ACUERDO DE ENCARGO DE TRATAMIENTO (DPA) — ScalePath Hub, S.L. (v0.2-MVAA)

1. Identificación de las partes

El presente Acuerdo de Encargo de Tratamiento (el "Acuerdo" o "DPA") regula las condiciones bajo las cuales SCALEPATH HUB, S.L. trata datos personales por cuenta de una empresa cliente, usuario corporativo u organización que utiliza los servicios de ScalePath Hub.

De una parte:

SCALEPATH HUB, S.L.

NIF: B26883132 · Domicilio: Calle Fuencarral, núm. 133 (1F), 28010 Madrid, España

Registro Mercantil de Madrid · IRUS: 1000469050269

Email de contacto en materia de privacidad y protección de datos: privacy@scalepathub.com

Email de contacto legal y contractual general: legal@scalepathub.com

(El alias admin@ no se usa como contacto público; dpo@ no equivale a designación formal DPO del Art. 37 RGPD)

En adelante, "ScalePath Hub", "SPH", "el Encargado" o "el Proveedor".

De otra parte, la empresa, entidad, sociedad, startup, pyme, organización o cliente corporativo que contrata, accede o utiliza ScalePath Hub y que determina los fines y medios del tratamiento de determinados datos personales introducidos a través de la plataforma — en adelante "el Cliente", "el Responsable" o "la Empresa Cliente".

2. Naturaleza y función del Acuerdo

Este Acuerdo regula el tratamiento de datos personales realizado por SPH por cuenta del Cliente, cuando dicho tratamiento tenga la naturaleza de encargo de tratamiento conforme al Art. 28 RGPD.

Forma parte de la arquitectura contractual de ScalePath Hub y debe leerse con: T&C, Política de Privacidad, Política de Cookies, Política de Gobernanza de IA, AUP y cualquier instrucción documentada emitida por el Cliente y aceptada por SPH.

Este Acuerdo se aplica únicamente cuando SPH actúa como encargado. Cuando SPH trate datos personales para sus propias finalidades, actuará como responsable independiente (Política de Privacidad).

3. Marco normativo

Este Acuerdo se interpreta de conformidad con: Reglamento (UE) 2016/679 (RGPD); LOPDGDD; Ley 34/2002 (LSSI-CE) cuando proceda; normativa ePrivacy; directrices del CEPD/EDPB y AEPD; Cláusulas Contractuales Tipo (SCC) de la Comisión Europea aplicables a transferencias internacionales o relaciones responsable-encargado.

4. Definiciones

A efectos de este Acuerdo:

Datos personales — cualquier información sobre una persona física identificada o identificable.
Responsable — quien determina fines y medios del tratamiento.
Encargado — quien trata datos personales por cuenta del Responsable.
Subencargado — cualquier tercero contratado por SPH para tratar datos personales por cuenta del Cliente.
Datos del Cliente — datos personales que el Cliente, sus usuarios autorizados o terceros bajo su control introduzcan en ScalePath Hub para ser tratados por SPH por cuenta del Cliente.
Servicios — los servicios digitales prestados por ScalePath Hub (diagnóstico, ScaleIndex, MVAA, herramientas de análisis estructurado, roadmaps, seguimiento, colaboración, almacenamiento, procesamiento, automatización, outputs).
Instrucciones documentadas — instrucciones del Cliente contenidas en este Acuerdo, T&C, configuración de plataforma, plan contratado, solicitudes del Cliente y cualquier instrucción escrita adicional aceptada por SPH.
Incidente de seguridad — violación de seguridad que ocasione destrucción, pérdida, alteración accidental o ilícita, comunicación o acceso no autorizado a datos personales.

5. Marco mixto controller / processor canonizado

Documento ancla del modelo mixto. Este §5 es el lugar canónico del framing controller/processor mixto, referenciado desde Privacy Policy v0.2 §5 y T&C v0.2 §5.

5.1. Principio rector

La calificación del rol de SPH (controller vs processor) se determina por dato y finalidad, no por sesión ni cuenta global. El criterio determinante es: ¿quién determina los fines y medios del tratamiento concreto? Si los determina SPH (ej. account/billing/usage), SPH es controller. Si los determina el Cliente (ej. carga de PII de terceros para análisis), SPH es processor.

5.2. Supuestos en los que SPH actúa como ENCARGADO (alcance de este DPA)

Cuando el Cliente:

Supuesto	Detalle
Carga documentos con PII de terceros	Documentos que contienen datos personales de clientes, leads, empleados, contactos comerciales, proveedores
Importa información de CRM u otros sistemas	Importación masiva o selectiva de datos personales del Cliente
Usa la plataforma para organizar datos de expansión	Cuando dichos datos contienen PII de terceros
Incluye PII de terceros en prompts, formularios, respuestas, notas, inputs o documentos	Datos no estructurados con personal data identificable
Solicita procesamiento bajo sus instrucciones	Generación de outputs, resúmenes, diagnósticos, roadmaps o acciones que requieran tratar PII del Cliente

Para estos tratamientos, SPH actúa como processor bajo Art. 28 RGPD, regido íntegramente por este Acuerdo.

