Contrato de encargado del tratamiento

Versión 1 · 15 de octubre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Este contrato forma parte del servicio de Nokoko. Se acepta al contratar o al empezar la prueba, y se aplica mientras la empresa use Nokoko. Si tu empresa necesita una copia firmada, escríbenos a hola@nokoko.es.

1. Partes

Responsable del tratamiento: la empresa cliente que contrata Nokoko («la empresa»).
Encargado del tratamiento: Romeo Silva Aguilar, que presta el servicio con el nombre comercial Nokoko. Málaga, España. hola@nokoko.es («Nokoko»).

2. Objeto, duración y finalidad

Nokoko trata datos personales por cuenta de la empresa solo para darle el servicio: aprender cómo trabaja su oficina, preparar y hacer el trabajo que la empresa autoriza (correos, WhatsApp, Instagram y programas que la empresa conecte), avisar al responsable y mostrarle su panel. Dura lo que dure el servicio y, después, el tiempo necesario para devolver y borrar los datos (punto 9).

3. Datos y personas afectadas

Personas	Datos
Clientes y contactos de la empresa	Nombre, teléfono, correo, usuario de Instagram y el contenido de los mensajes que intercambian con la empresa
Empleados de la empresa	Nombre, puesto y lo que hacen en el ordenador de trabajo durante el horario laboral, con aviso previo y con los datos personales tapados antes de guardarse
Responsable de la empresa	Nombre, móvil y correo

Nokoko no necesita categorías especiales de datos (salud, ideología, etc.). Si aparecen en el trabajo de la empresa, se tratan con las mismas medidas y no se usan para nada más.

4. Instrucciones de la empresa

Nokoko solo trata los datos siguiendo las instrucciones documentadas de la empresa: lo que configura en su panel y lo que aprueba. Nada sale en nombre de la empresa sin su visto bueno hasta que ella activa el modo automático para una tarea. Si Nokoko cree que una instrucción va contra el RGPD, avisa a la empresa.

5. Confidencialidad

Las personas que trabajan en Nokoko con acceso a los datos están obligadas a guardar secreto, también cuando dejan de trabajar en Nokoko.

6. Medidas de seguridad

Datos de cada empresa separados por su código: una empresa nunca ve los datos de otra (se comprueba con una prueba automática antes de cada publicación).
Comunicación cifrada (HTTPS) entre los ordenadores, el panel y los servidores. Cada ordenador tiene su propia credencial; los permisos de correo solo se guardan en servidores de Nokoko mientras pasan al ordenador (7 días como máximo).
Las imágenes y lecturas del aprendiz se quedan en el ordenador de la empresa, con los datos personales tapados, y se borran a los 7 días.
Acceso de administración con clave, registro de accesos y bloqueo tras intentos fallidos.
Las conversaciones de WhatsApp e Instagram que guarda el servidor se borran solas tras 90 días sin mensajes.

7. Subencargados

La empresa autoriza a Nokoko a usar estos proveedores, con contratos que les imponen las mismas obligaciones de protección de datos:

Proveedor	Para qué
Cloudflare	Alojamiento de la web y de los servidores de Nokoko; Workers AI para decisiones rápidas
Anthropic	Inteligencia artificial principal (API; no usa los datos para entrenar)
OpenAI	Inteligencia artificial de reserva, solo si Anthropic no está disponible (API; no usa los datos para entrenar)
Kapso y Meta	WhatsApp e Instagram, si la empresa los conecta
Google y Microsoft	Correo, si la empresa lo conecta

Algunos de estos proveedores pueden tratar datos fuera del Espacio Económico Europeo; en ese caso, con las salvaguardas del capítulo V del RGPD (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.). Nokoko avisará a la empresa por correo con 15 días de antelación antes de añadir o cambiar un subencargado, y la empresa podrá oponerse dándose de baja sin coste.

8. Ayuda a la empresa

Derechos de las personas: si un cliente o empleado de la empresa pide acceso, rectificación, supresión, oposición, limitación o portabilidad, Nokoko ayuda a la empresa a atenderlo y, si la petición le llega a Nokoko, se la pasa a la empresa sin demora.
Brechas de seguridad: Nokoko avisa a la empresa sin dilación indebida y en un máximo de 48 horas desde que la conoce, con lo que sepa en ese momento, para que la empresa pueda notificarla en plazo.
Evaluaciones de impacto y consultas a la autoridad: Nokoko da la información que tenga y haga falta.

