Borrador. Versión 2026-10-14-draft.

Encargo del tratamiento de datos personales: subcontratistas de obra

Esta cláusula se acepta una sola vez, al final de su alta en Kwhiz, y vale para todas las empresas instaladoras con las que trabaje en la plataforma. Aplica el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Quién es quién

1.1. Empresa Instaladora: cada empresa que le vincula como subcontratista en Kwhiz y le asigna obras ("Misiones"). Es responsable del tratamiento de los datos del beneficiario. Si ella actúa por cuenta de un tercero, usted es subencargado con las mismas obligaciones.

1.2. Usted, el subcontratista, es encargado del tratamiento de cada Empresa Instaladora cuya vinculación acepta, solo para las Misiones que le asigne. La relación con cada una nace cuando usted acepta su vinculación y consta por escrito en formato electrónico (art. 28.9 RGPD).

1.3. Kwhiz (sociedad por acciones simplificada francesa, RCS Créteil 103 501 565) aloja los expedientes CAE como encargada de las Empresas Instaladoras y registra esta aceptación por cuenta de ellas. No es parte del encargo. Los datos de su cuenta de usuario los trata Kwhiz según su política de privacidad.

2. Objeto y finalidad

Usted trata los datos solo para ejecutar y documentar la obra asignada (por ejemplo, el aislamiento de un desván): consultar el expediente, concertar la cita, acceder a la vivienda, tomar fotografías y mediciones y comunicarse con la Empresa Instaladora.

3. Datos y personas afectadas

3.1. Personas afectadas: los beneficiarios de las obras (propietarios u ocupantes de la vivienda).

3.2. Datos accesibles:

• nombre del beneficiario, dirección de la obra y referencia catastral;
• teléfono del beneficiario, solo mientras la Misión está abierta;
• datos técnicos de la obra, fecha, franja horaria y notas de la Empresa Instaladora;
• fotografías de la obra (pueden llevar fecha, hora y geolocalización) y mensajes del expediente.

3.3. Usted nunca recibe ni pide datos fiscales o de ingresos, DNI/NIE ni datos bancarios. Si alguno le llega por error, no lo use, avise a la Empresa Instaladora y bórrelo. En las fotografías, evite personas y objetos personales innecesarios.

4. Duración

La cláusula rige mientras su cuenta esté activa. Cada encargo dura desde la asignación de la Misión hasta su cierre, anulación o retirada. La confidencialidad y la supresión subsisten.

5. Instrucciones

5.1. Usted trata los datos solo según las instrucciones documentadas de la Empresa Instaladora: esta cláusula, la Misión y lo que ella indique por escrito o en Kwhiz. Ninguna transferencia fuera del Espacio Económico Europeo sin su autorización escrita.

5.2. Prohibido usarlos para fines propios (ofrecer otros trabajos, cederlos, incorporarlos a sus ficheros). Quien lo hace pasa a ser responsable y responde personalmente (art. 28.10 RGPD, art. 33.2 LOPDGDD).

5.3. Ante el beneficiario, usted se identifica como la empresa que ejecuta la obra por encargo de la Empresa Instaladora.

5.4. Si una instrucción le parece ilegal, o si una ley le obliga a otro tratamiento, avise antes a la Empresa Instaladora, salvo prohibición legal (art. 28.3 RGPD).

6. Confidencialidad

Solo acceden las personas de su empresa que trabajan en la Misión, cada una con su usuario, comprometidas por escrito a la confidencialidad, también tras dejar su empresa (art. 28.3.b RGPD, art. 5 LOPDGDD).

7. Seguridad (art. 32 RGPD)

Como mínimo:

• contraseña personal, nunca compartida, y doble autenticación cuando Kwhiz la ofrezca;
• móviles y ordenadores con bloqueo y actualizados;
• fotografías y documentos compartidos solo en Kwhiz o enviados a la Empresa Instaladora por el canal que ella indique por escrito; nunca en redes sociales ni a terceros;
• copias fuera de Kwhiz (papel, móvil, correo) limitadas a lo imprescindible y protegidas;
• la pérdida o el robo de un dispositivo con datos es una brecha (cláusula 10).

8. Otros subcontratistas

Ninguna otra empresa ni autónomo externo puede acceder a los datos sin autorización previa, específica y escrita de la Empresa Instaladora. Con ella, usted le impone por contrato las mismas obligaciones y sigue respondiendo (art. 28.2 y 28.4 RGPD).

9. Derechos de los beneficiarios

No responda usted a una solicitud de acceso, rectificación, supresión, limitación u oposición: transmítala a la Empresa Instaladora en dos días hábiles como máximo y ayúdela a contestar. Colabore, en lo que le corresponda, en evaluaciones de impacto y consultas previas (art. 28.3.e y f RGPD).

10. Brechas de seguridad

Ante una brecha (datos perdidos, robados, enviados a quien no debía o vistos por terceros), avise por escrito a la Empresa Instaladora sin dilación indebida y como máximo en 24 horas: qué ocurrió, qué datos, cuántas personas, qué medidas tomó. Ella decide la notificación a la AEPD y a los beneficiarios (arts. 33 y 34 RGPD).

11. Fin de la Misión

11.1. Los datos permanecen en Kwhiz bajo el control de la Empresa Instaladora, obligada a conservarlos; usted no los devuelve ni los borra en la plataforma (art. 33.3 LOPDGDD).

11.2. Usted borra toda copia fuera de Kwhiz en 30 días desde el cierre y lo confirma por escrito si se le pide.

11.3. Solo conserva, bloqueado, lo necesario para responder de su relación con la Empresa Instaladora (por ejemplo, su factura), mientras puedan derivarse responsabilidades (art. 33.4 LOPDGDD).

12. Auditoría y registro

Usted facilita a la Empresa Instaladora la información que demuestra su cumplimiento y permite auditorías por ella o por un auditor designado, con preaviso razonable (art. 28.3.h RGPD). Kwhiz registra las acciones sobre cada expediente. Usted lleva su registro de actividades como encargado (art. 30.2 RGPD, art. 31 LOPDGDD).

13. Responsabilidad y prevalencia

Usted responde de los daños causados por incumplir esta cláusula o el RGPD (art. 82 RGPD). Un contrato de encargo firmado aparte con una Empresa Instaladora conforme al art. 28.3 RGPD prevalece para sus Misiones.

14. Aceptación

Al pulsar "Acepto", usted declara tener poder para obligar a su empresa. Kwhiz registra el usuario, la fecha y hora y la versión aceptada. Toda nueva versión requerirá una nueva aceptación expresa.