5.3. Supuestos en los que SPH actúa como RESPONSABLE independiente (fuera del alcance — ver Política de Privacidad)

Categoría	Detalle
Account data	Gestión de cuentas de usuario, autenticación, control de acceso
Billing data	Facturación, pagos, suscripciones, datos fiscales propios
Usage data	Logs de uso, métricas, eventos del producto
Security logs	Eventos de seguridad, monitorización antifraude
Comunicaciones propias	Transaccionales y comerciales de SPH al Usuario
Mejora del servicio	Datos agregados/anonimizados/seudonimizados
Cumplimiento legal y defensa de derechos	Cumplimiento obligaciones SPH propias

Para estos tratamientos, SPH actúa como controller bajo el RGPD y se rigen por la Política de Privacidad, no por este DPA.

5.4. Tratamientos mixtos

Determinados flujos implican tratamientos mixtos:

Una misma cuenta puede generar simultáneamente (i) account/billing/usage data tratados por SPH-controller + (ii) PII de terceros tratada por SPH-processor por cuenta del Cliente.
Un mismo prompt puede contener (i) datos del Usuario autenticado (SPH-controller) + (ii) PII de un tercero mencionado (SPH-processor).
La determinación del rol se hace por dato y finalidad concreta, conforme al principio rector del §5.1.

5.5. Lenguaje flexible founding cohort + re-evaluación post-pilot

Disclosure de transparencia.

Este modelo mixto se ha diseñado con flexibilidad para la fase founding cohort (W3-W6 con primeros 5-15 usuarios). SPH re-evaluará la calificación específica de cada flujo post-pilot cuando exista ground truth real sobre:

(i) Qué tipos de datos personales de terceros suben efectivamente los clientes;

(ii) Quién determina los fines y medios en cada flujo concreto (cliente o SPH);

(iii) Cómo se documentan instrucciones, decisiones de configuración y casos límite.

Esta flexibilidad es coherente con la práctica de mercado B2B SaaS comparable y con los criterios EDPB/AEPD sobre identificación de roles en arquitecturas mixtas. Cualquier ajuste material será comunicado al Cliente (§28) y reflejado en Anexo I.

5.6. Conflicto entre roles

Si en un caso concreto existe duda razonable sobre la calificación del rol, las Partes acuerdan resolver de buena fe mediante consulta documentada a privacy@scalepathub.com, registrando la decisión interpretativa adoptada. SPH y el Cliente colaborarán para alinearse con criterios EDPB/AEPD vigentes.

6. Objeto del encargo

El objeto consiste en el tratamiento de datos personales por SPH por cuenta del Cliente para permitir la prestación de los Servicios.

Puede incluir: alojamiento; almacenamiento de documentos, respuestas, prompts, inputs y outputs; estructuración y organización; análisis automatizado estructurado conforme a instrucciones del Cliente; generación de diagnósticos, roadmaps, acciones, resúmenes o recomendaciones; asistencia mediante IA cuando sea parte del Servicio; gestión de permisos y colaboración; mantenimiento técnico; soporte; seguridad; copias de seguridad; transmisión a subencargados autorizados cuando sea necesario.

7. Duración del encargo

El Acuerdo estará vigente mientras SPH trate datos personales por cuenta del Cliente. La duración está vinculada a la duración de la cuenta del Cliente, suscripción/plan contratado, existencia de datos personales cargados, plazos necesarios para prestar el Servicio, plazos legales de conservación y tiempo necesario para devolución/supresión/anonimización tras la terminación.

8. Naturaleza y finalidad del tratamiento

Naturaleza: recogida, recepción, registro, estructuración, almacenamiento, consulta, organización, análisis, clasificación, generación de outputs, transmisión, conservación, seudonimización cuando proceda, supresión, anonimización, copia de seguridad, recuperación, soporte técnico, comunicación a subencargados autorizados.

Finalidad: prestar los Servicios contratados; permitir el uso de la plataforma; generar diagnósticos y outputs solicitados; permitir colaboración de usuarios autorizados; mantener seguridad, disponibilidad e integridad; solucionar incidencias; cumplir instrucciones documentadas del Cliente; cumplir obligaciones legales aplicables a SPH como encargado; gestionar copias de seguridad; realizar devolución/supresión/anonimización conforme a este Acuerdo.

SPH no tratará los Datos del Cliente para finalidades propias incompatibles.

9. Categorías de interesados y de datos personales

Cf. Anexo I para descripción completa (refinada en v0.1 con flujos típicos founding cohort).

10. Categorías especiales de datos y datos prohibidos

El Cliente no deberá cargar en ScalePath Hub categorías especiales de datos personales, datos relativos a condenas o infracciones penales, datos de menores o datos altamente sensibles, salvo que: (a) tenga base jurídica suficiente; (b) haya evaluado necesidad y proporcionalidad; (c) haya adoptado medidas de seguridad reforzadas; (d) haya informado previamente a SPH cuando el riesgo lo requiera; (e) haya formalizado los acuerdos o instrucciones adicionales necesarios.

