Contrato de encargo del tratamiento (contrato de encargo)

Actualizado: mayo 2026 · Encargo de tratamiento art. 28 RGPD

Al usar Rentprime para tus inquilinos, tratas datos personales de terceros como responsable según el RGPD. Se requiere contrato escrito de encargo (art. 28 RGPD).

Partes contratantes

Responsable: El cliente (tú como usuario de Rentprime)
Encargado del tratamiento: KRUPKA Concept GmbH, Monheim am Rhein

Objeto y duración

El encargado trata los datos de los inquilinos solo en el marco de la prestación del Software. El tratamiento dura mientras dure la relación.

Tipo y finalidad del tratamiento

Recogida, almacenamiento, tratamiento y puesta a disposición de datos de inquilinos para liquidaciones, contratos, requerimientos, comunicación, otras prestaciones contractuales.

Categorías de personas afectadas

• Inquilinos del responsable
• Apoderados y familiares
• Kontaktpersonen (Hausmeister, Handwerker etc.)

Categorías de datos personales

• Stammdaten (Name, Anschrift, Geburtsdatum, Familienstand)
• Datos de contacto (teléfono, correo electrónico)
• Datos contractuales (renta, inicio/fin del contrato)
• Datos bancarios (IBAN para SEPA)
• Datos de consumo (calefacción, agua, electricidad)
• Kommunikationsdaten (E-Mails, Anrufnotizen)

Medidas técnicas y organizativas (MTO)

El encargado adopta las siguientes medidas técnicas y organizativas de seguridad (art. 32 RGPD):

• Pseudonimización y cifrado de datos personales (AES-256, TLS 1.3)
• Control de acceso mediante contraseñas robustas, opcionalmente 2FA
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)
• Copias diarias cifradas con retención 30 días
• Capacidad de restaurar los datos personales en caso de incidentes físicos o técnicos (Art. 32 ap. 1 lit. c RGPD)
• Verificación periódica de la eficacia de las medidas técnicas y organizativas (Art. 32 ap. 1 lit. d RGPD)
• Compromiso de los empleados con la confidencialidad de los datos
• Protokollierung sicherheitsrelevanter Ereignisse

Subencargados

El encargado del tratamiento está autorizado a recurrir a otros encargados (subencargados). El responsable otorga a tal efecto su autorización general. El encargado informa con antelación al responsable de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados y le concede un derecho de oposición. Una lista completa y actualizada se pone a disposición previa solicitud. Subencargados actualmente empleados:

Los transfer impact assessments (TIA) para los encargados del tratamiento en terceros países (Anthropic, Google, Stripe) conforme a la Recomendación 01/2020 del CEPD se transmiten previa solicitud.

• Vercel Inc., USA — Frontend- und Serverless-Function-Hosting; Compute in Frankfurt (fra1). Drittlandmechanismus: DPF + SCC.
• Fly, Inc., USA — Betrieb der Anwendungs-API api.rentprime.de; Compute in Frankfurt (fra). Drittlandmechanismus: SCC (kein DPF).
• Supabase Inc., USA — Anwendungs-Datenbank in der EU-Region Stockholm (eu-north-1, Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc., USA — CDN, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung — Konzernanbindung an Stripe, Inc. USA; DPF + SCC).
• Brevo (Sendinblue SAS), Paris, Frankreich — Newsletter- und Lead-Formular-Verwaltung; Verarbeitung innerhalb der EU (kein Drittland).
• Resend, Inc., USA — Transaktions-Mail-Versand. Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., USA — SMS-/WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — KI-Funktionen Lou-Chat/Vertrags-Check. Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — Beleg-/OCR-Erkennung (Claude Vision). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma — Bank-Sync nach PSD2 (nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).

Para todos los encargados del tratamiento establecidos en los USA (Vercel, Fly, Supabase, Cloudflare, Resend, Postmark, Twilio, Anthropic, Google) así como para el encargado del tratamiento de pagos irlandés Stripe (sociedad matriz en los USA) tiene lugar una transferencia a un tercer país hacia los USA. Esta está protegida por el EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea de 10.07.2023) y/o por las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD) así como por medidas complementarias (cifrado en tránsito y at rest, minimización de PII, zero retention/sin entrenamiento garantizado contractualmente con los proveedores de IA). Fly, Inc. no está incluida en el DPF; la transferencia se realiza aquí exclusivamente sobre la base de las SCC.

Derechos y obligaciones

El encargado del tratamiento trata los datos exclusivamente siguiendo instrucciones documentadas del responsable. Asiste al responsable en el cumplimiento de sus obligaciones conforme a los art. 32–36 RGPD, así como en la atención de las solicitudes de los interesados — incluidos los inquilinos del responsable — que ejerzan sus derechos (art. 12–22 RGPD).

Notificación de violaciones de datos: El encargado del tratamiento notifica al responsable cualquier violación de la seguridad de los datos personales sin dilación indebida tras tener conocimiento de ella, a fin de permitir al responsable la notificación dentro del plazo del art. 33 RGPD (en un plazo de 72 horas), y le asiste en la comunicación a los interesados conforme al art. 34 RGPD.

Derechos de control y auditoría (art. 28 ap. 3 letra h RGPD): El encargado del tratamiento pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permite y contribuye a la realización de auditorías — incluidas inspecciones — por parte del responsable o de otro auditor encargado por este.

Supresión y devolución (art. 28 ap. 3 letra g RGPD): Una vez finalizada la prestación de los servicios de tratamiento, el encargado, a elección del responsable, suprime o devuelve todos los datos personales y suprime las copias existentes, salvo que una obligación legal de conservación lo impida.

Celebración del contrato de encargo del tratamiento

La versión completa firmada del contrato de encargo de tratamiento se enviará a petición informal por correo a contact@rentprime.de enviado en 24 horas en días laborables. El contrato se celebra en forma electrónica (DocuSign o firma electrónica cualificada).