Legal

Contrato de encargo del tratamiento

Anexo a las condiciones de contratación del Agente InmunoSec, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Versión 2026-10-14.

1. Partes y objeto

El Cliente que contrata el servicio actúa como responsable del tratamiento de los datos personales presentes en los servidores donde instala el agente. David Cortes Pascual (InmunoSec), NIF 45669332A, actúa como encargado del tratamiento y trata esos datos solo para prestar el servicio contratado: detectar comportamientos anómalos, mostrar el estado de los servidores en el portal y ejecutar las medidas de respuesta que el Cliente apruebe.

2. Duración

Mientras dure la suscripción y, después, el tiempo necesario para devolver o suprimir los datos según el apartado 9.

3. Datos tratados e interesados

El agente recoge metadatos de funcionamiento del servidor, no el contenido de los ficheros ni de las comunicaciones:

  • Cuentas del sistema: nombres de usuario, identificadores, grupos y sesiones abiertas (incluido el origen de la conexión).
  • Procesos: ejecutable, usuario, privilegios, consumo y relaciones entre procesos.
  • Red: direcciones IP y puertos de las conexiones, volumen de datos y paquetes, orígenes que exploran el servidor y, solo si el Cliente activa el inventario de red, las direcciones IP y MAC de los dispositivos de su red local que el servidor ya conoce.
  • Ficheros: rutas, permisos, propietario, tamaño y huellas (hashes) de los directorios configurados.
  • Software instalado: paquetes y versiones.
  • Si el Cliente lo configura: registros de acceso web y de bases de datos (consultas, usuario y origen).

Interesados: empleados y colaboradores del Cliente que usan sus servidores, usuarios de los servicios que el Cliente aloja en ellos y terceros que se conectan a esos servidores.

4. Obligaciones de InmunoSec

  • Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son estas condiciones y la configuración que el Cliente hace en la plataforma (qué servidores, qué directorios y registros, qué medidas aprueba).
  • Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
  • Aplicar las medidas de seguridad del apartado 5.
  • No recurrir a otros encargados sin respetar el apartado 6.
  • Ayudar al Cliente a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluación de impacto, en la medida de lo posible y teniendo en cuenta la información disponible.
  • Notificar al Cliente, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos.
  • Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y a cargo del Cliente.

5. Medidas de seguridad

  • Comunicación cifrada entre el agente y la plataforma con certificados de cliente propios de cada equipo (TLS mutuo).
  • Separación de los datos de cada cliente; ningún cliente puede ver los de otro.
  • Agente sin privilegios de administrador para observar; las medidas de respuesta solo se ejecutan si están firmadas por la plataforma.
  • Acceso al portal con contraseña robusta y bloqueo por intentos fallidos; registro de auditoría encadenado de las acciones.
  • Copias de seguridad diarias y borrado periódico de los datos operativos antiguos.
  • Servidores alojados en centros de datos en España.

6. Subencargados

El Cliente autoriza a InmunoSec a recurrir a los siguientes subencargados, con los que mantiene contratos con garantías equivalentes:

  • IONOS (grupo IONOS): alojamiento de los servidores de la plataforma, en centros de datos en España.
  • OSV.dev (Google) y, solo si el Cliente configura su propio token, WPScan: reciben nombres y versiones de paquetes para consultar vulnerabilidades conocidas. No reciben datos personales.
  • Solo si el Cliente los activa con sus propias claves y por su cuenta: proveedores de inteligencia artificial (Anthropic, OpenAI o Google) y TypeSafe (triaje). En ese caso el Cliente contrata directamente con ellos y decide enviarles el análisis.

InmunoSec informará al Cliente de cualquier cambio de subencargados con 30 días de antelación; el Cliente podrá oponerse y, si no se llega a un acuerdo, darse de baja.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Solo salen de ella si el Cliente activa, con sus propias claves, un proveedor de inteligencia artificial situado fuera de la UE; en ese caso la transferencia se ampara en los mecanismos que ofrezca ese proveedor y es decisión del Cliente.

8. Obligaciones del Cliente

Asegurar que dispone de base jurídica para el tratamiento, informar a los interesados cuando proceda (por ejemplo, a sus empleados sobre la monitorización de los sistemas) y configurar el servicio de forma proporcionada a su finalidad de seguridad.

9. Fin del encargo

Al terminar el servicio, InmunoSec pondrá a disposición del Cliente sus datos durante 30 días para que pueda exportarlos y, después, los suprimirá, salvo los que deba conservar por obligación legal. El Cliente debe desinstalar el agente de sus servidores.

Versión 2026-10-14. Última actualización: 14/10/2026.