Salvo acuerdo expreso, no deberán tratarse: datos de salud, biométricos, genéticos, ideología política, afiliación sindical, religión o creencias, orientación sexual, datos penales, datos de menores, documentos de identidad innecesarios, información especialmente sensible no requerida.

Política PII híbrida. SPH implementa una política híbrida de PII a nivel de pipeline: (i) datos sensibles / innecesarios → notify/reformulate (bloquea el ingest hasta resolución); (ii) datos incidentales no necesarios → silent redact (eliminados automáticamente sin notificar, registrados en audit log). Esta lógica de clasificación está implementada por el equipo SPH.

11. Instrucciones del Cliente

SPH tratará los Datos del Cliente únicamente siguiendo instrucciones documentadas del Cliente. Se consideran tales: este Acuerdo; los T&C; la configuración de la cuenta; los permisos establecidos; los inputs, prompts, formularios o acciones realizadas; las solicitudes de soporte; las instrucciones escritas enviadas y aceptadas por SPH; el uso funcional de la plataforma conforme al plan.

Si SPH considera que una instrucción infringe el RGPD, la LOPDGDD u otra normativa aplicable, informará al Cliente, salvo que el Derecho aplicable lo prohíba por razones de interés público.

SPH podrá suspender la ejecución de una instrucción cuando razonablemente considere que su cumplimiento podría generar infracción normativa, riesgo de seguridad, tratamiento ilícito o responsabilidad para SPH.

12. Obligaciones generales de SPH como Encargado

SPH se obliga a:

(a) tratar los Datos del Cliente únicamente conforme a instrucciones documentadas; (b) no utilizar los Datos del Cliente para fines propios incompatibles; (c) aplicar medidas técnicas y organizativas adecuadas (cf. Anexo II); (d) garantizar que las personas autorizadas se comprometan a confidencialidad; (e) asistir al Cliente en sus obligaciones cuando proceda; (f) colaborar en la gestión de derechos de interesados; (g) informar al Cliente de incidentes de seguridad cuando proceda; (h) gestionar subencargados conforme a este Acuerdo; (i) suprimir/devolver/anonimizar los datos tras la terminación; (j) poner a disposición del Cliente información razonable para demostrar cumplimiento; (k) permitir auditorías conforme a las condiciones establecidas.

13. Obligaciones del Cliente como Responsable

El Cliente se obliga a:

(a) tratar datos personales de forma lícita, leal y transparente; (b) contar con base jurídica válida; (c) informar a los interesados cuando proceda; (d) garantizar exactitud y minimización; (e) no cargar datos excesivos o innecesarios; (f) no introducir datos prohibidos o sensibles sin base legal; (g) definir correctamente usuarios autorizados y permisos; (h) revisar outputs antes de utilizarlos; (i) responder a solicitudes de interesados cuando actúe como responsable; (j) cumplir sus propias obligaciones RGPD/LOPDGDD; (k) evaluar si el uso requiere DPIA, consulta previa o medidas adicionales; (l) mantener indemne a SPH frente a reclamaciones derivadas de instrucciones ilícitas o datos cargados sin base jurídica.

14. Confidencialidad y personal autorizado

SPH garantizará que las personas autorizadas estén sujetas a obligaciones de confidencialidad contractuales o legales. SPH limitará el acceso a los Datos del Cliente a quienes lo necesiten para prestar, mantener, proteger o mejorar el Servicio. La obligación de confidencialidad subsistirá tras la terminación.

SPH aplicará controles de acceso basados en roles, permisos, necesidad de conocimiento y segregación funcional.

15. Medidas técnicas y organizativas

SPH implementará medidas técnicas y organizativas adecuadas al riesgo (cf. Anexo II), que podrán incluir: cifrado en tránsito; cifrado en reposo cuando esté disponible; controles de acceso; autenticación; segregación lógica; gestión de permisos; backups; registro de actividad; monitorización; control de subencargados; protección frente a accesos no autorizados; gestión de vulnerabilidades; medidas de continuidad; procedimientos de gestión de incidentes; minimización; seudonimización cuando proceda.

Las medidas podrán evolucionar conforme al estado de la técnica.

16. Uso de inteligencia artificial como parte del encargo

Cuando el Cliente utilice funcionalidades de IA (MVAA) y dichas funcionalidades traten Datos del Cliente por cuenta del Cliente, SPH actuará como encargado respecto de esos datos.

Tratamiento mediante IA puede incluir: análisis de inputs; generación de resúmenes; clasificación; generación de roadmaps; sugerencias de acciones; asistencia conversacional; procesamiento de prompts; estructuración de outputs.

Layer 7 — Human Review founding cohort (best-effort). Durante la fase founding cohort SS2026, SPH hará todo lo razonablemente posible para garantizar que los outputs AI-generated sean revisados por personal cualificado de SPH antes de su entrega — buscando alineación con el objetivo de supervisión humana del Art. 14 AI Act. SPH se reserva la discrecionalidad de ajustar el alcance de revisión, sampling, o procedimientos fallback en función de condiciones operativas (e.g., disponibilidad del reviewer, volumen de outputs, incidentes técnicos).

