Legal
Contrato de Encargo de Tratamiento (DPA)
Última actualización: 19 de julio de 2026 · Versión 1.2
Este documento es un BORRADOR de referencia. Cuando Sorium trate datos por cuenta de un cliente, se firmará una versión adaptada conforme al artículo 28 del RGPD; los datos entre corchetes se completan por contrato.
1. Partes
- Responsable del tratamiento: el cliente, [CLIENTE], que determina los fines y medios.
- Encargado del tratamiento: [RAZÓN SOCIAL] (Sorium), que trata los datos por cuenta del responsable.
2. Objeto, duración y naturaleza
El encargado tratará datos personales por cuenta del responsable exclusivamente para prestar los servicios contratados, durante la vigencia del contrato principal. El tipo de datos y las categorías de interesados se detallarán en el anexo correspondiente.
3. Instrucciones del responsable
El encargado tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales, salvo obligación legal. Informará al responsable si, a su juicio, una instrucción infringe la normativa de protección de datos.
4. Confidencialidad
El encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad o están sujetas a un deber legal de confidencialidad.
5. Medidas de seguridad
El encargado aplicará las medidas técnicas y organizativas apropiadas (artículo 32 del RGPD): cifrado en tránsito, control de acceso basado en el principio de mínimo privilegio, seguridad a nivel de fila en la base de datos, registro de acciones y validación de entradas.
6. Subencargados
El responsable autoriza el recurso a los siguientes subencargados, con los que el encargado ha suscrito las garantías exigidas por el artículo 28:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Supabase (Supabase, Inc.) | Base de datos y almacenamiento de la información de los formularios | Unión Europea (Irlanda) |
| Vercel Inc. | Alojamiento del sitio web y red de entrega de contenidos (CDN) | Estados Unidos, con entrega global |
| OVH (OVH Groupe SAS) | Envío de correo transaccional: la verificación de tu dirección y la entrega de tu informe | Unión Europea (Francia) |
| Meta Platforms Ireland Limited (WhatsApp Business) | Canal de mensajería: recepción y respuesta de los mensajes que nos envías por WhatsApp | Unión Europea (Irlanda), con transferencias a EE. UU. |
El encargado informará de cualquier cambio previsto de subencargados, dando al responsable la posibilidad de oponerse.
7. Asistencia al responsable
El encargado asistirá al responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados y para cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
8. Notificación de violaciones de seguridad
El encargado notificará al responsable sin dilación indebida cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información necesaria para que el responsable cumpla sus obligaciones.
9. Fin del encargo
Al finalizar la prestación, el encargado suprimirá o devolverá los datos, a elección del responsable, y eliminará las copias existentes, salvo obligación legal de conservación.
10. Auditorías
El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá auditorías razonables.
11. Contacto
Para solicitar la firma de un DPA adaptado, escribe a [EMAIL].