Contrato de Encargo de Tratamiento (DPA)

Versión 2.4 · 31 de agosto de 2026. El contrato principal incorpora este anexo en la versión vigente a la fecha de firma; las modificaciones posteriores no afectan a lo ya firmado salvo acuerdo escrito.

Cambios de la versión 2.4: se incorpora a la cláusula 4 el almacenamiento de copias de seguridad (Unión Europea), destino de la copia semanal, que se guarda cifrada de extremo a extremo y sin que el subencargado disponga de la clave. Este cambio no amplía el tratamiento: los datos son los mismos que ya se tratan y la finalidad es la seguridad del art. 32.

Cambios de la versión 2.3: la cláusula 4 pasa a hablar de proveedores de modelo de inteligencia artificial en plural —el Encargado puede recurrir a más de uno para la misma función—, y se explicita que la sustitución entre ellos puede producirse por continuidad del servicio, notificándolo tan pronto como sea posible. Todos ellos mantienen el compromiso de no entrenar sus modelos con los datos del Responsable; el Encargado no recurre a ningún proveedor ni nivel de servicio que no lo garantice. Ninguno de estos cambios amplía el tratamiento: los datos que salen y las finalidades son los mismos.

Cambios de la versión 2.2: en la cláusula 4 las medidas del art. 32 pasan a enunciarse como apropiadas al riesgo, con la lista actual a título de estado de la técnica y sustituible por otra de eficacia equivalente o superior; y se incorporan a la relación de subencargados el repositorio de código y el correo electrónico corporativo. Ninguno de estos cambios amplía el tratamiento.

Cambios de la versión 2.1: se incorporan las cláusulas 5 bis (datos de salud desactivados por defecto) y 5 ter (canal de denuncia sin intervención de inteligencia artificial); en la cláusula 2 se identifican las funcionalidades opt-in; y en la cláusula 6 se precisa cómo se suscriben las cláusulas contractuales tipo. Ninguno de estos cambios amplía el tratamiento: todos lo acotan.

De una parte, [NOMBRE DEL CENTRO] con CIF [CIF] y domicilio en [DOMICILIO], en adelante el Responsable.

De otra parte, Miguel Gamboa Sánchez (nombre comercial Bedel), con NIF 47402408Y y domicilio en Abegondo (A Coruña), en adelante el Encargado.

Las partes regulan el encargo de tratamiento de datos de carácter personal en los términos del art. 28 del Reglamento (UE) 2016/679 (RGPD), realizado por el Encargado por cuenta del Responsable con motivo de la prestación del servicio Bedel IA.

Los datos tratados se almacenan en la infraestructura del Encargado y comprenden:

Este apartado describe el máximo que el servicio puede tratar. El alcance realmente activo para el Responsable es el que figura en el Anexo I (Orden de Pedido); las funcionalidades no contratadas no tratan dato alguno. Las marcadas como opt-in vienen desactivadas de fábrica y sólo se activan por decisión expresa y trazable del Responsable.

• Residentes / colegiales: nombre y apellidos, teléfono, email, habitación, planta, curso, grado, mensajes intercambiados.
• Datos de salud (alergias, intolerancias y dietas por prescripción médica) — opt-in, desactivado por defecto. Ver la cláusula 5 bis. Las preferencias alimentarias sin causa médica (vegetariana, vegana) no son datos de salud y no están sujetas a ese régimen; cuando una preferencia responda a convicciones religiosas, el Responsable deberá tratarla con la misma cautela, por poder revelar una categoría especial distinta.
• Familiares — opt-in: nombre y apellidos, teléfono, email, vínculo con el residente, mensajes intercambiados. Sólo si el Responsable contrata y activa el módulo de familias.
• Personal del centro: nombre, teléfono, email, rol, contraseña cifrada (cuando aplique), 2FA.
• Canal de denuncia — opt-in: contenido del relato, categoría, prioridad, datos del denunciante (sólo si éste decide identificarse). Ver la cláusula 5 ter.

El presente contrato tendrá la duración del contrato principal de servicios. Una vez finalice el encargo, el Encargado deberá devolver al Responsable los datos personales y suprimir cualquier copia que esté en su poder en el plazo de noventa (90) días desde la finalización, salvo que una norma legal imponga un plazo de conservación superior.

• Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluso con relación a las transferencias internacionales.
• Garantizar que las personas autorizadas para tratar los datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes.
• Adoptar las medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), que a la fecha de este contrato incluyen: cifrado en tránsito y en reposo, control de accesos, seudonimización de datos sensibles cuando sea posible, copias de seguridad cifradas y registro de logs auditables. El Encargado podrá sustituirlas por otras de eficacia equivalente o superior conforme evolucione el estado de la técnica.
• No recurrir a otro encargado sin la autorización previa por escrito, específica o general, del Responsable. Los subencargados autorizados con carácter general se relacionan a continuación por su función, ubicación y garantía de transferencia.

Subencargados autorizados con carácter general

• Base de datos, autenticación y almacenamiento (Unión Europea).
• Mensajería WhatsApp Business Cloud API (Meta Platforms Ireland, UE).
• Alojamiento de la aplicación (Unión Europea).
• Proveedores de modelo de inteligencia artificial (EE.UU.), bajo cláusulas contractuales tipo y medidas suplementarias, todos ellos con compromiso contractual de no entrenar sus modelos con los datos del Responsable. El Encargado puede recurrir a más de un proveedor para esta misma función y sustituir uno por otro por continuidad del servicio —caída, degradación o cese del proveedor—, notificándolo al Responsable tan pronto como sea posible. En ningún caso se recurre a un proveedor, o a un nivel de servicio de un proveedor, que no garantice el compromiso de no entrenamiento.
• Correo electrónico transaccional (EE.UU., bajo SCC).
• Repositorio de código y control de versiones (EE.UU., bajo cláusulas contractuales tipo).
• Correo electrónico corporativo (Unión Europea).
• Almacenamiento de copias de seguridad (Unión Europea). Recibe exclusivamente el volcado cifrado de extremo a extremo (AES-256-GCM) con una clave que no sale de los sistemas del Encargado: el subencargado custodia un bloque que no puede abrir.

La denominación social de cada subencargado es información confidencial del Encargado y se facilita al Responsable a su simple solicitud. El Encargado comunicará toda alta o sustitución con una antelación mínima de treinta (30) días, indicando función, ubicación y garantía; el Responsable podrá oponerse por motivos fundados en ese plazo y, de mantenerse la discrepancia, resolver sin penalización. El Encargado impone a cada subencargado obligaciones equivalentes a las de este contrato (art. 28.4).

Resto de obligaciones del Encargado

• Instrucción expresa del Responsable (art. 28.3.a): el Responsable instruye al Encargado para (i) anonimizar o agregar los datos de forma irreversible, quedando la información así resultante fuera del ámbito del RGPD y siendo su titularidad del Encargado, y (ii) tratar los datos personales, en la medida estrictamente necesaria, para prestar, asegurar, depurar y mejorar el Servicio. En ningún caso ampara ceder datos personales a terceros ni entrenar modelos de terceros con ellos.
• Asistir al Responsable en la respuesta al ejercicio de los derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad, oposición y a no ser objeto de decisiones automatizadas).
• Asistir al Responsable en la realización de evaluaciones de impacto (EIPD) y en consultas previas a la AEPD cuando proceda.
• Notificar al Responsable las violaciones de la seguridad de los datos personales que detecte sin dilación indebida y, en todo caso, con antelación suficiente para que el Responsable pueda cumplir su propio plazo de 72 horas ante la autoridad (art. 33.1), con la información del art. 33.3 RGPD.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como permitir y contribuir a la realización de auditorías por parte del Responsable o de otro auditor autorizado por aquél, con un preaviso razonable.
• Llevar un registro de actividades de tratamiento (art. 30 RGPD), accesible al Responsable bajo solicitud.

• Entregar al Encargado los datos necesarios para la prestación del servicio.
• Realizar la consulta previa a la AEPD cuando corresponda y la EIPD cuando la actividad lo requiera.
• Velar por que el Encargado cumpla el RGPD y supervisar el tratamiento.
• Informar a los interesados (residentes, familiares, staff) del tratamiento de sus datos en el marco de la actividad del centro.
• Obtener y conservar el consentimiento explícito cuando se traten datos de categorías especiales (art. 9), como alergias o dietas por enfermedad, y facilitar únicamente la información mínima necesaria. Ver la cláusula 5 bis.
• Cuando entre las personas usuarias haya menores de edad, garantizar los requisitos de edad y consentimiento del art. 7 de la LO 3/2018 (consentimiento válido a partir de los catorce años).

El servicio se entrega con el tratamiento de datos de salud —alergias, intolerancias y dietas por prescripción médica— desactivado. Mientras no se active, el sistema no los recoge, no los almacena, no los muestra y no los envía a ningún subencargado, incluido el proveedor del modelo de inteligencia artificial. Esta garantía no es una promesa de configuración: está implementada como un control en la propia base de datos que rechaza cualquier registro de esta naturaleza, sea cual sea la vía de entrada (panel, importación de ficheros, conversación de WhatsApp o mantenimiento).

