Contrato de encargo de tratamiento

Partes

• Responsable del tratamiento: [NOMBRE DE LA ORGANIZACION CLIENTE], con domicilio en [LOCALIDAD], número de la Cámara de Comercio [NUMERO DE CAMARA DE COMERCIO] (el «Responsable»).
• Encargado del tratamiento: Mega Software, con domicilio en La Haya, número de la Cámara de Comercio 94577056 (el «Encargado»).

Artículo 1: Definiciones

• RGPD: Reglamento General de Protección de Datos.
• Datos personales: toda información sobre una persona física identificada o identificable que se trate en el marco de este Contrato.
• Tratamiento: cualquier operación relativa a Datos personales, como recoger, almacenar, consultar y suprimir.
• Subencargado: un tercero al que el Encargado recurre para realizar (una parte de) el Tratamiento.

Artículo 2: Objeto y duración

El Encargado trata Datos personales únicamente por cuenta y siguiendo instrucciones del Responsable, en el marco del uso de TelMaar. Este Contrato tiene la misma vigencia que el contrato principal y finaliza de pleno derecho con la terminación de este, sin perjuicio de las disposiciones que, por su naturaleza, siguen vigentes tras la terminación (entre ellas el artículo 10 sobre devolución y supresión).

Artículo 3: Naturaleza y finalidad del tratamiento

El Tratamiento comprende almacenar, gestionar y tratar Datos personales de las relaciones (clientes, proveedores y sus personas de contacto) del Responsable, con fines de administración financiera, facturación y gestión de la relación con el cliente, según se describe con más detalle en la declaración de privacidad del Responsable. Las categorías de interesados y de Datos personales coinciden con los artículos 2 y 4 de dicha declaración.

Artículo 4: Obligaciones del Encargado

• El Encargado trata Datos personales únicamente sobre la base de instrucciones escritas del Responsable, salvo que una obligación legal exija otra cosa.
• El Encargado garantiza que las personas autorizadas para tratar Datos personales se hayan comprometido a la confidencialidad.
• El Encargado presta una colaboración razonable ante las solicitudes de acceso, rectificación o supresión de los interesados, dentro de los límites del deber legal de conservación.
• El Encargado informa al Responsable sin demora si, a su juicio, una instrucción infringe la legislación aplicable.
• El Encargado no utiliza los Datos personales para entrenar o mejorar modelos propios ni de terceros, e impone esa misma obligación a los Subencargados a los que recurre.

Artículo 5: Medidas de seguridad

El Encargado adopta medidas técnicas y organizativas adecuadas, entre ellas:

• Cifrado de los datos en tránsito mediante TLS 1.3.
• Cifrado de los datos en reposo mediante AES-256, con cifrado de sobre adicional (una clave de cifrado de datos por organización, cifrada con una clave maestra) para las credenciales de los proveedores de pago y otros campos especialmente sensibles.
• Control de acceso basado en roles (RBAC) y seguridad a nivel de fila (Row Level Security) en la base de datos, de modo que los datos de una organización nunca sean accesibles para otra.
• Autenticación de dos factores (2FA) obligatoria para los usuarios con acceso de escritura a datos financieros.
• Un registro de auditoría de solo adición de los cambios en los datos financieros, con hora, dirección IP y usuario.
• Copias de seguridad periódicas y cifradas, conservadas al menos 7 días y como máximo 30 días, de modo que no quede ninguna copia tras una supresión conforme al artículo 10.

Artículo 6: Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes Subencargados: Supabase (base de datos, autenticación, almacenamiento), Vercel (alojamiento), Resend (correo electrónico), Stripe y Mollie (tratamiento de pagos), Cloudflare (seguridad y entrega de contenido) y Anthropic (tratamiento de las preguntas y documentos que el Responsable envía mediante el asistente). El asistente solo está disponible para usuarios con un rol financiero y trata únicamente lo que el propio usuario envía; los datos enviados no se utilizan para entrenar modelos. El Encargado impone a cada Subencargado obligaciones comparables a las de este Contrato e informa al Responsable de cualquier cambio en esta lista, con posibilidad de oposición.

Artículo 7: Transferencias fuera del EEE

El Tratamiento tiene lugar, en principio, dentro del Espacio Económico Europeo. En la medida en que un Subencargado trate Datos personales fuera del EEE, ello se produce únicamente sobre la base de una decisión de adecuación de la Comisión Europea o de las cláusulas contractuales tipo (CCT) de la Comisión Europea, complementadas con medidas adicionales adecuadas como el cifrado de los datos en tránsito y en reposo. A petición, el Encargado facilita al Responsable información sobre la base de transferencia aplicable a cada Subencargado.

Artículo 8: Brechas de datos y plazo de notificación

El Encargado notifica al Responsable cualquier violación de la seguridad de los Datos personales constatada sin dilación indebida y, a más tardar, en un plazo de 48 horas desde su descubrimiento, de modo que este pueda cumplir a tiempo su propio deber de notificación (en un plazo de 72 horas) ante la autoridad neerlandesa de protección de datos. La notificación incluye al menos la naturaleza de la violación, las categorías y el número de interesados afectados y las medidas adoptadas o propuestas.

Artículo 9: Auditorías

El Responsable tiene derecho, previa notificación por escrito con un plazo razonable de al menos cuatro semanas, a que se realicen auditorías sobre el cumplimiento de este Contrato, o a ser informado mediante un informe de un tercero independiente facilitado por el Encargado. Los costes de una auditoría realizada por el Responsable corren a su cargo, salvo que se constaten incumplimientos.

Artículo 10: Devolución y supresión tras la terminación

A la terminación del contrato principal, el Encargado pone a disposición, a petición del Responsable, todos los Datos personales en un formato de exportación habitual y, a continuación, suprime todos los Datos personales, salvo aquellos que deban conservarse en virtud de un deber legal de conservación (entre ellos el deber fiscal de siete años). La supresión se realiza en un plazo de 30 días desde la solicitud.

Artículo 11: Responsabilidad

La responsabilidad de las partes en virtud de este Contrato se rige por el contrato principal entre las partes, en concreto el artículo 11 de las condiciones generales.

Artículo 12: Legislación aplicable

Este Contrato se rige por el Derecho neerlandés. Los litigios se someten al tribunal competente del distrito de La Haya, salvo que el Derecho imperativo disponga otra cosa.

Firma

Así acordado y firmado por ambas partes: