Contrato de implantación y mantenimiento

En [LUGAR], a [DÍA] de [MES] de 2026.

REUNIDOS

DE UNA PARTE, D. Alberto Lezaun Pérez, mayor de edad, con NIF 72708018G, con domicilio a estos efectos en Santa Pola (Alicante), España, correo electrónico [email protected], actuando en nombre propio (en adelante, «EL PRESTADOR»).

DE OTRA PARTE, [NOMBRE DE LA ORGANIZACIÓN] (en adelante, «EL CLIENTE»), con CIF/NIF [CIF] y domicilio en [DIRECCIÓN], representada por D./Dña. [NOMBRE], con DNI [DNI], en calidad de [CARGO], con facultades suficientes para la firma de este contrato.

Ambas partes se reconocen mutua capacidad legal para contratar y obligarse.

EXPONEN

I. Que EL PRESTADOR se dedica profesionalmente al desarrollo, administración de sistemas y mantenimiento de aplicaciones, y ha desarrollado «Core», un centro de operaciones con inteligencia artificial: un panel privado donde un agente realiza tareas repetitivas (informes, seguimiento, avisos, soporte), mantiene el contexto de la empresa y solicita la confirmación de EL CLIENTE antes de ejecutar acciones sensibles.

II. Que EL CLIENTE desea que EL PRESTADOR instale, configure y mantenga una instancia de Core para su organización, conforme al presupuesto [REFERENCIA PPM-2026-00X / PMM-2026-00X] de fecha [FECHA], que se incorpora como Anexo I.

III. Que, al tratar Core datos personales de EL CLIENTE, las partes formalizan como Anexo III, inseparable de este contrato, la cláusula de encargado del tratamiento exigida por el artículo 28 del RGPD.

Por todo ello, las partes formalizan el presente CONTRATO, que se regirá por las siguientes

CLÁUSULAS

PRIMERA. Objeto

Es objeto de este contrato:
a) La instalación y configuración de una instancia de Core, aislada y exclusiva para EL CLIENTE, en el servidor o equipo que EL CLIENTE designe (cláusula 2.3).
b) El mantenimiento mensual de dicha instancia: vigilancia, actualizaciones, copias de seguridad y soporte técnico, dentro de las horas incluidas.
c) La configuración de las automatizaciones incluidas en el paquete contratado (Anexo I).

SEGUNDA. Alcance

2.1. Instalación (servicio puntual). Instalación del motor de Core, creación del acceso del cliente, conexión con el Telegram propio de EL CLIENTE, configuración de copias de seguridad cifradas, primera supervisión y puesta en producción, y formación inicial según el Anexo I (Base: 1 sesión de 60 minutos; Pro: 3 sesiones de 60 minutos y guía para el equipo).

2.2. Automatizaciones. El paquete incluye las automatizaciones de serie y el número de automatizaciones a medida indicados en el Anexo I. Se entiende por «automatización» una tarea programada o disparada por un evento, con un objetivo y un resultado definidos por escrito entre las partes. Las automatizaciones adicionales se presupuestan aparte o se descuentan de las horas del mantenimiento, a elección de EL CLIENTE.

2.3. Infraestructura. Core se instala en un servidor de EL PRESTADOR ubicado en la Unión Europea, como instancia aislada de EL CLIENTE (usuario de sistema, datos, claves y acceso propios); el coste del servidor está incluido en la cuota. EL CLIENTE accede desde el navegador con usuario, contraseña y segundo factor.

2.4. Fuera de alcance. No están incluidos, salvo pacto escrito: el consumo de inteligencia artificial por uso (cláusula 6); correo corporativo, páginas web y herramientas de terceros; el desarrollo de funcionalidades nuevas en el motor de Core; y la recuperación de datos que EL CLIENTE haya borrado o modificado por su propia decisión.

TERCERA. Precio

3.1. Instalación: [1.200,00 / 2.400,00] € (IVA no incluido), pago único: [50 %] a la firma y [50 %] a la puesta en producción. [En la modalidad anual del Anexo I, la instalación queda bonificada por el pago anual, con carácter firme y no reintegrable.]

3.2. Mantenimiento mensual: [149,00 / 249,00] €/mes (IVA no incluido), durante la permanencia pactada en la cláusula 4.

3.3. Horas adicionales (más allá de las incluidas, cláusula 7): 60,00 €/hora (IVA no incluido).

3.4. Se aplicará el IVA vigente en el momento de cada factura. Los costes de terceros (servidor, IA, Telegram u otros) los paga EL CLIENTE directamente a cada proveedor y no están incluidos en estos importes.

CUARTA. Duración y permanencia

4.1. El mantenimiento se contrata por 12 meses desde la fecha de firma ([FECHA INICIO] a [FECHA FIN]), con permanencia obligatoria durante ese periodo. Transcurrido, se prorroga tácitamente por periodos mensuales; cualquiera de las partes podrá cancelar con 30 días de preaviso, sin permanencia adicional.

4.2. Si la firma se retrasa, el calendario se desplaza en bloque manteniendo la estructura (mes 1 = mes de firma completo).

QUINTA. Facturación y pago

5.1. Las facturas se emiten a final de cada mes. La instalación se factura en los hitos de la cláusula 3.1.
5.2. Concepto de factura: «Implantación y mantenimiento de Core». Destinatario: [EMAIL DE FACTURACIÓN].
5.3. Pago por transferencia bancaria en un máximo de 30 días naturales desde la emisión de la factura.
5.4. El impago de dos facturas consecutivas faculta a EL PRESTADOR a suspender el mantenimiento y las automatizaciones hasta su regularización, con aviso previo de 7 días, sin perjuicio de la cláusula penal.

SEXTA. Inteligencia artificial: clave y cuenta de EL CLIENTE

6.1. Cuenta propia. Core utiliza servicios de inteligencia artificial de terceros (actualmente Anthropic/Claude). La instancia de EL CLIENTE funciona exclusivamente con la cuenta y la clave de acceso (API key) propias de EL CLIENTE, que éste contrata directamente con el proveedor, acepta sus condiciones de uso y paga según consumo. EL CLIENTE la enlaza desde los ajustes de su instancia y puede cambiarla en cualquier momento.

6.2. Nunca la cuenta del Prestador. EL PRESTADOR no utilizará sus propias cuentas, suscripciones ni claves para prestar el servicio a EL CLIENTE, ni le repercutirá ningún consumo de IA como coste propio.

6.3. Custodia de la clave. La clave se guarda únicamente en la instancia de EL CLIENTE, cifrada o con permisos restringidos, y no se incluye en copias que salgan de su infraestructura sin cifrar. EL PRESTADOR accede a ella solo cuando es imprescindible para la instalación o el soporte, y no la copia ni la reutiliza. EL CLIENTE puede revocarla o rotarla en cualquier momento; si lo hace, Core dejará de usar IA hasta que facilite una nueva.

6.4. Control del gasto. Core muestra a EL CLIENTE el consumo de IA (panel «Costes»). Se recomienda fijar en su cuenta del proveedor un límite mensual de gasto; EL PRESTADOR configurará la instancia con topes razonables [de [X] € mensuales, ajustables por EL CLIENTE].

6.5. Dependencia de terceros. Las caídas, cambios de precio, de modelos o de condiciones de uso del proveedor de IA, de Telegram o del servidor, escapan al control de EL PRESTADOR y no son incumplimiento suyo. EL PRESTADOR avisará a EL CLIENTE de los cambios que conozca y le asistirá, dentro de las horas incluidas, en adaptar el sistema.

6.6. Contenido generado por IA. Los textos, resúmenes, decisiones propuestas y cualquier otro resultado generado por IA pueden contener errores. Corresponde a EL CLIENTE revisarlos antes de usarlos o enviarlos a terceros (véase el Anexo II). EL PRESTADOR no responde del contenido generado ni de las decisiones que EL CLIENTE adopte sobre la base del mismo.

