Vinculación en la cadena. La referencia canónica a este Acuerdo es el hash keccak256 de este texto publicado exacto en esta versión fija (el termsHash). El Comprador lo acepta al incluir el termsHash al depositar el pago en garantía en el contrato DataMarketplaceEscrow. El Vendedor lo acepta al firmar y enviar el mensaje EIP-712 ConsentDelivery que se compromete con el mismo termsHash.
Operador / plataforma: BUNIN, proporcionado y operado desde España por Konstantin Bunin (N.I.E. Y2703732G), calle Felipe Menendez, 11, 3A, 33206, Gijon, Asturias, España — contacto: support@thebunin.app. BUNIN opera el software del mercado y actúa como Árbitro técnico inicial. BUNIN no es parte de la venta de datos en sí.
1. Partes, edad, capacidad y definiciones
Vendedor / Titular de los datos es la persona física que posee o controla los datos personales y/o médicos ofrecidos en venta y que es el interesado según el RGPD. Comprador es la persona o entidad jurídica que deposita el pago en garantía para adquirir una licencia limitada. Ámbito solicitado es la finalidad precisa, la categoría de datos, el análisis permitido, el territorio, el período de conservación, el tipo de destinatario y las restricciones declaradas por el Comprador y aceptadas por el Vendedor. Ambas partes deben tener al menos 18 años y capacidad legal.
2. Marco jurídico y regulatorio
La transacción puede implicar datos de salud, genéticos u otros datos personales de categoría especial según el artículo 9 del RGPD. El consentimiento del Vendedor debe ser explícito, específico, informado y propio de la transacción. El Comprador debe mantener su propia base jurídica del artículo 6 y la condición del artículo 9 cuando proceda.
BUNIN nunca escribe contenido médico en la cadena. Los registros en la cadena contienen direcciones de cartera, hashes, firmas, marcas de tiempo y metadatos de liquidación, que aún pueden ser datos personales o seudónimos cuando una persona puede ser identificada.
3. Ámbito solicitado (condiciones obligatorias de la transacción)
Cada solicitud de compra debe definir su Ámbito solicitado. Si el ámbito falta, es ambiguo o demasiado amplio, el Vendedor no debería entregar los datos hasta que se aclare.
- Finalidad del tratamiento: la finalidad lícita específica.
- Categoría de datos y minimización: qué es necesario y por qué.
- Resultados permitidos y resultados prohibidos.
- Período de conservación (máximo por defecto: 12 meses desde la liquidación, salvo que se indique un período más corto).
- Territorio de tratamiento y cualquier mecanismo de transferencia del Capítulo V del RGPD.
- Tipo de destinatario, encargados, medidas de seguridad y restricciones especiales.
Antes de la entrega, el Comprador debe proporcionar una declaración de cumplimiento suficiente para que el Vendedor evalúe la licitud de la solicitud concreta, incluyendo como mínimo: (a) base jurídica identificada del artículo 6; (b) condición identificada del artículo 9 cuando haya datos de categoría especial; (c) mecanismo de transferencia cuando se prevea acceso/transferencia fuera del EEE; y (d) confirmación de si se requiere una EIPD y de que se ha completado cuando sea legalmente exigible. Si esta declaración falta, es materialmente incompleta o es incoherente con el Ámbito solicitado, el Vendedor puede negarse a la entrega sin incumplimiento.
4. Derechos concedidos
El Vendedor no transfiere la propiedad ni renuncia a derechos personales. El Comprador recibe una licencia limitada, no exclusiva, intransferible, no sublicenciable y revocable para tratar los Datos concretos únicamente dentro del Ámbito solicitado.
5. Roles del RGPD y obligaciones del comprador
El Comprador actúa como responsable del tratamiento independiente para el tratamiento posterior a la entrega y debe cumplir con el RGPD, las normas de ePrivacy cuando sean pertinentes, la legislación española y de la UE, las normas de transferencia internacional aplicables y cualquier ley local imperativa. El Comprador debe implementar la protección de datos desde el diseño y por defecto, medidas de seguridad, cláusulas de encargado del artículo 28, registros de tratamiento, EIPD cuando sea necesaria y mecanismos válidos de transferencia internacional.
El Comprador también declara que todas las declaraciones de cumplimiento previas a la entrega proporcionadas conforme a la Sección 3 son exactas y completas en todos sus aspectos materiales en el momento de la entrega.
