Contrato de Encargado del Tratamiento de Datos Personales

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) · Evendalia OS

Partes

Responsable del tratamiento: el Cliente identificado en la cuenta y en el pedido de contratación de Evendalia OS (el "Responsable").

Encargado del tratamiento: Alex Sánchez Onofri, empresario individual, NIF 48325919K, con domicilio en C/ Baladre, 8, 03530 La Nucía (Alicante), correo info@masqueunaweb.com (el "Encargado").

1. Objeto

1.1. El Encargado prestará al Responsable el servicio Evendalia OS descrito en las Condiciones Generales de Contratación, lo que implica el tratamiento de datos personales por cuenta del Responsable. Este contrato regula ese tratamiento conforme al artículo 28 del RGPD y al artículo 33 de la LOPDGDD.

1.2. Si el Responsable actúa a su vez como encargado de sus propios clientes (por ejemplo, una wedding planner que gestiona los datos de una pareja), el Encargado actuará como subencargado. En ese caso, el Responsable declara contar con la autorización necesaria de su cliente para contratar al Encargado y se compromete a trasladar las instrucciones aplicables.

1.3. El tratamiento se describe en el Anexo I. Las medidas de seguridad, en el Anexo II. Los subencargados autorizados, en el Anexo III.

2. Duración

Este contrato dura lo que el contrato principal, y sigue vigente durante el plazo de devolución y supresión de datos previsto en la cláusula 11.

3. Instrucciones del Responsable

3.1. El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, que son: este contrato, las Condiciones Generales, la configuración y el uso que el Responsable haga de la Plataforma y las instrucciones adicionales que comunique por escrito.

3.2. El Encargado informará al Responsable si considera que una instrucción infringe la normativa de protección de datos.

3.3. El Encargado no tratará los datos para fines propios distintos de los previstos en este contrato, salvo la generación de estadísticas agregadas y anonimizadas para mejorar el Servicio y las obligaciones legales que le sean exigibles.

4. Obligaciones del Encargado

El Encargado se compromete a:

1. Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad.
2. Seguridad. Aplicar las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo (artículo 32 RGPD).
3. Subencargados. Cumplir la cláusula 6.
4. Derechos de los interesados. Asistir al Responsable, en la medida de lo posible y mediante medidas técnicas y organizativas adecuadas, en la atención de las solicitudes de ejercicio de derechos. Si un interesado se dirige directamente al Encargado, este lo comunicará al Responsable en un máximo de 5 días hábiles, sin responder por sí mismo, salvo instrucción.
5. Asistencia al Responsable. Ayudarle a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa (artículos 32 a 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.
6. Brechas de seguridad. Cumplir la cláusula 8.
7. Registro. Llevar un registro de las actividades de tratamiento realizadas por cuenta del Responsable (artículo 30.2 RGPD).
8. Información y auditoría. Cumplir la cláusula 10.
9. Devolución y supresión. Cumplir la cláusula 11.
10. Delegado de protección de datos. El Encargado no ha designado DPO por no concurrir los supuestos del artículo 37 RGPD. El contacto en materia de privacidad es info@masqueunaweb.com.

5. Obligaciones del Responsable

El Responsable se compromete a:

1. Contar con una base jurídica válida para los tratamientos que encarga y para cada categoría de datos.
2. Informar a los interesados (clientes finales, invitados, proveedores, equipo) conforme a los artículos 13 y 14 RGPD. El Encargado facilita plantillas de aviso de privacidad que el Responsable puede utilizar y adaptar bajo su responsabilidad.
3. Recabar, cuando sea necesario, el consentimiento explícito para categorías especiales de datos (por ejemplo, alergias, intolerancias o dietas de invitados, que pueden revelar datos de salud) y el consentimiento de los titulares de la patria potestad para datos de menores de 14 años, y limitar los datos a los estrictamente necesarios.
4. Introducir en la Plataforma datos exactos y actualizados, y no introducir datos de categorías especiales o de menores que no necesite.
5. Dar instrucciones lícitas y atender el ejercicio de derechos de los interesados.
6. Gestionar la seguridad de sus cuentas y usuarios (contraseñas, revocación de accesos, roles).
7. Realizar, en su caso, la evaluación de impacto y las consultas previas que le correspondan como responsable.

6. Subencargados

6.1. Autorización general. El Responsable autoriza de forma general la contratación de los subencargados del Anexo III.

6.2. Cambios. El Encargado comunicará al Responsable, por correo electrónico o aviso en la Plataforma, cualquier alta o sustitución de subencargados con al menos 15 días de antelación. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos en un plazo de 10 días desde el aviso. Si no se alcanza una solución razonable, el Responsable podrá resolver el contrato sin penalización respecto del servicio afectado.

6.3. Garantías. El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las de este contrato y responderá frente al Responsable del cumplimiento de estas por el subencargado.

7. Transferencias internacionales

El Encargado no transferirá datos a países fuera del Espacio Económico Europeo sin garantías adecuadas: decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas) o cláusulas contractuales tipo (Decisión (UE) 2021/914), con las medidas complementarias que procedan. Las transferencias existentes constan en el Anexo III.

