Contrato de Encargado de Tratamiento (DPA)

BORRADOR — pendiente de revisión por un asesor legal / DPO. Plantilla conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). Forma parte de los Términos y Condiciones de Sellucid y se entiende aceptada por el Usuario al conectar su cuenta de Amazon o al contratar el Servicio. Completa los campos [ENTRE CORCHETES].

Última actualización: [FECHA]

Partes

Responsable del tratamiento (el «Responsable»): el Usuario del Servicio (la persona física o jurídica titular de la cuenta de Sellucid y de la cuenta de Amazon conectada), cuyos datos identificativos constan en su cuenta.
Encargado del tratamiento (el «Encargado»): GLINDISHOP SL, NIF B12345678, con domicilio en [DOMICILIO SOCIAL], correo [EMAIL DE PRIVACIDAD] (en adelante, «Sellucid»).

Ambas partes reconocen que, en el marco de la prestación del Servicio, el Encargado trata por cuenta del Responsable los datos personales descritos en el Anexo I.

1. Objeto

El presente contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable para prestar el Servicio Sellucid, de conformidad con el art. 28 RGPD. El Encargado tratará los datos únicamente para dicha finalidad y conforme a las instrucciones documentadas del Responsable (que incluyen las recogidas en este contrato y en la configuración del Servicio).

2. Duración

Este contrato estará vigente mientras el Encargado preste el Servicio al Responsable y trate datos por su cuenta. Finalizada la relación, se aplicará la cláusula 9 (devolución o supresión).

3. Instrucciones del Responsable

3.1. El Encargado tratará los datos personales siguiendo las instrucciones documentadas del Responsable. El uso del Servicio y su configuración constituyen tales instrucciones.

3.2. El Encargado informará al Responsable si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos.

3.3. Si el Encargado estuviera obligado por el Derecho de la UE o de un Estado miembro a un tratamiento que exceda las instrucciones, informará al Responsable antes de tratarlos, salvo prohibición legal.

4. Obligaciones del Encargado

El Encargado se compromete a:

a) Tratar los datos solo conforme a las instrucciones del Responsable y para prestar el Servicio.

b) Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

c) Adoptar las medidas de seguridad técnicas y organizativas adecuadas conforme al art. 32 RGPD (Anexo II).

d) Respetar las condiciones para recurrir a subencargados (cláusula 5).

e) Asistir al Responsable, mediante medidas adecuadas, para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad).

f) Asistir al Responsable en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información disponible.

g) Notificar al Responsable, sin dilación indebida y a más tardar en [48/72] horas desde que tenga constancia, cualquier violación de la seguridad de los datos que afecte a los datos tratados por su cuenta, aportando la información disponible.

h) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por el Responsable o un auditor autorizado, en los términos de la cláusula 7.

5. Subencargados

5.1. El Responsable autoriza de forma general al Encargado a recurrir a los subencargados relacionados en el Anexo III para la prestación del Servicio (alojamiento, base de datos, pasarela de pago, correo, IA, etc.).

5.2. El Encargado informará de cualquier cambio previsto en la incorporación o sustitución de subencargados con antelación razonable, dando al Responsable la posibilidad de oponerse por motivos razonables. Si la oposición no puede resolverse, el Responsable podrá resolver el contrato.

5.3. El Encargado impondrá a sus subencargados, mediante contrato, las mismas obligaciones de protección de datos previstas en este contrato, y seguirá siendo responsable frente al Responsable del cumplimiento por parte del subencargado.

6. Transferencias internacionales

El Encargado no transferirá los datos fuera del Espacio Económico Europeo salvo que sea necesario para prestar el Servicio (p. ej. por la ubicación de algún subencargado) y siempre con las garantías adecuadas previstas en el RGPD (decisión de adecuación, Cláusulas Contractuales Tipo u otras garantías). El detalle figura en el Anexo III.

7. Auditorías

El Responsable podrá verificar el cumplimiento de este contrato mediante solicitud de información o auditoría, con preaviso razonable, sin interferir desproporcionadamente en la actividad del Encargado y respetando la confidencialidad y la seguridad de otros clientes. El Encargado podrá satisfacer este derecho aportando certificaciones, informes de auditoría de terceros o cuestionarios cumplimentados, cuando resulten suficientes.

8. Responsabilidad

Cada parte responderá frente a la otra y frente a los interesados conforme al art. 82 RGPD y a lo previsto en los Términos y Condiciones. El Responsable garantiza que dispone de base jurídica para el tratamiento de los datos que aporta al Servicio y que ha cumplido sus deberes de información hacia los interesados.

9. Devolución o supresión al finalizar

A elección del Responsable, una vez finalizada la prestación del Servicio el Encargado suprimirá o devolverá los datos personales tratados por su cuenta y eliminará las copias existentes, salvo que el Derecho de la UE o de un Estado miembro exija su conservación. El Responsable podrá exportar sus datos antes de la baja desde el propio Servicio o solicitándolo en [EMAIL].

Anexo I — Descripción del tratamiento

Objeto: prestación del Servicio Sellucid (análisis y gestión de la actividad de venta en Amazon del Responsable).
Duración: la de la relación contractual.
Naturaleza y finalidad: recogida, almacenamiento, consulta, organización, análisis y visualización de datos procedentes de la cuenta de Amazon del Responsable y de su uso del Servicio.
Categorías de interesados: el Responsable y su personal autorizado; en su caso, los compradores/clientes del Responsable en Amazon.
Categorías de datos personales: datos identificativos y de contacto (nombre, dirección de envío, en su caso, contenidos en los pedidos), datos de transacciones y pedidos, y datos de uso técnico. (No se prevé el tratamiento de categorías especiales de datos.)

Anexo II — Medidas de seguridad (art. 32 RGPD)

Medidas técnicas y organizativas aplicadas por el Encargado, entre otras:

Cifrado de los datos en tránsito (TLS) y, cuando proceda, en reposo.
Control de acceso basado en roles y autenticación de los usuarios.
Segregación lógica de los datos por cuenta/espacio de trabajo.
Registro de actividad y monitorización de seguridad.
Copias de seguridad y procedimientos de recuperación.
Gestión de proveedores y subencargados con garantías contractuales.
Procedimiento de gestión y notificación de violaciones de seguridad.

(Ajusta esta lista a las medidas realmente implantadas.)

Anexo III — Subencargados autorizados

Subencargado	Servicio	Ubicación	Garantía para transferencias
[Vercel Inc.]	Alojamiento de la aplicación	[EE. UU. / UE]	[SCC / adecuación]
[Neon]	Base de datos	[UE / EE. UU.]	[SCC / adecuación]
[Stripe]	Pasarela de pago	[EE. UU. / UE]	[SCC / adecuación]
[Proveedor de correo]	Correos transaccionales	[ ]	[ ]
[Proveedor de IA]	Adaptación de texto	[ ]	[ ]

Documento generado como borrador de trabajo para GLINDISHOP SL. Revísalo con un profesional antes de su uso.