6. Usos prohibidos
El Comprador no debe reidentificar a un interesado, revender o divulgar los Datos, usarlos para seguros, crédito, empleo, vivienda, acceso a la asistencia sanitaria, fines policiales, inmigración, discriminación, elaboración de perfiles ilícita, decisiones automatizadas significativas o uso de IA/modelos, salvo que esté expresamente autorizado en el Ámbito solicitado y sea lícito.
7. Conservación, supresión y derechos del interesado
El Comprador solo puede conservar los Datos durante el período de conservación del ámbito. Al vencimiento, ante una retirada válida, una solicitud de supresión o la terminación de la licencia, el Comprador debe eliminar los Datos, las claves, las copias de trabajo, los registros derivados identificables o seudónimos y las copias de los encargados en un plazo de 30 días, salvo que la ley lo exija estrictamente. El Vendedor conserva los derechos del RGPD, incluidos la retirada, la supresión, la reclamación y la tutela judicial.
8. Transferencias internacionales
Las transferencias o el acceso remoto fuera del EEE requieren un mecanismo válido del Capítulo V del RGPD, como una decisión de adecuación o Cláusulas Contractuales Tipo, además de una evaluación de impacto de la transferencia y medidas complementarias cuando sea necesario.
9. Términos de blockchain y depósito en garantía
El Comprador deposita el precio en garantía en DataMarketplaceEscrow. El Vendedor cifra los Datos, sube o pone a disposición el conjunto de datos cifrado, envuelve la clave de descifrado con la clave pública del Comprador y registra dataCommitment y keyDeliveryCommitment a través del flujo de entrega de consentimiento. El plazo de disputa es de 3 días, salvo que el contrato se actualice o la solicitud indique otro período válido distinto.
Si el Comprador confirma la entrega, o si el plazo vence sin disputa, el pago se libera o queda disponible para reclamar. El Árbitro decide únicamente la cuestión técnica concreta de la entrega válida de la clave para los Datos cifrados comprometidos; no dirime el uso indebido posterior ni el cumplimiento del RGPD.
Para mitigar conflictos de interés, el Árbitro debería documentar la base técnica de cada decisión y conservar las pruebas técnicas pertinentes. Cuando cualquiera de las partes cuestione la imparcialidad, las partes deberían recurrir a un perito independiente mutuamente acordado o a un foro arbitral para revisar la determinación técnica, sin perjuicio de los derechos imperativos ante tribunales o autoridades de control.
9A. Impuestos y obligaciones de reporte
Cada parte es exclusivamente responsable de sus propias obligaciones fiscales, de reporte, de retención y contables derivadas de las transacciones bajo este Acuerdo, salvo que la ley imperativa exija lo contrario.
10. Responsabilidad, recursos y ejecución
Las obligaciones del Comprador relativas al Ámbito solicitado, la seguridad, la supresión, la transferencia y la no utilización indebida son términos materiales. El incumplimiento puede dar derecho al Vendedor a medidas cautelares, supresión, indemnización por daños, recursos legales y compensación según el artículo 82 del RGPD cuando proceda. El Vendedor es un tercero beneficiario previsto y puede exigir directamente el cumplimiento de las obligaciones del Comprador.
BUNIN no es parte de la venta y no es responsable del tratamiento posterior del Comprador. La responsabilidad de BUNIN se limita a operar el software y a la función de Árbitro técnico inicial de buena fe, en la máxima medida permitida por la ley.
11. Ley aplicable y jurisdicción
Este Acuerdo se rige por la legislación española y el Derecho aplicable de la Unión Europea, incluido el RGPD. Sin perjuicio de las protecciones imperativas del consumidor, del interesado, de la parte más débil o de los derechos lingüísticos locales que permitan actuar en otro lugar o exijan salvaguardas adicionales, las partes se someten a los tribunales de Gijón, Asturias, España. Nada limita los derechos de los artículos 77–79 del RGPD.
12. Anexo — plantilla mínima del Ámbito solicitado
Finalidad: [finalidad específica] Categorías de datos solicitadas: [categorías específicas] Resultados permitidos: [análisis interno / resultado agregado no identificable / otro] Uso de IA/modelos: [no permitido salvo que se indique expresamente] Período de conservación: [período máximo, por defecto 12 meses] Territorio de tratamiento: [solo EEE / transferencia a tercer país con mecanismo] Destinatarios/encargados: [categorías nombradas] Medidas de seguridad: [cifrado, controles de acceso, evidencia de supresión] Restricciones especiales: [si las hubiera]