANEXO III · Subencargados y ubicaciones

Relación de subencargados que tratan datos personales por cuenta del Responsable.

Respecto de los ubicados dentro del Espacio Económico Europeo no se consigna el Estado concreto. El compromiso relevante para el Responsable es el de la cláusula 9.1 —la no salida del tratamiento de dicho ámbito—, sin que la asignación de capacidad entre emplazamientos altere su protección ni sus derechos. El detalle se facilita por escrito a solicitud del Responsable que lo precise para su expediente de cumplimiento.

Respecto de los ubicados fuera se consigna la ubicación y el mecanismo de transferencia, conforme exige la normativa.

Última revisión de la presente relación: 28 de agosto de 2026.

Ausencia de proveedores de inteligencia artificial. No figura en la presente relación proveedor alguno de servicios de inteligencia artificial, por ejecutarse el motor en infraestructura propia del Encargado sin invocación de servicio de terceros. El audio objeto de traducción no es transmitido a plataforma alguna de proveedores de modelos. Respecto de la infraestructura de procesamiento gráfico, el objeto del arrendamiento es el equipamiento y no un servicio de traducción, sin que el arrendador acceda a la información procesada en mayor medida que cualquier proveedor de alojamiento.

Terceros intervinientes que no ostentan la condición de subencargados

La utilización por el Responsable de plataformas ajenas determina el tratamiento de datos por estas por decisión del propio Responsable y al amparo del contrato que le vincule con ellas, y no del presente Acuerdo:

• Microsoft, en la utilización del complemento para Teams, plataforma en la que además ostenta la condición de entidad cobradora;
• Zoom, en caso de activación de la integración correspondiente;
• Apple y Google, en su condición de tiendas de distribución de la aplicación.