Anexo de Encargo de Tratamiento de Datos Personales — Artículo 28 RGPD
Versión: [FECHA]
6.1. Partes
El presente Anexo regula el tratamiento de datos personales realizado por:
RESPONSABLE DEL TRATAMIENTO
[RAZÓN SOCIAL O NOMBRE DEL USUARIO PROFESIONAL]
NIF: [NIF]
Domicilio: [DOMICILIO]
En adelante, el «RESPONSABLE».
ENCARGADO DEL TRATAMIENTO
[RAZÓN SOCIAL TITULAR DE MOARYS]
NIF: [NIF]
Domicilio: [DOMICILIO]
Correo electrónico: [EMAIL PRIVACIDAD]
En adelante, el «ENCARGADO» o «MOARYS».
El presente Anexo forma parte del contrato de prestación de servicios de la plataforma MOARYS.
6.2. Objeto
El objeto de este Anexo es regular las condiciones en las que MOARYS tratará datos personales por cuenta del RESPONSABLE como consecuencia de la prestación de los servicios contratados.
El ENCARGADO tratará los datos únicamente para prestar las funcionalidades de la plataforma contratadas por el RESPONSABLE y siguiendo sus instrucciones documentadas.
El presente Anexo no será aplicable a los tratamientos en los que MOARYS determine finalidades y medios propios y actúe como responsable independiente del tratamiento.
6.3. Duración
El encargo tendrá la misma duración que el contrato principal de prestación de servicios.
No obstante, las obligaciones que por su naturaleza deban permanecer vigentes continuarán aplicándose después de la finalización, especialmente confidencialidad, secreto, seguridad, cooperación, devolución o supresión y responsabilidades pendientes.
6.4. Naturaleza y finalidad del tratamiento
El tratamiento tiene por finalidad permitir la prestación de los servicios contratados por el RESPONSABLE a través de la plataforma MOARYS.
En función de las funcionalidades utilizadas, las operaciones de tratamiento podrán incluir:
- recogida;
- registro;
- organización;
- estructuración;
- conservación;
- consulta;
- extracción;
- comparación;
- clasificación;
- modificación;
- validación;
- utilización;
- comunicación autorizada;
- interconexión;
- limitación;
- supresión;
- destrucción.
Las finalidades podrán incluir:
- gestión de clientes;
- gestión comercial;
- procesamiento de facturas;
- extracción automatizada de información;
- comparación de ofertas;
- generación de simulaciones;
- preparación de propuestas;
- tramitación de contrataciones;
- gestión documental;
- seguimiento de operaciones;
- soporte;
- gestión de incidencias;
- gestión de altas, bajas y modificaciones;
- generación de informes;
- gestión organizativa de usuarios.
6.5. Categorías de interesados
Los datos tratados podrán referirse a:
- clientes del RESPONSABLE;
- potenciales clientes;
- representantes de clientes personas jurídicas;
- titulares de contratos o suministros;
- autorizados;
- contactos profesionales;
- empleados o colaboradores del RESPONSABLE;
- usuarios autorizados de la plataforma.
6.6. Categorías de datos personales
En función del servicio utilizado, podrán tratarse:
Datos identificativos
- nombre;
- apellidos;
- DNI;
- NIE;
- NIF;
- fecha de nacimiento;
- firma;
- información de representación o autorización.
Datos de contacto
- teléfono;
- correo electrónico;
- dirección postal;
- dirección del punto de suministro.
Datos profesionales
- empresa;
- cargo;
- actividad;
- relación con el RESPONSABLE;
- perfil de usuario;
- roles y permisos.
Datos de suministro y contratación
- CUPS;
- comercializadora;
- distribuidora;
- tarifa;
- potencia;
- consumo;
- periodos;
- fechas contractuales;
- servicios adicionales;
- condiciones económicas;
- descuentos;
- permanencias;
- información contenida en facturas;
- estado de operaciones.
Datos económicos y financieros
Cuando sean necesarios:
- IBAN;
- titularidad bancaria;
- importes;
- facturación;
- condiciones económicas;
- información necesaria para domiciliaciones o contrataciones.
Datos técnicos
- dirección IP;
- identificadores de sesión;
- registros de acceso;
- actividad;
- eventos de seguridad;
- dispositivo y navegador.
Como regla general, el servicio no está diseñado para el tratamiento habitual de categorías especiales de datos del artículo 9 del RGPD.
El RESPONSABLE se abstendrá de introducir categorías especiales de datos salvo que resulte estrictamente necesario, exista una base jurídica válida, se haya informado previamente a MOARYS y se hayan acordado las medidas específicas necesarias.
6.7. Instrucciones del RESPONSABLE
El ENCARGADO tratará los datos únicamente siguiendo instrucciones documentadas del RESPONSABLE.
Tendrán la consideración de instrucciones documentadas:
- el contrato principal;
- este Anexo;
- la configuración realizada por el RESPONSABLE;
- las acciones legítimamente realizadas mediante la plataforma;
- las instrucciones adicionales comunicadas por escrito y aceptadas por MOARYS.
El ENCARGADO no utilizará los datos para finalidades propias incompatibles con el encargo.
Si el ENCARGADO considera que una instrucción infringe el RGPD, la LOPDGDD u otra normativa aplicable, informará inmediatamente al RESPONSABLE.
El ENCARGADO podrá suspender la ejecución de la instrucción cuestionada hasta que sea confirmada, modificada o retirada, cuando su ejecución pudiera generar un incumplimiento normativo.
Cuando el ENCARGADO esté obligado a realizar un tratamiento o transferencia por una norma del Derecho de la Unión Europea o del Derecho nacional aplicable, informará al RESPONSABLE antes de realizarlo, salvo que la legislación prohíba dicha información por razones importantes de interés público.
6.8. Obligaciones del RESPONSABLE
Corresponde al RESPONSABLE:
a) determinar las finalidades del tratamiento;
b) garantizar la licitud del tratamiento;
c) proporcionar la información exigida a los interesados;
d) disponer de una base jurídica válida;
e) atender los derechos de los interesados, con la asistencia del ENCARGADO cuando proceda;
f) realizar las evaluaciones de impacto que resulten necesarias;
g) efectuar consultas previas a la autoridad de control cuando proceda;
h) proporcionar instrucciones lícitas;
i) garantizar que los datos comunicados al ENCARGADO son adecuados, pertinentes y limitados a lo necesario;
j) mantener actualizada la información;
k) no utilizar la plataforma para tratamientos ilícitos;
l) informar al ENCARGADO de riesgos específicos relevantes.
6.9. Personal autorizado y confidencialidad
El ENCARGADO garantizará que las personas autorizadas para tratar datos personales:
- se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal equivalente;
- reciban instrucciones adecuadas;
- accedan únicamente a la información necesaria para sus funciones;
- reciban formación o concienciación adecuada;
- estén sujetas a controles de acceso.
La obligación de confidencialidad subsistirá tras la finalización de la relación profesional o laboral.
6.10. Medidas técnicas y organizativas de seguridad
El ENCARGADO aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Las medidas se determinarán considerando el estado de la técnica, costes de aplicación, naturaleza del tratamiento, alcance, contexto, finalidades y probabilidad y gravedad de los riesgos.
Entre las medidas aplicables podrán encontrarse:
Control de acceso
- cuentas individuales;
- gestión de roles;
- principio de mínimo privilegio;
- procedimientos de alta y baja;
- revisión de permisos;
- autenticación reforzada cuando resulte adecuado.
Protección de comunicaciones
- cifrado de las comunicaciones mediante protocolos seguros;
- gestión de certificados;
- protección de conexiones.
Protección de información almacenada
- mecanismos de cifrado cuando resulte apropiado;
- segregación lógica;
- control de acceso;
- gestión segura de credenciales y secretos.
Registro y trazabilidad
- registros de acceso;
- eventos de seguridad;
- trazabilidad de operaciones relevantes;
- monitorización técnica.
Disponibilidad y recuperación
- copias de seguridad;
- mecanismos de recuperación;
- procedimientos de continuidad;
- redundancia cuando resulte adecuada.
Gestión de vulnerabilidades
- actualizaciones;
- gestión de parches;
- análisis de vulnerabilidades;
- corrección de riesgos detectados;
- revisión de dependencias.
