Data Processing Agreement
This Data Processing Agreement ("DPA") forms part of the Terms of Service between your business ("you", "the customer") and nexo. It governs how nexo processes personal data on your behalf when you use the service. Where this DPA and the Terms of Service differ on a data-protection matter, this DPA prevails.
It applies under Regulation (EU) 2016/679 (the "GDPR"), the Spanish Organic Law 3/2018 (the "LOPDGDD"), and any other data-protection law that applies to the processing ("Data Protection Law").
The short version
- You are the controller. We are your processor. For your clients' and contacts' personal data, you decide the what and the why; we process it only to run nexo for you, on your instructions.
- We don't use your data for ourselves beyond running the service. We don't sell it, we don't use it for advertising, and we don't use it to train AI models. We only ever use aggregated, de-identified information about how nexo is used to keep the service running and improve it.
- AI features send only what's needed to our AI providers, who process it for us and not for themselves.
- Your data stays in the EU where we control storage, is isolated per workspace, and is encrypted in transit and at rest.
- We use a short list of sub-processors (Annex 3). We stay responsible for them, and we tell you before the list changes.
- If there's a data breach, we tell you quickly so you can meet your own obligations.
- When you leave, we help you get your data out and then delete it — 30 days after your subscription ends — except the few records the law makes us keep.
This summary is for convenience. The full terms below are what apply.
1. Who the parties are
- You — the business that creates the nexo workspace — are the controller of the personal data you and your users put into, or bring into, nexo about your clients, prospects, counterparties and their representatives ("Client Personal Data").
- nexo — operated by Jklausen Holding S.L., NIF B56431364, registered office Calle Don Quijote 4, 29639 Benalmádena (Málaga), Spain — is the processor of that data. Contact us at [email protected].
(Where nexo decides the purposes and means of processing in its own right — for example your users' account data — nexo is the controller, and our Privacy Policy governs that, not this DPA.)
2. Our roles
2.1 You as controller. You determine the purposes and means of processing Client Personal Data. You are responsible for having a lawful basis for it and for your duties toward the data subjects.
2.2 nexo as processor. We process Client Personal Data only on your documented instructions. Your instructions are: these Terms and this DPA, the way the service is configured, and the way you and your users use it. If we must process for another reason because the law requires it, we'll tell you first, unless the law prevents us.
2.3 If we think an instruction breaks the law, we'll tell you. We're not obliged to carry out an instruction that we believe infringes Data Protection Law.
2.4 Our own, limited purposes. We act as an independent controller only to: (a) keep nexo secure and running; (b) understand how nexo is used so we can run and improve it, using only aggregated, de-identified information; and (c) meet our own legal obligations. We are responsible for our own lawful basis for these. We will not use identifiable Client Personal Data to train AI models, and we will not sell it or use it for advertising. This matches what we promise in the Terms.
3. What we process, and why
The subject matter, duration, nature and purpose of the processing, the types of personal data, and the categories of data subjects are set out in Annex 1.
4. Your responsibilities as controller
4.1 Lawful basis and notices. You confirm that you have a valid lawful basis for the personal data you put into nexo, and that you have given your clients and contacts any privacy notices and obtained any consents the law requires.
4.2 Connected services. When you connect Google (Gmail / Workspace), WhatsApp Business, or a portal feed such as an MLS network, and bring in messages, attachments and documents, you are the controller of that imported data. You are responsible for: (a) having a lawful basis to import and keep it, including data about third parties who did not give it to you directly; (b) any notice or consent you owe those third parties; (c) complying with the connected provider's own terms and with your confidentiality duties; and (d) how you use the import filters and settings nexo gives you.
4.3 Accuracy. You are responsible for the accuracy and lawfulness of the data you put in, and for correcting or deleting it as needed.
4.4 No special-category data. You must not put special-category data into nexo (clause 5.2).
5. Sensitive data in property transactions
5.1 What nexo is designed for. nexo is built to handle ordinary personal data and the following sensitive-but-not-special data that comes up in property deals:
- Identity documents and identifiers — passport, DNI, NIE, residence documents (handling DNI and NIE numbers is subject to specific LOPDGDD rules);
- Financial and transactional data — proof of funds, bank details, mortgage and lending documents, tax identifiers, contracts (reserva, arras, escritura), invoices;
- Anti-money-laundering (AML) / KYC records you are legally required to collect under Spanish Law 10/2010, with the retention that law requires.
