ACUERDO DE ENCARGO DEL TRATAMIENTO
Data Processing Agreement (DPA)
El presente Acuerdo de Encargo del Tratamiento (en adelante, “DPA”) forma parte integrante de las Condiciones Generales de Contratación de Clave Informática, S.L.U. Al aceptar un presupuesto o contrato con Clavei, el Cliente acepta automáticamente el presente DPA en su versión vigente, sin necesidad de firma bilateral separada, conforme a lo establecido en la cláusula 7 de las CGC.
Datos del Encargado del Tratamiento
- Denominación: Clave Informática, S.L.U.
- NIF: B03186681
- Domicilio social: Calle Galileo Galilei, 12 – 03203 Elche (Alicante)
- Contacto RGPD: rgpd@clavei.es
Datos del Responsable del Tratamiento
El Responsable del Tratamiento es el Cliente que acepta el presupuesto o contrato con Clave Informática, cuya identificación consta en el documento contractual principal (presupuesto, orden de servicio o contrato) aceptado por ambas partes.
- Objeto y naturaleza del encargo
El presente DPA regula el tratamiento de datos personales que Clave Informática, S.L.U. (en adelante, el Encargado) lleva a cabo por cuenta y bajo las instrucciones del Cliente (en adelante, el Responsable), como consecuencia de la prestación de los servicios contratados.
El presente acuerdo da lugar a un acceso a datos por cuenta de tercero y no a una cesión o comunicación de datos. El Responsable mantiene bajo su control los usos y fines del tratamiento.
El Encargado podrá tratar datos personales en el marco de los siguientes servicios:
- Consultoría informática y tecnológica.
- Programación, soporte y actualizaciones de software.
- Instalación y mantenimiento de hardware y sistemas.
- Gestión y administración de procesos de negocio.
- Servicios en la nube, copias de seguridad y ciberseguridad.
- Soporte técnico remoto y presencial.
- Servicios gestionados de conectividad, monitorización y seguridad.
- Cualquier otro servicio detallado en el presupuesto o contrato principal aceptado por el Responsable.
En todos los servicios indicados, las operaciones de tratamiento que el Encargado queda habilitado a realizar son: Estructuración, Consulta, Extracción, Recolección, Conservación, Registro, Cotejo, Modificación, Interconexión, Limitación, Comunicación, Transmisión, Difusión, Supresión y Destrucción.
Cualquier tratamiento de datos personales al margen de los que expresamente deriven de la prestación de servicios contratada está excluido del objeto del presente DPA, salvo acuerdo escrito en contrario.
El presente DPA tendrá la misma duración que el contrato principal suscrito entre las partes. A la finalización de dicho contrato, por cualquier causa, serán de aplicación las obligaciones establecidas en la cláusula 10 relativas al destino de los datos.
- Tipología de datos y categorías de interesados
En función del servicio contratado, el Encargado podrá acceder a las siguientes categorías de datos y de interesados:
| Ámbito | Tipología de datos | Categorías de interesados |
| Clientes y contactos | Identificativos (DNI/NIF, nombre, dirección, email, teléfono), comerciales, económico-financieros, transaccionales, imagen/voz | Clientes, usuarios, personas de contacto, representantes legales |
| Proveedores | Identificativos, comerciales, económico-financieros, transaccionales, firma manual | Proveedores, colaboradores, personas de contacto, representantes legales |
| Laboral y RRHH | Identificativos, características personales, académico-profesionales, detalles de empleo, económicos, datos de salud laboral | Empleados, alumnos en prácticas, solicitantes |
| Currículums | Identificativos, características personales, académico-profesionales, circunstancias sociales | Candidatos, solicitantes, personas de contacto |
| Fiscal y contable | Identificativos, comerciales, económico-financieros, transaccionales | Clientes, proveedores, empleados, colaboradores |
| Videovigilancia | Imagen y voz | Empleados, clientes, visitantes, colaboradores |
| Marketing y comunicación | Nombre, email, teléfono, dirección IP | Clientes, usuarios web, personas de contacto |
| Formación | Identificativos, académico-profesionales, comerciales, económicos | Clientes, personas de contacto, solicitantes |
| Datos tratados mediante IA | Los anteriores, en función del servicio, procesados por herramientas de IA conforme a la cláusula 8 de las CGC | Los interesados de los ámbitos anteriores |
- Obligaciones del encargado del tratamiento
El Encargado se obliga a:
- Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, absteniéndose de utilizarlos para fines distintos a los establecidos.
