Contrato de encargado de tratamiento
Última actualización: 12 de agosto de 2026
Qué regula este documento, y qué no
La política de privacidad explica qué hacemos con TUS datos como usuario de Ruidora. Este contrato es distinto: regula qué hacemos con los datos que TÚ guardas en Ruidora sobre otras personas —el nombre de un cliente en un testimonio, un número de contacto en una llamada a la acción—. Ahí, la empresa que usa Ruidora es la responsable del tratamiento, y Qoorder Development SL es el encargado: tratamos esos datos únicamente para prestarte el servicio, nunca por cuenta propia.
Este documento se aplica automáticamente al darte de alta, como parte de los términos del servicio. No hace falta firmarlo aparte para poder empezar a usar Ruidora.
Partes
- El encargado: Qoorder Development SL, NIF B06971998, Bda. De la Paz 2, 2ºB · 41600 Arahal (Sevilla), España.
- El responsable: la empresa titular de la cuenta de Ruidora —tus datos de alta, tal como los diste al registrarte.
Objeto, duración y finalidad
El encargado trata datos personales por cuenta del responsable con el único objeto de prestar el servicio de Ruidora: generar, componer, programar y publicar contenido en las redes sociales que el responsable conecte, y analizar su rendimiento. La duración del tratamiento coincide con la de la relación contractual: mientras la cuenta esté activa, y durante el periodo de gracia posterior al cierre descrito más abajo.
Tipo de datos y categorías de interesados
Según lo que el propio responsable decida incluir en su contenido, típicamente:
- Clientes del responsable citados en testimonios, reseñas o casos de uso: nombre, y a veces una valoración o una cita textual.
- Personas de contacto mencionadas en llamadas a la acción: un nombre, un teléfono o un enlace de WhatsApp que el propio responsable decide publicar.
- Imágenes subidas por el responsable que puedan mostrar personas reconocibles (fotos de clientes, de empleados, de eventos).
Ruidora no pide ni necesita categorías especiales de datos (art. 9 RGPD) para funcionar, y el servicio no está pensado para tratarlas. Si el responsable las incluyera por su cuenta en un texto o una imagen, sigue siendo el único responsable de tener base legal para ello.
Obligaciones del encargado
Qoorder Development SL, como encargado del tratamiento, se compromete a:
- Tratar los datos únicamente según las instrucciones documentadas del responsable, que son las que resultan de usar el servicio tal como está diseñado — publicar lo que el responsable programa o aprueba, ni más ni menos—. Si una instrucción infringiera el RGPD, se lo haremos saber antes de ejecutarla.
- Confidencialidad: quien tiene acceso a datos de tenants está sujeto a un deber de confidencialidad, contractual o legal, y el acceso de soporte queda siempre registrado (docs/SECURITY.md §4 y §11 — el plano de superadmin es de sólo lectura, con 2FA, lista de IP y auditoría de cada acceso).
- Medidas de seguridad (detalladas en la siguiente sección).
- Subencargados: autorización general para recurrir a los que se listan más abajo, con aviso previo de cualquier cambio y derecho del responsable a oponerse.
- Asistencia con los derechos de los interesados: si alguien ejerce un derecho de acceso, rectificación, supresión o portabilidad sobre datos que el responsable tiene en Ruidora, le ayudamos a atenderlo con las herramientas ya disponibles en el panel (edición y borrado de contenido en el momento).
- Notificación de brechas de seguridad al responsable, sin dilación indebida y en todo caso dentro de las 72 horas desde que tengamos constancia, con la información necesaria para que pueda cumplir sus propias obligaciones de notificación (mismo procedimiento de docs/SECURITY.md §13).
- Borrado o devolución de todos los datos al finalizar la prestación del servicio, a elección del responsable, y supresión de las copias existentes salvo obligación legal de conservación (ver más abajo).
- Poner a disposición la información necesaria para demostrar el cumplimiento de estas obligaciones, y permitir auditorías razonables, avisadas con antelación y sin interferir con la operación del servicio para otros clientes.
Medidas técnicas y organizativas (art. 32 RGPD)
Las que ya protegen el servicio en producción, no una lista genérica:
- Aislamiento entre empresas en tres capas: contexto de la sesión, extensión del ORM que exige el identificador de la empresa en toda operación, y seguridad a nivel de fila de PostgreSQL (RLS) — sin la variable de sesión correspondiente, la base de datos no devuelve ninguna fila.
- Cifrado de las credenciales de las redes sociales conectadas (AES-256-GCM, con clave de cifrado propia por empresa), y de las variables de entorno del servidor.
- Auditoría de los eventos relevantes (inicios de sesión, cambios de permisos, conexión y desconexión de redes, publicaciones, accesos de soporte), en un registro que no admite modificación ni borrado posterior.
- Control de acceso por roles, con el principio de mínimo privilegio: cada persona del equipo del responsable ve y hace sólo lo que su rol permite.
- Copias de seguridad cifradas, con restauración probada periódicamente.
- Revisión de código obligatoria antes de desplegar cualquier cambio, con comprobaciones automáticas de seguridad en cada cambio (secretos filtrados, vulnerabilidades conocidas en dependencias).
Subencargados
Los mismos que ya figuran en la política de privacidad — no hay ningún subencargado adicional para lo que regula este documento.
| Subencargado | Para qué | Dónde |
|---|---|---|
| Cloudflare R2 | Almacenamiento de las imágenes y vídeos que se publican | Unión Europea |
| Brevo (Sendinblue) | Envío de correos de la cuenta: verificación y avisos | Unión Europea (Francia) |
| OpenAI | Generación de los textos e imágenes que propone la aplicación | Estados Unidos, con cláusulas contractuales tipo |
| Meta Platforms | Publicación en Instagram y Facebook de las cuentas que conectes | Estados Unidos, con cláusulas contractuales tipo |
| IONOS | Servidor donde se aloja la aplicación y la base de datos | Unión Europea (Alemania) |
Si incorporamos un subencargado nuevo, lo añadimos aquí y te avisamos por correo con antelación razonable. Si no estás de acuerdo, puedes ejercer tu derecho a oponerte escribiendo a hola@moicro.dev.
Transferencias internacionales
OpenAI y Meta Platforms tratan datos fuera de la Unión Europea. En ambos casos, la transferencia se ampara en cláusulas contractuales tipo aprobadas por la Comisión Europea. El resto de subencargados procesan dentro de la Unión Europea.
Al terminar la relación
Cuando cierres tu cuenta, los datos se eliminan de forma irreversible según el periodo de gracia y el procedimiento descritos en cómo borrar tus datos, salvo lo que la ley obligue a conservar (por ejemplo, facturas). No hace falta pedirlo aparte para este contrato: es el mismo borrado.
Ley aplicable
Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD) y por la ley española de protección de datos, y se somete a los mismos juzgados y tribunales que los términos del servicio.