8. Violaciones de seguridad

8.1. El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia de ella.

8.2. La notificación incluirá, en la medida en que disponga de ella: descripción de la naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información podrá facilitarse por fases.

8.3. Corresponde al Responsable evaluar la notificación a la autoridad de control (72 horas, artículo 33 RGPD) y a los interesados (artículo 34). El Encargado cooperará razonablemente.

9. Ejercicio de derechos y solicitudes de autoridades

El Encargado no comunicará datos a terceros salvo instrucción del Responsable u obligación legal. Si una autoridad le requiere datos, lo notificará al Responsable con carácter previo, salvo prohibición legal.

10. Información y auditorías

10.1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato, y atenderá cuestionarios de seguridad razonables (no más de uno al año, salvo incidente).

10.2. El Responsable podrá realizar una auditoría, propia o mediante un auditor independiente sujeto a confidencialidad, con 30 días de preaviso, una vez al año como máximo, en horario laboral, sin perturbar la actividad del Encargado ni acceder a datos de otros clientes, y a su costa. El Encargado podrá satisfacer esta obligación aportando informes o certificaciones de terceros cuando sean suficientes.

11. Devolución y supresión

11.1. Al finalizar el contrato, el Encargado permitirá al Responsable exportar los datos durante 30 días (véase la cláusula 17 de las Condiciones Generales).

11.2. Transcurrido ese plazo, el Encargado suprimirá los datos y sus copias, salvo los que deba conservar por obligación legal (debidamente bloqueados) y sin perjuicio de las copias de seguridad, que se eliminarán en su ciclo de rotación, de como máximo 35 días.

11.3. A solicitud del Responsable, el Encargado certificará la supresión.

11.4. Para las carpetas de Google Drive creadas por la integración, la retención es configurable por el Responsable en los ajustes de la Plataforma; la supresión afecta solo a los archivos gestionados por la integración.

12. Responsabilidad

Cada parte responde frente a los interesados conforme al artículo 82 RGPD. Entre las partes se aplican las limitaciones de responsabilidad de las Condiciones Generales, sin perjuicio de los derechos de los interesados y de lo que la ley no permita limitar.

13. Legislación aplicable

Este contrato se rige por el derecho español y el RGPD. Para su interpretación se aplican los mismos fueros que en las Condiciones Generales.

---

Anexo I — Descripción del tratamiento

Anexo II — Medidas técnicas y organizativas de seguridad

Control de acceso y aislamiento

• Autenticación de usuarios con contraseña y gestión de sesiones.
• Aislamiento lógico de los datos de cada organización (identificador de organización en cada registro) con políticas de seguridad a nivel de fila en la base de datos.
• Control de acceso por roles con visibilidad limitada por tarea y por tipo de usuario.
• Acceso del personal del Encargado a los datos de clientes restringido al mínimo necesario.
• Los enlaces públicos del portal de cliente utilizan tokens no predecibles y se desactivan según la configuración del proyecto.

Cifrado y comunicaciones

• Cifrado de las comunicaciones mediante TLS.
• Cifrado en reposo de la base de datos y del almacenamiento por parte del proveedor de alojamiento.
• Secretos y claves fuera del código fuente, gestionados como variables de entorno.

Disponibilidad y recuperación

• Copias de seguridad de la base de datos a cargo del proveedor de alojamiento (Supabase), conforme al plan contratado, con capacidad de restauración ante incidentes. El ciclo de retención de las copias no supera los 35 días según la configuración aplicable.

Desarrollo y operación

• Entornos de desarrollo/pruebas (staging) separados de producción; los cambios se validan antes de su despliegue.
• Revisión de código y control de versiones; gestión de dependencias y actualizaciones de seguridad.
• Registros de actividad y logs de la infraestructura de despliegue (Vercel). No hay herramienta dedicada de monitorización de errores de terceros activa en este momento.
• Datos reales no utilizados en entornos de prueba salvo autorización.

Organización

• Procedimiento de gestión de incidentes y notificación de brechas (cláusula 8).
• Acuerdos de confidencialidad con el personal y colaboradores con acceso a datos.
• Política de retención y supresión (véase la Política de Retención de Datos).
• Revisión periódica de subencargados y de las medidas.

Anexo III — Subencargados autorizados

No hay, en este momento, proveedor de correo transaccional de producto (los envíos operativos usan mailto: / wa.me abiertos por el usuario), ni API de mensajería WhatsApp/SMS, ni herramienta dedicada de monitorización de errores de terceros. Cualquier alta futura se comunicará conforme a la cláusula 6.

Nota sobre integraciones iniciadas por el Cliente. Cuando el Responsable conecta su propia cuenta de Google (por ejemplo, Google Drive), Google actúa por cuenta y decisión del Responsable con arreglo a sus propios términos, por lo que no se considera subencargado del Encargado.

Última actualización: 24 de septiembre de 2026 · Versión 0.2