Contrato de encargo del tratamiento de datos personales

En , a

Reunidos

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestarle el servicio HazloLegal: redacción y firma electrónica de contratos de arrendamiento y sus anexos, registro de evidencias de firma, control de impagos e ingresos, avisos de vencimiento y copias de seguridad.

Los tratamientos consisten en: recogida, registro, conservación, consulta, modificación, comunicación al propio Responsable y a los firmantes de su documento, y supresión.

2. Duración

Este contrato estará vigente mientras el Responsable utilice el servicio. A su finalización se aplicará lo previsto en la cláusula 9.

3. Datos y personas afectadas

Categorías de interesados: arrendatarios, avalistas y, en su caso, el propio arrendador o sus representantes.

Tipos de datos: identificativos (nombre, DNI/NIE o pasaporte, domicilio, email, teléfono, firma manuscrita digitalizada), económicos (renta, fianza, cuenta bancaria, impagos), datos del inmueble y de la habitación, y datos técnicos de la firma (dirección IP, dispositivo, fecha y hora, huellas digitales del documento).

No se tratarán categorías especiales de datos del artículo 9 del RGPD.

4. Obligaciones del Encargado

1. Tratar los datos únicamente para prestar el servicio y siguiendo las instrucciones documentadas del Responsable, que se entienden dadas a través de su uso de la aplicación y de este contrato. Si una instrucción le pareciese contraria a la normativa, lo comunicará de inmediato.
2. No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del Anexo I o cuando lo exija la ley.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD.
5. Llevar un registro de las actividades de tratamiento realizadas por cuenta del Responsable.
6. Asistir al Responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige al Encargado, este trasladará la solicitud al Responsable en un plazo máximo de 5 días hábiles.
7. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa, teniendo en cuenta la naturaleza del tratamiento.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso y sin interferir en el servicio a otros clientes.

5. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados del Anexo I. El Encargado informará al Responsable de cualquier alta o sustitución con al menos 15 días de antelación, y este podrá oponerse por motivos justificados; si no se encuentra una alternativa, el Responsable podrá resolver el contrato. El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responderá de su cumplimiento.

6. Transferencias internacionales

Los datos se almacenan en Suiza, país con decisión de adecuación de la Comisión Europea. Los tratamientos puntuales realizados en Estados Unidos por los subencargados del Anexo I se amparan en el Marco de Privacidad de Datos UE-EE. UU. y, en su caso, en las cláusulas contractuales tipo aprobadas por la Comisión.

7. Violaciones de seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible sobre su naturaleza, los datos e interesados afectados, sus posibles consecuencias y las medidas adoptadas. Corresponde al Responsable notificarla a la autoridad de control y, en su caso, a los interesados.

8. Obligaciones del Responsable

1. Recoger los datos de forma lícita e informar a los interesados del tratamiento, incluida la existencia de este Encargado.
2. Introducir en el servicio solo los datos necesarios para la gestión del arrendamiento.
3. Custodiar sus credenciales de acceso y las copias de seguridad que reciba.
4. Supervisar el tratamiento y el cumplimiento del RGPD por parte del Encargado.

9. Fin de la prestación

Al terminar el servicio, el Encargado entregará al Responsable, si lo solicita, una copia de todos sus datos en formato Excel y, a continuación, los suprimirá de sus sistemas en un plazo máximo de 30 días, salvo que una norma exija conservarlos, en cuyo caso los mantendrá bloqueados durante el plazo legal. Las copias de seguridad técnicas de los subencargados se eliminan según sus propios ciclos.

10. Responsabilidad, ley aplicable y jurisdicción

Cada parte responderá de los daños derivados de su incumplimiento conforme al artículo 82 del RGPD. Si el Encargado destinase los datos a otra finalidad o los tratase incumpliendo este contrato, será considerado responsable del tratamiento a todos los efectos. Este contrato se rige por la legislación española y, en particular, por el RGPD y la Ley Orgánica 3/2018. Para cualquier controversia, las partes se someten a los juzgados y tribunales de .

Anexo I. Subencargados autorizados

Anexo II. Medidas de seguridad

1. Cifrado de las comunicaciones (HTTPS/TLS) en todas las páginas y servicios.
2. Cifrado de los datos en reposo en la base de datos.
3. Acceso del Responsable mediante email verificado y contraseña.
4. Control de acceso por fila en la base de datos: cada firmante accede solo a su documento mediante un enlace con identificador no predecible, y solo puede añadir su firma.
5. Verificación del firmante mediante código de un solo uso enviado por email, almacenado cifrado, con caducidad de 15 minutos y límite de intentos.
6. Registro de evidencias de cada firma: fecha y hora del servidor, dirección IP, dispositivo y huellas SHA-256 del documento, de los datos y de la firma.
7. Claves de servicio guardadas como secretos del servidor, nunca expuestas en el navegador.
8. Copia de seguridad semanal completa enviada al Responsable.
9. Sin cookies de terceros, analítica ni publicidad.