Contrato de Encargado del Tratamiento (DPA)

Exposición

I. Que el Cliente, en su condición de responsable del tratamiento de determinados datos personales, ha contratado con AuriPro un servicio SaaS para la gestión del Libro-Registro de objetos de metales preciosos y herramientas conexas.

II. Que la prestación del servicio implica que AuriPro trate datos personales por cuenta del Cliente, lo que exige la firma del presente contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

III. Que ambas partes reconocen la importancia de garantizar los derechos y libertades de los interesados y la seguridad de los datos tratados.

Cláusulas

1. Partes

Responsable del tratamiento: el Cliente contratante del servicio, identificado en el proceso de alta. En adelante, "el Responsable".

Encargado del tratamiento: Manuel Jurado Reula, NIF 20911817X, Calle Quebrantahuesos N3 1B (España). Contacto: privacy@auripro.es. En adelante, "el Encargado" o "AuriPro".

2. Objeto y ámbito

El Encargado tratará, por cuenta del Responsable, los datos personales introducidos por éste en la plataforma AuriPro con el fin exclusivo de prestar los servicios contratados, descritos en los Términos y Condiciones.

3. Categorías de interesados y datos (Anexo I)

Las categorías de interesados y de datos personales tratados se detallan en el Anexo I de este documento.

4. Duración

El encargo comienza con la aceptación del presente contrato y se extingue con la terminación del contrato principal de servicio. Finalizado el encargo, el Encargado devolverá o eliminará los datos conforme al apartado 11.

5. Obligaciones del Encargado

1. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo obligación legal directa que imponga otra cosa, supuesto en el que informará al Responsable antes del tratamiento salvo que una norma lo prohíba por interés público.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente.
3. Aplicar todas las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 RGPD y al Anexo II de este documento.
4. No subcontratar tratamientos sin autorización previa del Responsable. La relación de sub-encargados autorizados figura en el Anexo III y en la página pública sub-processors.html; cualquier modificación se comunicará con 30 días de antelación, salvo supuestos de urgencia por seguridad.
5. Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, mediante las medidas técnicas y organizativas apropiadas para atender las solicitudes de ejercicio de derechos de los interesados (art. 15 a 22 RGPD).
6. Ayudar al Responsable a cumplir sus obligaciones en materia de seguridad, notificación de brechas (art. 33-34), evaluación de impacto (art. 35) y consulta previa (art. 36).
7. Notificar al Responsable, en el plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que afecte a los datos objeto del encargo, facilitando la información necesaria para que el Responsable pueda, a su vez, notificar a la AEPD dentro de las 72 horas del art. 33 RGPD.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del presente contrato, permitiendo y contribuyendo a auditorías razonables realizadas por el Responsable o un auditor autorizado.
9. Cumplir la obligación de confidencialidad durante y después de la relación contractual.

6. Obligaciones del Responsable

1. Entregar al Encargado únicamente los datos estrictamente necesarios para la prestación del servicio, respetando el principio de minimización.
2. Asegurarse de contar con base jurídica válida para los tratamientos que encarga.
3. Informar a los interesados conforme a los artículos 13 y 14 RGPD. AuriPro proporciona la cláusula informativa como plantilla de apoyo, sin que ello sustituya la responsabilidad del Responsable en su entrega.
4. Velar por el uso seguro de las credenciales de acceso y activar la verificación en dos pasos para los usuarios con permisos administrativos.
5. No introducir categorías especiales de datos (art. 9 RGPD) más allá de las estrictamente necesarias para el Libro-Registro.

7. Sub-encargados

El Responsable autoriza al Encargado a contratar sub-encargados del tratamiento para la prestación del servicio, siempre que éstos queden sometidos a obligaciones al menos equivalentes a las del presente contrato. El listado autorizado figura en el Anexo III y en sub-processors.html. El Encargado será plenamente responsable frente al Responsable del cumplimiento por parte de los sub-encargados.

8. Transferencias internacionales

Los tratamientos se realizan exclusivamente en territorio español. Las copias de seguridad se almacenan cifradas en infraestructura ubicada en España. No se realizan transferencias a países fuera del Espacio Económico Europeo. Cualquier cambio futuro requerirá cláusulas contractuales tipo o garantías equivalentes y notificación previa al Responsable.

9. Derechos de los interesados

Cuando el Encargado reciba directamente una solicitud de ejercicio de derechos relativa a datos del encargo, la trasladará al Responsable en un plazo máximo de 72 horas, salvo que la solicitud haya sido derivada previamente por el propio Responsable.

10. Brechas de seguridad

El Encargado notificará al Responsable cualquier brecha de seguridad mediante correo electrónico al contacto administrativo registrado, con la información exigida por el artículo 33.3 RGPD: naturaleza de la brecha, categorías y número aproximado de interesados, consecuencias probables y medidas adoptadas o propuestas. Cuando no sea posible facilitar toda la información en ese primer plazo, se remitirá de forma escalonada sin dilación adicional.

11. Terminación

A la finalización del encargo, y a elección del Responsable, el Encargado devolverá al Responsable los datos personales tratados (mediante export) y/o los suprimirá, incluyendo sus copias existentes, salvo que la normativa exija conservarlos. Las copias de seguridad cifradas se eliminarán conforme al calendario de rotación establecido en el Anexo II. Se entregará certificado de supresión si el Responsable lo solicita.

12. Responsabilidad

Cada parte responderá de los daños y perjuicios que cause a la otra o a terceros como consecuencia del incumplimiento del presente contrato. Se aplicarán los principios de responsabilidad del artículo 82 RGPD.

13. Modificaciones

Cualquier modificación sustancial de este contrato requerirá acuerdo expreso entre las partes. Las adaptaciones derivadas de cambios normativos aplicables se comunicarán al Responsable con 30 días de antelación.

14. Ley aplicable y jurisdicción

El presente contrato se rige por la legislación española y por el RGPD. Las controversias se someterán a los Juzgados y Tribunales del domicilio del Encargado, salvo que el ordenamiento imponga otro fuero.

Anexo I — Categorías de interesados y datos

Categorías especiales: se evita tratar datos del art. 9 RGPD. La fotografía del documento identificativo no se considera categoría especial en tanto su tratamiento se limita a la finalidad obligatoria del Libro-Registro.

Anexo II — Medidas técnicas y organizativas

Relación de garantías técnicas aplicadas. Los detalles concretos de implementación (algoritmos, parámetros, endpoints internos, rutas) no se publican por motivos de seguridad; se facilitan a auditores bajo acuerdo de confidencialidad a solicitud razonada del Responsable.

Anexo III — Sub-encargados autorizados

Listado actualizado en sub-processors.html. Los sub-encargados principales son: