CONTRATO DE ENCARGADO DEL TRATAMIENTO
(Data Processing Agreement – DPA)
Última actualización: [FECHA] Versión: v1.0
REUNIDOS
De una parte,
[RAZÓN SOCIAL DEL CLIENTE], con domicilio en [DIRECCIÓN], y NIF/CIF [●], en adelante, el Responsable del Tratamiento.
Y de otra,
[RAZÓN SOCIAL DE ARION], con domicilio social en [DIRECCIÓN COMPLETA, ESPAÑA], y NIF/CIF [●], en adelante, Arion o el Encargado del Tratamiento.
Ambas partes, reconociéndose capacidad legal suficiente, acuerdan suscribir el presente Contrato de Encargado del Tratamiento, de conformidad con el Reglamento (UE) 2016/679 (RGPD).
- Objeto del contrato
El presente contrato tiene por objeto regular las condiciones conforme a las cuales Arion tratará datos personales por cuenta del Responsable del Tratamiento en el marco de la prestación de los servicios ofrecidos a través de la plataforma Arion.
- Naturaleza y finalidad del tratamiento
El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, para las siguientes finalidades:
Proporcionar acceso y uso de la plataforma Arion.
Gestionar usuarios, organizaciones, roles y permisos.
Procesar estudios, valores, métricas y auditorías.
Garantizar la seguridad, trazabilidad y correcto funcionamiento del servicio.
Ejecutar, en su caso, funcionalidades de análisis automatizado o inteligencia artificial, cuando así lo autorice el Responsable.
- Categorías de datos personales y de interesados 3.1 Categorías de interesados
Usuarios autorizados por el Responsable.
Personal profesional del Responsable.
Otros interesados cuyos datos sean introducidos por el Responsable bajo su exclusiva responsabilidad.
3.2 Categorías de datos
Datos identificativos (nombre, email profesional, identificadores).
Datos profesionales y de rol.
Datos técnicos (logs, auditoría, accesos).
Datos incluidos por el Responsable en estudios o documentos.
- Obligaciones del Encargado del Tratamiento
Arion se compromete a:
a) Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable. b) No utilizar los datos con fines propios ni distintos a los previstos en este contrato. c) Garantizar que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad. d) Adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. e) Asistir al Responsable, cuando sea necesario, en el cumplimiento de sus obligaciones en materia de derechos de los interesados. f) Notificar al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales. g) No comunicar datos personales a terceros sin autorización expresa, salvo obligación legal.
- Obligaciones del Responsable del Tratamiento
El Responsable garantiza que:
a) Dispone de base legal suficiente para el tratamiento de los datos. b) Ha informado adecuadamente a los interesados. c) Ha obtenido los consentimientos necesarios, cuando proceda. d) No introducirá en la plataforma datos personales de forma ilícita o contraria a la normativa vigente.
- Medidas de seguridad
Arion implementa medidas técnicas y organizativas adecuadas, incluyendo, entre otras:
Cifrado de comunicaciones.
Control de accesos basado en roles (RBAC).
Registro de actividad y auditoría.
Principio de mínimo privilegio.
Separación lógica de datos por organización.
Las medidas podrán evolucionar conforme al estado de la técnica y al riesgo asociado al tratamiento.
- Subencargados del tratamiento
El Responsable autoriza a Arion a subcontratar determinados servicios que impliquen acceso a datos personales, tales como:
Proveedores de infraestructura cloud.
Servicios de autenticación.
Proveedores tecnológicos necesarios para la prestación del servicio.
Arion garantizará que dichos subencargados:
Cumplen con el RGPD.
Están sujetos a obligaciones contractuales equivalentes a las establecidas en el presente contrato.
- Transferencias internacionales de datos
En caso de que los datos personales sean transferidos fuera del Espacio Económico Europeo, Arion se compromete a:
Garantizar la existencia de mecanismos legales adecuados (cláusulas contractuales tipo u otros).
Informar al Responsable cuando sea legalmente exigible.
- Asistencia en el ejercicio de derechos
Arion asistirá al Responsable, en la medida de lo posible, para que este pueda cumplir con las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, etc.).
- Tratamiento automatizado e inteligencia artificial
Cuando el Responsable habilite funcionalidades de análisis automatizado o inteligencia artificial:
El tratamiento se realizará exclusivamente conforme a sus instrucciones.
Los datos no se utilizarán para entrenamiento general de modelos sin autorización expresa.
No se adoptarán decisiones automatizadas con efectos legales sobre personas físicas.
- Duración y finalización
El presente contrato tendrá la misma duración que la relación contractual principal.
Una vez finalizada la prestación del servicio, Arion:
Suprimirá o devolverá los datos personales al Responsable, según lo solicite este.
Podrá conservar datos debidamente bloqueados cuando exista obligación legal.
- Responsabilidad
Cada parte será responsable del incumplimiento de las obligaciones que le correspondan conforme al RGPD y a este contrato.
- Confidencialidad
Las partes se comprometen a mantener la confidencialidad de la información y los datos personales tratados, incluso tras la finalización del contrato.
- Legislación aplicable y jurisdicción
El presente contrato se regirá por la legislación española.
Las partes se someten expresamente a los Juzgados y Tribunales de [CIUDAD, ESPAÑA], salvo disposición legal imperativa en contrario.
- Aceptación
El presente Contrato de Encargado del Tratamiento se entiende aceptado mediante:
La firma del contrato principal, o
La aceptación electrónica de los Términos del Servicio de Arion.
Y en prueba de conformidad, ambas partes aceptan el presente contrato.