VESPRADA
← Volver a la portada

Encargo del tratamiento

Este anexo se celebra en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). En él, el Despacho es el Responsable del tratamiento y Vesprada es la Encargada.

1. Objeto

La Encargada trata, por cuenta del Responsable, los datos personales necesarios para prestar el servicio del contrato. El tratamiento comprende:

  • el alojamiento y la conservación de los datos y su consulta a través de la Plataforma;
  • las copias de seguridad;
  • la recepción y clasificación de los correos que el Responsable dirige a la dirección de archivo de la Plataforma;
  • el envío de avisos;
  • la generación de documentos y su firma electrónica;
  • cuando el Responsable lo activa, la remisión de registros de facturación a la Agencia Tributaria;
  • la asistencia y el soporte que pida el Responsable;
  • la exportación, la devolución y la supresión de los datos.

2. Datos e interesados

  • 2.1. Categorías de datos:
    • datos identificativos y de contacto;
    • características personales y circunstancias sociales;
    • datos académicos, profesionales y de empleo;
    • datos económicos, financieros, de seguros y de transacciones;
    • categorías especiales de datos (en particular, de salud);
    • datos relativos a condenas e infracciones penales (artículo 10 RGPD);
    • cualquier otro dato que incluyan los documentos y comunicaciones de los asuntos del Responsable.
  • 2.2. Interesados: clientes y sus representantes; partes contrarias; testigos, peritos y demás intervinientes; procuradores y otros profesionales; contactos; proveedores; y el personal y los Usuarios del Responsable.
  • 2.3. La Encargada no decide qué datos se introducen. Las categorías son amplias porque así lo exige la naturaleza de la actividad del Responsable.

3. Duración

Este encargo dura lo mismo que el contrato. Después se aplica la cláusula 9 de este anexo.

4. Obligaciones de la Encargada

La Encargada se obliga a:

  • a) tratar los datos solo siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales. Son instrucciones el contrato, este anexo y la configuración que el Responsable hace en la Plataforma. Si una instrucción le parece contraria a la normativa, lo avisa de inmediato;
  • b) no tratar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal;
  • c) garantizar que las personas autorizadas para tratar los datos se han comprometido por escrito a guardar confidencialidad;
  • d) aplicar las medidas de seguridad de este anexo y revisarlas cuando cambien los riesgos o el estado de la técnica;
  • e) cumplir las condiciones de la cláusula 5 para recurrir a otros encargados;
  • f) asistir al Responsable, a través de las herramientas de la Plataforma y del soporte, para atender los derechos de los interesados (cláusula 6);
  • g) ayudar al Responsable a cumplir los artículos 32 a 36 RGPD, teniendo en cuenta la información de que dispone;
  • h) poner a disposición del Responsable la información necesaria para demostrar que cumple este anexo, y permitir auditorías (cláusula 10);
  • i) llevar el registro de actividades de tratamiento del artículo 30.2 RGPD.

5. Subencargados

  • 5.1. El Responsable autoriza de forma general a la Encargada a recurrir a otros encargados. Los que hay a la firma son los de la lista de subencargados.
  • 5.2. La Encargada avisa al Responsable con treinta (30) días de antelación de cualquier alta o sustitución de subencargado. El Responsable puede oponerse por motivos razonables de protección de datos.
  • 5.3. Si las partes no llegan a una solución, el Responsable puede resolver el contrato sin coste, y se le devuelve la parte no consumida de la cuota.
  • 5.4. La Encargada impone a cada subencargado las mismas obligaciones de este anexo y sigue siendo plenamente responsable ante el Responsable de lo que haga cada subencargado.
  • 5.5. No son subencargados de la Encargada, sino proveedores o destinatarios del propio Responsable:
    • los proveedores de correo que el Responsable conecta a su cuenta para enviar o leer correos;
    • las administraciones a las que el Responsable remite información a través de la Plataforma, como la Agencia Tributaria.

6. Derechos de los interesados

Si un interesado ejerce sus derechos ante la Encargada, esta lo comunica al Responsable como muy tarde el día laborable siguiente y no responde directamente, salvo que el Responsable se lo indique. La Plataforma permite al Responsable consultar, rectificar, exportar y suprimir los datos de un interesado, también del historial de cambios.

