Encargo de tratamiento (DPA)

ACUERDO DE ENCARGO DE TRATAMIENTO (DPA, art. 28 RGPD) — [PLANTILLA ORIENTATIVA: revisar con asesor legal]

Entre el Cliente (Responsable del tratamiento) y [RAZÓN SOCIAL] (Encargado).
1. Objeto y duración: tratamiento de los datos personales contenidos en la información que el Cliente aloje en la plataforma, durante la vigencia del servicio.
2. Naturaleza y finalidad: alojamiento, organización, conservación y puesta a disposición para la gestión de impacto y sostenibilidad del Cliente.
3. Tipos de datos e interesados: los que el Cliente incorpore (típicamente identificativos y profesionales de empleados y contactos).
4. Obligaciones del Encargado: tratar los datos solo según instrucciones documentadas del Cliente; garantizar confidencialidad del personal autorizado; aplicar medidas técnicas y organizativas apropiadas (control de acceso por roles, cifrado de credenciales, registro de actividad, copias de seguridad); asistir al Responsable en la atención de derechos y en las obligaciones de seguridad y notificación de brechas sin dilación indebida; poner a disposición la información necesaria para demostrar cumplimiento y permitir auditorías razonables.
5. Subencargados autorizados: proveedor de alojamiento [HOSTING] y proveedor de correo. Al proveedor de sellado temporal únicamente se remiten huellas criptográficas (hashes), que no constituyen datos personales. Cambios de subencargados se comunicarán con antelación razonable.
6. Transferencias internacionales: no se realizan salvo garantías adecuadas del RGPD.
7. Fin del servicio: a elección del Cliente, devolución o supresión de los datos, sin perjuicio de la conservación de huellas de integridad como prueba.
8. Responsabilidad: cada parte responde de sus obligaciones conforme al RGPD y la LOPDGDD.