Contrato de encargado del tratamiento.

Exigido por el artículo 28.3 del Reglamento General de Protección de Datos (RGPD) cuando un tercero trata datos por cuenta de la empresa. Se acepta electrónicamente en el formulario de alta y entra en vigor en ese momento, antes de que se cree el canal.

De una parte, [Nombre de la empresa], con CIF [CIF] y domicilio en [Domicilio social], [Localidad], representada por [Nombre y cargo de quien acepta] (la empresa, responsable del tratamiento). De otra parte, Gala Worklab, nombre comercial de Gala Beatriz Coloma Cabeza, NIF 48100805P, con domicilio en calle del Doctor Castelo, 48, 28009 Madrid (la encargada). Acuerdan lo siguiente.

1. Objeto

La encargada aloja y mantiene el buzón electrónico del sistema interno de información de la empresa (Ley 2/2023), a través del cual la persona responsable del sistema recibe las comunicaciones. Trata, por cuenta de la empresa y solo para ese fin, los datos que contengan las comunicaciones y sus archivos adjuntos: datos de las personas informantes (si no comunican de forma anónima), de las personas afectadas y de las terceras personas mencionadas. La naturaleza del tratamiento es el alojamiento y la conservación de esos datos. La encargada no recibe, no lee ni gestiona las comunicaciones: esa función corresponde solo a la persona responsable del sistema de la empresa.

2. Duración

Este contrato entra en vigor al aceptarse y dura mientras el canal esté contratado: 12 meses desde el pago, renovables con un nuevo pago. Antes de que caduque, la encargada avisa a la empresa con el enlace de pago, 30 días antes de la fecha de caducidad. Si la empresa no paga, se suspende el acceso al canal y el contrato termina. Al terminar se aplica lo previsto en la cláusula 7.

3. Obligaciones de la encargada

• Tratar los datos únicamente siguiendo las instrucciones documentadas de la empresa, también respecto de cualquier transferencia a un país fuera de la Unión Europea (solo con las garantías del capítulo V del RGPD), e informar de inmediato si considera que una instrucción infringe la normativa de protección de datos.
• Garantizar que las personas autorizadas a tratar los datos por parte de la encargada se han comprometido a la confidencialidad o están sujetas a una obligación legal de secreto, y que reciben la formación necesaria. La encargada no accede al contenido de las comunicaciones, salvo instrucción documentada de la empresa.

4. Medidas de seguridad

La encargada aplica las medidas técnicas y organizativas del artículo 32 del RGPD adecuadas al riesgo, y en particular: (a) el buzón de la empresa es un sitio separado lógicamente dentro de una única instalación y base de datos compartida con otras empresas clientes: cada sitio tiene sus propias personas usuarias y ninguna puede ver el de otra empresa; (b) cada comunicación se guarda cifrada para las personas receptoras que designe la empresa (la persona responsable del sistema y quienes ella autorice) y la administración ordinaria del servicio no ve su contenido; la plataforma cuenta con un mecanismo de recuperación de acceso, en poder de la encargada, que solo se usará por instrucción documentada de la empresa (por ejemplo, si la persona responsable pierde su clave) y del que quedará constancia escrita; (c) se hacen copias de seguridad diarias cifradas; y (d) el servidor está en la Unión Europea.

5. Subencargados

La empresa da a la encargada una autorización general para recurrir a los siguientes subencargados, según la lista vigente: IONOS SE (servidor en la Unión Europea donde funciona el buzón); Cloudflare, Inc. (alojamiento de la web, del formulario de alta y de una cola temporal con el nombre y el correo de la persona que da de alta el canal y de la empresa, que se borran tras crearlo); y, mientras no se sustituya, el servicio de correo del proyecto GlobaLeaks (mail.globaleaks.org), que envía los avisos de nueva comunicación y conoce el correo de la persona receptora y el aviso, pero no el contenido. Con IONOS y Cloudflare rigen sus acuerdos de tratamiento de datos, incorporados a sus condiciones. El servicio de correo del proyecto GlobaLeaks no recibe el contenido de las comunicaciones, y la encargada responde ante la empresa de los tres. Cualquier cambio de la lista se comunica por escrito con 30 días de antelación para que la empresa pueda oponerse; si se opone, podrá resolver el contrato sin coste antes del cambio y se aplicará la cláusula 7.

6. Derechos y brechas de seguridad

La encargada asistirá a la empresa, con las medidas técnicas y organizativas adecuadas, para atender los derechos de las personas interesadas, y le trasladará sin demora cualquier solicitud que reciba directamente, sin responderla. Avisará a la empresa sin dilación indebida desde que tenga conocimiento de cualquier violación de la seguridad de los datos, con la información de la que disponga para que la empresa pueda valorarla y, si procede, notificarla. Asistirá también a la empresa en la evaluación de impacto y en la consulta previa cuando sean necesarias.

7. Devolución y borrado

Al terminar el contrato, la encargada pone a disposición de la empresa la exportación del libro-registro y de los expedientes del buzón (las comunicaciones se entregan cifradas para las personas receptoras de la empresa) y borra el buzón a los 30 días de terminar el contrato (o antes, si la empresa lo pide por escrito), confirmándolo por escrito. Las copias de seguridad diarias cifradas se conservan 14 días en el servidor y 30 días en un equipo de la encargada, y se borran al cumplirse esos plazos; están cifradas, no se acceden ni se restauran salvo para recuperar el servicio, y el equipo está en la Unión Europea. Al terminar por falta de pago, se cierra la recepción de comunicaciones, pero la empresa mantiene durante 30 días el acceso a la exportación descrita en esta cláusula; pasado ese plazo, el buzón se borra. Solo conservará datos si una ley lo exige.

8. Auditoría

La encargada pondrá a disposición de la empresa la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías, incluidas inspecciones, realizadas por la empresa o por una persona auditora autorizada por ella, con preaviso razonable y sin acceso al contenido de las comunicaciones.

9. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD o este contrato. Si la encargada tratara los datos para otros fines o por medios distintos de los pactados, se la considerará responsable del tratamiento a esos efectos.

Aceptación electrónica. Acepta, en nombre de la empresa, [Nombre y cargo de quien acepta], marcando la casilla del formulario de alta. Gala Worklab guarda la versión aceptada (encargado-canal-2026-11-05-v5), la fecha y la hora, y quién acepta.

Volver al canal de denuncias