5.2 Special-category data is not supported. Data under Article 9 GDPR (such as health, racial or ethnic origin, religious belief, or biometric data used to identify someone) is not a category nexo is designed for. You must not upload or import it. Identity documents under 5.1 are treated as sensitive and given heightened handling, but are not, by themselves, Article 9 data.
5.3 Heightened handling. Sensitive data under 5.1 is subject to the measures in Annex 2, including access controls, per-workspace isolation, and encryption in transit and at rest.
6. What we do as processor
We will:
- 6.1 process Client Personal Data only on your documented instructions (clause 2.2);
- 6.2 make sure the people we authorise to process it are bound by confidentiality;
- 6.3 put in place appropriate technical and organisational security measures (Article 32 GDPR — Annex 2);
- 6.4 respect the conditions on sub-processors (clause 8);
- 6.5 help you respond to data-subject requests (clause 10);
- 6.6 help you with security, breach notification, data-protection impact assessments and prior consultation (Articles 32–36), taking into account the nature of the processing and the information available to us;
- 6.7 delete or return Client Personal Data at the end of the service, at your choice (clause 13); and
- 6.8 make available the information needed to show we comply, and allow for and contribute to audits (clause 12).
7. Security
We implement and maintain the technical and organisational measures described in Annex 2, appropriate to the risk, to protect Client Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
8. Sub-processors
8.1 Your authorisation. You give us general authorisation to engage the sub-processors listed in Annex 3 to help provide the service.
8.2 Our responsibility. We impose data-protection obligations on each sub-processor that are no less protective than this DPA, and we remain responsible to you for what they do.
8.3 Changes. Before we add or change a sub-processor that handles Client Personal Data, we'll give you at least 30 days' notice (by email or in nexo, and on the list in our Privacy Policy), so you can object on reasonable data-protection grounds. If we can't resolve a reasonable objection, you may terminate the affected part of the service.
9. International transfers
Where Client Personal Data is transferred outside the EEA — for example to a sub-processor with operations in the United States — we put an appropriate transfer mechanism in place, such as the EU Standard Contractual Clauses and/or an adequacy decision, together with any supplementary measures needed after Schrems II. Where a sub-processor offers EU data residency, we configure it (see Annex 3).
10. Data-subject requests
Taking into account the nature of the processing, we'll help you — by appropriate technical and organisational measures, as far as possible — to meet your duty to respond to data subjects exercising their rights (access, rectification, erasure, restriction, portability, objection). If a data subject contacts us directly about data we process for you, we'll forward the request to you and won't respond ourselves except on your instruction or where the law requires it.
11. Personal-data breaches
If we become aware of a personal-data breach affecting Client Personal Data, we'll notify you without undue delay, and in any event within 48 hours of becoming aware. The notice will describe, as far as we can, the nature of the breach, the likely consequences, the data and data subjects affected, and the measures taken or proposed. We'll help you meet your own notification duties to the AEPD and to data subjects.
12. Audits
We'll make available the information needed to show we comply with this DPA, and allow for and contribute to audits, including inspections, by you or an auditor you appoint — subject to reasonable notice, frequency, confidentiality and cost terms, and without compromising other customers' security or data. We may meet audit requests by providing third-party certifications or reports where we have them.
13. Returning and deleting your data
When your subscription ends, or if you ask us, we'll — at your choice — return and/or delete Client Personal Data and delete existing copies. In practice: your data stays available for you to export for 30 days after your subscription ends, and then we delete it. We keep some records for longer only where the law requires it — in particular AML/KYC records you must retain under Spanish Law 10/2010. What we retain, and for how long, is explained on our data-deletion page. Any data kept for our own limited purposes (clause 2.4) is only ever aggregated or de-identified.
