Contrato de encargo del tratamiento de datos personales

Reunidos

De una parte, [RAZÓN SOCIAL DE LA DISTRIBUIDORA], con NIF [NIF DE LA DISTRIBUIDORA] y domicilio en [DOMICILIO DE LA DISTRIBUIDORA], representada por [NOMBRE Y CARGO DEL REPRESENTANTE] (en adelante, el responsable).

De otra parte, [RAZÓN SOCIAL DEL PROVEEDOR], con NIF [NIF] y domicilio en [DOMICILIO], representada por [NOMBRE Y CARGO DEL REPRESENTANTE] (en adelante, el encargado).

Las dos partes se reconocen capacidad para firmar este contrato y

Exponen

Que el responsable ha contratado con el encargado el uso del programa de gestión FITOPHY en modalidad de servicio (en adelante, el servicio), según el contrato principal de [FECHA DEL CONTRATO PRINCIPAL].
Que para prestar el servicio el encargado tiene que tratar datos personales de los que es responsable el responsable.
Que el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD) exigen que ese tratamiento se rija por un contrato, que es este.

Cláusulas

1. Objeto

El encargado tratará por cuenta del responsable los datos personales necesarios para prestar el servicio: alojar el programa y su base de datos, mantenerlos, hacer copias de seguridad, atender incidencias y dar soporte. El detalle del tratamiento está en el Anexo I.

2. Duración

Este contrato dura lo mismo que el contrato principal. Las obligaciones de confidencialidad y las de devolución y supresión siguen vigentes después.

3. Obligaciones del encargado

El encargado se obliga a:

Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y lo que el responsable haga dentro del programa. Si una instrucción le parece contraria a la normativa de protección de datos, se lo dirá de inmediato.
No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados en la cláusula 5 o cuando la ley lo exija. En ese último caso avisará antes al responsable, salvo que la ley lo prohíba.
Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
Aplicar las medidas de seguridad del Anexo II.
Ayudar al responsable a atender los derechos de los interesados, a hacer evaluaciones de impacto y consultas previas cuando proceda, y a cumplir sus obligaciones de seguridad y de notificación de violaciones.
Llevar el registro de actividades de tratamiento que efectúa por cuenta del responsable (artículo 30.2 del RGPD).
Poner a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitir las auditorías que le pida, con [PREAVISO] de antelación y [CONDICIONES DE LA AUDITORÍA].
[NOMBRAR UN DELEGADO DE PROTECCIÓN DE DATOS, SI ESTÁ OBLIGADO, Y COMUNICAR SU IDENTIDAD AL RESPONSABLE].

4. Obligaciones del responsable

El responsable se obliga a:

Facilitar los datos y decidir qué se introduce en el programa, garantizando que tiene base legal para tratarlos y que ha informado a los interesados.
Dar de alta y de baja a sus usuarios, asignarles un rol adecuado y velar por que custodien sus credenciales y su segundo factor.
No introducir categorías especiales de datos (artículo 9 del RGPD) salvo acuerdo expreso.
Supervisar el tratamiento, incluidas las auditorías.

5. Subencargados

El responsable autoriza de forma general al encargado a recurrir a los subencargados del Anexo III. El encargado avisará al responsable de cualquier cambio (alta o sustitución) con [PLAZO DE PREAVISO] de antelación, y el responsable podrá oponerse en ese plazo por motivos razonables relacionados con la protección de datos. [CONSECUENCIA SI EL RESPONSABLE SE OPONE].

El encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato le impone a él, y responderá ante el responsable de lo que haga cada subencargado.

6. Transferencias internacionales

Los datos se alojan en el Espacio Económico Europeo. Cuando un subencargado los trate fuera de él (Anexo III), la transferencia se ampara en [MECANISMO: DECISIÓN DE ADECUACIÓN O CLÁUSULAS CONTRACTUALES TIPO DE LA COMISIÓN EUROPEA], y el encargado facilitará al responsable copia de esas garantías si la pide.

7. Violaciones de seguridad

El encargado notificará al responsable, sin dilación indebida y en todo caso en un plazo máximo de [PLAZO EN HORAS], cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información del artículo 33.3 del RGPD de que disponga en ese momento. Notificar a la autoridad de control y a los interesados corresponde al responsable, salvo que acuerden otra cosa por escrito.

8. Derechos de los interesados

Si un interesado se dirige al encargado para ejercer sus derechos, el encargado trasladará la petición al responsable en un plazo máximo de [PLAZO]. El programa permite al responsable consultar, exportar y rectificar los datos. La supresión de datos que la ley obliga a conservar (por ejemplo, una factura emitida o una declaración oficial) no es posible mientras dure esa obligación.