- Garantizar que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad.
- Adoptar todas las medidas de seguridad técnicas y organizativas exigidas por el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento.
- No comunicar, ceder ni divulgar los datos personales a terceros, salvo autorización previa y escrita del Responsable o por obligación legal.
- Informar al Responsable, sin dilación indebida, si considera que alguna instrucción infringe la normativa aplicable en materia de protección de datos.
- Asistir al Responsable en la respuesta a los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición ejercidos por los interesados.
- Asistir al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos (EIPD), cuando proceda.
- Asistir al Responsable en las consultas previas a la autoridad de control, cuando proceda.
- Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del presente DPA, y permitir y contribuir a la realización de auditorías o inspecciones.
- Designar un Delegado de Protección de Datos cuando sea legalmente exigible, y comunicar su identidad al Responsable.
- Mantener un Registro de Actividades de Tratamiento en su condición de Encargado, conforme al artículo 30.2 del RGPD.
- Medidas de seguridad
El Encargado aplicará, como mínimo, las siguientes medidas técnicas y organizativas para garantizar la seguridad de los datos personales tratados:
- Sistema de identificación y autenticación de usuarios mediante credenciales de acceso seguras, con política de gestión y renovación periódica de contraseñas.
- Soluciones antimalware y antivirus actualizadas en todos los sistemas de información.
- Inventario actualizado de activos y soportes de información.
- Procedimiento de registro, notificación y gestión de incidencias de seguridad.
- Control de acceso por roles: solo el personal autorizado podrá acceder a los datos personales, con documentación de autorizaciones y funciones.
- Formación y concienciación en seguridad de la información y protección de datos para todo el personal con acceso a datos.
- Procedimiento de realización y verificación de copias de seguridad y planes de recuperación ante desastres.
- Medidas de cifrado y seudonimización de datos personales cuando resulte apropiado.
- Garantías de confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
- Procedimientos de verificación, evaluación y valoración regular de la eficacia de las medidas de seguridad implantadas.
- Cuando se utilicen herramientas de IA en el tratamiento, aplicación de medidas específicas de trazabilidad, auditoría y supervisión humana de los sistemas, conforme al Reglamento (UE) 2024/1689 (AI Act).
- Subencargados del tratamiento
El Responsable autoriza de forma general al Encargado a subcontratar el tratamiento de datos con terceros proveedores (subencargados), en los términos establecidos en el artículo 28.2 del RGPD. La lista actualizada de subencargados autorizados está disponible permanentemente en: https://clientes.clavei.es/#informacionSubcontratas
El Encargado notificará al Responsable la incorporación de nuevos subencargados o cambios sustanciales en los existentes con una antelación mínima de quince (15) días naturales, mediante publicación en el área de clientes o comunicación directa.
Si el Responsable no manifiesta oposición motivada por escrito dentro de dicho plazo, se entenderá que acepta la incorporación del nuevo subencargado. En caso de oposición fundada, las partes negociarán de buena fe una solución alternativa.
El Encargado garantizará que cualquier subencargado asume las mismas obligaciones en materia de protección de datos que las establecidas en el presente DPA, mediante la celebración del correspondiente contrato de encargo del tratamiento. El Encargado responderá ante el Responsable del cumplimiento de dichas obligaciones por parte de los subencargados.
La transmisión de datos a autoridades públicas en el ejercicio de sus funciones no se considera comunicación de datos a terceros a efectos del presente DPA, por lo que no requerirá autorización previa del Responsable cuando dicha transmisión venga impuesta por obligación legal.