SÉPTIMA. Horas incluidas de mantenimiento

7.1. La cuota mensual incluye las horas de soporte y ajustes indicadas en el Anexo I (1 h/mes en paquete Base; 3 h/mes en paquete Pro). Durante el primer mes, los ajustes no consumen horas hasta el tope indicado en el Anexo I.
7.2. Las horas no son acumulables de un mes a otro ni reembolsables si no se consumen.
7.3. Las horas adicionales se facturan a 60,00 €/h, solo previa aceptación por escrito de EL CLIENTE (basta un mensaje por el canal de soporte) con una estimación de horas.
7.4. EL PRESTADOR informará mensualmente de las horas consumidas.
7.5. La vigilancia, las actualizaciones de seguridad y las copias de seguridad automáticas de rutina no consumen horas; sí las consumen los ajustes, cambios de configuración, nuevas automatizaciones y la resolución de incidencias causadas por EL CLIENTE o por terceros.
7.6. Respuesta. Las incidencias se atienden en horario laboral (L-V, [9:00-18:00], salvo festivos) con un objetivo de primera respuesta de 2 días laborables (Base) o 1 día laborable (Pro). No se garantiza un nivel de disponibilidad (SLA) del sistema.

OCTAVA. Acciones sensibles y confirmación de EL CLIENTE

8.1. Core está configurado para que determinadas acciones solo se ejecuten tras la confirmación expresa de EL CLIENTE, en los términos del Anexo II. EL PRESTADOR no desactivará esta confirmación ni ampliará los permisos del agente sin solicitud escrita de EL CLIENTE.
8.2. EL CLIENTE designa como personas autorizadas para confirmar acciones a las indicadas en el Anexo II; responde del uso de sus accesos y de las confirmaciones realizadas desde ellos.
8.3. Core conserva un registro de las acciones realizadas y de las confirmaciones, que EL CLIENTE puede consultar.
8.4. EL CLIENTE dispone de una parada de emergencia que suspende al agente de forma inmediata; EL PRESTADOR lo activará también si detecta un comportamiento anómalo, y lo comunicará.

NOVENA. Protección de datos

9.1. Core puede tratar datos personales que EL CLIENTE gestiona como responsable del tratamiento (clientes, socios, empleados, contactos y los contenidos de sus correos y documentos). EL PRESTADOR actúa como encargado del tratamiento conforme al Anexo III.
9.2. Cada cliente tiene una instancia aislada: servidor, base de datos, usuario y claves propios; no se comparten datos entre clientes.
9.3. Si EL CLIENTE va a tratar con Core datos de categoría especial (salud, ideología, etc.), debe comunicarlo antes de la instalación para valorar con él las medidas reforzadas. Corresponde a EL CLIENTE contar con la base de legitimación, informar a los interesados, mantener su registro de actividades de tratamiento y valorar si necesita DPO y evaluación de impacto.

DÉCIMA. Propiedad intelectual y licencia

10.1. Core (motor, código, plantillas y metodología) es propiedad de EL PRESTADOR, que concede a EL CLIENTE una licencia de uso no exclusiva, intransferible, no sublicenciable, para su instancia, mientras el contrato esté vigente.
10.2. Los datos, documentos, configuraciones propias del negocio y contenidos de EL CLIENTE son y seguirán siendo suyos; a la finalización se le entregan conforme al Anexo III (punto 8).
10.3. EL CLIENTE no podrá copiar, revender, descompilar ni ceder Core a terceros.
10.4. [DECISIÓN ABIERTA: al terminar el contrato, ¿la instancia se desinstala o puede seguir funcionando sin mantenimiento? Propuesta: se desinstala el motor y se entregan los datos y las automatizaciones en formato legible.]

UNDÉCIMA. Confidencialidad

Ambas partes mantendrán la más estricta confidencialidad sobre la información técnica, comercial o de cualquier otra índole a la que accedan con motivo de este contrato, durante su vigencia y [3] años después.

