Contrato de Encargo del Tratamiento (art. 28 RGPD)

Este Contrato de Encargo del Tratamiento regula el tratamiento de datos personales que Previgencia realiza por cuenta del despacho identificado en la aceptación electrónica, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Partes. Son Partes de este Contrato:

1. el despacho o profesional identificado en la cuenta autenticada de Previgencia desde la que se acepta el Contrato, cuya denominación, cuenta, persona aceptante y momento de aceptación quedan incorporados al registro electrónico (el Responsable); y
2. ZETI Financial Technologies OÜ, sociedad constituida conforme al Derecho de Estonia, con código de registro 16447430, NIF-IVA EE102673704 y domicilio social en Lõõtsa tn 5 // Sepapaja tn 4, 11415 Tallinn, Harju maakond, Estonia, que presta el servicio con la denominación comercial Previgencia (el Encargado).

El Contrato surte efectos en la fecha y hora de su aceptación electrónica y forma parte del contrato de prestación de servicios entre las Partes. Si existe un conflicto sobre el tratamiento de datos personales, prevalece este Contrato de Encargo del Tratamiento.

1. Definiciones

Los términos datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, subencargado del tratamiento, interesado, violación de la seguridad de los datos personales, categorías especiales de datos y autoridad de control tienen el significado que les atribuyen el RGPD y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La expresión Normativa de Protección de Datos comprende ambas normas y cualquier otra norma de protección de datos aplicable al tratamiento.

2. Roles y ámbito

2.1 El Responsable determina los fines y medios del tratamiento. El Encargado trata los datos únicamente por cuenta del Responsable y conforme a sus instrucciones documentadas. El objeto, duración, naturaleza, finalidad, tipos de datos y categorías de interesados constan en el Anexo I.

2.2 Corresponde al Responsable determinar la base jurídica del tratamiento y, cuando proceda, la condición aplicable de los artículos 9.2 o 10 del RGPD, así como cumplir las obligaciones de información y transparencia frente a las personas interesadas.

3. Obligaciones del Encargado

El Encargado se obliga a:

a. tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo obligación establecida por el Derecho de la Unión o de un Estado miembro; en ese caso informará previamente al Responsable, salvo prohibición legal; b. informar al Responsable si considera que una instrucción infringe la Normativa de Protección de Datos; c. garantizar que las personas autorizadas para tratar datos personales estén sujetas a un deber de confidencialidad y conozcan el carácter sensible de los expedientes y el secreto profesional aplicable; d. aplicar y mantener las medidas técnicas y organizativas del Anexo II; e. recurrir a subencargados únicamente conforme a la cláusula 4; f. asistir al Responsable, en la medida de lo posible, para atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición; g. asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en sus obligaciones de seguridad, gestión de brechas, evaluación de impacto y consulta previa; h. suprimir o devolver los datos al finalizar los servicios, a elección del Responsable, salvo obligación legal de conservación; y i. poner a disposición del Responsable la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitir auditorías conforme a la cláusula 8.

Si el Encargado recibe directamente una solicitud de una persona interesada, la remitirá sin dilación al Responsable y no responderá por cuenta de este salvo instrucción documentada.

4. Subencargados del tratamiento

4.1 El Responsable concede autorización general para recurrir a los subencargados enumerados en el Anexo III.

4.2 El Encargado informará al Responsable de cualquier incorporación o sustitución prevista de un subencargado directo con al menos 30 días de antelación, para que pueda oponerse por motivos razonables de protección de datos. Si las Partes no resuelven la oposición, el Responsable podrá resolver los servicios afectados.

4.3 Cuando el cambio se produzca en la cadena de un subencargado y el Encargado disponga de un plazo de oposición inferior, informará al Responsable sin dilación indebida desde que conozca el cambio y comunicará el plazo efectivo del que disponga.

4.4 El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este Contrato y seguirá respondiendo ante el Responsable del cumplimiento de dichas obligaciones.

5. Ubicación y transferencias internacionales

5.1 El alojamiento principal del servicio se encuentra en Alemania y las copias de seguridad cifradas se almacenan en Francia. El OCR se dirige a la configuración europea verificada de Mistral AI, con Retención Cero de Datos activa y sin uso de los documentos para entrenamiento.

