Contrato de encargo del tratamiento

Versión de la plantilla: 3 de noviembre de 2026.

1. Partes y objeto

De una parte, [NOMBRE Y APELLIDOS DEL CLIENTE / RAZÓN SOCIAL], NIF [NIF], domicilio en [DOMICILIO], representado por [REPRESENTANTE Y CARGO] (el «Responsable»). De otra, Derek Sanz Chiorean, profesional autónomo, NIF 47479047D, domicilio profesional en Carrer De La Generalitat, 8, Alcanar, prestador de Oteaya bajo el nombre comercial Wakefold; sitio web: https://wakefold.com (el «Encargado»). Las partes acuerdan este encargo conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la normativa española aplicable.

Este contrato se aplica únicamente cuando el Responsable configura Oteaya para tratar datos personales por su cuenta y siguiendo sus instrucciones. No modifica la función de cada parte para tratamientos en los que actúe como responsable independiente. El Responsable declara que tiene base jurídica para el tratamiento y que ha cumplido sus deberes de información.

2. Descripción del tratamiento

• Objeto y finalidad: recoger, filtrar, organizar, conservar y mostrar al Responsable contenido de fuentes abiertas según las consultas de sus monitores; generar, si el Responsable activa esa función, clasificaciones automatizadas para facilitar su lectura; permitir consultas del contenido a través de la interfaz y de la API, si el plan la incluye.
• Duración: durante la vigencia del servicio y el periodo de conservación contratado. Al finalizar, se aplicará la devolución o supresión indicada en la cláusula 8, sin perjuicio de copias de respaldo y obligaciones legales.
• Operaciones: recogida, consulta, registro, organización, conservación, extracción, adaptación, comunicación al Responsable mediante la cuenta, limitación y supresión.
• Personas afectadas: personas cuyos datos aparezcan en las publicaciones, noticias o mensajes que coincidan con las consultas del Responsable; usuarios, empleados y colaboradores del Responsable que utilicen la cuenta o integraciones.
• Tipos de datos: identificadores y datos de perfil o contacto publicados en fuentes abiertas; contenido de publicaciones y comunicaciones, datos profesionales, opiniones y otros datos que aparezcan en dichas fuentes; datos de cuenta y actividad de los usuarios del Responsable; consultas, criterios y resultados de análisis configurados por el Responsable.
• Datos especiales o penales: el Responsable no debe configurar monitores para buscar ni inferir categorías especiales de datos o datos relativos a condenas e infracciones penales. Si ese contenido aparece incidentalmente en fuentes abiertas, el Responsable decidirá y documentará las medidas lícitas que correspondan e instruirá al Encargado para su supresión o tratamiento restringido.

3. Instrucciones documentadas

El Encargado tratará los datos únicamente para prestar Oteaya conforme a este contrato, las instrucciones documentadas del Responsable, la configuración de sus monitores y las instrucciones emitidas desde la cuenta por personas autorizadas. Las instrucciones adicionales deberán conservarse por escrito. Si una instrucción infringe, a juicio del Encargado, el RGPD u otra norma de protección de datos, el Encargado informará al Responsable sin demora y podrá suspender la operación afectada hasta recibir instrucciones lícitas, salvo que la ley prohíba esa comunicación.

El Responsable determina las finalidades, las consultas y los criterios de vigilancia; debe limitar los datos y el periodo de conservación, revisar los resultados automatizados y no utilizar el servicio para decisiones ilícitas o discriminatorias. El Encargado no utilizará los datos personales para fines propios. El uso de OpenAI para clasificar contenido queda limitado a la prestación de esa función. Antes de activarla para datos personales, el Encargado debe confirmar y documentar el servicio y la cuenta contratados, las condiciones de uso de datos y retención aplicables, la región de tratamiento y el mecanismo de transferencia internacional, si corresponde. No se utilizarán esos datos para entrenar modelos salvo instrucción documentada y autorización válida del Responsable.

4. Confidencialidad y seguridad

El Encargado garantizará que las personas autorizadas a tratar datos personales estén sujetas a un deber de confidencialidad y reciban acceso limitado a sus funciones. Aplicará las medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD, descritas en el anexo de medidas de seguridad. Las medidas podrán actualizarse si mantienen un nivel de protección adecuado. El Responsable podrá solicitar información razonable para comprobarlas, evitando acceder a datos de otros clientes o comprometer la seguridad del servicio.

5. Subencargados y transferencias

El Responsable autoriza de forma general el uso de los subencargados identificados en el anexo de proveedores. El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y seguirá siendo responsable frente al Responsable por el cumplimiento de sus obligaciones. El Encargado notificará con al menos 30 días naturales de antelación cualquier alta o sustitución de subencargado por correo electrónico a la dirección de contacto de la cuenta; el Responsable podrá oponerse por motivos fundados de protección de datos dentro de esos 30 días naturales. Si no es posible resolver la objeción, cualquiera de las partes podrá dejar de utilizar la función afectada.