DUODÉCIMA. Responsabilidad

12.1. EL PRESTADOR responde de la prestación diligente del servicio. No responde de daños indirectos, lucro cesante ni pérdida de oportunidades de EL CLIENTE, ni de los causados por proveedores terceros (cláusula 6.5), por contenido generado por IA (6.6), por acciones confirmadas por EL CLIENTE (cláusula 8) o por un uso del sistema contrario a este contrato.
12.2. Salvo dolo o negligencia grave, la responsabilidad total de EL PRESTADOR no excederá del importe facturado a EL CLIENTE en los 12 meses anteriores al hecho.
12.3. Las limitaciones anteriores no afectan a la responsabilidad que sea irrenunciable por ley, ni a las obligaciones del Anexo III en materia de protección de datos.

DECIMOTERCERA. Resolución y cláusula penal por baja anticipada

13.1. El contrato podrá resolverse por mutuo acuerdo o por incumplimiento grave de cualquiera de las partes, con requerimiento previo de 15 días para subsanar.
13.2. Si EL CLIENTE cancela o solicita la baja del mantenimiento antes de completar los 12 meses de permanencia, deberá abonar a EL PRESTADOR, como cláusula penal conforme al artículo 1152 del Código Civil, el importe íntegro de las mensualidades de mantenimiento pendientes hasta completar dicho periodo, sin perjuicio de las cuotas ya devengadas. Las bonificaciones aplicadas (si las hubiera) no se reintegran en ningún caso.
13.3. Si la resolución se debe a un incumplimiento grave de EL PRESTADOR, no se aplicará la cláusula penal.

DECIMOCUARTA. Legislación y jurisdicción

Este contrato se rige por la legislación española. Las partes se someten a los Juzgados y Tribunales de [Alicante], con renuncia a cualquier otro fuero que pudiera corresponderles. [Si EL CLIENTE es consumidor, este fuero no será aplicable.]

DECIMOQUINTA. Notificaciones

EL PRESTADOR: [email protected]. EL CLIENTE: [EMAIL DE FACTURACIÓN] (facturación) y [EMAIL GENERAL] (comunicaciones).

Y en prueba de conformidad, ambas partes firman el presente contrato por duplicado y a un solo efecto, en el lugar y fecha indicados.

EL PRESTADOR — Alberto Lezaun Pérez · EL CLIENTE — [NOMBRE ORGANIZACIÓN], [REPRESENTANTE]

ANEXO I — Paquete contratado y presupuesto

Referencias: [PPM-2026-00X] instalación · [PMM-2026-00X] mantenimiento mensual.

Marcar paquete contratado: [ ] Base [ ] Pro. Automatizaciones acordadas (objetivo y resultado de cada una): [LISTA].

Modalidad de pago. Marcar: [ ] Mensual (instalación en dos pagos, conforme a la cláusula 3.1 y mantenimiento mensual) [ ] Anual (se describe a continuación).

Modalidad anual. EL CLIENTE paga por adelantado doce mensualidades del mantenimiento en un único pago de [1.788,00 / 2.988,00] € (IVA no incluido), es decir, [149 € × 12 en Base / 249 € × 12 en Pro]. Como bonificación por el pago anual, la instalación ([1.200,00 / 2.400,00] €) queda bonificada al 100 %: no se cobra cuota de instalación ni segundo pago a la puesta en producción. La bonificación es firme y no reintegrable. En esta modalidad no existe permanencia: el pago de los doce meses cubre el año y el servicio permanece activo hasta el final del periodo pagado, pero el importe del año pagado no se reembolsa si EL CLIENTE deja el servicio antes de que termine. Por ello, no resultan de aplicación a esta modalidad la permanencia de la cláusula 4 ni la cláusula penal de la cláusula 13.2. Transcurridos los 12 meses, la modalidad anual se renueva automáticamente por periodos de un año al mismo precio y sin cuota de instalación; EL PRESTADOR avisará a EL CLIENTE antes de cada renovación y EL CLIENTE podrá cancelarla en cualquier momento antes de la renovación comunicándolo con al menos 30 días de antelación a la fecha de renovación.

