Nublia y el RGPD: por qué no hay contrato de encargo (DPA)

[PENDIENTE DE REVISIÓN JURÍDICA] — este documento contiene la estructura y los epígrafes obligatorios, pero su redacción todavía no ha sido validada por asesoría jurídica. No es un texto vinculante.

Documento para el registro de actividades de tratamiento del cliente

Versión: 2.0 · Fecha: 5 de septiembre de 2026 Emite: BASE64 PLATFORMS SL · NIF B93826063 · Avda Salamanca, 35, Entresuelo — 03005 Alacant/Alicante · https://nublia.es

Si su departamento de cumplimiento le ha pedido “el DPA de Nublia”, este documento lo sustituye. No hay contrato de encargo porque no hay encargo: Nublia se ejecuta en los ordenadores de su despacho, no recibimos sus documentos y no podemos acceder a ellos. Sí somos responsables de los datos de la relación comercial (su correo, su NIF, su facturación), pero eso es otra cosa y va en la Política de Privacidad.

1. El hecho técnico, que es lo que decide

Advertencia previa, y es importante que empiece por aquí: que nosotros declaremos en un documento que no somos encargados no zanja nada. El Comité Europeo de Protección de Datos lo dice expresamente —«las condiciones de un contrato no son decisivas» (Directrices 07/2020, apdo. 27, reproducido literalmente por la AEPD en el Informe del Gabinete Jurídico 0084/2021)— y exige un «análisis caso por caso» (apdo. 82). Lo determinante es el hecho técnico. Por eso este documento empieza por los hechos y no por la declaración, y por eso los hechos son verificables:

1.1. El programa se ejecuta en el equipo del cliente. Lectura del documento, reconocimiento óptico de caracteres, detección, tapado, generación del documento anonimizado y reversión ocurren íntegramente en el ordenador del despacho. No hay servidor nuestro en medio.

1.2. No hay canal de subida de contenido. El programa no realiza ninguna llamada de red para procesar documentos. No sube el documento, ni un extracto, ni un resumen, ni una huella de su contenido. Los ficheros de entrada y de salida no salen del disco del cliente. La única llamada de red del programa instalado es la de validación de la licencia, y la cláusula 2.7 de los Términos enumera de forma cerrada lo que viaja en ella: el identificador de la licencia, la huella técnica del equipo y la versión del programa. Nunca viaja nada de los documentos: ni su contenido, ni sus nombres de fichero, ni cuántas entidades se detectaron.

1.3. No recibimos ni almacenamos nada de los documentos. Ni copia, ni caché, ni registro del contenido. Tampoco los nombres de los ficheros: el contador de páginas que el programa mantiene en el equipo del cliente se niega deliberadamente a anotarlos, porque el nombre de un fichero suele ser un dato personal en sí mismo.

Para que este documento sea exacto: dentro del equipo del cliente el programa sí escribe un registro técnico de errores (%APPDATA%\Nublia\logs\) con nombres de fichero, para diagnosticar fallos. Ese registro se queda en el equipo del despacho, bajo su control, y no llega a nosotros por ninguna vía.

1.4. No tenemos acceso, ni siquiera técnico. No hay puerta trasera, ni acceso remoto de soporte al contenido, ni telemetría sobre documentos. Aunque quisiéramos, no podríamos aportar un documento de un cliente a un requerimiento judicial: no lo tenemos.

1.5. El motor son reglas programadas —patrones, dígitos de control y diccionarios—. No usa inteligencia artificial, ni modelos de lenguaje, ni aprendizaje automático. No hay ningún modelo que “aprenda” de sus documentos, porque no hay ningún modelo.

1.6. Y nos hemos obligado por contrato a que siga siendo así. La cláusula 7.3 de los Términos nos prohíbe recoger información sobre el contenido de los documentos, los nombres de fichero o las entidades detectadas, ni siquiera de forma agregada o anonimizada; y la 7.4 excluye el acceso remoto de soporte al equipo del cliente. Si alguna versión futura fuera a cambiar eso, se diría en este documento y en la Política de Privacidad antes de publicarla. Esa obligación es precisamente lo que impide que el análisis de este documento caduque con la próxima versión.

Evidencia técnica. Este documento se publica acompañado de la evidencia que respalda los puntos 1.1 a 1.5 —arquitectura local, ausencia de canal de subida de contenido y qué viaja exactamente en la llamada de activación de licencia—, para que su DPO no tenga que creernos.

2. Por qué esos hechos significan que no somos encargados

El artículo 4.8 del RGPD define al encargado como quien trata datos personales por cuenta del responsable. El CEPD lo construye sobre dos condiciones acumulativas (Directrices 07/2020, apdo. 76): ser una entidad separada, y tratar datos por cuenta del responsable.