16.1. Limitaciones AI — no training con Datos del Cliente

SPH no utilizará los Datos del Cliente tratados como encargado para entrenar, ajustar, mejorar o desarrollar modelos de IA de SPH o de terceros (públicos, propietarios o comerciales), salvo instrucción expresa, base jurídica adecuada o autorización específica del Cliente.

SPH selecciona modalidades empresariales/API/profesionales de proveedores AI (OpenAI zero-retention API + no-training mode) que prohíben el uso de Datos del Cliente para training. SPH no introducirá Datos del Cliente en servicios de IA de consumo, cuentas personales o modalidades no empresariales que permitan training con dichos datos.

Lo anterior no impide que los proveedores de IA traten datos de forma limitada para prestar el servicio, mantener seguridad, prevenir abusos, cumplir obligaciones legales o conservar registros técnicos.

17. Subencargados

El Cliente autoriza a SPH a contratar subencargados para prestar el Servicio (autorización general por escrito conforme al Art. 28.2 RGPD).

17.1. Lista inicial de subencargados (v0.2-MVAA — verificación DPA in-progress)

Cf. Anexo III para lista detallada (Xano, n8n self-hosted, OpenAI, Pinecone si Layer 5 activo — NOT activo en v1, Stripe, UltaHost VPS, Zoho Mail, Cloudflare si activo).

17.2. Cambios en subencargados

SPH podrá añadir, sustituir o modificar subencargados. Cuando el cambio sea material y afecte al tratamiento, SPH informará al Cliente mediante aviso en plataforma, email, actualización de la lista o medio razonable.

El Cliente podrá oponerse por motivos razonables relacionados con protección de datos dentro del plazo indicado o, si no hay plazo, dentro de un plazo razonable. Si la objeción es razonable y no puede resolverse, las Partes colaborarán de buena fe. Si no fuera posible, el Cliente podrá cancelar el Servicio afectado conforme a los T&C.

17.3. Obligaciones impuestas a subencargados

SPH impondrá a los subencargados obligaciones de protección de datos sustancialmente equivalentes a las asumidas por SPH bajo este Acuerdo, en la medida aplicable al servicio subcontratado: tratar datos solo para finalidades autorizadas; aplicar medidas de seguridad adecuadas; mantener confidencialidad; asistir en incidentes; permitir retorno/supresión; cumplir condiciones de transferencias internacionales.

SPH seguirá siendo responsable frente al Cliente por el cumplimiento de las obligaciones de sus subencargados en la medida exigida por el RGPD.

18. Transferencias internacionales

SPH y sus subencargados podrán tratar Datos del Cliente fuera del EEE cuando sea necesario para la prestación del Servicio.

Cuando exista transferencia internacional sujeta al RGPD, SPH aplicará mecanismo válido: decisión de adecuación; Cláusulas Contractuales Tipo (SCC) modernas de la Comisión Europea; medidas técnicas complementarias; evaluación de impacto de transferencia (TIA); garantías contractuales adicionales.

18.1. Módulos SCC aplicables

Cuando SPH actúe como encargado y designe un subencargado fuera del EEE, el módulo normalmente aplicable será encargado-a-encargado (Módulo 3), salvo que la estructura del tratamiento requiera otra configuración (responsable-a-encargado Módulo 2, etc.).

Cf. Anexo IV para detalle de transferencias.

19. Asistencia en derechos de los interesados

SPH asistirá al Cliente, en la medida razonablemente posible y teniendo en cuenta la naturaleza del tratamiento, para responder a solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad, retirada de consentimiento, derechos relacionados con decisiones automatizadas).

Cuando SPH reciba directamente una solicitud relacionada con datos respecto de los cuales actúa como encargado: (a) podrá remitir la solicitud al Cliente; (b) informar al solicitante de que debe contactar al Cliente; (c) abstenerse de responder sustantivamente salvo instrucción del Cliente; (d) adoptar medidas urgentes si la ley lo exige.

Canal canónico para asistencia DSAR del Cliente: privacy@scalepathub.com.

20. Asistencia en cumplimiento del Responsable (DPIA, breach, prior consultation)

SPH prestará asistencia razonable al Cliente en relación con: seguridad del tratamiento; notificación de brechas de seguridad; comunicación de brechas a interesados; evaluaciones de impacto (DPIA); consultas previas ante autoridades de control; información para demostrar cumplimiento. SPH podrá cobrar costes razonables por asistencia extraordinaria.

21. Brechas de seguridad — notificación

SPH notificará al Cliente sin dilación indebida tras tener conocimiento de una brecha de seguridad que afecte a Datos del Cliente tratados por cuenta del Cliente. La notificación incluirá, en la medida disponible: naturaleza del incidente; categorías aproximadas de datos y de interesados afectados; consecuencias probables; medidas adoptadas o propuestas; punto de contacto; información adicional razonablemente disponible.

Canal canónico de notificación bidireccional de brechas: privacy@scalepathub.com (sujeto al plazo de 72 horas del Art. 33 RGPD).

La notificación de SPH no implica reconocimiento de responsabilidad.

