Acuerdo de encargado del tratamiento

Exposición de motivos

El Responsable ha encargado al Encargado el tratamiento de datos personales en ejecución del Contrato Principal. El Encargado acepta ese encargo y no tratará los datos para fines propios. El Responsable es el responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD). Las Partes desean dejar constancia de sus derechos y obligaciones recíprocos en relación con el tratamiento de datos personales.

Definiciones

RGPD: Reglamento (UE) 2016/679, tal como se desarrolle en la legislación nacional aplicable. Responsable: la parte que determina los fines y medios del tratamiento (art. 4.7 RGPD), en este acuerdo: el Cliente. Encargado: la parte que trata datos personales por cuenta del Responsable (art. 4.8 RGPD), en este acuerdo: Selva Digital. Subencargado: otro encargado contratado por el Encargado. Interesado: la persona a la que se refieren los datos personales. Violación de la seguridad de los datos personales: una violación de la seguridad en el sentido del art. 4.12 RGPD. Contrato Principal: el contrato o contratos entre las Partes a los que se refiere este acuerdo de encargo. Tratamiento: cualquier operación realizada sobre datos personales en el sentido del art. 4.2 RGPD.

Artículo 1 – Objeto y alcance del tratamiento

1.1 El Encargado trata los datos personales únicamente siguiendo las instrucciones documentadas del Responsable y únicamente en el marco de la ejecución del Contrato Principal.

1.2 El Encargado no tratará los datos personales para ninguna otra finalidad. El Responsable determina los fines y medios del tratamiento e informará al Encargado de las finalidades del tratamiento en la medida en que no estén ya descritas en este acuerdo.

1.3 Categorías de interesados: clientes (potenciales) del Cliente, socios comerciales, empleados, visitantes de la web, destinatarios de la newsletter, usuarios de los entornos de correo electrónico facilitados por el Encargado y otras personas cuyos datos personales se traten a través de los servicios.

1.4 Categorías de datos personales: nombre y datos de contacto, direcciones de correo electrónico, datos de ubicación y de acceso, direcciones IP, datos de cliente y de comunicación, y otras categorías derivadas de los servicios del Contrato Principal.

1.5 Los datos personales tratados por cuenta del Responsable siguen siendo propiedad del Responsable o de los interesados correspondientes.

Artículo 2 – Duración

2.1 Este acuerdo entra en vigor con la celebración del Contrato Principal y se aplica durante toda su vigencia. Termina de pleno derecho cuando termina el Contrato Principal.

2.2 Las modificaciones solo son válidas si se acuerdan por escrito entre las Partes.

2.3 A la terminación, el Encargado, a elección del Responsable, suprimirá o devolverá todos los datos personales, salvo que la ley exija su conservación. Las obligaciones de confidencialidad, responsabilidad y resolución de controversias sobreviven a la terminación.

Artículo 3 – Obligaciones del Encargado

3.1 El Encargado cumple los requisitos aplicables a los encargados conforme al RGPD.

3.2 El Encargado no enriquecerá sus propias bases de datos con datos personales obtenidos del Responsable. Los archivos temporales creados para el correcto tratamiento se eliminan en cuanto dejan de ser necesarios.

3.3 El Encargado seguirá las instrucciones escritas razonables del Responsable sobre el tratamiento, salvo que entren en conflicto con el RGPD u otra normativa aplicable, en cuyo caso el Encargado informará al Responsable sin dilación.

3.4 El Encargado informará al Responsable, cuando este lo solicite, de las medidas que haya adoptado en virtud de este acuerdo.

3.5 Todas las obligaciones del Encargado se aplican también a las personas que traten datos personales bajo su autoridad, incluidos empleados y terceros contratados.

3.6 El Responsable tiene acceso en todo momento a los datos personales almacenados por su cuenta.

Artículo 4 – Subencargados

4.1 El Responsable otorga al Encargado autorización general por escrito para contratar Subencargados. Los Subencargados contratados en el momento de la firma figuran en el anexo 1.

4.2 El Encargado informará al Responsable por escrito (basta el correo electrónico) de cualquier incorporación o sustitución prevista de Subencargados con al menos 30 días de antelación a su puesta en marcha. El Responsable puede oponerse dentro de ese plazo por motivos razonables y fundados. En caso de oposición, las Partes se consultarán para encontrar una solución; si no la hay, el Responsable puede resolver la parte del servicio afectada.

4.3 El Encargado impone a cada Subencargado, mediante acuerdo escrito, obligaciones de protección de datos al menos equivalentes a las de este acuerdo, y sigue siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del Subencargado.

4.4 Cuando el Encargado recurra a proveedores de servicios de inteligencia artificial como Subencargados, el Encargado garantiza que (i) exista un contrato de encargo del tratamiento con el proveedor, (ii) los datos personales facilitados no se utilicen por el proveedor para entrenar sus modelos y (iii) las transferencias fuera del EEE se realicen únicamente conforme al artículo 5.

Artículo 5 – Transferencias internacionales

5.1 El tratamiento se realiza dentro del Espacio Económico Europeo siempre que sea razonablemente posible. Las transferencias a países fuera del EEE solo se producen cuando resulta aplicable un mecanismo de transferencia válido conforme al capítulo V del RGPD: una decisión de adecuación (incluido el EU-US Data Privacy Framework cuando proceda) o Cláusulas Contractuales Tipo con medidas complementarias cuando sean necesarias.