La segunda no concurre aquí:

Apdo. 79: «Processing personal data on the controller’s behalf firstly requires that the separate entity processes personal data for the benefit of the controller.» Si no hay tratamiento por nuestra parte, no hay encargo.
Apdo. 78: si el responsable trata los datos «por sí mismo, con sus propios recursos dentro de su organización», «this is not a processor situation». Es exactamente lo que hace el despacho al ejecutar Nublia en sus equipos.
Apdo. 82: «not every service provider that processes personal data in the course of delivering a service is a “processor” […] where the provided service is not specifically targeted at processing personal data […] the service provider is to be seen as a separate controller and not as a processor.»

Y en español, con firma de la AEPD. El Informe del Gabinete Jurídico 0084/2021 reproduce el criterio literalmente: «no todos los proveedores de servicios que tratan datos personales durante la prestación de un servicio son “encargados” […] El papel de un encargado no se deriva de la naturaleza de una entidad que está tratando datos, sino de sus actividades concretas en un contexto específico».

El ejemplo oficial que encaja. El CEPD ofrece tres (apdo. 83). El del call center con acceso sistemático a la base de datos del cliente: sí es encargado. El del General IT support cuyo acceso a datos es «inevitable y sistemático»: sí es encargado. Y el del consultor informático que arregla un fallo, cuyo acceso a datos es «purely incidental and therefore very limited in practice», del que el CEPD concluye que no es encargado ni responsable. Nuestro caso está por debajo incluso de ese tercero: no hay acceso, ni siquiera incidental.

Conclusión: no tratamos datos personales por su cuenta. Sin tratamiento no hay encargo, y sin encargo no procede el contrato del artículo 28.3 del RGPD.

Honestidad al citar. No existe, o no hemos localizado, un informe de la AEPD que resuelva exactamente el supuesto «software instalado en local sin acceso del fabricante a los datos»: el criterio se construye aplicando las Directrices 07/2020, que la propia AEPD hace suyas. Y la numeración de apartados difiere entre el informe español (81) y la versión final inglesa del CEPD (82); el contenido es idéntico. Preferimos decirlo a citar de más.

3. Qué sí somos: responsables de los datos de la relación comercial

Tratamos en nombre propio, como responsables, los datos que nacen de vendérselo: correo y contacto de la cuenta; razón social, NIF/CIF y domicilio fiscal para facturar; los datos del cobro (gestionados por la pasarela; la tarjeta no la vemos); una huella técnica del equipo para el control de licencia; y el recuento de páginas, sin referencia alguna a su contenido.

Son datos de su empresa y de las personas de su empresa, no de sus clientes. Los datos de los clientes de su despacho no llegan hasta aquí por ninguna vía. El detalle, con base legal y plazos, está en la Política de Privacidad.

4. Qué le corresponde a usted

4.1. Incluir esta actividad en su registro de actividades de tratamiento (art. 30 RGPD). Este documento le sirve de soporte para justificar que no hay encargado.

4.2. Revisar el resultado de cada anonimización antes de usarlo. Nublia no garantiza detectar todos los datos personales de un documento: puede dejar datos sin tapar y tapar cosas que no lo eran. Preste atención especial a los documentos que el propio programa marca con el prefijo _REVISAR_, y revise el informe del lote (_reporte_lote.txt), donde aparecen los documentos No procesados —un PDF con contraseña, un fichero dañado, un PDF de más de 100 MB o un Excel de más de 50 MB—, que no se han anonimizado y siguen intactos en su carpeta.

4.3. Tratar el mapa de reversión como una pieza más del expediente. Está en texto plano, sin cifrar, en la carpeta nublia que el programa crea junto al documento original —los mapas individuales, dentro de nublia/mapas/—: no añade exposición, porque quien puede leer el mapa ya puede leer el original, y su deber de secreto lo cubre igual. Dos reglas prácticas: no lo envíe junto con el documento anonimizado, y no aplique el mapa de un procesado a los documentos de otro —las etiquetas se reasignan en cada ejecución, y usar el mapa equivocado puede reintroducir datos personales erróneos en un escrito sin que nada falle ni avise.

4.4. Responder de las listas que configure —términos a tapar siempre y a no tapar nunca—, incluida la decisión de guardarlas en una carpeta de red, que cambia quién puede leerlas.

4.5. Proteger los equipos donde se ejecuta el programa y donde residen los documentos y los mapas.

4.6. Comprobar a dónde envía el documento anonimizado. Si lo sube a una herramienta de inteligencia artificial en la nube, ese destino es un tratamiento suyo con un tercero, con sus propias obligaciones. Nublia reduce el riesgo de ese paso; no lo sustituye.

5. Si su cliente exige un documento firmado

Podemos firmar una declaración de no tratamiento con este mismo contenido, o revisar el formulario de encargo que su cliente utilice para hacer constar que no procede.

Lo que no vamos a hacer es firmar un contrato de encargo que describa un tratamiento que no existe. Un DPA que dijera que tratamos sus documentos sería falso, y un documento falso en su registro de actividades es peor que no tener documento. Escríbanos a hola@nublia.es indicando qué necesita.

Este documento describe el funcionamiento del producto y la posición de BASE64 PLATFORMS SL. No es asesoramiento jurídico sobre las obligaciones concretas de su despacho.