La activación es una decisión expresa del Responsable y requiere que una persona con capacidad para obligar al centro declare, dejando constancia registrada de su identidad, fecha y del texto aceptado, que el centro:

• recabará el consentimiento explícito (art. 9.2.a RGPD) de cada persona interesada, de forma individual, antes de introducir ningún dato de salud que le afecte;
• conservará la prueba de cada consentimiento y podrá acreditarla;
• informará de la posibilidad de retirarlo y comunicará la retirada para que los datos se supriman;
• introducirá únicamente la información mínima necesaria, sin diagnósticos ni informes médicos.

El Encargado, que no mantiene relación directa con las personas interesadas, no puede recabar ese consentimiento por cuenta del Responsable. Al desactivar el tratamiento, los datos de salud del centro se suprimen: cesado el tratamiento, su conservación carece de base legal. Las preferencias alimentarias sin causa médica no se ven afectadas.

El canal de denuncia es una funcionalidad opcional que sólo se activa si el Responsable la contrata. Cuando está activo, se accede a él únicamente por la dirección web propia del canal, difundida por el Responsable mediante el cartel con código QR que el sistema genera. El asistente conversacional no da acceso al canal: ante una consulta delicada deriva a la persona a la recepción o la dirección del centro.

En ninguna fase del canal interviene un modelo de inteligencia artificial: ni en la recepción del relato, ni en su clasificación, ni en su almacenamiento, ni en su tramitación. El relato viaja del navegador de la persona informante al formulario del canal, se cifra con AES-256-GCM antes de almacenarse y no se envía a ningún subencargado situado fuera del Espacio Económico Europeo. Los avisos de que existe una comunicación nueva se limitan a lo imprescindible: el que llega por mensajería a la dirección del centro contiene la categoría y la prioridad, nunca el relato ni la identidad de quien informa; el que llega por correo electrónico —único medio con un subencargado fuera del EEE— no contiene ningún dato, sólo la indicación de que hay algo pendiente de revisar en el panel.

El contenido descifrado sólo es accesible a las personas del centro con permiso expreso sobre esa sección, y cada acceso queda registrado (quién, cuándo, desde qué dirección IP) en un registro que el propio centro no puede alterar. El Responsable asume las obligaciones que la Ley 2/2023 impone al titular del sistema interno de información, entre ellas la designación de la persona responsable del sistema y la aprobación de su política; el Encargado presta el soporte técnico, no la titularidad del canal.

El Responsable autoriza al Encargado a recurrir al proveedor del modelo de IA, con sede en EE.UU., para el procesamiento del modelo de inteligencia artificial. Esta transferencia se ampara en las cláusulas contractuales tipo (Decisión (UE) 2021/914 de la Comisión Europea), que dicho proveedor incorpora a su acuerdo de tratamiento de datos y que el Encargado ha suscrito al aceptar sus condiciones comerciales, junto con medidas suplementarias post-Schrems II: cifrado, política contractual de no entrenamiento del modelo con datos del cliente, y minimización del payload enviado.

El proveedor de correo electrónico transaccional, empleado para los avisos operativos, y el repositorio de código y control de versiones tienen igualmente sede en EE.UU. y sus transferencias se amparan en las mismas cláusulas contractuales tipo. No existen otras transferencias fuera del Espacio Económico Europeo: el resto de subencargados operan en la Unión Europea.

El Encargado y todo su personal mantendrán secreto profesional respecto a los datos tratados, incluso después de finalizar el contrato. Esta obligación es indefinida.

La responsabilidad de cada parte frente a los interesados y las autoridades se rige por el art. 82 RGPD. En la relación entre las partes, la responsabilidad del Encargado por daños —incluidos los derivados de una violación de la seguridad (brecha)— se limita contractualmente al importe efectivamente pagado por el Responsable en los tres (3) meses anteriores al hecho generador, siempre que el Encargado hubiera adoptado las medidas de seguridad apropiadas del art. 32, salvo dolo o culpa grave, supuestos en los que la limitación no aplicará. Este límite es el mismo previsto en el contrato principal y constituye un tope único y conjunto para ambos documentos: no se acumula.

Este anexo se rige por la ley y el fuero pactados en el contrato principal del que forma parte, y le siguen si se modifican. En defecto de contrato principal, se rige por el Derecho español y las partes se someten a los Juzgados y Tribunales de A Coruña, con renuncia a cualquier otro fuero.

En __________________________, a ___ de _________________ de 20___.