1. Objeto y duración
Granex trata datos personales exclusivamente para prestar el servicio contratado (gestión de expedientes, clientes, documentos, plazos, comunicaciones y funciones de IA). El encargo dura mientras esté vigente la suscripción y hasta la devolución o supresión de los datos.
2. Naturaleza y finalidad del tratamiento
Alojamiento, organización, consulta, estructuración, copia de seguridad y procesamiento de la información introducida por el despacho, incluida su asistencia mediante inteligencia artificial.
3. Categorías de interesados y de datos
Interesados: clientes del despacho, contrapartes, contactos y personal del propio despacho. Datos: identificativos, de contacto, documentales, de extranjería (NIE, pasaporte, nacionalidad) y, en su caso, categorías especiales estrictamente necesarias para el asunto jurídico.
4. Obligaciones de Granex como Encargado
- Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable.
- Garantizar la confidencialidad del personal autorizado, sujeto a deber de secreto.
- Aplicar las medidas técnicas y organizativas del artículo 32 RGPD (cifrado, aislamiento multi-tenant, control de acceso).
- Asistir al Responsable en la respuesta a los derechos de los interesados y en las obligaciones de los artículos 32 a 36 RGPD.
- Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.
5. Subencargados
El Responsable autoriza el uso de los subencargados indicados abajo. Granex les impone las mismas obligaciones de protección de datos y notificará con antelación razonable cualquier alta o sustitución, pudiendo el Responsable oponerse por motivos justificados.
| Subencargado | Finalidad | Ubicación | Garantía de transferencia |
|---|---|---|---|
| Supabase (Ireland) Ltd | Base de datos, autenticación y almacenamiento | UE (Irlanda / Frankfurt) | Dentro de la UE |
| Vercel Inc. | Hosting y entrega de la aplicación | UE (región eu-west) | Dentro de la UE / CCT |
| Anthropic PBC | Funciones de IA jurídica (Claude) | EE. UU. | Cláusulas Contractuales Tipo (CCT) |
| Resend Inc. | Correo transaccional | UE | Dentro de la UE / CCT |
| Stripe Payments Europe Ltd | Procesamiento de pagos | UE (Irlanda) | Dentro de la UE |
6. Transferencias internacionales
Con carácter general los datos se alojan en la UE. Las transferencias a Anthropic (EE. UU.) para funciones de IA se amparan en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, con medidas complementarias. El contenido enviado a la IA no se utiliza para entrenar modelos.
7. Violaciones de seguridad
Granex notificará al Responsable sin dilación indebida y, siempre que sea posible, en un plazo máximo de 48 horas desde que tenga conocimiento de una violación de la seguridad que afecte a sus datos, aportando la información necesaria para que el Responsable cumpla con los artículos 33 y 34 RGPD.
8. Devolución y supresión
A la finalización del servicio, y a elección del Responsable, Granex devolverá o suprimirá los datos personales y las copias existentes en un plazo de 90 días, salvo obligación legal de conservación.
9. Firma
La aceptación de los Términos y Condiciones o la creación de una cuenta implican la aceptación de este DPA. Los despachos que requieran un DPA firmado con membrete propio pueden solicitarlo en dpo@granex.es.