Organización
- políticas internas;
- procedimientos de seguridad;
- control de proveedores;
- compromisos de confidencialidad;
- formación;
- gestión de incidentes.
Las medidas concretas podrán evolucionar para adaptarse al estado de la técnica, siempre que no se reduzca el nivel global de protección.
6.11. Subencargados del tratamiento
El RESPONSABLE autoriza con carácter general al ENCARGADO a contratar subencargados cuando sean necesarios para prestar el servicio.
Los subencargados podrán prestar servicios de:
- infraestructura cloud;
- alojamiento;
- almacenamiento;
- bases de datos;
- copias de seguridad;
- comunicaciones;
- correo electrónico;
- mensajería;
- firma electrónica;
- soporte;
- monitorización;
- ciberseguridad;
- OCR;
- procesamiento documental;
- inteligencia artificial;
- automatización;
- analítica técnica.
MOARYS mantendrá una relación actualizada de los subencargados relevantes en:
[URL O UBICACIÓN DE LA LISTA DE SUBENCARGADOS]
La incorporación o sustitución de un subencargado será comunicada al RESPONSABLE con antelación razonable mediante correo electrónico, notificación en la plataforma, actualización de la lista con mecanismo de aviso u otro medio contractual válido.
El RESPONSABLE podrá formular objeciones razonadas por motivos relacionados con la protección de datos.
Las partes colaborarán de buena fe para buscar una solución razonable.
Cuando no exista una alternativa técnicamente o económicamente razonable y la objeción esté debidamente justificada, las partes podrán resolver la parte del servicio afectada o el contrato conforme a sus condiciones.
El ENCARGADO impondrá al subencargado obligaciones de protección de datos sustancialmente equivalentes a las establecidas en este Anexo.
El ENCARGADO seguirá siendo responsable frente al RESPONSABLE del cumplimiento de las obligaciones del subencargado en los términos establecidos por la normativa aplicable.
6.12. Transferencias internacionales
El ENCARGADO no realizará transferencias internacionales de datos fuera del Espacio Económico Europeo sin aplicar un mecanismo válido conforme al capítulo V del RGPD.
Las garantías podrán incluir:
- decisión de adecuación;
- cláusulas contractuales tipo;
- normas corporativas vinculantes;
- excepciones legalmente aplicables;
- otros instrumentos reconocidos por la normativa.
Cuando resulte necesario, el ENCARGADO realizará las evaluaciones correspondientes y adoptará medidas complementarias.
La información sobre transferencias asociadas a subencargados estará disponible en la relación de proveedores o podrá ser solicitada por el RESPONSABLE.
6.13. Derechos de los interesados
Corresponde al RESPONSABLE responder a las solicitudes de ejercicio de derechos.
El ENCARGADO asistirá al RESPONSABLE mediante medidas técnicas y organizativas apropiadas para responder a solicitudes relativas a acceso, rectificación, supresión, oposición, limitación, portabilidad y decisiones automatizadas.
Si un interesado presenta una solicitud directamente al ENCARGADO respecto de datos tratados por cuenta del RESPONSABLE, el ENCARGADO:
a) no responderá sobre el fondo salvo instrucción o habilitación legal;
b) remitirá la solicitud al RESPONSABLE sin dilación indebida;
c) facilitará la información disponible necesaria para su gestión.
La comunicación se realizará, con carácter general, dentro de un plazo máximo de [3] días laborables desde la identificación de la solicitud, salvo circunstancias excepcionales.
6.14. Violaciones de seguridad
El ENCARGADO notificará al RESPONSABLE, sin dilación indebida, las violaciones de seguridad de los datos personales de las que tenga conocimiento y que afecten a datos tratados por cuenta del RESPONSABLE.
La notificación incluirá, en la medida en que la información esté disponible:
a) naturaleza del incidente;
b) categorías de interesados afectados;
c) categorías de datos;
d) número aproximado de interesados;
e) número aproximado de registros;
f) consecuencias probables;
g) medidas adoptadas o propuestas;
h) datos de contacto para obtener información adicional.
Cuando no sea posible proporcionar toda la información simultáneamente, podrá facilitarse de forma gradual.
