Acuerdo de encargo de tratamiento

1. Partes, incorporación y alcance

Este acuerdo regula el tratamiento por cuenta del cliente de la documentación y datos gestionados mediante Reqent cuando el cliente actúe como responsable, o como encargado autorizado para recurrir a Reqent como subencargado. No sustituye las obligaciones propias de Reqent como responsable de cuentas, facturación y seguridad, descritas en privacidad.

Prestador y encargado: Rafael Escobar Sanchez, NIF 51451739A, domicilio en Avda. Monasterio Escorial Nº 24, Ptal 1, 1ºc, 28049 Madrid, España, hola@reqent.com. Contacto de protección de datos: dpo.rafaelescobarsanchez@lock4data.es.

Cliente y responsable, o encargado autorizado: la persona o entidad identificada en el resumen de alta/contratación aceptado y en el registro de incorporación de este acuerdo, con su representante y contacto de privacidad. [VALIDAR ANTES DE PUBLICAR: vincular identidad y facultades, versión exacta y fecha de aceptación a la organización; una página pública sin incorporación acreditada no formaliza por sí sola el encargo].

El acuerdo prevalece sobre las condiciones comerciales en lo relativo al tratamiento por cuenta del cliente. Los anexos completados forman parte del acuerdo. No se activarán para ese encargo prestaciones incompatibles con sus instrucciones documentadas.

2. Objeto, duración y operaciones

Objeto: prestar la herramienta para crear, remitir y seguir solicitudes, recibir respuestas, almacenar temporalmente documentos, permitir su consulta y descarga, ejecutar recordatorios configurados y copiar documentación a la nube que autorice el cliente.

Operaciones previstas: recogida, registro, organización, almacenamiento, consulta autorizada, transmisión al destino elegido, conservación temporal, recuperación y supresión conforme a instrucciones. No se autoriza reutilizar el contenido para publicidad, perfilar a destinatarios o entrenar modelos de uso general.

La duración coincide con el servicio y las operaciones de devolución/supresión necesarias al finalizar. Una vez cumplida la finalidad no se mantendrá un uso operativo indefinido de la documentación.

3. Personas afectadas y datos

Las personas pueden ser contactos de clientes, proveedores y empresas requeridas, representantes, usuarios invitados y otras personas cuyos datos consten lícitamente en las solicitudes. El cliente concreta sus colectivos y finalidades, que no se amplían mediante una cláusula genérica.

Los datos pueden incluir identificación y contacto, datos profesionales, información comercial, documentos administrativos o económicos, textos de respuesta y metadatos de entrega. El contenido depende de la solicitud configurada por el cliente.

No se presupone autorizado el tratamiento indiscriminado de datos de salud, biométricos destinados a identificar de forma unívoca, otros datos del artículo 9 RGPD o datos penales. Si fueran necesarios, el cliente debe documentar la habilitación, el riesgo y las instrucciones específicas y acordar previamente las medidas y el alcance con Reqent. Se mantendrá la minimización de los datos solicitados.

4. Instrucciones del cliente y obligaciones del responsable

Son instrucciones documentadas las funciones contratadas, solicitudes y permisos configurados por personas autorizadas, las órdenes sobre destinos y conservación y las instrucciones adicionales acordadas por un canal trazable. No se acepta una instrucción contradictoria con la ley; si se detecta, Reqent lo comunicará al cliente y suspenderá la operación afectada cuando sea necesario.

El cliente determina la finalidad y base jurídica, informa a las personas, verifica que puede comunicar los datos y asigna los roles adecuados. Si actúa por otro responsable, debe acreditar la autorización necesaria y transmitir las instrucciones y garantías correspondientes.

El cliente no entregará contraseñas de sus proveedores a Reqent; utilizará los mecanismos de autorización previstos. Revocar permisos o mover/borrar archivos externos puede afectar a su disponibilidad, pero no libera a Reqent de atender las obligaciones que le sean propias.

5. Confidencialidad y accesos

Reqent limitará el acceso a las personas y proveedores que lo necesiten para el servicio y exigirá obligaciones de confidencialidad. El personal autorizado recibirá las instrucciones necesarias para su función y mantendrá la reserva después de finalizar su intervención.