- Transferencias internacionales de datos
Con motivo de la prestación de los servicios contratados, el uso de herramientas tecnológicas, plataformas de inteligencia artificial, servicios en la nube y proveedores internacionales, los datos personales del Responsable podrán ser tratados en servidores o sistemas ubicados tanto dentro como fuera del Espacio Económico Europeo (EEE).
El Encargado garantiza que cualquier transferencia internacional de datos se realizará conforme a las exigencias del Capítulo V del RGPD, mediante alguna de las siguientes garantías adecuadas:
- Decisión de adecuación de la Comisión Europea, incluyendo el Marco de Privacidad de Datos UE-EE.UU. (EU-U.S. Data Privacy Framework).
- Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, en su versión vigente en cada momento.
- Normas Corporativas Vinculantes, cuando proceda.
- Cualquier otro mecanismo reconocido por la normativa europea de protección de datos vigente en cada momento.
El Encargado mantendrá actualizada la información sobre transferencias internacionales en su Registro de Actividades de Tratamiento y en la lista de subencargados publicada en https://clientes.clavei.es/#informacionSubcontratas, indicando para cada proveedor internacional el mecanismo de garantía aplicable.
- Uso de inteligencia artificial en el encargo
El Encargado podrá utilizar herramientas y sistemas de Inteligencia Artificial (IA) para el tratamiento de datos personales del Responsable en el marco de la prestación de servicios, en cumplimiento del Reglamento (UE) 2024/1689 (AI Act) y de la normativa de protección de datos aplicable.
El uso de IA en el tratamiento se realizará siempre:
- Bajo supervisión humana, sin adopción de decisiones exclusivamente automatizadas con efectos jurídicos o significativos sobre los interesados, conforme al artículo 22 del RGPD.
- Dentro del alcance del servicio contratado y conforme a las instrucciones del Responsable.
- Con las medidas técnicas y organizativas adecuadas para garantizar la seguridad, confidencialidad, trazabilidad y exactitud de los datos tratados.
- Mediante proveedores de herramientas de IA incluidos en la lista de subencargados de https://clientes.clavei.es/#informacionSubcontratas, que ofrezcan garantías equivalentes a las exigidas en el presente DPA.
El Encargado podrá utilizar información derivada del tratamiento de datos para el entrenamiento y optimización de modelos de IA propios, exclusivamente sobre datos que hayan sido previamente anonimizados de forma irreversible, de manera que no sea posible identificar al Responsable, a sus usuarios o a terceros. En ningún caso se emplearán datos personales sin anonimizar para el entrenamiento de modelos de IA.
- Notificación de violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 72 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que pueda afectar a los datos tratados en el marco del presente DPA.
La notificación se realizará a través del correo electrónico designado por el Responsable en el contrato principal o, en su defecto, al representante legal identificado en dicho contrato. La notificación incluirá, como mínimo:
- Descripción de la naturaleza de la violación, incluyendo las categorías y número aproximado de interesados y registros afectados.
- Nombre y datos de contacto del Delegado de Protección de Datos o del punto de contacto del Encargado.
- Descripción de las posibles consecuencias de la violación.
- Descripción de las medidas adoptadas o propuestas para remediar la violación y mitigar sus efectos negativos.
- Ejercicio de derechos de los interesados
El Encargado asistirá al Responsable en el cumplimiento de las solicitudes de ejercicio de derechos formuladas por los interesados, en particular los derechos de:
- Acceso, rectificación, supresión y oposición (arts. 15 a 21 RGPD).
- Limitación del tratamiento (art. 18 RGPD).
- Portabilidad de los datos (art. 20 RGPD).
- No ser objeto de decisiones individualizadas automatizadas, incluida la elaboración de perfiles (art. 22 RGPD).
Cuando los interesados dirijan sus solicitudes directamente al Encargado, este las trasladará al Responsable de forma inmediata y en ningún caso más allá del día laborable siguiente a la recepción.