El Cliente será responsable de determinar si debe notificar la brecha a la AEPD (72h Art. 33 RGPD) o a los interesados (sin demora indebida Art. 34 RGPD), salvo que SPH actúe también como responsable respecto de algún tratamiento propio.

21.1. Cooperación en incidentes

Las Partes cooperarán de buena fe para investigar, contener, mitigar y documentar incidentes. El Cliente cooperará cuando el incidente se origine por credenciales comprometidas, mala gestión de permisos, carga de datos innecesarios, configuración errónea, acciones de usuarios autorizados o incumplimiento de sus propias obligaciones de seguridad.

22. Auditorías y demostración de cumplimiento

SPH pondrá a disposición del Cliente información razonable para demostrar cumplimiento: documentación de seguridad; descripción de medidas técnicas y organizativas (Anexo II); información sobre subencargados; políticas relevantes; certificaciones si existieran; respuestas a cuestionarios razonables; informes de auditoría disponibles.

El Cliente podrá solicitar auditorías cuando sea necesario para cumplir sus obligaciones legales, conforme a las condiciones del §22.1.

22.1. Condiciones de auditoría

(a) Preaviso razonable; (b) alcance limitado al tratamiento de Datos del Cliente; (c) no interferencia desproporcionada con operaciones SPH; (d) confidencialidad estricta; (e) no acceso a datos de otros clientes; (f) no acceso a secretos comerciales, código fuente o información altamente sensible; (g) realización durante horario laboral; (h) frecuencia razonable salvo incidente grave o requerimiento legal; (i) costes a cargo del Cliente cuando excedan asistencia ordinaria.

SPH podrá proponer medios alternativos razonables (cuestionarios, certificaciones, informes de terceros, documentación técnica) cuando una auditoría directa resulte desproporcionada.

23. Registros de actividades

SPH mantendrá, cuando sea exigible, registros de actividades de tratamiento (Art. 30.2 RGPD) relativos a sus actividades como encargado. SPH colaborará con la autoridad de control competente cuando esté legalmente obligado.

24. Devolución, supresión y conservación de datos tras terminación

A la terminación del Servicio o del encargo, y a elección del Cliente, SPH devolverá, suprimirá o anonimizará los Datos del Cliente tratados como encargado, salvo que exista una obligación legal de conservación o un interés legítimo prevalente de defensa de derechos.

Cuando el Cliente no comunique una instrucción específica dentro de un plazo razonable, SPH podrá aplicar sus políticas internas de eliminación, conservación limitada o anonimización.

24.1. Procedimiento cascading delete founding cohort

Procedimiento canónico durante founding cohort SS2026 pre-launch (≤15 Usuarios). La supresión en cadena (cascading delete) se ejecuta mediante procedimiento manual documentado por el equipo SPH. El procedimiento garantiza eliminación coordinada en:

1. Xano — registros principales + relaciones (cascada DB).

2. n8n (self-hosted) — workflows context + ejecuciones almacenadas.

3. Pinecone (si Layer 5 RAG activo — NOT activo en v1) — embeddings y metadata.

4. Audit logs — preservados durante la retención canónica de 24 meses cuando sean necesarios para defensa de derechos, cumplimiento legal o investigación de incidentes.

5. Backups — eliminación o sobrescritura conforme a ciclos normales de rotación (típicamente 30-90 días).

SLA de respuesta DSAR: 1 mes natural (Art. 12.3 RGPD), prorrogable 2 meses adicionales en casos complejos con comunicación motivada. Canal DSAR: privacy@scalepathub.com.

La automatización del cascading delete se evaluará post-D0 cuando founding cohort >15 o antes si volumen de DSAR lo requiere.

24.2. Conservación limitada tras terminación

SPH podrá conservar ciertos datos tras la terminación cuando sea necesario para: cumplir obligaciones legales (fiscales, contables, mercantiles); atender reclamaciones; resolver disputas; mantener seguridad; prevenir fraude o abuso; cumplir obligaciones contractuales; realizar copias de seguridad durante ciclos razonables. Los datos conservados quedarán sujetos a medidas de seguridad y no serán tratados para nuevas finalidades incompatibles.

24.3. Retención canónica audit log — 24 meses

Audit logs (Xano + n8n + Pinecone metadata + LLM provenance + Layer 7 human review records) se conservan durante 24 meses por razones de: (i) ventana forense de seguridad; (ii) defensa legal y litigation hold; (iii) auditoría regulatoria + investor DD.

24.4. Copias de seguridad

Los Datos del Cliente pueden permanecer temporalmente en copias de seguridad tras la supresión operativa. SPH eliminará o sobrescribirá dichas copias conforme a sus ciclos normales de backup y retención. Durante dicho periodo, los datos permanecerán protegidos y no se utilizarán activamente salvo para recuperación, seguridad, continuidad o cumplimiento legal.

24.5. Portabilidad y exportación

Cuando sea técnicamente posible y razonablemente proporcionado, SPH permitirá al Cliente exportar determinados datos. La exportación no incluirá lógica propietaria, modelos, plantillas internas, metodología ScaleIndex, prompts base, código, arquitectura funcional o elementos protegidos por PI de SPH.