El acceso de soporte a documentos debe justificarse y limitarse al incidente o petición correspondiente. Las cuentas y roles se administrarán para impedir que una empresa acceda a la documentación de otra. Las instrucciones sobre compartir una carpeta externa no sustituyen los controles de acceso de Reqent.

6. Medidas técnicas y organizativas

Se aplicarán medidas proporcionadas a la naturaleza de la información y al riesgo, revisadas ante cambios o incidencias. El anexo de medidas incluye: separación lógica de organizaciones; permisos de usuario y validación de accesos; protección de enlaces de respuesta; autenticación y doble factor según rol; protección de documentos y credenciales técnicas; comunicaciones cifradas; registro de actuaciones relevantes; copias de recuperación y control de su ejecución.

Estas medidas no implican certificación ISO ni disponibilidad o recuperación absoluta. El cliente podrá solicitar información suficiente para valorar su adecuación. Las limitaciones o riesgos que requieran medidas adicionales se comunicarán antes de aceptar ese tratamiento.

[VALIDAR ANTES DE PUBLICAR: adjuntar inventario fechado de medidas efectivamente implantadas, alcance, responsables y pruebas de recuperación; no convertir objetivos pendientes en controles ya implantados].

7. Proveedores y subencargos

La autorización general para subencargos se limita a los servicios identificados con una ficha completa en el anexo y a las funciones que allí se describan. Reqent impondrá obligaciones de protección equivalentes en lo sustancial y mantendrá la responsabilidad que le corresponda por su intervención.

Los cambios previstos se comunicarán al contacto del cliente con un preaviso ordinario de treinta días, con función, ubicación y garantías, para permitir una oposición motivada. Si no se alcanza una solución compatible, las partes acordarán una alternativa o la finalización del servicio afectado con devolución o supresión ordenada; la oposición no autoriza cargos o supresiones sorpresivos.

Los destinos de Drive, OneDrive o SharePoint contratados y elegidos por el propio cliente se documentan como instrucciones de transmisión. No se equiparan automáticamente a un proveedor contratado por Reqent para toda su infraestructura. Si se contratara un servicio externo por cuenta de Reqent, deberá analizarse e incorporarse su papel real.

[VALIDAR ANTES DE PUBLICAR: completar el anexo y habilitar el registro de avisos/oposiciones de subencargados antes de incorporar formalmente esta autorización. No basta enlazar listas variables de terceros sin un proceso de información propio].

8. Transferencias internacionales

Reqent no realizará transferencias ajenas a las instrucciones y garantías documentadas. Los flujos fuera del Espacio Económico Europeo se identificarán por servicio, entidad y país, con el mecanismo jurídico válido y las medidas necesarias. No se utilizará una autorización genérica del cliente como sustituto de las garantías exigidas por el RGPD.

Si una norma obliga a un tratamiento o comunicación no previsto, se informará al cliente antes de efectuarlo, salvo prohibición legal. Se facilitará información sobre garantías y posibles accesos de terceros conforme a la ley.

[VALIDAR ANTES DE PUBLICAR: documentar para cada proveedor la entidad receptora, regiones y accesos, decisión de adecuación o cláusulas contractuales aplicables, evaluación de transferencia y medidas complementarias cuando procedan].

9. Asistencia en derechos y cumplimiento

Cuando Reqent reciba una petición identificable relativa a datos tratados por cuenta de un cliente, la trasladará sin dilación indebida al contacto responsable y colaborará para localizar, exportar, rectificar, limitar o suprimir los datos conforme a sus instrucciones válidas. No facilitará documentación a una persona solo por conocer su dirección de correo.

Se prestará asistencia razonable, atendiendo a la información disponible y al tratamiento, en la evaluación de riesgos, las evaluaciones de impacto y las consultas a autoridades cuando procedan. El cliente mantiene sus competencias y plazos legales; la asistencia no los desplaza ni sustituye.

