Acuerdo de encargo de tratamiento
Condiciones del artículo 28 del RGPD para los datos personales que cada negocio trata en ObradorSimple.
- Versión
- 1.2
- Revisado
- Estado
- Vigente
1. Partes y función
Actúa como responsable el negocio identificado en el alta, pedido o contrato de ObradorSimple. Actúa como encargada Peyleth Solutions SL, NIF B93716306.
Este acuerdo formará parte del contrato B2B cuando sea referenciado y aceptado de forma expresa. No regula los tratamientos en los que Peyleth actúa como responsable, descritos en la Política de privacidad.
2. Objeto, duración y operaciones
La encargada alojará, organizará, consultará, modificará por instrucción, protegerá, exportará y suprimirá los datos necesarios para prestar ObradorSimple. El tratamiento dura mientras exista el servicio y durante la devolución, bloqueo o eliminación posterior prevista en el contrato y en la ley.
3. Personas y datos tratados
| Personas interesadas | Datos posibles | Finalidad dentro del servicio |
|---|---|---|
| Clientes y destinatarios del obrador | Identidad, NIF, dirección, contacto y datos incluidos en ventas, presupuestos o documentos | Gestionar la relación y generar los resultados solicitados |
| Personal y colaboradores del obrador | Identidad, email, rol, acciones y trazabilidad | Dar acceso, aplicar permisos y conservar auditoría |
| Proveedores o terceros añadidos en notas | Los datos que el responsable decida introducir | Conservar el contenido necesario para la función elegida |
El servicio no está diseñado para categorías especiales de datos, historiales clínicos, biometría, datos penales ni información innecesaria para gestionar el obrador. El responsable no debe introducirlos salvo que exista una función expresamente preparada y un acuerdo previo.
4. Instrucciones del responsable
Peyleth tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las que se derivan del uso normal de las funciones contratadas. Si una instrucción parece contraria a la normativa de protección de datos, informará al responsable y podrá suspenderla hasta aclararla.
El responsable garantiza que cuenta con base jurídica, cumple el deber de información, respeta la minimización y configura el acceso de sus usuarios de forma adecuada.
5. Obligaciones de Peyleth
- Autorizar solo a personas sujetas a confidencialidad y con acceso necesario para su función.
- Mantener medidas técnicas y organizativas proporcionadas al riesgo.
- Ayudar al responsable a atender derechos, incidentes, evaluaciones de impacto y consultas de autoridades cuando resulte aplicable.
- Conservar la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
- No utilizar los datos del obrador para publicidad propia o de terceros ni para finalidades incompatibles.
6. Medidas de seguridad
El diseño aplica aislamiento por negocio, controles de acceso por rol, sesiones protegidas, cifrado en tránsito, restricciones en base de datos, minimización de logs, gestión separada de secretos y trazabilidad de acciones sensibles. Los documentos emitidos se conservan sin edición destructiva.
Peyleth mantiene procedimientos proporcionados para la continuidad y restauración del servicio, criterios documentados de retención por categoría y revisión de los proveedores que intervienen en el tratamiento. Las medidas pueden actualizarse conforme evolucione el servicio, sin reducir el nivel general de protección exigible.
7. Subencargados
El responsable concede autorización general para utilizar los proveedores necesarios identificados en la lista vigente. Peyleth les impondrá obligaciones equivalentes en la medida exigida por el RGPD y seguirá siendo responsable de su correcta selección y supervisión.
Las incorporaciones o sustituciones materiales se comunicarán por un canal registrable con al menos quince días naturales de antelación, salvo urgencia legal o de seguridad justificada. El responsable podrá formular una objeción motivada durante ese plazo.
8. Derechos e incidentes
Si una persona ejerce un derecho directamente ante Peyleth respecto de datos controlados por el obrador, se remitirá la solicitud al responsable sin responder en su nombre salvo instrucción o deber legal.
Peyleth notificará al responsable, sin dilación indebida, las violaciones de seguridad de datos personales de las que tenga conocimiento y facilitará la información disponible para valorar, contener, documentar y, cuando corresponda, comunicar el incidente.
9. Final del servicio
Al terminar, el responsable podrá obtener sus datos en los formatos y plazos de salida publicados. Después de la ventana de recuperación, Peyleth los devolverá o suprimirá según la elección válida del responsable, salvo conservación exigida por ley. Las copias de seguridad desaparecerán conforme a su ciclo documentado y permanecerán inaccesibles para usos ordinarios mientras tanto.
10. Evidencia y auditoría
Peyleth facilitará la documentación razonablemente necesaria para acreditar este acuerdo. Las auditorías se coordinarán con antelación, limitarán su alcance a lo necesario y protegerán la seguridad y confidencialidad de otros clientes. Primero podrán utilizarse informes o certificaciones independientes disponibles.
11. Transferencias internacionales
Ningún acceso desde fuera del Espacio Económico Europeo se realizará sin una base válida. Cuando un proveedor implique una transferencia, se aplicará el mecanismo documentado en la lista de subencargados, junto con medidas adicionales cuando sean necesarias.
12. Contacto y prevalencia
Las instrucciones o consultas de protección de datos deben enviarse a contacto@obradorsimple.com. Si existe contradicción, este acuerdo prevalece sobre las condiciones generales en lo relativo al encargo, sin desplazar las normas imperativas ni las cláusulas específicas de transferencia.