25. Conflicto entre documentos

En caso de conflicto entre este Acuerdo y los T&C, prevalecerá este Acuerdo únicamente respecto de las obligaciones de protección de datos aplicables al encargo. En caso de conflicto entre este Acuerdo y las SCC aplicables a una transferencia internacional, prevalecerán las SCC en la medida necesaria para garantizar la validez de la transferencia.

26. Responsabilidad entre las Partes — indemnidad y limitación

Cada Parte será responsable del cumplimiento de sus propias obligaciones. El Cliente mantendrá indemne a SPH frente a reclamaciones derivadas de datos cargados sin base jurídica, incumplimiento de obligaciones de información, instrucciones ilícitas, introducción de datos prohibidos, uso indebido, falta de control sobre usuarios autorizados, incumplimiento normativo por el Cliente o reclamaciones de interesados derivadas de tratamientos determinados por el Cliente.

SPH mantendrá indemne al Cliente frente a daños directos derivados de incumplimientos imputables a SPH de sus obligaciones esenciales como encargado, dentro de los límites de responsabilidad pactados en los T&C (cf. T&C v0.2 §30), salvo que la ley aplicable exija otra cosa.

27. Notificaciones

Las comunicaciones podrán realizarse por: email; avisos en plataforma; ticketing/soporte; notificaciones contractuales; otros medios razonables.

Canales canónicos de SPH:

privacy@scalepathub.com — notificaciones relacionadas con datos personales (incluidas notificaciones de brecha sujetas al plazo Art. 33 RGPD 72h), ejercicio de derechos del interesado, asistencia DSAR, consultas de privacidad y datos.
legal@scalepathub.com — notificaciones contractuales generales, asuntos legales no relacionados con datos personales, gobernanza y resolución de disputas.

El Cliente deberá mantener actualizados sus datos de contacto.

28. Cambios en este Acuerdo

SPH podrá actualizar este Acuerdo para reflejar cambios normativos, técnicos, de proveedores, de evolución del Servicio, nuevos criterios regulatorios o mejoras de seguridad. Cuando el cambio sea material, SPH lo notificará por medios razonables.

29. Ley aplicable y resolución de controversias

Este Acuerdo se regirá por el Derecho español, sin perjuicio de la aplicación imperativa del RGPD y demás normativa europea o local aplicable.

Las controversias se resolverán conforme al mecanismo establecido en los T&C v0.2 §44 (cláusula híbrida escalonada — negociación → Tribunales Mercantiles de Madrid <€10.000 → arbitraje ICC con sede Madrid + Reglamento 2021 + idioma ES/EN ≥€10.000), salvo que la normativa aplicable exija otra cosa. Nada impedirá que cualquiera de las Partes coopere con autoridades de protección de datos o cumpla requerimientos administrativos o judiciales válidos.

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO (refinado v0.1)

1. Responsable

La Empresa Cliente que utiliza ScalePath Hub y determina los fines y medios del tratamiento de los Datos del Cliente.

2. Encargado

SCALEPATH HUB, S.L. · NIF B26883132 · Calle Fuencarral, núm. 133 (1F), 28010 Madrid, España · privacy@scalepathub.com (datos) · legal@scalepathub.com (contractual)

3. Duración

Mientras el Cliente mantenga cuenta activa, suscripción, diagnóstico, workspace o relación contractual, y durante el tiempo posterior necesario para devolución, supresión, conservación legal, backups, defensa de derechos o anonimización.

4. Naturaleza del tratamiento

Alojamiento, almacenamiento, estructuración, análisis, clasificación, generación de outputs, asistencia automatizada, soporte, seguridad, transmisión a subencargados autorizados, supresión, anonimización y copia de seguridad.

5. Finalidades del tratamiento

(a) Prestación del Servicio; (b) generación de diagnósticos y outputs; (c) análisis estructurado de inputs; (d) ejecución de funcionalidades contratadas; (e) colaboración de usuarios autorizados; (f) seguridad; (g) soporte; (h) mantenimiento; (i) continuidad operativa; (j) cumplimiento de instrucciones del Cliente.

6. Categorías de interesados

Empleados, representantes, directivos, colaboradores, clientes, leads, contactos comerciales, proveedores, asesores, usuarios autorizados, personas incluidas en documentos o prompts.

7. Categorías de datos personales

Identificativos, contacto profesional, cargo, empresa, datos CRM, datos comerciales, contractuales, operativos, financieros vinculados a personas físicas, datos en documentos, datos en prompts, datos de uso vinculados a usuarios autorizados.

8. Categorías especiales

No previstas. Prohibidas salvo base jurídica suficiente, necesidad, proporcionalidad, medidas adecuadas e instrucción válida del Cliente. PII híbrida aplicable.

9. Flujos típicos founding cohort + calificación del rol SPH (refinado v0.1)

Tabla de flujos canónicos founding cohort SS2026 — sirve de referencia interpretativa del §5 (controller vs processor) y permite a las Partes identificar el rol concreto en cada flujo. La tabla se actualizará post-pilot con ground truth.

#	Flujo de tratamiento	Rol SPH	Justificación
F-1	Registro de cuenta + autenticación + identificadores	Controller	SPH determina fines (gestión cuentas SPH) y medios (sistema autenticación SPH)
F-2	Procesamiento de pago + facturación	Controller	SPH cumple obligaciones contractuales + fiscales propias
F-3	Logs de uso + métricas + eventos del producto	Controller	SPH determina fines (mejora servicio, seguridad, antifraude)
F-4	Diagnóstico/ScaleIndex sobre datos del Usuario representante	Controller	El Usuario es a la vez interesado y representante; SPH ofrece el servicio según método propio
F-5	Carga de documentos con PII de empleados del Cliente	Processor	El Cliente determina qué PII subir, para qué fines, y SPH actúa por cuenta del Cliente
F-6	Importación de CRM cliente con datos de leads/contactos	Processor	El Cliente decide qué importar y SPH procesa por cuenta del Cliente
F-7	Prompts conversacionales con menciones de terceros	Mixto — controller (prompt en sí, account/usage) + processor (PII tercero)	Calificación por dato (§5.4)
F-8	Generación de roadmap basado en datos del Usuario	Controller	Análisis estructurado bajo método SPH; output service-defined
F-9	Generación de roadmap basado en PII de terceros cargada por Cliente	Processor (parte PII terceros) + Controller (account/billing)	Mixto §5.4
F-10	Layer 7 human review records sobre output AI	Controller	SPH retiene metadata revisión humana como obligación Art. 14 AI Act alignment
F-11	Análisis agregado/anonimizado para mejora producto	Controller (sobre datos anonimizados, fuera de RGPD si verdaderamente anonimizados)	Anonymized data dejan de ser PII
F-12	Comunicaciones transaccionales SPH→Usuario	Controller	Propias finalidades SPH (servicio, billing, soporte)

Nota interpretativa. Esta tabla es orientativa v0.2 y se basa en la arquitectura prevista del founding cohort + supuestos razonables. Casos límite o flujos no contemplados serán resueltos conforme al principio rector §5.1 y comunicados al Cliente cuando proceda (§5.6). Post-D0 D+30 SPH publicará tabla refinada con ground truth real.

ANEXO II — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

SPH aplicará medidas razonables y proporcionadas:

1. Gobernanza y organización

(a) asignación interna de responsabilidades; (b) políticas internas de seguridad; (c) control de accesos; (d) revisión de proveedores; (e) confidencialidad del personal; (f) gestión de incidentes.

2. Control de acceso

(a) autenticación de usuarios; (b) permisos por rol (RBAC); (c) acceso limitado según necesidad de conocimiento; (d) revocación oportuna; (e) protección de credenciales; (f) controles administrativos.

3. Seguridad técnica

(a) cifrado en tránsito (TLS); (b) cifrado en reposo cuando esté disponible; (c) segregación lógica; (d) backups; (e) monitorización; (f) protección frente a accesos no autorizados; (g) actualización razonable de sistemas.

4. Continuidad y disponibilidad

(a) copias de seguridad; (b) proveedores de infraestructura; (c) medidas de recuperación; (d) mantenimiento técnico; (e) gestión de incidencias.

5. Confidencialidad

(a) compromisos de confidencialidad; (b) acceso restringido; (c) minimización de accesos internos; (d) limitación de uso de datos.

6. Gestión de subencargados

(a) revisión de proveedores; (b) acuerdos contractuales; (c) medidas de transferencia internacional; (d) seguimiento razonable.

7. Minimización y PII

(a) tratamiento de datos necesarios; (b) recomendaciones al Cliente para no cargar datos excesivos; (c) política PII híbrida — notify/reformulate para sensibles, silent redact para incidentales; (d) uso de agregación o anonimización cuando sea posible; (e) limitación de retención (audit log 24m).

ANEXO III — SUBENCARGADOS AUTORIZADOS (v0.2-MVAA)

Estado verificación 2026-05-17. OpenAI DPA bilateral firmado 2026-05-17 (SCC Decisión (UE) 2021/914 Módulos 2+3). Stripe DPA v.2025-11-18 operativo vía SSA (Módulos 1+2+3 + DPF, contracting SPEL Irlanda). Zoho Mail firma electrónica + verificación de región en curso por CEO. Subprocesadores técnicos (Xano, UltaHost, Cloudflare) y Pinecone (NO activo v1) pendientes coordinación post-D0 via Bridge → Tech Lead.

