Contrato de Encargo de Tratamiento (DPA)

Anexo II al contrato de prestación de servicios Bedel IA. Basado en las cláusulas tipo de la AEPD (modelo oficial).

Versión 2.0 · 31 de julio de 2026. El contrato principal incorpora este anexo en la versión vigente a la fecha de firma; las modificaciones posteriores no afectan a lo ya firmado salvo acuerdo escrito.

Reunidos

De una parte, [NOMBRE DEL CENTRO] con CIF [CIF] y domicilio en [DOMICILIO], en adelante el Responsable.

De otra parte, Miguel Gamboa Sánchez (nombre comercial Bedel), con NIF 47402408Y y domicilio en Abegondo (A Coruña), en adelante el Encargado.

1. Objeto

Las partes regulan el encargo de tratamiento de datos de carácter personal en los términos del art. 28 del Reglamento (UE) 2016/679 (RGPD), realizado por el Encargado por cuenta del Responsable con motivo de la prestación del servicio Bedel IA.

2. Identificación de la información tratada

Los datos tratados se almacenan en la infraestructura del Encargado y comprenden:

• Residentes / colegiales: nombre y apellidos, teléfono, email, habitación, planta, curso, grado, alérgenos, mensajes intercambiados.
• Familiares: nombre y apellidos, teléfono, email, vínculo con el residente, mensajes intercambiados.
• Personal del centro: nombre, teléfono, email, rol, contraseña cifrada (cuando aplique), 2FA.
• Denuncias: contenido del relato, categoría, prioridad, datos del denunciante (sólo si éste decide identificarse).

3. Duración

El presente contrato tendrá la duración del contrato principal de servicios. Una vez finalice el encargo, el Encargado deberá devolver al Responsable los datos personales y suprimir cualquier copia que esté en su poder en el plazo de noventa (90) días desde la finalización, salvo que una norma legal imponga un plazo de conservación superior.

4. Obligaciones del Encargado

• Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluso con relación a las transferencias internacionales.
• Garantizar que las personas autorizadas para tratar los datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes.
• Adoptar todas las medidas técnicas y organizativas apropiadas (art. 32 RGPD): cifrado en tránsito y en reposo, control de accesos, seudonimización de datos sensibles cuando sea posible, copias de seguridad cifradas, registro de logs auditables.
• No recurrir a otro encargado sin la autorización previa por escrito, específica o general, del Responsable. Los subencargados autorizados con carácter general se relacionan a continuación por su función, ubicación y garantía de transferencia:
  • Base de datos, autenticación y almacenamiento (Unión Europea).
  • Mensajería WhatsApp Business Cloud API (Meta Platforms Ireland, UE).
  • Alojamiento de la aplicación (Unión Europea).
  • Modelo de inteligencia artificial (EE.UU., bajo SCC y medidas suplementarias, sin entrenamiento con los datos).
  • Correo electrónico transaccional (EE.UU., bajo SCC).
  La denominación social de cada subencargado es información confidencial del Encargado y se facilita al Responsable a su simple solicitud. El Encargado comunicará toda alta o sustitución con una antelación mínima de treinta (30) días, indicando función, ubicación y garantía; el Responsable podrá oponerse por motivos fundados en ese plazo y, de mantenerse la discrepancia, resolver sin penalización. El Encargado impone a cada subencargado obligaciones equivalentes a las de este contrato (art. 28.4).
• Instrucción expresa del Responsable (art. 28.3.a): el Responsable instruye al Encargado para (i) anonimizar o agregar los datos de forma irreversible, quedando la información así resultante fuera del ámbito del RGPD y siendo su titularidad del Encargado, y (ii) tratar los datos personales, en la medida estrictamente necesaria, para prestar, asegurar, depurar y mejorar el Servicio. En ningún caso ampara ceder datos personales a terceros ni entrenar modelos de terceros con ellos.
• Asistir al Responsable en la respuesta al ejercicio de los derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad, oposición y a no ser objeto de decisiones automatizadas).
• Asistir al Responsable en la realización de evaluaciones de impacto (EIPD) y en consultas previas a la AEPD cuando proceda.
• Notificar al Responsable las violaciones de la seguridad de los datos personales que detecte sin dilación indebida y, en todo caso, con antelación suficiente para que el Responsable pueda cumplir su propio plazo de 72 horas ante la autoridad (art. 33.1), con la información del art. 33.3 RGPD.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como permitir y contribuir a la realización de auditorías por parte del Responsable o de otro auditor autorizado por aquél, con un preaviso razonable.
• Llevar un registro de actividades de tratamiento (art. 30 RGPD), accesible al Responsable bajo solicitud.

5. Obligaciones del Responsable

• Entregar al Encargado los datos necesarios para la prestación del servicio.
• Realizar la consulta previa a la AEPD cuando corresponda y la EIPD cuando la actividad lo requiera.
• Velar por que el Encargado cumpla el RGPD y supervisar el tratamiento.
• Informar a los interesados (residentes, familiares, staff) del tratamiento de sus datos en el marco de la actividad del centro.
• Obtener y conservar el consentimiento explícito cuando se traten datos de categorías especiales (art. 9), como alergias o dietas por enfermedad, y facilitar únicamente la información mínima necesaria.
• Cuando entre las personas usuarias haya menores de edad, garantizar los requisitos de edad y consentimiento del art. 7 de la LO 3/2018 (consentimiento válido a partir de los catorce años).

6. Transferencias internacionales

El Responsable autoriza al Encargado a recurrir al proveedor del modelo de IA, con sede en EE.UU. para el procesamiento del modelo de inteligencia artificial. Esta transferencia se ampara en las cláusulas contractuales tipo (Decisión (UE) 2021/914 de la Comisión Europea) firmadas entre el Encargado y dicho proveedor, junto con medidas suplementarias post-Schrems II: cifrado, política contractual de no entrenamiento del modelo con datos del cliente, y minimización del payload enviado.

El proveedor de correo electrónico transaccional, empleado para los avisos operativos, tiene igualmente sede en EE.UU. y su transferencia se ampara en las mismas cláusulas contractuales tipo. No existen otras transferencias fuera del Espacio Económico Europeo: el resto de subencargados operan en la Unión Europea.

7. Confidencialidad

El Encargado y todo su personal mantendrán secreto profesional respecto a los datos tratados, incluso después de finalizar el contrato. Esta obligación es indefinida.

8. Responsabilidad

La responsabilidad de cada parte frente a los interesados y las autoridades se rige por el art. 82 RGPD. En la relación entre las partes, la responsabilidad del Encargado por daños —incluidos los derivados de una violación de la seguridad (brecha)— se limita contractualmente al importe efectivamente pagado por el Responsable en los tres (3) meses anteriores al hecho generador, siempre que el Encargado hubiera adoptado las medidas de seguridad apropiadas del art. 32, salvo dolo o culpa grave, supuestos en los que la limitación no aplicará. Este límite es el mismo previsto en el contrato principal y constituye un tope único y conjunto para ambos documentos: no se acumula.

9. Ley aplicable y jurisdicción

Este anexo se rige por la ley y el fuero pactados en el contrato principal del que forma parte, y le siguen si se modifican. En defecto de contrato principal, se rige por el Derecho español y las partes se someten a los Juzgados y Tribunales de A Coruña, con renuncia a cualquier otro fuero.

10. Firma

En __________________________, a ___ de _________________ de 20___.