Contrato de Encargo del Tratamiento
1 · Partes
Este Contrato de Encargo del Tratamiento («DPA») se celebra entre el cliente que contrata el servicio, como responsable del tratamiento, y [RAZÓN SOCIAL] ([ESTONIAN BUSINESS REGISTER]), operadora de Tempora, como encargada del tratamiento. Prevalece sobre cualquier condición contradictoria en materia de protección de datos.
2 · Objeto y duración
El encargado trata datos personales por cuenta del responsable con el único fin de prestar el servicio de Tempora: preparación y archivo de contratos de temporada, documentación de la causa, gestión del depósito y verificación de inquilinos. El tratamiento dura mientras esté vigente el contrato de servicio y durante los plazos de conservación legalmente exigibles.
3 · Instrucciones del responsable
El encargado trata los datos siguiendo las instrucciones documentadas del responsable, incluidas las transferencias internacionales, salvo obligación legal. Informará al responsable si, a su juicio, una instrucción infringe la normativa de protección de datos.
4 · Confidencialidad
El encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber legal de confidencialidad.
5 · Medidas de seguridad
El encargado aplica medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre ellas:
- Cifrado en tránsito y en reposo; los documentos de la causa que contienen datos de categoría especial (salud, art. 9) se cifran y se almacenan con control de acceso separado.
- Control de acceso por roles y registro de auditoría inalterable con sello de tiempo.
- Seudonimización cuando es posible y minimización de datos por diseño y por defecto.
- Copias de seguridad, continuidad y pruebas periódicas de restauración.
- Borrado del documento aportado al checker en 24 horas.
El detalle vigente figura en el Anexo II.
6 · Subencargados
El responsable autoriza el recurso a los subencargados del Anexo III: hosting y base de datos en la UE; almacenamiento S3-compatible en la UE; Stripe (pagos); Signaturit u otro proveedor equivalente de firma electrónica; Didit u otro proveedor equivalente de verificación de identidad; proveedor de correo transaccional; antivirus/OCR si está activado; proveedor LLM solo si se activa extracción asistida; despacho colaborador (revisión jurídica); y correduría solo si el cliente solicita seguro. No se usan Formspree/Tally en el lanzamiento: los formularios publican en endpoints propios de Tempora. El encargado impone a cada subencargado las mismas obligaciones de este DPA e informará de cualquier cambio con antelación razonable, permitiendo oponerse.
7 · Transferencias internacionales
Toda transferencia fuera del EEE se ampara en una decisión de adecuación o en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea, con las medidas suplementarias que procedan. El detalle por proveedor consta en el [ANEXO III].
8 · Asistencia al responsable
El encargado asiste al responsable, en la medida de lo posible, para responder a las solicitudes de derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición) y para cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36 RGPD).
9 · Notificación de brechas
El encargado notificará al responsable sin dilación indebida, y a más tardar en [N] horas desde que tenga constancia, cualquier violación de la seguridad de los datos personales, con la información necesaria para que el responsable cumpla sus obligaciones.
10 · Supresión o devolución
Al terminar el servicio, y a elección del responsable, el encargado suprimirá o devolverá los datos personales y eliminará las copias existentes, salvo obligación legal de conservación.
11 · Auditoría
El encargado pone a disposición del responsable la información necesaria para demostrar el cumplimiento de este DPA y permite auditorías, incluidas inspecciones, por el responsable o un auditor mandatado, con preaviso razonable.
Anexos
- Anexo I — Categorías de interesados y de datos (arrendadores, inquilinos; identificativos, de contacto, económicos y, cuando la causa es de salud, datos del art. 9).
- Anexo II — Medidas técnicas y organizativas de seguridad.
- Anexo III — Lista de subencargados, ubicación y garantías de transferencia. Bloqueo: debe completarse con nombres legales y regiones antes de aceptar documentos reales.
Tempora no es un despacho de abogados. Este DPA es un borrador de trabajo pendiente de revisión por el despacho colaborador antes del lanzamiento comercial; los campos entre corchetes y el Anexo III completo bloquean el lanzamiento hasta estar firmados. Referenciado desde los Términos.