El ENCARGADO colaborará razonablemente con el RESPONSABLE para investigar el incidente, contener sus efectos, recuperar los sistemas, evaluar el riesgo y preparar las notificaciones necesarias.
La obligación del ENCARGADO consiste en comunicar el incidente al RESPONSABLE. La decisión sobre la notificación a la autoridad de control o a los interesados corresponderá al RESPONSABLE, salvo obligación legal directa del ENCARGADO.
6.15. Evaluaciones de impacto y consultas previas
El ENCARGADO asistirá razonablemente al RESPONSABLE en la realización de evaluaciones de impacto relativas a la protección de datos cuando los tratamientos objeto del encargo puedan generar un alto riesgo.
La asistencia podrá incluir información sobre arquitectura del servicio, medidas de seguridad, flujos de datos, subencargados, transferencias, medidas de mitigación y funcionamiento de automatizaciones relevantes.
El ENCARGADO asistirá asimismo al RESPONSABLE en las consultas previas a la autoridad de control cuando proceda.
La asistencia extraordinaria que exceda de la documentación estándar del servicio podrá estar sujeta a condiciones económicas razonables previamente comunicadas, siempre que ello no impida el cumplimiento de las obligaciones legales del ENCARGADO.
6.16. Registro de actividades de tratamiento
El ENCARGADO mantendrá, cuando resulte exigible, un registro de las categorías de actividades de tratamiento efectuadas por cuenta de responsables.
El registro contendrá la información exigida por el artículo 30.2 del RGPD.
El ENCARGADO pondrá el registro a disposición de la autoridad de control cuando esta lo solicite conforme a la normativa.
6.17. Auditorías y demostración del cumplimiento
El ENCARGADO pondrá a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD.
Podrá facilitar documentación de seguridad, políticas, certificaciones, informes de auditoría, cuestionarios de cumplimiento y evidencias equivalentes.
El RESPONSABLE podrá realizar auditorías razonables directamente o mediante un auditor independiente sujeto a confidencialidad.
Las auditorías deberán:
a) notificarse con una antelación mínima de [30] días;
b) realizarse en horario laboral;
c) no interferir injustificadamente en la actividad;
d) respetar la confidencialidad de otros clientes;
e) limitarse a sistemas y tratamientos relevantes.
No será necesario el preaviso cuando exista una violación de seguridad grave, un requerimiento de autoridad o indicios razonables de incumplimiento grave.
Cuando una auditoría individual genere costes extraordinarios y no derive de un incumplimiento del ENCARGADO, las partes podrán acordar la imputación razonable de dichos costes.
6.18. Devolución y supresión de datos
Una vez finalizada la prestación del servicio, el ENCARGADO, a elección del RESPONSABLE y salvo obligación legal de conservación:
- devolverá los datos personales y copias existentes; o
- los suprimirá.
El RESPONSABLE deberá comunicar su elección dentro del plazo establecido en el procedimiento de baja.
Cuando no se comunique una elección y la devolución no sea necesaria para cumplir obligaciones legales, el ENCARGADO podrá proceder a la supresión conforme a sus ciclos de retención y borrado.
Los datos que deban conservarse por obligación legal o para atender responsabilidades permanecerán bloqueados o sometidos a medidas equivalentes de restricción y no serán utilizados para finalidades incompatibles.
Las copias de seguridad podrán conservar datos durante el ciclo técnico ordinario de rotación, permaneciendo protegidas y sin ser utilizadas para finalidades activas.
6.19. Portabilidad y exportación al finalizar el servicio
Cuando las funcionalidades contratadas lo permitan, el RESPONSABLE podrá exportar información de su organización en formatos razonablemente estructurados y de uso común.
La exportación estará sujeta a permisos, seguridad, protección de datos de terceros, limitaciones técnicas razonables, derechos de propiedad intelectual y configuración del servicio.
Esta cláusula no limita el derecho de portabilidad de los interesados cuando resulte aplicable conforme al artículo 20 del RGPD.
6.20. Destino de los datos en operaciones en curso
Cuando finalice la relación contractual y existan operaciones pendientes, las partes determinarán la forma jurídicamente adecuada de gestionar su continuidad.