- Destino de los datos a la finalización del contrato
A la finalización de la relación contractual, el Encargado deberá, a elección del Responsable:
- Devolver al Responsable todos los datos personales tratados en el marco del presente DPA, en un formato estructurado, de uso común y lectura mecánica; o
- Destruir y eliminar de forma segura todos los datos personales, incluidas las copias existentes, salvo que la normativa aplicable exija su conservación.
En caso de que la normativa exija la conservación de determinados datos, el Encargado procederá al bloqueo de los mismos, limitando su tratamiento exclusivamente al cumplimiento de dicha obligación legal.
El Encargado acreditará al Responsable, a su solicitud, la efectiva destrucción o devolución de los datos.
- Obligaciones del responsable del tratamiento
El Responsable declara y garantiza que:
- Los datos personales que facilita al Encargado han sido obtenidos y se tratan de forma lícita, cumpliendo con los principios establecidos en el artículo 5 del RGPD.
- Ha informado a los interesados sobre el tratamiento de sus datos conforme al artículo 13 del RGPD, incluyendo la posibilidad de que sus datos sean tratados por encargados del tratamiento.
- Cuenta con las bases jurídicas adecuadas para el tratamiento de los datos personales que encarga al Encargado.
- No existen limitaciones legales o contractuales que se opongan al encargo de tratamiento objeto del presente DPA.
- Comunicará al Encargado cualquier instrucción o restricción especial relativa al tratamiento de los datos personales.
- Confidencialidad y deber de secreto
El Encargado se obliga a mantener la más estricta confidencialidad respecto de los datos personales a los que acceda en el marco del presente DPA, así como sobre cualquier información confidencial del Responsable.
Esta obligación de confidencialidad es de carácter indefinido y subsistirá tras la finalización del contrato principal por cualquier causa.
El Encargado garantizará que todo su personal, colaboradores, subcontratistas y subencargados que tengan acceso a los datos personales están vinculados por obligaciones equivalentes de confidencialidad, ya sean contractuales o legales.
- Responsabilidad
Conforme al artículo 82 del RGPD:
- El Responsable responderá de los daños y perjuicios causados por operaciones de tratamiento que no cumplan la normativa de protección de datos.
- El Encargado únicamente responderá de los daños causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente al Encargado, o haya actuado al margen o en contra de las instrucciones del Responsable.
- El Encargado quedará exento de responsabilidad si demuestra que no es en modo alguno responsable del hecho que haya causado el daño.
Si el Encargado destina los datos a una finalidad distinta a la encargada, los comunica o los utiliza incumpliendo el presente DPA, será considerado también Responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido.
- Actualización del DPA
El Encargado podrá actualizar el presente DPA conforme al procedimiento establecido en la cláusula 7 de las Condiciones Generales de Contratación:
- Sin preaviso específico: Adaptaciones a cambios normativos sin ampliar finalidades ni incorporar nuevos datos o subencargados.
- Con preaviso de 15 días naturales: Nuevas finalidades de tratamiento, nuevas categorías de datos, nuevos subencargados no autorizados previamente, o transferencias internacionales no contempladas.
- Disposiciones finales
El presente DPA se rige por la normativa española y europea en materia de protección de datos, en particular el RGPD y la LOPDGDD. Para cualquier controversia derivada de su interpretación o ejecución, las partes se someten a los juzgados y tribunales de la ciudad de Elche, renunciando a cualquier otro fuero.
Si cualquier disposición del presente DPA fuera declarada inválida o inaplicable, las restantes disposiciones continuarán en plena vigencia. Las partes acuerdan sustituir la disposición afectada por otra que produzca efectos equivalentes.
En caso de contradicción entre el presente DPA y las Condiciones Generales de Contratación en materia de protección de datos, prevalecerán las disposiciones del presente DPA.
La versión vigente del presente DPA es la publicada en https://www.clavei.es/DPA en el momento de la aceptación del presupuesto o contrato. Las versiones anteriores se conservan en el historial de versiones disponible en dicha URL.