Contrato de encargo de tratamiento
Versión 1.0 · 24 de octubre de 2026 · Borrador para revisión jurídica. Se firma junto con el contrato de servicio.
1. Partes y roles
Responsable: el cliente que contrata FIDES (canal, administrador, gestoría, colegio o mantenedora), con los datos que figuren en el contrato. Encargado: [RAZÓN SOCIAL] («FIDES»), NIF [CIF/NIF], domicilio [DOMICILIO].
El cliente es responsable de la cartera y de las evidencias que introduce. FIDES trata esos datos únicamente para prestar el servicio de archivo, trazabilidad y generación de dossieres.
2. Objeto, duración y naturaleza
Objeto: alojar, organizar, sellar y generar dossieres a partir de las instalaciones y evidencias que el cliente introduzca. Duración: la del contrato de servicio, salvo obligación legal de conservación. Naturaleza: tratamiento automatizado y almacenamiento documental. Finalidad: exclusivamente la ejecución del servicio contratado.
3. Datos y categorías de interesados
| Categoría | Datos | Interesados |
|---|---|---|
| Cuenta | Nombre, email, credenciales cifradas, IP, accesos | Usuarios del cliente |
| Instalaciones | Dirección, municipio, titular, viviendas, notas | Titulares y comunidades |
| Evidencias | Documentos, fechas, laboratorio, resultado, extracto, hash | Titulares, técnicos, laboratorios |
| Dossiers | Destinatario, fecha, huella, aceptación | Inspectores y autoridades |
No se prevé el tratamiento de categorías especiales (art. 9 RGPD). El cliente se obliga a minimizar y redactar cualquier dato de salud, DNI o firma que no sea necesario.
4. Instrucciones del responsable
FIDES tratará los datos solo siguiendo las instrucciones documentadas del cliente, que se concretan en el uso normal del servicio y en las órdenes escritas que este envíe. Si FIDES considera que una instrucción infringe el RGPD, lo comunicará sin ejecutarla. FIDES no usará los datos para fines propios, no los venderá ni los cederá a terceros sin autorización.
5. Confidencialidad
El personal de FIDES con acceso a los datos está sujeto a deber de confidencialidad, que se mantiene tras el fin de la relación. El acceso se limita a quien lo necesita para prestar el servicio.
6. Seguridad
FIDES aplica medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre ellas: HTTPS, contraseñas con PBKDF2, tokens almacenados como hash, enlaces de dossier firmados y caducables, control de acceso por canal, registro de auditoría, copias de seguridad, validación del contenido real de los archivos y separación de la demo de la producción. El anexo de medidas se actualiza con el servicio.
7. Subencargados
El cliente autoriza a FIDES a recurrir a los siguientes subencargados, con contrato equivalente:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| [PROVEEDOR DE HOSTING] | Alojamiento de la aplicación y base de datos | UE |
| [PROVEEDOR DE BACKUP] | Copias de seguridad | UE |
| [PROVEEDOR DE EMAIL] | Correo transaccional de avisos | UE |
| [PROVEEDOR DE TSA] | Sello de tiempo cualificado (cuando se active) | UE |
FIDES avisará de cualquier cambio con 30 días de antelación y permitirá al cliente oponerse por motivos justificados. Si no hay acuerdo, el cliente puede resolver el contrato sin penalización.
8. Derechos de los interesados
FIDES asistirá al cliente para atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y pondrá a su disposición las herramientas del servicio. Si un interesado se dirige directamente a FIDES, esta le remitirá al cliente en 48 horas, salvo que la ley exija otra cosa.
9. Brechas de seguridad
FIDES notificará al cliente cualquier brecha de la que tenga conocimiento en un plazo máximo de 24 horas, con la información disponible para que el cliente pueda cumplir el plazo de 72 horas ante la AEPD. FIDES colaborará en la investigación, mitigación y documentación.
10. Evaluación de impacto y consulta previa
FIDES prestará asistencia razonable en la evaluación de impacto y en cualquier consulta previa a la autoridad de control, en la medida en que el tratamiento lo requiera y con el alcance del servicio.
11. Devolución y supresión
Al terminar el contrato, FIDES devolverá al cliente los datos en un formato estructurado y razonable y, a elección del cliente, los suprimirá o bloqueará. Se conservarán únicamente durante los plazos legales aplicables (5 años para legionela, 6 mercantiles y 4 fiscales) o mientras exista una reclamación. La supresión será segura y se acreditará por escrito si se solicita.
12. Auditoría
El cliente puede solicitar una vez al año información sobre las medidas de seguridad y, con preaviso de 15 días y sin interrumpir el servicio, una auditoría limitada al alcance del encargo. FIDES puede oponer motivos de confidencialidad o seguridad, ofreciendo documentación equivalente.
13. Transferencias internacionales
Los proveedores previstos están en la UE. Si fuera necesaria una transferencia fuera del EEE, FIDES aplicará cláusulas contractuales tipo, evaluará el riesgo y lo comunicará al cliente antes de activarla.
14. Responsabilidad
La responsabilidad por el tratamiento se rige por el contrato de servicio y por el RGPD. FIDES responde de sus propios incumplimientos como encargado; el cliente responde de la licitud de los datos y de las instrucciones que da.
15. Ley aplicable
Este anexo se rige por el RGPD, la LOPDGDD y la legislación española. Las partes se someten a los juzgados de [CIUDAD], salvo norma imperativa en contrario.