14. AI features and your data
14.1 To deliver AI features you use — such as drafting replies, translating, summarising, matching and writing descriptions — we send only the content needed to the AI providers listed in our Privacy Policy (and Annex 3). They process it for us, under our instructions, to deliver the feature — not for their own purposes, and they don't use it to train their models. We do this as your processor, on your instruction, under clause 8.
14.2 We don't train models on your data. We do not use identifiable Client Personal Data to train our own models or anyone else's. Improving nexo uses only aggregated, de-identified information (clause 2.4).
14.3 No cross-customer sharing. We don't disclose one customer's data to another. Any future listing-sharing features are off by default, apply only to your own listings if you switch them on, and never share your clients' personal data between agencies.
15. Who is responsible for what
15.1 Each party is responsible for its own role: you for your controller duties (including a lawful basis for what you put in and import under clause 4.2), and nexo for its processor duties under this DPA and its own-controller duties under clause 2.4.
15.2 You will indemnify us against claims that arise from your breach of your controller duties, including importing data without a lawful basis.
15.3 The liability cap and exclusions in the Terms of Service apply to this DPA. Nothing here limits either party's statutory liability to data subjects or regulators that cannot be limited by contract; GDPR roles are decided by the actual processing, not only by this DPA.
16. General
- Precedence. This DPA forms part of the Terms and prevails over them on data-protection matters; a founding-agency agreement or order form prevails on its own specific points.
- Changes. We may update this DPA as nexo and the law change; for material changes we give at least 30 days' notice, as under the Terms.
- Language. This DPA is available in English and Spanish. If the two differ, the English version prevails.
- Law and courts. This DPA is governed by Spanish law. The courts of Málaga, Spain, have jurisdiction.
- Contact. nexo · Jklausen Holding S.L. · Calle Don Quijote 4, 29639 Benalmádena (Málaga), Spain · [email protected].
Annex 1 — Details of the processing
- Subject matter: providing the nexo CRM and the modules you activate.
- Duration: the subscription term, plus the export window and any legally required retention.
- Nature and purpose: storing, organising, retrieving, displaying, classifying, enriching, matching, translating, and supporting communication for property transactions.
- Categories of data subjects: your clients and prospects (buyers, sellers, landlords, tenants), their representatives, counterparties, lawyers, agency contacts, and your users.
- Types of personal data: contact and identity data; identity documents (passport / DNI / NIE); financial and transactional data (proof of funds, mortgage documents, contracts, invoices); AML / KYC records; communications content and metadata imported from connected services. Special-category data is not a designed-for category (clause 5.2).
Annex 2 — Security measures (Article 32 GDPR)
- Logical isolation of each workspace's data (per-tenant separation).
- Encryption in transit (TLS) and at rest.
- Access controls and least-privilege access; named logins for users; confidentiality obligations for staff.
- Signature verification on inbound webhooks and malware scanning of imported files.
- Logging and audit trails, including document provenance (source channel, sender, timestamp).
- Regular backups, resilience, and breach-detection processes.
Annex 3 — Sub-processors
The current, authoritative list is maintained in our Privacy Policy; this annex must be kept consistent with it.
| Sub-processor | Role | Location / data residency | Transfer mechanism |
|---|---|---|---|
| Cloudflare | Object / document storage | EU data residency configured | DPA + EU SCCs (US-headquartered) |
| Railway | Application hosting and databases | EU region | DPA + EU SCCs (US-headquartered) |
| PostHog | Product analytics (usage events) to run, secure and improve the service (clause 2.4) | EU Cloud region | EU SCCs if outside EEA (US-headquartered) |
| Grafana | Observability — metrics, logs and alerting for availability and security (clause 2.4) | EU region | EU SCCs if outside EEA (US-headquartered) |
| OpenAI | AI processing to deliver AI features (clause 14.1) | EU where offered | EU SCCs / adequacy |
| Anthropic | AI processing to deliver AI features (clause 14.1) | EU where offered | EU SCCs / adequacy |
| Google Cloud (Model Armor) | Screening email text for malicious instructions before it reaches the AI features (clause 14.1) | EU region | EU SCCs if outside EEA (US-headquartered) |
| Resend | Email delivery for messages sent from nexo | EU region where offered | EU SCCs if outside EEA (US-headquartered) |
| Apple (Apple Push Notification service) | Delivering push notifications to the nexo app on iPhone (a client's name and the first line of a message) | Global delivery network | EU SCCs (US-headquartered) |
| Google Firebase (Firebase Cloud Messaging) | Delivering push notifications to the nexo app on Android (a client's name and the first line of a message) | Global delivery network | EU–US Data Privacy Framework / EU SCCs (US-headquartered) |
| Mapbox and Google Maps | Maps and address lookup | — | EU SCCs / adequacy |
Note on analytics / observability: PostHog and Grafana process data for nexo's own purposes under clause 2.4 (running, securing and improving the service), not on your instructions; they are listed here for transparency. They should be configured to avoid ingesting identifiable Client Personal Data wherever possible.