Si MOARYS continúa tratando los datos exclusivamente por cuenta del RESPONSABLE, deberá existir una instrucción válida y una relación jurídica vigente que ampare el tratamiento.
Si MOARYS dispone de una base jurídica propia para determinadas finalidades, actuará respecto de ellas como responsable independiente y deberá cumplir las obligaciones de información y demás requisitos aplicables.
La mera finalización de la relación comercial con el RESPONSABLE no convierte automáticamente a MOARYS en responsable de todos los datos anteriormente tratados por encargo.
6.21. Cooperación con autoridades
El ENCARGADO cooperará con las autoridades de control en el desempeño de sus funciones en los términos establecidos por la normativa aplicable.
Cuando reciba un requerimiento relacionado con datos tratados por cuenta del RESPONSABLE, informará a este cuando sea legalmente posible.
6.22. Responsabilidad
Cada parte responderá del cumplimiento de las obligaciones que le correspondan conforme al RGPD, la LOPDGDD y demás normativa aplicable.
El régimen de responsabilidad entre las partes se interpretará de conformidad con el artículo 82 del RGPD y las demás disposiciones aplicables.
Ninguna cláusula contractual podrá limitar los derechos de los interesados ni las competencias de las autoridades de control.
6.23. Prevalencia
En caso de contradicción entre este Anexo y las Condiciones Generales respecto del tratamiento de datos personales por cuenta del RESPONSABLE, prevalecerá este Anexo.
En las materias no relacionadas específicamente con el encargo de tratamiento, serán de aplicación las Condiciones Generales y las condiciones particulares contratadas.
6.24. Modificaciones
El Anexo podrá modificarse para adaptarlo a cambios normativos, resoluciones de autoridades, modificaciones relevantes del servicio, nuevos tratamientos o cambios de arquitectura que afecten sustancialmente a la protección de datos.
Las modificaciones materiales serán comunicadas al RESPONSABLE con antelación razonable, salvo que deban aplicarse inmediatamente por obligación legal o riesgo urgente de seguridad.
6.25. Aceptación
La firma del contrato principal o la aceptación electrónica de las Condiciones Generales y del presente Anexo formaliza la relación entre RESPONSABLE y ENCARGADO en los términos del artículo 28 del RGPD.
Las partes reconocen la validez de la aceptación y contratación electrónica conforme a la normativa aplicable.
Anexo I — Descripción del tratamiento
Responsable: [CLIENTE PROFESIONAL]
Encargado: [RAZÓN SOCIAL MOARYS]
Objeto: prestación de la plataforma tecnológica MOARYS.
Duración: vigencia del contrato principal y periodos de conservación técnica o legal aplicables.
Naturaleza: tratamiento automatizado y parcialmente automatizado de información para la prestación de servicios SaaS de gestión, comparación, contratación y administración.
Finalidades: las descritas en el contrato y en el apartado 6.4 del presente Anexo.
Interesados: clientes, potenciales clientes, representantes, autorizados y usuarios del RESPONSABLE.
Datos: identificativos, contacto, profesionales, suministro, contractuales, económicos y técnicos según las funcionalidades utilizadas.
Anexo II — Medidas de seguridad
MOARYS mantendrá un documento técnico interno actualizado con las medidas de seguridad efectivamente implantadas.
Este documento deberá cubrir, como mínimo:
- gestión de identidades y accesos;
- autenticación;
- gestión de privilegios;
- cifrado;
- copias de seguridad;
- continuidad;
- gestión de vulnerabilidades;
- registros y monitorización;
- respuesta a incidentes;
- desarrollo seguro;
- gestión de proveedores;
- segregación de entornos;
- protección de secretos y credenciales;
- eliminación segura;
- formación y confidencialidad.
Las medidas descritas contractualmente deberán corresponderse con la realidad técnica del entorno de producción.
Anexo III — Subencargados
MOARYS mantendrá una relación actualizada con, al menos:
- nombre legal del proveedor;
- servicio prestado;
- ubicación principal del tratamiento;
- existencia de transferencia internacional;
- mecanismo de transferencia aplicable.
La relación podrá mantenerse en una ubicación electrónica permanentemente accesible y actualizada.
Ubicación: [URL O SECCIÓN DE LA PLATAFORMA]