10. Incidentes y violaciones de seguridad

Reqent notificará al cliente sin dilación indebida las violaciones de seguridad de datos personales de su encargo de las que tenga conocimiento, mediante su contacto designado. La primera comunicación no se retrasará por esperar a una investigación completa; la información se completará progresivamente.

Se comunicarán, cuando se conozcan, la naturaleza y alcance, categorías y número aproximado de afectados y registros, consecuencias previsibles, medidas adoptadas o propuestas y un contacto de seguimiento. Se preservará la evidencia necesaria y se documentará la actuación.

El responsable decide las comunicaciones a la autoridad o a los afectados que le correspondan; el plazo de setenta y dos horas que puede aplicarse al responsable no es un plazo concedido a Reqent para esperar a avisarle.

11. Conservación, devolución y fin del encargo

La conservación ordinaria de la documentación depende del plan y de las instrucciones informadas en cada solicitud. El cliente deberá poder recuperar lo disponible dentro del periodo aplicable y ejercer su elección de devolución o supresión al finalizar el encargo. No se garantizan documentos ya eliminados conforme a instrucciones válidas anteriores.

Reqent facilitará una salida ordenada y suprimirá las copias operativas cuando corresponda, salvo conservación exigida legalmente y debidamente delimitada. Los registros propios de facturación o defensa de responsabilidades se separan de la documentación del encargo y no justifican conservar todos sus archivos.

Las copias de continuidad no se reutilizan con otros fines. La supresión debe propagarse conforme a un calendario documentado, y una restauración debe volver a aplicar las órdenes de borrado. [VALIDAR ANTES DE PUBLICAR: acordar e implementar el plazo máximo de devolución/supresión al cierre y el tratamiento de la excepción del último backup válido; completar antes de aceptar el acuerdo].

Los archivos que el cliente haya guardado en su propia nube seguirán sujetos a sus instrucciones y a su proveedor. Reqent no los borrará por liberar su original temporal. Si el cliente solicita su eliminación a través de la integración, debe existir una función y autorización expresas para esa operación.

12. Evidencias, revisión y responsabilidad

Reqent pondrá a disposición del cliente información suficiente para demostrar el cumplimiento del encargo y permitirá las auditorías e inspecciones legalmente procedentes. Se coordinarán de manera proporcionada, protegiendo datos de otros clientes y la seguridad; la coordinación no puede impedir una actuación exigible de la autoridad o el ejercicio efectivo de este derecho.

Los cambios del acuerdo deben quedar documentados. Una publicación nueva en la web no sustituye la aceptación o comunicación que corresponda. Las responsabilidades se determinarán por el RGPD y las demás normas aplicables, sin una renuncia general del cliente o de los interesados.

Anexo I · Proveedores y destinos

Destinos del cliente: Google Drive, OneDrive y SharePoint únicamente si se conectan y autorizan. Registrar cuenta/tenant, destino, personas autorizadas y reglas de conservación/compartición en la configuración de cada organización, sin publicar credenciales.

Pasarela futura: Stripe requiere una ficha de privacidad y análisis de su papel antes de activar pagos. No se autoriza en este anexo como almacén del contenido documental por el mero hecho de ser pasarela.

Anexo II · Ficha particular del encargo

Cliente y contacto responsable

[VALIDAR ANTES DE PUBLICAR: nombre legal, identificador fiscal, domicilio y contacto de privacidad del cliente, tomados de su contratación]

Papel del cliente

[VALIDAR ANTES DE PUBLICAR: responsable o encargado autorizado; si es encargado, identificar la autorización del responsable cuando sea necesaria]

Personas y documentación

[VALIDAR ANTES DE PUBLICAR: colectivos, categorías de datos y finalidades concretas de sus solicitudes]

Conservación y salida

[VALIDAR ANTES DE PUBLICAR: plan/plazo, hecho inicial del cómputo, devolución/supresión, tratamiento de copias y destinos externos]

Instrucciones y autorizaciones

[VALIDAR ANTES DE PUBLICAR: roles autorizados, integraciones elegidas y eventuales instrucciones adicionales]

Incorporación del acuerdo

[VALIDAR ANTES DE PUBLICAR: versión/hash, usuario con facultades, organización y fecha del servidor; facilitar copia conservable]