Note on connected services: Google (Gmail / Workspace), Meta (WhatsApp Business) and MLS networks are services you choose and connect, so they are not nexo's sub-processors and are not listed above. Where nexo only acts on your instruction to access them, they act as your processors, and your own agreement with each of them governs that access.
Contrato de Encargo de Tratamiento
Este Contrato de Encargo de Tratamiento (el «Contrato de Encargo», o «DPA» por sus siglas en inglés) forma parte de las Condiciones del servicio entre tu empresa («tú», «el cliente») y nexo. Regula cómo nexo trata datos personales por cuenta tuya cuando usas el servicio. Si este Contrato de Encargo y las Condiciones del servicio difieren en una cuestión de protección de datos, prevalece este Contrato de Encargo.
Se aplica conforme al Reglamento (UE) 2016/679 (el «RGPD»), la Ley Orgánica 3/2018 (la «LOPDGDD») y cualquier otra normativa de protección de datos aplicable al tratamiento (la «Normativa de Protección de Datos»).
En resumen
- Tú eres el responsable del tratamiento. Nosotros somos tu encargado. Con los datos personales de tus clientes y contactos, tú decides el qué y el para qué; nosotros solo los tratamos para prestarte nexo, siguiendo tus instrucciones.
- No usamos tus datos para nosotros más allá de prestar el servicio. No los vendemos, no los usamos para publicidad y no los usamos para entrenar modelos de IA. Solo usamos información agregada y anonimizada sobre cómo se usa nexo, para mantener el servicio en marcha y mejorarlo.
- Las funciones de IA envían solo lo necesario a nuestros proveedores de IA, que lo tratan por cuenta nuestra y no para sí mismos.
- Tus datos se quedan en la UE allí donde controlamos el almacenamiento, están aislados por espacio de trabajo y van cifrados en tránsito y en reposo.
- Usamos una lista corta de subencargados (Anexo 3). Respondemos de ellos y te avisamos antes de que la lista cambie.
- Si se produce una brecha de datos, te avisamos rápido para que puedas cumplir tus propias obligaciones.
- Cuando te vas, te ayudamos a llevarte tus datos y después los eliminamos —30 días después de que termine tu suscripción—, salvo los pocos registros que la ley nos obliga a conservar.
Este resumen es orientativo. Lo que se aplica son las cláusulas completas que siguen.
1. Quiénes son las partes
- Tú —la empresa que crea el espacio de trabajo de nexo— eres el responsable del tratamiento de los datos personales que tú y tus usuarios introducís o incorporáis a nexo sobre vuestros clientes, potenciales clientes, contrapartes y sus representantes (los «Datos Personales de Clientes»).
- nexo —operado por Jklausen Holding S.L., NIF B56431364, con domicilio social en Calle Don Quijote 4, 29639 Benalmádena (Málaga), España— es el encargado del tratamiento de esos datos. Puedes escribirnos a [email protected].
(Cuando nexo decide por sí mismo los fines y medios del tratamiento —por ejemplo, con los datos de cuenta de tus usuarios—, nexo es el responsable del tratamiento y se aplica nuestra Política de privacidad, no este Contrato de Encargo.)
2. Nuestros papeles
2.1 Tú, como responsable. Tú determinas los fines y medios del tratamiento de los Datos Personales de Clientes. Eres responsable de contar con una base jurídica para ese tratamiento y de cumplir tus obligaciones frente a los interesados.