5.2 La configuración europea verificada describe la ruta actual del servicio, pero no constituye una garantía contractual de residencia exclusiva en la Unión Europea o el Espacio Económico Europeo. El contrato de Mistral AI permite que su cadena de subencargados realice tratamientos transitorios fuera de ese territorio cuando estén amparados por Cláusulas Contractuales Tipo u otro mecanismo válido del capítulo V del RGPD.

5.3 El Encargado no realizará ni autorizará una transferencia internacional sin un mecanismo válido conforme a los artículos 44 a 49 del RGPD e informará al Responsable cuando el cambio de la cadena de tratamiento active las obligaciones de la cláusula 4.

6. Violaciones de la seguridad de los datos personales

6.1 El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las 24 horas siguientes a tener conocimiento, cualquier violación de la seguridad que afecte a sus datos. Comunicará la información disponible sobre la naturaleza de la brecha, las categorías y número aproximado de personas afectadas, sus posibles consecuencias y las medidas adoptadas o propuestas. La información podrá facilitarse por fases cuando no esté disponible al mismo tiempo.

6.2 El Encargado no notificará a la autoridad de control ni a las personas interesadas por cuenta del Responsable salvo instrucción documentada. El Responsable conserva sus obligaciones conforme a los artículos 33 y 34 del RGPD, incluido el plazo de 72 horas para notificar a la autoridad cuando proceda.

7. Devolución o supresión de los datos

Al finalizar los servicios o cuando lo solicite el Responsable, el Encargado, a elección de este, devolverá o suprimirá de forma segura los datos personales e instruirá a sus subencargados para que hagan lo mismo. Una vez realizada, en su caso, la devolución, los datos se retirarán de los sistemas activos sin dilación indebida. Las copias de seguridad cifradas permanecerán aisladas del uso ordinario y se suprimirán automáticamente mediante su ciclo de rotación. La actuación completa, incluidas esas copias, finalizará en un plazo máximo de 30 días, salvo que el Derecho aplicable exija su conservación. Si durante ese plazo fuera necesario restaurar una copia anterior, el Encargado volverá a aplicar la instrucción de supresión antes de reanudar el tratamiento ordinario. El Encargado facilitará confirmación de la supresión.

8. Información y auditorías

8.1 El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento del artículo 28 del RGPD.

8.2 Con un preaviso de 30 días, el Responsable o un auditor independiente sujeto a confidencialidad podrá realizar una auditoría en horario laboral y sin perturbaciones injustificadas. Las auditorías ordinarias se limitarán a una cada 12 meses. No se aplicará este límite cuando exista una brecha que afecte al Responsable, lo requiera una autoridad de control o haya indicios razonables de incumplimiento.

8.3 El Encargado podrá atender total o parcialmente una solicitud mediante certificaciones, informes independientes u otra evidencia suficiente, cuando estén disponibles y resulten adecuados para el alcance solicitado.

9. Registro de actividades

El Encargado mantiene el registro de las categorías de actividades de tratamiento efectuadas por cuenta de los responsables exigido por el artículo 30.2 del RGPD y lo pondrá a disposición de la autoridad de control cuando esta lo solicite.

10. Responsabilidad

10.1 Cada Parte responderá de los daños que le sean imputables conforme al artículo 82 del RGPD y al resto de la Normativa de Protección de Datos. El Encargado responderá cuando incumpla obligaciones del RGPD dirigidas específicamente a los encargados o actúe al margen o en contra de instrucciones legales del Responsable.

10.2 Cuando una Parte haya abonado íntegramente una indemnización por un tratamiento en el que participen ambas Partes, podrá reclamar a la otra la parte correspondiente a su responsabilidad, conforme al artículo 82.5 del RGPD.

10.3 Ninguna disposición de este Contrato limita los derechos de las personas interesadas, las facultades de las autoridades de control ni las obligaciones imperativas de las Partes.

11. Duración, ley aplicable y jurisdicción

11.1 El Contrato permanecerá vigente mientras el Encargado trate datos personales por cuenta del Responsable. Las obligaciones que por su naturaleza deban subsistir continuarán tras su terminación.

11.2 El Contrato se rige por la legislación española. Cualquier controversia entre las Partes se someterá a los juzgados y tribunales que resulten competentes conforme a la normativa procesal aplicable, sin perjuicio de los derechos de las personas interesadas y de las competencias de las autoridades de control.