9. Fin del servicio: devolución y supresión

Al terminar el servicio, el encargado:

Pondrá a disposición del responsable una exportación completa de sus datos en un formato estructurado y de uso común, durante [PLAZO].
Suprimirá los datos y las copias que conserve en un plazo máximo de [PLAZO], incluidas las copias de seguridad cuando lleguen al final de su ciclo, salvo que la ley le obligue a conservar alguno. En ese caso los mantendrá bloqueados y solo a disposición de las autoridades.
Certificará por escrito la supresión si el responsable lo pide.

10. Responsabilidad

[CLÁUSULA DE RESPONSABILIDAD Y SU LÍMITE].

11. Ley aplicable y jurisdicción

Este contrato se rige por la ley española. [FUERO PACTADO].

Firmado en [LUGAR], a [FECHA].

Por el responsable: [FIRMA]

Por el encargado: [FIRMA]

Anexo I. Descripción del tratamiento

Naturaleza del tratamiento: alojamiento, almacenamiento, copia de seguridad, consulta, modificación y supresión dentro del programa, soporte técnico y mantenimiento. El encargado no accede al contenido de los datos salvo para atender una incidencia o una petición del responsable. [CÓMO SE AUTORIZAN Y SE REGISTRAN ESOS ACCESOS].

Finalidad: prestar el servicio del programa de gestión FITOPHY al responsable.

Categorías de interesados:

Clientes y agricultores del responsable, y sus personas autorizadas para comprar.
Proveedores del responsable y sus contactos.
Trabajadores del responsable que usan el programa.
Conductores y transportistas, cuando se documenta un transporte de mercancías peligrosas.
Personas que firman la recepción de una entrega.

Categorías de datos:

Identificativos y de contacto: nombre, NIF o documento de identidad, dirección, teléfono, correo.
Económicos y financieros: datos bancarios, facturas, cobros, pagos, deuda y riesgo.
Profesionales del sector: número de inscripción en el Registro Oficial de Productores y Operadores (ROPO) y su vigencia.
Transacciones: compras, ventas, albaranes y declaraciones del registro de transacciones de productos fitosanitarios.
Firma manuscrita digitalizada de quien recibe una entrega, cuando se firma en el programa.
De los usuarios: nombre, correo, rol, registro de sus operaciones dentro del programa y datos del segundo factor.
Matrícula del vehículo en el transporte de mercancías peligrosas.

No se tratan categorías especiales de datos.

Anexo II. Medidas de seguridad

Las que el servicio tiene hoy, descritas tal y como funcionan:

Separación entre clientes en la propia base de datos: cada consulta la filtra la base por la empresa y por el usuario que pregunta. Un usuario no puede ver datos de otra distribuidora aunque la pantalla falle.
Segundo factor obligatorio para todos los usuarios, comprobado por la base de datos en cada consulta.
Permisos por rol dentro de cada distribuidora (por ejemplo, quién ve costes y márgenes).
Registro de auditoría: queda apuntado quién crea, cambia o anula los datos, con el valor anterior y el nuevo.
Cierre de sesión por inactividad, con un tiempo que fija cada distribuidora.
Cifrado de las comunicaciones entre el navegador y el servicio.
Alojamiento de la base de datos en la Unión Europea (París, Francia).
Copias de seguridad diarias de la plataforma, con [PLAZO DE RETENCIÓN SEGÚN EL PLAN CONTRATADO], y [COPIAS PROPIAS ADICIONALES, SU FRECUENCIA Y DÓNDE SE GUARDAN].
Alta de usuarios cerrada: nadie puede crearse una cuenta por su cuenta; los usuarios los invita la dirección de cada distribuidora.
[PROCEDIMIENTO DE GESTIÓN DE INCIDENTES Y DE NOTIFICACIÓN DE VIOLACIONES]
[PROCEDIMIENTO DE ACCESO DEL PERSONAL DEL ENCARGADO A LOS DATOS PARA SOPORTE]

Anexo III. Subencargados autorizados

Supabase Inc. [DOMICILIO SEGÚN SU DPA]. Servicio: base de datos, servidor de acceso y copias de seguridad de la plataforma. Ubicación de los datos: región de París (Francia). Garantías: su acuerdo de tratamiento de datos (DPA). [CONFIRMAR SI HAY TRATAMIENTO FUERA DEL EEE Y CON QUÉ GARANTÍA].
Vercel Inc. [DOMICILIO SEGÚN SU DPA]. Servicio: alojamiento de la aplicación. Ubicación: funciones en París (Francia); una parte del servicio se ejecuta en todas sus regiones y sus instalaciones principales están en Estados Unidos. Garantías: su acuerdo de tratamiento de datos (DPA), con cláusulas contractuales tipo de 2021.
[PROVEEDOR DE CORREO SALIENTE DEL SERVIDOR DE ACCESO, SI SE CONTRATA]. Servicio: envío de los correos de invitación y de recuperación de contraseña. Ubicación: [UBICACIÓN]. Garantías: [GARANTÍAS].

El envío de documentos por correo que el responsable configura con su propio servidor de correo no es un subencargo del encargado: ese servidor lo contrata y lo controla el responsable.