No incluido (coste de EL CLIENTE, directo al proveedor): IA por uso con la clave propia de EL CLIENTE (cláusula 6); cuenta de Telegram; correo corporativo y demás herramientas de terceros; integraciones con programas sin API, webs y funciones nuevas del motor de Core.

ANEXO II — Acciones sensibles y confirmación de EL CLIENTE

1. Principio. El agente de Core puede preparar, proponer y ejecutar tareas internas de forma autónoma. Antes de cualquier acción de la lista siguiente, Core pide confirmación expresa a EL CLIENTE (botón en la Bandeja o en Telegram) y no actúa mientras no la reciba. Si no hay respuesta, la acción no se ejecuta.

2. Acciones que siempre requieren confirmación:

• Enviar mensajes o correos a terceros (clientes, proveedores, empleados u otros).
• Publicar contenido en redes, webs u otros canales.
• Borrar o sobrescribir datos, documentos o configuraciones.
• Comprar, pagar, contratar servicios o realizar cualquier movimiento de dinero.
• Modificar permisos, accesos, claves o la configuración de seguridad.
• Compartir datos personales o documentos fuera de la instancia.
• Cualquier acción que EL CLIENTE marque expresamente como sensible.

3. Acciones que Core puede hacer sin confirmación (internas y reversibles): leer y resumir información de la instancia, generar informes y borradores, ordenar y etiquetar, crear tareas y avisos internos, mostrar costes.

4. Modo cliente acotado. La instancia opera con un conjunto de herramientas limitado, sin acceso a los equipos o cuentas de EL PRESTADOR ni a datos de otros clientes. Ampliar permisos requiere solicitud escrita de EL CLIENTE y queda registrado.

5. Personas autorizadas para confirmar: [NOMBRES, CARGOS] (cualquier cambio de personas se comunica por escrito).

6. Registro y parada. Cada acción y confirmación queda registrada con fecha y usuario. EL CLIENTE puede activar la parada de emergencia en cualquier momento.

7. Responsabilidad. La confirmación de EL CLIENTE traslada a éste la responsabilidad del contenido y de las consecuencias de la acción confirmada (cláusula 12.1).

ANEXO III — Cláusula de encargado del tratamiento de datos personales (art. 28 RGPD)

1. Objeto. EL PRESTADOR («encargado») tratará por cuenta de EL CLIENTE («responsable») los datos personales necesarios para instalar, mantener y dar soporte a la instancia de Core, descrita en el contrato principal.

2. Duración. Mientras dure el contrato, incluidas sus prórrogas, y hasta la devolución o supresión de los datos (punto 8).

3. Naturaleza, finalidad y datos. Alojamiento, almacenamiento, copia de seguridad y soporte técnico de los datos que EL CLIENTE gestione con Core.

• Categorías de interesados: [clientes, socios, empleados, proveedores, contactos de EL CLIENTE].
• Tipos de datos: identificativos, de contacto, y los contenidos de correos, documentos y tareas que EL CLIENTE conecte a Core. [Si procede: datos de categoría especial (art. 9 RGPD): ___ ]. EL CLIENTE no conectará a Core datos que no haya comunicado.

4. Obligaciones del encargado.

1. Tratar los datos únicamente conforme a las instrucciones documentadas de EL CLIENTE y para las finalidades del contrato, sin aplicarlos a fines propios ni comunicarlos a terceros, salvo obligación legal.
2. Garantizar que las personas autorizadas se han comprometido a la confidencialidad.
3. Aplicar las medidas de seguridad del punto 6 (art. 32 RGPD).
4. Subencargados: ver punto 5.
5. Asistir a EL CLIENTE en la respuesta a los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).
6. Notificar a EL CLIENTE, sin dilación indebida y en un máximo de 24 horas desde que tenga constancia, cualquier violación de seguridad de los datos, con la información necesaria para que EL CLIENTE pueda notificar a la AEPD en 72 horas.
7. Poner a disposición de EL CLIENTE la información necesaria para demostrar el cumplimiento y permitir auditorías razonables por parte de EL CLIENTE o un auditor autorizado, con aviso previo razonable y sin acceso a datos de otros clientes.
8. Ayudar a EL CLIENTE en las evaluaciones de impacto y consultas previas que le correspondan.