Anexo I — Descripción del tratamiento

• Objeto: recepción directa, por cuenta del Responsable, de datos y documentos aportados mediante una invitación válida y limitada a un expediente; extracción mediante OCR y comprobación determinista de documentos de expedientes de solicitud de nacionalidad española por residencia; y generación de un informe de preparación sujeto a revisión profesional.
• Duración: el tiempo de vigencia de la prestación del servicio y los periodos de conservación indicados a continuación.
• Conservación operativa: salvo instrucción documentada distinta, los documentos aportados se suprimen automáticamente 365 días después de registrar la resolución del expediente y el expediente completo se suprime 1.825 días después de la resolución o de la última actividad. El Responsable puede solicitar antes la supresión.
• Naturaleza y finalidad: recogida y puesta a disposición del Responsable de los datos y documentos que la persona solicitante aporte directamente; extracción mediante OCR, comprobación mediante un motor de reglas determinista y generación de un informe de apoyo. El servicio es asistencial, exige revisión profesional y no adopta decisiones con efectos jurídicos basadas únicamente en tratamiento automatizado.
• Tipos de datos personales: datos identificativos y de contacto; fecha y lugar de nacimiento; nacionalidad; datos de residencia, estado civil y familia; información de representación; documentos del expediente, incluidos pasaportes, certificados registrales, justificantes de pago y certificados de antecedentes penales; datos relativos a condenas e infracciones penales; datos extraídos de esos documentos; y datos de cuenta y actividad de los usuarios del despacho, así como datos seudonimizados de invitación y sesión y la actividad de aportación de la persona solicitante.
• Categorías de personas interesadas: personas solicitantes de nacionalidad española por residencia; familiares, representantes y otras personas que figuren en sus documentos; y usuarios autorizados del despacho.

Anexo II — Medidas técnicas y organizativas

El Encargado mantiene, entre otras, las siguientes medidas adecuadas al riesgo:

• control de acceso y aislamiento de los datos de cada despacho;
• autenticación con contraseñas protegidas mediante una función de derivación resistente y sesiones aleatorias con caducidad y rotación;
• cifrado de las comunicaciones y cifrado en reposo de la base de datos, los documentos y las copias de seguridad;
• acceso a los documentos condicionado a que se trate de un usuario del despacho perteneciente a la cuenta autorizada o de una invitación válida, con caducidad y limitada a un único expediente;
• invitaciones protegidas mediante un enlace privado, individual y aleatorio de 256 bits, limitado a un único expediente y reutilizable hasta su envío, caducidad, revocación o rotación; conservación exclusiva de la huella SHA-256 del localizador y canje deliberado por una sesión aleatoria con caducidad;
• la posesión del enlace habilita su canje, pero no acredita la identidad civil: el Responsable debe dirigirlo a la persona prevista y puede revocarlo o rotarlo; antes del canje deliberado no se revela el Responsable ni dato alguno del expediente, y la persona invitada nunca accede a valores, documentos, nombres de archivo o informes que ya obren en él;
• OCR en la configuración europea de Mistral AI, con Retención Cero de Datos y sin entrenamiento con los documentos enviados;
• eliminación segura, rectificación, restricción del tratamiento y exportación de los datos del expediente;
• registro de actividad con protección frente a alteraciones y conservación limitada;
• separación entre la extracción probabilística y el motor de reglas determinista, umbrales de confianza y derivación a revisión manual cuando una comprobación no sea fiable;
• detección automatizada y registro de señales de seguridad para su revisión operativa; y
• copias de seguridad cifradas antes de salir del entorno controlado por el Encargado y almacenadas en la Unión Europea.

El Encargado revisará estas medidas periódicamente y las adaptará cuando cambien el riesgo, la tecnología o el tratamiento.

Anexo III — Subencargados autorizados

Los cambios se notifican y pueden ser objeto de oposición conforme a la cláusula 4.

Aceptación electrónica

El Responsable acepta expresamente este Contrato desde una sesión autenticada. El registro de aceptación conserva la cuenta y la persona aceptante, la fecha y hora, la versión y la huella SHA-256 del contenido exacto. Este registro constituye la formalización electrónica de las Partes conforme al artículo 28.9 del RGPD.