Contrato de Encargado del Tratamiento

Versión: 2026-09-06

Este contrato forma parte de las Condiciones de Uso de Mansaria y se acepta junto con ellas. Sin él, la Agencia no puede tratar datos personales de sus clientes a través de la plataforma (art. 28 RGPD).

1. Partes y funciones

• Responsable del tratamiento: la Agencia que contrata Mansaria. Decide qué datos introduce, con qué finalidad y durante cuánto tiempo.
• Encargado del tratamiento: Myroslav Podryhulia, NIF Y9837838Q (NIE), con domicilio en calle La Laja, 7, 38678 Adeje, Santa Cruz de Tenerife, España (en adelante, «Mansaria»). Trata los datos únicamente siguiendo instrucciones documentadas del Responsable.

Las instrucciones documentadas son estas Condiciones y el uso ordinario de las funciones del producto.

2. Objeto, duración y naturaleza

Prestación de un servicio en la nube de gestión inmobiliaria: clientes, inmuebles, demandas, operaciones, visitas, documentos y comunicaciones; y, en las agencias que los usan, alquiler vacacional con gestión de reservas y estancias, limpiezas, pagos a proveedores, facturación y conciliación bancaria, firma electrónica y comunicación del parte de viajeros a las autoridades.

El tratamiento dura mientras esté vigente el contrato de servicio.

3. Categorías de interesados y datos

• Interesados: clientes y potenciales clientes de la Agencia; propietarios de inmuebles; avalistas y firmantes de documentos, que no siempre son clientes; huéspedes y viajeros alojados, incluidos menores de edad; empleados de la Agencia en su condición de usuarios del CRM.
• Datos identificativos: nombre, apellidos, correo, teléfono, idioma, nacionalidad, dirección.
• Datos documentales: NIE, pasaporte, NIF, tipo y número de documento y su soporte, y documentos aportados por el cliente (contratos, justificantes).
• Datos de la estancia: fecha de nacimiento, sexo, nacionalidad y, en el caso de menores, parentesco. Se recogen porque el parte de viajeros los exige (RD 933/2021) y se comunican al Ministerio del Interior.
• Datos económicos: importes de operaciones, comisiones, gastos, datos de financiación y movimientos bancarios importados por la Agencia.
• Comunicaciones: notas, correos enviados, consentimientos y su prueba.
• Firma manuscrita: la imagen del trazo con que se firma un documento.
• Datos técnicos asociados a una actuación: dirección IP y agente de usuario en formularios, consentimientos y firmas. Se conservan porque son la prueba de quién actuó y cuándo; bajo el RGPD son datos personales y por eso se declaran.
• Datos de uso de la selección enviada al cliente: si la abrió y qué respondió.

No se recaban categorías especiales del art. 9 RGPD en campos propios. El sistema admite adjuntar documentos y dispone de campos de texto libre, de modo que esta afirmación se sostiene en la instrucción a la Agencia y no en una restricción técnica: si la Agencia introduce tales datos, lo hace bajo su exclusiva responsabilidad.

4. Obligaciones de Mansaria

• Tratar los datos solo por instrucción del Responsable y no usarlos para fines propios ni para elaborar perfiles comerciales.
• Guardar confidencialidad, también tras finalizar el contrato, y exigirla a su personal.
• Aplicar las medidas del art. 32 RGPD descritas en el anexo I.
• Asistir al Responsable en la respuesta a los derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición).
• Notificar al Responsable sin dilación indebida y como máximo en 48 horas cualquier violación de seguridad que afecte a sus datos, con la información necesaria para su comunicación a la AEPD.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías, con preaviso razonable.
• A la finalización del contrato, y a elección del Responsable, devolver o suprimir los datos. La exportación está disponible en el propio producto.

5. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados listados en SUBENCARGADOS.md, publicados en la web.

Mansaria informará de cualquier alta o sustitución con 30 días de antelación. Si el Responsable se opone de forma motivada dentro de ese plazo y no se alcanza una solución, podrá resolver el contrato sin penalización.

6. Transferencias internacionales

Algunos subencargados están fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación vigente, según se detalla en el listado de subencargados.

7. Conservación

Mansaria conserva los datos mientras la Agencia mantenga la cuenta.

Se advierte expresamente: la Agencia puede estar obligada por la Ley 10/2010 de prevención del blanqueo de capitales a conservar la documentación de sus clientes durante diez años. El derecho de supresión del interesado no prevalece sobre esa obligación legal del Responsable, y es este quien decide qué se borra y cuándo.

8. Responsabilidad

Cada parte responde de sus propios incumplimientos. Mansaria no responde del contenido que la Agencia introduce ni de la licitud de la base jurídica que esta invoque frente a sus clientes.

Anexo I — Medidas de seguridad

• Cifrado en tránsito (TLS) y en reposo en la base de datos.
• Aislamiento entre agencias mediante políticas a nivel de fila en la base de datos: una agencia no puede leer filas de otra aunque la aplicación falle.
• Control de acceso por roles y visibilidad configurable de los clientes.
• Verificación en dos pasos disponible para todas las cuentas.
• Registro de cambios sobre operaciones, inmuebles, clientes y consentimientos.
• Almacenamiento de documentos en bucket privado con enlaces firmados de duración limitada.
• Copias de seguridad propias, diarias y cifradas. Cada noche se copian la base de datos completa —incluidas las cuentas de acceso— y la totalidad de los archivos almacenados. La copia se cifra con una clave asimétrica cuya parte privada se conserva fuera de línea, de modo que el proveedor de almacenamiento no puede leerla. El sistema que realiza la copia sí trata los datos en claro mientras la crea y la comprueba —una copia que no se comprueba no es una copia—: se ejecuta en la Unión Europea (Scaleway, París), en memoria cuando cabe, los datos en claro se borran en cuanto la copia queda cifrada y no salen nunca de esa máquina. Se conserva treinta días en almacenamiento de objetos situado en la Unión Europea, en dos proveedores distintos.
• Verificación de las copias. Cada copia se comprueba de forma automática al crearse (que el volcado se lee entero y contiene las cuentas de acceso) y se contrasta con el historial para detectar una copia que, siendo legible, haya quedado incompleta. Con periodicidad trimestral se realiza además una restauración de prueba sobre una base independiente, comparando el contenido restaurado con el original.
• Vigilancia mutua. El sistema que ejecuta las copias y la aplicación se supervisan entre sí y avisan por correo si dejan de hacerlo, porque la ausencia de copias no produce ningún síntoma visible por sí misma.