5.2 Los países de tratamiento por Subencargado figuran en el anexo 1. El Encargado mantiene ese anexo actualizado e informa al Responsable de los cambios conforme al artículo 4.2.

Artículo 6 – Seguridad

6.1 El Encargado aplica medidas técnicas y organizativas apropiadas en el sentido del art. 32 RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los interesados.

6.2 El Responsable es responsable de garantizar que las personas que actúan bajo su autoridad accedan a los servicios únicamente conforme a este acuerdo.

Artículo 7 – Violaciones de la seguridad de los datos personales

7.1 El Encargado informará al Responsable de una violación de la seguridad de los datos personales sin dilación indebida y, cuando sea posible, dentro de las 24 horas siguientes a tener conocimiento de ella, indicando al menos: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, un punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas.

7.2 El Responsable es responsable de la eventual notificación a la autoridad de control (en un plazo de 72 horas) y a los interesados. El Encargado prestará una asistencia razonable.

7.3 Ambas Partes llevan un registro de las violaciones de seguridad conforme al art. 33.5 RGPD. El Encargado adoptará a su costa las medidas apropiadas para evitar la repetición de las violaciones producidas en su ámbito.

Artículo 8 – Confidencialidad

El Encargado, sus empleados y los terceros contratados mantendrán la confidencialidad de todos los datos personales y de la información confidencial obtenidos en virtud de este acuerdo, salvo con el consentimiento previo por escrito del Responsable o cuando la divulgación sea exigida por ley. Esta obligación sobrevive a la terminación.

Artículo 9 – Derechos de los interesados

9.1 El Encargado traslada al Responsable las solicitudes de los interesados sin dilación y, en todo caso, dentro de los 7 días laborables siguientes, y presta una colaboración razonable en su tramitación. Los costes razonables corren a cargo del Responsable.

9.2 Esto se aplica a todos los derechos de los interesados del capítulo III del RGPD, incluidos el acceso, la rectificación, la supresión, la limitación, la portabilidad y la oposición.

Artículo 10 – Auditoría

10.1 El Responsable puede hacer verificar el cumplimiento de este acuerdo por un experto independiente, como máximo una vez al año y con un preaviso mínimo de seis semanas, cuando los informes existentes del Encargado no ofrezcan claridad suficiente.

10.2 El Encargado colaborará y facilitará la información pertinente en un plazo de 14 días naturales desde la solicitud. Las conclusiones serán comentadas por las Partes. Los costes de la auditoría corren a cargo del Responsable; los costes de las medidas correctoras se reparten según la responsabilidad.

Artículo 11 – Responsabilidad e indemnización

11.1 El Responsable sigue siendo el responsable último de la licitud del tratamiento y garantiza que sus instrucciones no infringen el RGPD ni derechos de terceros.

11.2 El Encargado solo responde de los daños causados por un tratamiento en el que haya incumplido obligaciones del RGPD dirigidas específicamente a los encargados, o haya actuado al margen o en contra de las instrucciones lícitas del Responsable. La responsabilidad se limita al importe facturado (IVA excluido) de los últimos 12 meses del Contrato Principal. El Encargado no responde de los daños indirectos, incluidos el lucro cesante, el daño consecuencial, los ahorros no obtenidos, la pérdida de reputación y la interrupción de la actividad.

11.3 Cada Parte mantiene indemne a la otra frente a sanciones y reclamaciones en la medida en que el incumplimiento subyacente le sea imputable.

Artículo 12 – Ley aplicable y controversias

12.1 Este acuerdo se rige por la ley española. Las controversias se someterán al tribunal competente del partido judicial en el que el Encargado tenga su domicilio social.

Anexo 1 – Subencargados

Subencargados actuales de Selva Digital.

Subencargado

Finalidad

Ubicación

Mecanismo de transferencia

NextGenWebs SL

Alojamiento web y de correo electrónico

UE (Países Bajos)

n/a (EEE)

Brevo (Sendinblue GmbH)

Email marketing, CRM

UE (Alemania/Francia)

n/a (EEE)

Google Ireland Ltd

Analítica, Workspace, Ads, Gemini (dentro de Workspace)

UE / EE. UU.

DPF / CCT

Anthropic PBC

Contenido y tratamiento de datos asistidos por IA

EE. UU.

DPF / CCT, sin entrenamiento de modelos con datos de clientes

OpenAI Ireland Ltd

Contenido y tratamiento de datos asistidos por IA (espacio de trabajo ChatGPT Business)

EE. UU. (por defecto)

Contrato de encargo + CCT, sin entrenamiento de modelos con datos empresariales

Nota: el software instalado localmente o autoalojado (por ejemplo Apple Mail como cliente de correo, WordPress autoalojado y el plugin de maquetación Elementor) no trata datos personales por cuenta de Selva Digital y por tanto no es un Subencargado; sí lo es el proveedor de alojamiento correspondiente. Las versiones de consumo de herramientas de IA sin contrato de encargo no se utilizan con datos personales y no son Subencargados.