9. Fin del servicio: devolución y borrado

Cuando la empresa deja el servicio o lo pide, Nokoko borra todos sus datos de sus servidores en un plazo de 30 días y le envía un certificado de borrado. Si la empresa quiere una copia antes (su manual y su expediente), la pide a hola@nokoko.es. En los ordenadores de la empresa solo queda lo que la propia empresa guarde; para quitar Nokoko basta con desinstalarlo desde Windows.

10. Auditoría

Nokoko pone a disposición de la empresa la información necesaria para demostrar que cumple este contrato y permite auditorías razonables, con aviso de 30 días, en horario laboral y sin acceso a datos de otras empresas.

11. Varios

Este contrato se rige por el RGPD y la Ley Orgánica 3/2018 (LOPDGDD). Lo que no diga se rige por las condiciones del servicio y la política de privacidad.

Data processing agreement

Version 1 · October 15, 2026 · Article 28 of the GDPR (Regulation (EU) 2016/679)

This agreement is part of the Nokoko service. It is accepted when you sign up or start your first month, and applies while your company uses Nokoko. If you need a signed copy, email hola@nokoko.es.

1. Parties

Controller: the customer company that uses Nokoko (“the company”).
Processor: Romeo Silva Aguilar, trading as Nokoko. Málaga, Spain. hola@nokoko.es (“Nokoko”).

2. Subject, duration and purpose

Nokoko processes personal data on the company’s behalf only to provide the service: learning how its office works, preparing and doing the work the company approves (email, WhatsApp, Instagram and any software the company connects), alerting the owner and showing the dashboard. It lasts as long as the service, plus the time needed to return and delete the data (section 9).

3. Data and data subjects

People	Data
The company’s customers and contacts	Name, phone, email, Instagram handle and the content of their messages with the company
The company’s employees	Name, role and what they do on their work computer during working hours, with prior notice and with personal data masked before anything is stored
The company’s owner	Name, mobile number and email

Nokoko does not need special categories of data. If they appear in the company’s work, they get the same protection and are used for nothing else.

4. The company’s instructions

Nokoko only processes data on the company’s documented instructions: its dashboard settings and what it approves. Nothing is sent on the company’s behalf without its OK until the company turns on automatic mode for a task. If Nokoko believes an instruction breaks the GDPR, it tells the company.

5. Confidentiality

Everyone at Nokoko with access to the data is bound by confidentiality, also after they stop working with Nokoko.

6. Security measures

Each company’s data is kept separate by its code: one company never sees another’s data (checked by an automated test before every release).
Encrypted connections (HTTPS) between computers, dashboard and servers. Each computer has its own credential; email permissions are only stored on Nokoko’s servers while they are handed to the computer (7 days at most).
The assistant’s screenshots and readings stay on the company’s computer, with personal data masked, and are deleted after 7 days.
Admin access with a password, access logging and lockout after failed attempts.
WhatsApp and Instagram conversations kept on the server are deleted automatically after 90 days without messages.

7. Sub-processors

The company authorizes Nokoko to use these providers, under contracts with the same data protection obligations: Cloudflare (hosting, Workers AI), Anthropic (main AI, API, no training on the data), OpenAI (backup AI only if Anthropic is unavailable, API, no training), Kapso and Meta (WhatsApp and Instagram, if connected), Google and Microsoft (email, if connected). Some may process data outside the EEA under GDPR Chapter V safeguards (standard contractual clauses or the EU-US Data Privacy Framework). Nokoko will email the company 15 days before adding or replacing a sub-processor; the company may object by cancelling at no cost.

8. Assistance

Data subject requests: Nokoko helps the company answer them and forwards any request it receives without delay.
Security breaches: Nokoko notifies the company without undue delay and within 48 hours of becoming aware, with the information available at that time.
Impact assessments and prior consultations: Nokoko provides the information it has and is needed.

9. End of service: return and deletion

When the company leaves or asks for it, Nokoko deletes all its data from its servers within 30 days and sends a deletion certificate. If the company wants a copy first (its manual and records), it asks at hola@nokoko.es. Only what the company itself keeps stays on its computers; uninstalling Nokoko from Windows removes it.

10. Audits

Nokoko makes available the information needed to show compliance and allows reasonable audits with 30 days’ notice, during business hours and without access to other customers’ data.

11. Other

This agreement is governed by the GDPR and Spanish Organic Law 3/2018. Anything not covered here follows the terms of service and the privacy policy.