Borrador pendiente de revisión por un abogado. Este contrato todavía no es definitivo. Los huecos marcados como [PENDIENTE] faltan por completar.

Contrato de encargado del tratamiento

Artículo 28 del RGPD · Versión de 5 de noviembre de 2026

Reunidos

De una parte, el RESPONSABLE: la empresa cliente de Phine [PENDIENTE: razón social, NIF, domicilio y representante del cliente].

De otra parte, el ENCARGADO: Óscar Gesteiro (nombre comercial «phine»), NIF [PENDIENTE: NIF], con domicilio en Teixugueiras 40, 36212 Vigo (España) y email oscargesteiro@gmail.com.

Las partes acuerdan este contrato, que forma parte de las condiciones de uso del servicio.

1. Objeto

El Encargado trata por cuenta del Responsable los datos personales necesarios para prestar el servicio Phine: buscar y verificar empresas y profesionales que encajan con el cliente ideal del Responsable, preparar mensajes para su aprobación, cargarlos en las herramientas del Responsable, procesar las respuestas y gestionar citas.

El Responsable decide a quién se contacta, para qué y con qué medios principales. El Encargado solo ejecuta esas decisiones.

2. Detalle del tratamiento

3. Instrucciones del Responsable

El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable: las que da al configurar el servicio (cliente ideal, estrategia, aprobación de plantillas, límites de envío) y las que envíe por escrito. Si una instrucción le parece contraria al RGPD u otra norma, el Encargado avisará al Responsable de inmediato y podrá no ejecutarla mientras tanto.

4. Obligaciones del Encargado

1. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal (que comunicará antes al Responsable si la ley se lo permite).
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a guardar confidencialidad.
3. Aplicar las medidas de seguridad del artículo 32 RGPD descritas en el Anexo.
4. Mantener separados los datos de cada cliente: los contactos de un Responsable nunca se usan para otro.
5. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
6. Respetar la lista de supresión del Responsable en todos los envíos.

5. Subencargados

El Responsable da una autorización general para que el Encargado use estos subencargados:

El Encargado firma con cada subencargado un contrato con las mismas obligaciones de protección de datos que este, y responde frente al Responsable de su cumplimiento. Avisará por email al Responsable de cualquier alta o cambio de subencargado con al menos 15 días de antelación; el Responsable puede oponerse por motivos razonables y, si no hay acuerdo, darse de baja sin penalización.

Cuentas propias del Responsable

Las herramientas que el Responsable conecta con sus propias cuentas (por ejemplo HubSpot, Cal.com, su proveedor de dominio y su proveedor de correo, desde cuyo buzón se envían los mensajes y se leen las respuestas) las contrata el Responsable directamente. Esos proveedores son encargados del Responsable, no subencargados de Phine: el Responsable debe tener firmado con cada uno su propio contrato de encargado (DPA). Phine solo accede a ellas, con las claves que le da el Responsable, para ejecutar el servicio.

6. Transferencias internacionales

Los subencargados de EE. UU. tratan datos bajo el Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, bajo cláusulas contractuales tipo de la Comisión Europea con las medidas adicionales necesarias. [PENDIENTE: verificar la garantía de cada subencargado]

7. Derechos de los interesados

Si un interesado pide al Encargado acceso, rectificación, supresión, oposición, limitación o portabilidad, el Encargado lo trasladará al Responsable en un máximo de 5 días hábiles. Las bajas («no quiero recibir más mensajes»), por enlace o respondiendo al correo, se aplican de inmediato en la lista de supresión y se comunican al Responsable. El Responsable puede suprimir un contacto desde su panel: se borra y solo se conserva una huella cifrada (no reversible) de su email para no volver a escribirle. El Encargado ayudará al Responsable a responder dentro de los plazos legales.

8. Violaciones de seguridad

Si el Encargado detecta una violación de seguridad que afecte a los datos, avisará al Responsable sin dilación indebida y en un máximo de 48 horas, con la información disponible: qué ha pasado, qué datos y cuántas personas pueden estar afectadas, consecuencias probables y medidas tomadas. Notificar a la AEPD y a los interesados corresponde al Responsable, con la ayuda del Encargado.

9. Ayuda al Responsable

El Encargado ayudará al Responsable, en la medida de lo posible, con las evaluaciones de impacto, las consultas previas a la autoridad y el cumplimiento de los artículos 32 a 36 del RGPD.

10. Obligaciones del Responsable

• Tener una base legal válida para cada contacto (normalmente interés legítimo B2B, con su evaluación escrita) y cumplir el artículo 21 de la LSSI sobre comunicaciones comerciales por email.
• Informar a los interesados como tarde en la primera comunicación (art. 14 RGPD), con un pie legal y un enlace a su propia política de privacidad.
• Revisar y aprobar la estrategia y las primeras plantillas antes de cualquier envío.
• Dar instrucciones lícitas y supervisar el tratamiento.

11. Fin del contrato: devolución y borrado

Al terminar el servicio, el Encargado pondrá a disposición del Responsable una exportación de sus datos durante 30 días y después los suprimirá, incluidas las copias, salvo que la ley obligue a conservarlos (en cuyo caso los mantendrá bloqueados). Las copias de seguridad se borran al caducar, en un máximo de 90 días.

Durante el servicio se aplican estos plazos de conservación: el diario de actividad, 180 días; los contactos cerrados sin respuesta (terminados, no interesados o no válidos), 12 meses, tras los que se borran y queda solo la huella de su email en la lista de supresión.

12. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar que cumple este contrato y permitirá auditorías, avisadas con 30 días de antelación, como máximo una vez al año salvo incidente, hechas por el Responsable o por un auditor obligado a confidencialidad.

13. Responsabilidad y ley aplicable

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el Encargado usa los datos para otros fines o incumple este contrato, será considerado responsable de ese tratamiento. Este contrato se rige por la ley española; para cualquier conflicto, las partes se someten a los juzgados y tribunales de Vigo.

Anexo: medidas de seguridad

• Toda la comunicación con la web va cifrada (HTTPS); las cookies de sesión son HttpOnly y Secure.
• Contraseñas guardadas como huella scrypt con sal; nunca en claro.
• Claves de conexión del Responsable cifradas con AES-256-GCM, atadas a su empresa; nunca se muestran ni se escriben en archivos. La clave de cifrado se puede rotar sin perder datos.
• Separación de datos por empresa: cada sesión solo accede a los datos de su propia empresa.
• Límite de intentos de acceso y sesiones que caducan tras 7 días sin uso (30 como máximo).
• Servidor en la región UE del proveedor, con disco persistente y copias de seguridad programadas.
• Acceso de administración con contraseña robusta y verificación en dos pasos.
• Minimización: solo se guardan los datos necesarios para la prospección B2B; nada de categorías especiales.
• Voz: teléfono cifrado, PIN guardado como huella y con bloqueo por intentos, peticiones de Twilio con firma comprobada y sin grabación de audio. Por voz nunca se aprueba nada material.

Firmas