2.2 nexo, como encargado. Tratamos los Datos Personales de Clientes únicamente siguiendo tus instrucciones documentadas. Tus instrucciones son: estas Condiciones y este Contrato de Encargo, la configuración del servicio y la forma en que tú y tus usuarios lo utilizáis. Si la ley nos obliga a tratarlos por otro motivo, te lo comunicaremos antes, salvo que la ley nos lo impida.
2.3 Si creemos que una instrucción infringe la ley, te lo diremos. No estamos obligados a ejecutar una instrucción que, a nuestro juicio, infrinja la Normativa de Protección de Datos.
2.4 Nuestros propios fines, limitados. Actuamos como responsable del tratamiento independiente solo para: (a) mantener nexo seguro y en funcionamiento; (b) entender cómo se usa nexo para poder operarlo y mejorarlo, usando únicamente información agregada y anonimizada; y (c) cumplir nuestras propias obligaciones legales. Somos responsables de nuestra propia base jurídica para estos fines. No usaremos Datos Personales de Clientes identificables para entrenar modelos de IA, y no los venderemos ni los usaremos para publicidad. Esto coincide con lo que prometemos en las Condiciones.
3. Qué tratamos y para qué
El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se recogen en el Anexo 1.
4. Tus obligaciones como responsable
4.1 Base jurídica e información. Confirmas que cuentas con una base jurídica válida para los datos personales que introduces en nexo, y que has facilitado a tus clientes y contactos la información sobre privacidad y obtenido los consentimientos que exige la ley.
4.2 Servicios conectados. Cuando conectas Google (Gmail / Workspace), WhatsApp Business o un feed de portal como una red MLS, e incorporas mensajes, adjuntos y documentos, tú eres el responsable del tratamiento de esos datos importados. Eres responsable de: (a) contar con una base jurídica para importarlos y conservarlos, incluidos los datos de terceros que no te los facilitaron directamente; (b) la información que debas facilitar a esos terceros y el consentimiento que debas obtener de ellos; (c) cumplir las condiciones del propio proveedor conectado y tus deberes de confidencialidad; y (d) el uso que hagas de los filtros de importación y los ajustes que nexo pone a tu disposición.
4.3 Exactitud. Eres responsable de la exactitud y la licitud de los datos que introduces, y de corregirlos o eliminarlos cuando sea necesario.
4.4 Nada de categorías especiales de datos. No debes introducir en nexo categorías especiales de datos (cláusula 5.2).
5. Datos sensibles en las operaciones inmobiliarias
5.1 Para qué está diseñado nexo. nexo está pensado para tratar datos personales ordinarios y los siguientes datos sensibles, pero no de categoría especial, que surgen en las operaciones inmobiliarias:
- Documentos e identificadores de identidad — pasaporte, DNI, NIE, documentos de residencia (el tratamiento de los números de DNI y NIE está sujeto a reglas específicas de la LOPDGDD);
- Datos financieros y de la operación — justificantes de fondos, datos bancarios, documentos hipotecarios y de financiación, identificadores fiscales, contratos (reserva, arras, escritura), facturas;
- Registros de prevención del blanqueo de capitales (PBC) / KYC que la Ley 10/2010 te obliga a recabar, con la conservación que exige esa ley.
5.2 Las categorías especiales de datos no están admitidas. Los datos del artículo 9 del RGPD (como los de salud, origen racial o étnico, creencias religiosas o datos biométricos dirigidos a identificar a una persona) no son una categoría para la que esté diseñado nexo. No debes subirlos ni importarlos. Los documentos de identidad del apartado 5.1 se tratan como sensibles y reciben una protección reforzada, pero no son, por sí solos, datos del artículo 9.
5.3 Protección reforzada. Los datos sensibles del apartado 5.1 están sujetos a las medidas del Anexo 2, incluidos los controles de acceso, el aislamiento por espacio de trabajo y el cifrado en tránsito y en reposo.