Subencargado / Categoría	Función	Ubicación / Transferencia	Mecanismo legal	Observaciones
OpenAI	LLM inference (capas 2-3-5 MVAA)	OpenAI Ireland Ltd. (EEA contracting per DPA §4.1) + OpenAI OpCo, LLC (US) afiliados via SCCs	DPA bilateral firmado 2026-05-17. SCC Decisión (UE) 2021/914 Módulos 2+3 (Schedule 1 §8.1 DPA OpenAI). UK Addendum incorporated. Zero-retention/no-training = API platform configuration.	Confirmado 2026-05-17
Pinecone	Vector DB (solo si Layer 5 RAG activo)	EU región preferida — pending config	DPA + región EU	L5 NOT activo v1 — deferred a v2
Xano	Backend, base de datos, API	Pending region disclosure	DPA Xano + SCC si fuera UE	Pending equipo técnico SPH
UltaHost (VPS)	Hosting infrastructure	EU probable — pending confirm	DPA + región EU	Pending equipo técnico SPH
n8n (self-hosted)	Automatización y orquestación	Self-hosted en VPS SPH (EU)	Sin transferencia adicional	Confirmado self-hosted
Zoho Mail	Email transaccional (no Postmark)	Data center Europe (EU) — CONFIRMED por CEO 2026-05-17 (verified Zoho admin portal Europe DC); EU residency assured. Sub-processors Mail-relevant = Amazon CDN + Amazon SNS.	DPA Zoho based on Model Contractual Clauses (alineado Decisión (UE) 2021/914 práctica industry); framework operativo vía SSA Zoho. Firma electrónica self-service formal recomendada como best practice audit trail (no blocker D0 dado EU residency confirmed). Breach SLA 72h (alineado Art. 33 RGPD).	EU residency CONFIRMED 2026-05-17 — formal DPA signing recommended post-D0 best practice
Stripe	Pagos, antifraude, checkout	Stripe Payments Europe, Limited (SPEL Irlanda) contracting entity SPH; processing puede incluir Stripe LLC US + India bajo SCC + DPF	DPA Stripe v.2025-11-18 incorporated by reference vía SSA. SCC Decisión (UE) 2021/914 Módulos 1+2 (DPA) + Módulo 3 (DTA) + Data Privacy Framework primer tier. Breach SLA 48h. PCI scope = Stripe-managed (SPH SAQ-A).	Confirmado 2026-05-17
Cloudflare (si activo)	CDN / seguridad / WAF	Global	DPA Cloudflare + SCC	Pending equipo técnico SPH verification

Este Anexo se actualizará antes de D0 con el inventario técnico final.

ANEXO IV — TRANSFERENCIAS INTERNACIONALES

Cuando se produzcan transferencias internacionales sujetas al RGPD, SPH aplicará, según corresponda:

(a) decisión de adecuación de la Comisión Europea; (b) Cláusulas Contractuales Tipo (SCC) modernas de la Comisión Europea (Decisión 2021/914); (c) evaluación de impacto de transferencia (TIA); (d) medidas técnicas complementarias (cifrado, seudonimización, segregación); (e) compromisos contractuales del proveedor; (f) configuración de privacidad adecuada; (g) minimización de datos transferidos.

Cuando SPH actúe como encargado y transfiera datos a un subencargado fuera del EEE, el módulo aplicable normalmente será encargado-a-encargado (Módulo 3) de las SCC.

Transferencias específicas v0.2-MVAA

OpenAI: Contracting via OpenAI Ireland Ltd. (EEA per DPA §4.1). Onward transfers a OpenAI OpCo LLC US + afiliados terceros países bajo SCC Decisión (UE) 2021/914 Módulos 2+3 (Schedule 1 §8.1 DPA OpenAI bilateral firmado 2026-05-17). UK Addendum incorporated. Zero-retention/no-training configurado a nivel API platform.
Pinecone (si Layer 5 activo — NOT activo v1): región EU preferida; si fuera US, SCC Módulo 3 + medidas complementarias.
Stripe: Stripe Payments Europe, Limited (SPEL Irlanda) contracting entity SPH. Onward transfers a Stripe LLC US + Stripe afiliados India y otras jurisdicciones bajo SCC Decisión (UE) 2021/914 Módulos 1, 2 (DPA), Módulo 3 (DTA) + Data Privacy Framework (Stripe LLC self-certified).
Zoho Mail: Data center Europe (EU) — CONFIRMED por CEO 2026-05-17 (verified Zoho admin portal Europe DC). EU residency assured. DPA Zoho based on Model Contractual Clauses (Decisión (UE) 2021/914 práctica industry) framework operativo vía SSA. Sub-processors relevantes Mail = Amazon CDN + Amazon SNS (US/EU/AU) — Zoho cubre SCCs Module 3 P2P para onward transfers a estos sub-processors.
Otros: según ANEXO III estado pending verification.

ANEXO V — INSTRUCCIONES DEL CLIENTE

El Cliente instruye a SPH a tratar los Datos del Cliente únicamente para las siguientes finalidades:

(a) prestar el Servicio contratado; (b) alojar y mantener los datos en la plataforma; (c) generar diagnósticos, análisis, roadmaps, outputs o recomendaciones solicitadas; (d) permitir colaboración de usuarios autorizados; (e) aplicar seguridad; (f) prestar soporte; (g) gestionar backups y continuidad; (h) utilizar subencargados autorizados; (i) suprimir/devolver/anonimizar datos al terminar el Servicio (procedimiento cascading delete §24.1); (j) cumplir obligaciones legales aplicables al encargado.

Cualquier otra instrucción deberá documentarse y ser aceptada por SPH.