No se realizarán transferencias internacionales por cuenta del Responsable sin un mecanismo válido conforme al capítulo V del RGPD. Los destinos y garantías concretos se indicarán en el anexo de proveedores antes de activar el tratamiento correspondiente.

6. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá razonablemente al Responsable para atender solicitudes de derechos, cumplir las obligaciones de seguridad, notificar violaciones, realizar evaluaciones de impacto y efectuar consultas previas cuando proceda. El Encargado remitirá al Responsable las solicitudes de derechos que reciba directamente y no responderá en su nombre, salvo autorización o exigencia legal.

El Encargado notificará al Responsable una violación de seguridad de los datos personales sin dilación indebida desde que tenga conocimiento, facilitando la información disponible para que el Responsable pueda cumplir sus propias obligaciones. El Responsable decidirá si debe notificar a la autoridad o a las personas afectadas.

7. Auditorías e información

El Encargado pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías por el Responsable o un auditor independiente sujeto a confidencialidad, con preaviso de 10 días laborables, durante horario laboral y con una frecuencia razonable. Las auditorías no podrán acceder a datos de otros clientes ni afectar indebidamente a la seguridad, confidencialidad o continuidad del servicio. Si un informe o certificación independiente aporta evidencia suficiente, las partes podrán acordar que sustituya total o parcialmente una auditoría in situ.

8. Devolución y supresión

Al terminar el servicio, el Responsable podrá solicitar durante 30 días naturales la exportación de los datos que todavía se conserven. Podrá hacerlo mediante las funciones del plan mientras estén disponibles o por escrito a [email protected]. Este plazo no suspende ni amplía los plazos ordinarios de conservación: los datos cuyo plazo venza antes podrán suprimirse y dejar de estar disponibles. Una vez vencido el plazo de solicitud, el Encargado suprimirá o devolverá los datos personales tratados por cuenta del Responsable, a elección del Responsable, salvo que una norma exija conservarlos. Las copias de respaldo se purgarán conforme al ciclo del anexo de seguridad y permanecerán protegidas hasta su eliminación. El Responsable puede solicitar antes la supresión de contenido mediante las funciones del servicio o por escrito.

9. Responsabilidad y duración

Este contrato entra en vigor cuando ambas partes lo aceptan y dura mientras el Encargado trate datos personales por cuenta del Responsable. Cada parte responde por las obligaciones que le impone la normativa y por los daños que cause conforme a ella. Ninguna limitación contractual afectará a derechos o responsabilidades que no puedan excluirse legalmente.

10. Anexo de medidas y proveedores por completar

• Alojamiento y base de datos: infraestructura propia gestionada por el Encargado en España. El acceso administrativo está restringido al Encargado.
• Proxy y entrega de tráfico: Cloudflare, cuando la conexión del cliente pasa por su red; puede recibir la dirección IP, metadatos de conexión y solicitudes HTTP. Los servicios activos, países/regiones de tratamiento y mecanismo de transferencia deben confirmarse según la cuenta y configuración efectivas.
• Análisis automatizado: OpenAI, solo si se activa; se envían el texto coincidente, la consulta y el contexto del monitor para clasificar relevancia, tema y prioridad. Antes de habilitarlo para datos personales, completar el servicio y cuenta usados, país/región, retención y mecanismo de transferencia a partir de las condiciones vigentes del proveedor.
• Correo transaccional: Resend, cuando está configurado, para verificación de cuenta, restablecimiento de contraseña e invitaciones; se envían dirección de correo, nombre cuando se facilita y contenido necesario para el mensaje. Confirmar país/región y mecanismo de transferencia según la cuenta y condiciones vigentes.
• Copias de seguridad: el procedimiento documentado prevé copias diarias, conservadas durante 7 días en el servidor y hasta 30 días en un servicio remoto de almacenamiento. Antes de firmar, confirmar que la tarea está activa e identificar el proveedor, la región de almacenamiento y las medidas de protección efectivamente configuradas.
• Medidas: Acceso administrativo limitado al Encargado y conexiones protegidas mediante HTTPS. Las medidas concretas de almacenamiento y protección de las copias se documentarán según la configuración efectiva y se facilitarán al Responsable cuando sean necesarias para demostrar el cumplimiento del contrato.

11. Aceptación y firma de cada encargo

Esta plantilla pública no constituye por sí sola un encargo cumplimentado para un cliente concreto. Antes de activar monitores con datos personales, las partes deben completar el anexo, aceptar este contrato y conservar una copia firmada o aceptada electrónicamente.

Responsable: [NOMBRE/RAZÓN SOCIAL, NIF, REPRESENTANTE, EMAIL Y FECHA].
Encargado: Derek Sanz Chiorean, nombre comercial Wakefold, sitio web https://wakefold.com, 47479047D, [email protected] a 3 de noviembre de 2026.