6. Qué hacemos como encargado
Nos comprometemos a:
- 6.1 tratar los Datos Personales de Clientes únicamente siguiendo tus instrucciones documentadas (cláusula 2.2);
- 6.2 garantizar que las personas a las que autoricemos a tratarlos estén sujetas a un deber de confidencialidad;
- 6.3 aplicar medidas técnicas y organizativas de seguridad apropiadas (artículo 32 del RGPD — Anexo 2);
- 6.4 respetar las condiciones sobre subencargados (cláusula 8);
- 6.5 ayudarte a responder a las solicitudes de los interesados (cláusula 10);
- 6.6 ayudarte con la seguridad, la notificación de brechas, las evaluaciones de impacto relativas a la protección de datos y la consulta previa (artículos 32 a 36), teniendo en cuenta la naturaleza del tratamiento y la información de la que dispongamos;
- 6.7 suprimir o devolver los Datos Personales de Clientes al terminar el servicio, a tu elección (cláusula 13); y
- 6.8 poner a tu disposición la información necesaria para demostrar que cumplimos, y permitir y contribuir a la realización de auditorías (cláusula 12).
7. Seguridad
Aplicamos y mantenemos las medidas técnicas y organizativas descritas en el Anexo 2, apropiadas al riesgo, para proteger los Datos Personales de Clientes frente a su destrucción, pérdida o alteración accidental o ilícita, y frente a su comunicación o acceso no autorizados.
8. Subencargados
8.1 Tu autorización. Nos das una autorización general para recurrir a los subencargados indicados en el Anexo 3 para ayudarnos a prestar el servicio.
8.2 Nuestra responsabilidad. Imponemos a cada subencargado obligaciones de protección de datos que no son menos protectoras que las de este Contrato de Encargo, y seguimos respondiendo ante ti de lo que hagan.
8.3 Cambios. Antes de incorporar o cambiar un subencargado que trate Datos Personales de Clientes, te avisaremos con al menos 30 días de antelación (por email o en nexo, y en la lista de nuestra Política de privacidad), para que puedas oponerte por motivos razonables de protección de datos. Si no podemos atender una objeción razonable, puedes poner fin al contrato en lo relativo a la parte del servicio afectada.
9. Transferencias internacionales
Cuando los Datos Personales de Clientes se transfieran fuera del Espacio Económico Europeo («EEE») —por ejemplo, a un subencargado con operaciones en Estados Unidos—, aplicamos un mecanismo de transferencia adecuado, como las Cláusulas Contractuales Tipo de la UE («CCT») y/o una decisión de adecuación, junto con las medidas complementarias que sean necesarias tras la sentencia Schrems II. Cuando un subencargado ofrece residencia de datos en la UE, la configuramos (ver Anexo 3).
10. Solicitudes de los interesados
Teniendo en cuenta la naturaleza del tratamiento, te ayudaremos —mediante medidas técnicas y organizativas apropiadas y siempre que sea posible— a cumplir tu obligación de responder a los interesados que ejerzan sus derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un interesado se dirige directamente a nosotros por datos que tratamos por cuenta tuya, te trasladaremos la solicitud y no responderemos nosotros, salvo por instrucción tuya o cuando la ley lo exija.
11. Brechas de datos personales
Si tenemos conocimiento de una brecha de datos personales que afecte a Datos Personales de Clientes, te lo notificaremos sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tengamos conocimiento de ella. La notificación describirá, en la medida de lo posible, la naturaleza de la brecha, sus consecuencias probables, los datos y los interesados afectados, y las medidas adoptadas o propuestas. Te ayudaremos a cumplir tus propias obligaciones de notificación a la AEPD y de comunicación a los interesados.
12. Auditorías
Pondremos a tu disposición la información necesaria para demostrar que cumplimos este Contrato de Encargo, y permitiremos y contribuiremos a la realización de auditorías, incluidas inspecciones, por tu parte o por un auditor que designes —con sujeción a condiciones razonables de preaviso, frecuencia, confidencialidad y costes, y sin comprometer la seguridad ni los datos de otras agencias—. Podemos atender las solicitudes de auditoría aportando certificaciones o informes de terceros cuando los tengamos.