5. Subencargados y proveedores de EL CLIENTE.
a) Proveedor del servidor: [Hetzner Online GmbH, centro de datos en Alemania/Finlandia — confirmar], contratado por EL PRESTADOR, subencargado autorizado por EL CLIENTE con las mismas obligaciones.
b) Inteligencia artificial (Anthropic) y Telegram: se utilizan con la cuenta propia y bajo las condiciones contratadas directamente por EL CLIENTE con cada proveedor; EL CLIENTE es el responsable que decide su uso. El tratamiento por estos proveedores puede implicar transferencias de datos fuera del Espacio Económico Europeo, amparadas en las garantías que cada proveedor ofrezca (p. ej. cláusulas contractuales tipo). EL CLIENTE declara conocerlo y haber revisado esos términos; EL PRESTADOR le facilitará, dentro de las horas incluidas, la información técnica sobre qué datos se envían a cada proveedor. EL PRESTADOR configurará la instancia para enviar a la IA solo los datos necesarios para cada tarea.
c) Cualquier otro subencargado nuevo o sustitución se notificará por escrito a EL CLIENTE con antelación razonable (mínimo 15 días), que podrá oponerse justificadamente.
d) Fuera de lo anterior, no se realizarán transferencias fuera del EEE sin autorización expresa y previa de EL CLIENTE.

6. Medidas de seguridad.

• Instancia aislada por cliente: servidor, base de datos, usuario y claves propios.
• Cifrado en tránsito (TLS) y cifrado en reposo del disco y de las copias, cuando lo permita el servidor [confirmar con el proveedor antes de la instalación].
• Copias de seguridad automáticas diarias, cifradas y almacenadas de forma independiente, con restauración verificada.
• Control de acceso: usuario y contraseña individuales, sin cuentas compartidas, principio de «necesidad de conocer»; registro de accesos y acciones.
• Modo cliente acotado y confirmación de acciones sensibles (Anexo II); parada de emergencia.
• Actualizaciones de seguridad periódicas y firewall limitado a los puertos necesarios.
• Supervisión de disponibilidad con avisos ante caídas o incidencias.
• Claves de terceros (IA, Telegram) custodiadas en la instancia del cliente (cláusula 6.3 del contrato).

7. Obligaciones de EL CLIENTE. Contar con base de legitimación para los tratamientos; informar a los interesados; mantener su registro de actividades de tratamiento; valorar la necesidad de DPO y EIPD; comunicar al encargado sus instrucciones por escrito; y custodiar sus accesos y su clave de IA.

8. Destino de los datos al finalizar. Al terminar el contrato, EL PRESTADOR, a elección de EL CLIENTE, devolverá los datos (en formato estándar legible) y/o los suprimirá de forma segura, incluidas las copias, en un plazo máximo de [30] días, y lo certificará por escrito, salvo que una norma de la UE o del Estado exija su conservación (en cuyo caso se conservarán bloqueados).

9. Prevalencia. En caso de contradicción en materia de protección de datos entre este Anexo y el contrato principal, prevalece este Anexo. Si EL CLIENTE ya tiene un modelo propio de contrato de encargado, podrá sustituir este Anexo siempre que no sea contradictorio con el contrato principal; este Anexo complementa, y no sustituye, las obligaciones legales.

Firmado por EL RESPONSABLE (EL CLIENTE): __________ · Firmado por EL ENCARGADO (Alberto Lezaun Pérez): __________