7. Violaciones de seguridad

  • 7.1. La Encargada notifica al Responsable, sin dilación indebida y como máximo en cuarenta y ocho (48) horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales. La notificación se hace por correo electrónico y, si es grave, también por teléfono.
  • 7.2. La notificación incluye, en la medida en que la Encargada disponga de ella, la información del artículo 33.3 RGPD. Si no puede darla toda a la vez, la da por fases.
  • 7.3. Corresponde al Responsable comunicar la violación a la autoridad de control y a los interesados, y la Encargada le ayuda a hacerlo.

8. Ubicación y transferencias

Los datos se alojan en la Unión Europea. Cuando un subencargado está establecido fuera del Espacio Económico Europeo o puede acceder desde fuera, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo de la Comisión Europea. La lista de subencargados indica cuál se aplica en cada caso.

9. Destino de los datos

Cuando termina el contrato, la Encargada devuelve los datos al Responsable y después los suprime, en los plazos y con el certificado de la cláusula 17 de las condiciones del servicio. Pasa lo mismo con las copias: se suprimen al vencer su retención, que es de noventa (90) días como máximo. La Encargada solo puede conservar datos bloqueados cuando una norma la obligue, y únicamente durante el tiempo que esa norma exija.

10. Auditorías

  • 10.1. El Responsable puede verificar que la Encargada cumple este anexo. Primero, pidiendo información y documentación, que la Encargada entrega en quince (15) días.
  • 10.2. Si eso no basta, puede hacer una auditoría, por sí mismo o mediante un auditor obligado a confidencialidad. Debe avisarla con treinta (30) días de antelación, no más de una vez al año salvo que haya habido una violación de seguridad, y a su costa.
  • 10.3. Las auditorías no pueden dar acceso a datos de otros clientes de la Encargada.

11. Obligaciones del Responsable

El Responsable se obliga a:

  • tener una base jurídica para el tratamiento e informar a los interesados;
  • hacer, si procede, las evaluaciones de impacto y las consultas previas;
  • dar instrucciones lícitas;
  • supervisar el tratamiento.

12. Responsabilidad

Si la Encargada trata los datos para fines propios o incumple este anexo, se la considera responsable del tratamiento en lo que se refiere a ese tratamiento, y responde de las infracciones que haya cometido. Se aplica la cláusula 16.3 de las condiciones del servicio.

Medidas técnicas y organizativas

  1. Separación entre despachos. Cada fila de la base de datos pertenece a un despacho. El acceso se controla con políticas en la propia base de datos, de modo que un Usuario no puede leer ni escribir datos de otro despacho, aunque la aplicación falle.
  2. Control de acceso. Cada persona tiene una cuenta propia, con un rol y permisos que asigna el Despacho por áreas: expedientes, facturación, contabilidad y gestión. Las contraseñas se guardan cifradas con un algoritmo de un solo sentido.
  3. Trazabilidad. El historial registra quién creó, modificó o borró cada dato y cuándo, y no se purga. También quedan registradas las actuaciones del personal de la Encargada.
  4. Personal de la Encargada. El personal de la Encargada no tiene cuenta dentro de ningún despacho. Accede a sus datos solo por incidencia, en los términos de la cláusula 15 de las condiciones del servicio, y ha firmado un compromiso de confidencialidad. Las credenciales de administración están en un gestor de contraseñas.
  5. Cifrado. Las comunicaciones se cifran con TLS. Los datos se cifran en reposo en el proveedor de la base de datos y en el del almacenamiento. Las copias se cifran antes de salir del sistema.
  6. Copias. Se hace una copia diaria en un proveedor distinto, dentro de la UE, con bloqueo contra el borrado y la modificación durante 90 días. La restauración se ha probado: última prueba el [21/10/2026].
  7. Desarrollo. Antes de publicar cualquier cambio en la base de datos se pasan pruebas automáticas, entre ellas pruebas de aislamiento entre despachos y de permisos por rol. Las pruebas usan datos ficticios.
  8. Gestión de incidentes. [Pendiente de redactar: hoy no existe.] Hay un procedimiento escrito para detectar, contener, notificar y documentar las violaciones de seguridad.
  9. Revisión. Estas medidas se revisan al menos una vez al año y cada vez que hay un cambio relevante.

Versión del 27/10/2026.