13. Devolución y supresión de tus datos
Cuando termine tu suscripción, o si nos lo pides, a tu elección devolveremos y/o suprimiremos los Datos Personales de Clientes y eliminaremos las copias existentes. En la práctica: tus datos siguen disponibles para que los exportes durante 30 días después de que termine tu suscripción, y después los eliminamos. Conservamos algunos registros durante más tiempo solo cuando la ley lo exige —en particular, los registros de PBC/KYC que la Ley 10/2010 te obliga a conservar—. Qué conservamos, y durante cuánto tiempo, se explica en nuestra página de eliminación de datos. Los datos que conservamos para nuestros propios fines limitados (cláusula 2.4) son siempre agregados o anonimizados.
14. Funciones de IA y tus datos
14.1 Para prestar las funciones de IA que usas —como redactar respuestas, traducir, resumir, sugerir coincidencias y escribir descripciones— enviamos solo el contenido necesario a los proveedores de IA indicados en nuestra Política de privacidad (y en el Anexo 3). Lo tratan por cuenta nuestra, siguiendo nuestras instrucciones, para prestar la función —no para sus propios fines—, y no lo usan para entrenar sus modelos. Lo hacemos como tu encargado, por instrucción tuya, conforme a la cláusula 8.
14.2 No entrenamos modelos con tus datos. No usamos Datos Personales de Clientes identificables para entrenar nuestros propios modelos ni los de nadie más. Para mejorar nexo usamos solo información agregada y anonimizada (cláusula 2.4).
14.3 No se comparten datos entre agencias. No comunicamos los datos de una agencia a otra. Cualquier función futura para compartir inmuebles estará desactivada por defecto, se aplicará solo a tus propios inmuebles si la activas y nunca compartirá los datos personales de tus clientes entre agencias.
15. Quién responde de qué
15.1 Cada parte responde de su propio papel: tú, de tus obligaciones como responsable (incluida la base jurídica de lo que introduces e importas conforme a la cláusula 4.2), y nexo, de sus obligaciones como encargado conforme a este Contrato de Encargo y de sus obligaciones como responsable del tratamiento independiente conforme a la cláusula 2.4.
15.2 Nos mantendrás indemnes frente a las reclamaciones derivadas del incumplimiento de tus obligaciones como responsable, incluida la importación de datos sin base jurídica.
15.3 El límite de responsabilidad y las exclusiones de las Condiciones del servicio se aplican a este Contrato de Encargo. Nada de lo aquí previsto limita la responsabilidad legal de ninguna de las partes frente a los interesados o las autoridades de control que no pueda limitarse por contrato; los papeles conforme al RGPD los determina el tratamiento real, no solo este Contrato de Encargo.
16. Disposiciones generales
- Prelación. Este Contrato de Encargo forma parte de las Condiciones y prevalece sobre ellas en materia de protección de datos; un acuerdo de agencia fundadora o un pedido prevalece en sus puntos específicos.
- Cambios. Podemos actualizar este Contrato de Encargo a medida que cambien nexo y la ley; para los cambios sustanciales avisamos con al menos 30 días de antelación, como en las Condiciones.
- Idioma. Este Contrato de Encargo está disponible en inglés y en español. Si las dos versiones difieren, prevalece la versión en inglés.
- Ley aplicable y tribunales. Este Contrato de Encargo se rige por la ley española. Los juzgados y tribunales de Málaga (España) son competentes.
- Contacto. nexo · Jklausen Holding S.L. · Calle Don Quijote 4, 29639 Benalmádena (Málaga), España · [email protected].
Anexo 1 — Detalles del tratamiento
- Objeto: la prestación del CRM nexo y de los módulos que actives.
- Duración: la duración de la suscripción, más el plazo de exportación y cualquier conservación exigida por la ley.
- Naturaleza y finalidad: almacenar, organizar, recuperar, mostrar, clasificar, enriquecer, buscar coincidencias, traducir y dar soporte a la comunicación en operaciones inmobiliarias.
- Categorías de interesados: tus clientes y potenciales clientes (compradores, vendedores, propietarios, inquilinos), sus representantes, contrapartes, abogados, contactos de la agencia y tus usuarios.
- Tipos de datos personales: datos de contacto e identificativos; documentos de identidad (pasaporte / DNI / NIE); datos financieros y de la operación (justificantes de fondos, documentos hipotecarios, contratos, facturas); registros de PBC / KYC; contenido y metadatos de las comunicaciones importadas de servicios conectados. Las categorías especiales de datos no son una categoría para la que esté diseñado nexo (cláusula 5.2).
Anexo 2 — Medidas de seguridad (artículo 32 del RGPD)
- Aislamiento lógico de los datos de cada espacio de trabajo (separación por agencia).
- Cifrado en tránsito (TLS) y en reposo.
- Controles de acceso y acceso con el mínimo privilegio; inicios de sesión nominativos para los usuarios; obligaciones de confidencialidad para el personal.
- Verificación de la firma de los webhooks entrantes y análisis antimalware de los archivos importados.
- Registros y pistas de auditoría, incluida la procedencia de los documentos (canal de origen, remitente, fecha y hora).
- Copias de seguridad periódicas, resiliencia y procesos de detección de brechas.
Anexo 3 — Subencargados
La lista vigente y de referencia se mantiene en nuestra Política de privacidad; este anexo debe mantenerse coherente con ella.
| Subencargado | Función | Ubicación / residencia de datos | Mecanismo de transferencia |
|---|---|---|---|
| Cloudflare | Almacenamiento de objetos y documentos | Residencia de datos en la UE configurada | Contrato de encargo + CCT de la UE (sede en EE. UU.) |
| Railway | Alojamiento de la aplicación y bases de datos | Región UE | Contrato de encargo + CCT de la UE (sede en EE. UU.) |
| PostHog | Analítica de producto (eventos de uso) para operar, proteger y mejorar el servicio (cláusula 2.4) | Región EU Cloud | CCT de la UE si el tratamiento se realiza fuera del EEE (sede en EE. UU.) |
| Grafana | Observabilidad — métricas, registros y alertas para la disponibilidad y la seguridad (cláusula 2.4) | Región UE | CCT de la UE si el tratamiento se realiza fuera del EEE (sede en EE. UU.) |
| OpenAI | Tratamiento con IA para prestar las funciones de IA (cláusula 14.1) | UE cuando se ofrece | CCT de la UE / adecuación |
| Anthropic | Tratamiento con IA para prestar las funciones de IA (cláusula 14.1) | UE cuando se ofrece | CCT de la UE / adecuación |
| Google Cloud (Model Armor) | Análisis del texto de los emails en busca de instrucciones maliciosas antes de que llegue a las funciones de IA (cláusula 14.1) | Región UE | CCT de la UE si el tratamiento se realiza fuera del EEE (sede en EE. UU.) |
| Resend | Envío de los emails que se mandan desde nexo | Región UE cuando se ofrece | CCT de la UE si el tratamiento se realiza fuera del EEE (sede en EE. UU.) |
| Apple (Apple Push Notification service) | Envío de notificaciones push a la app de nexo en iPhone (el nombre de un cliente y la primera línea de un mensaje) | Red de entrega global | CCT de la UE (sede en EE. UU.) |
| Google Firebase (Firebase Cloud Messaging) | Envío de notificaciones push a la app de nexo en Android (el nombre de un cliente y la primera línea de un mensaje) | Red de entrega global | Marco de Privacidad de Datos UE-EE. UU. / CCT de la UE (sede en EE. UU.) |
| Mapbox y Google Maps | Mapas y búsqueda de direcciones | — | CCT de la UE / adecuación |
Nota sobre analítica y observabilidad: PostHog y Grafana tratan datos para los propios fines de nexo conforme a la cláusula 2.4 (operar, proteger y mejorar el servicio), y no por instrucción tuya; figuran aquí por transparencia. Deberían configurarse para evitar, siempre que sea posible, recibir Datos Personales de Clientes identificables.
Nota sobre los servicios conectados: Google (Gmail / Workspace), Meta (WhatsApp Business) y las redes MLS son servicios que tú eliges y conectas, por lo que no son subencargados de nexo y no figuran en la tabla. Cuando nexo solo accede a ellos por instrucción tuya, actúan como tus encargados, y tu propio contrato con cada uno de ellos regula ese acceso.