Anexo contractual

Contrato de Encargado
de Tratamiento (DPA)

Art. 28 RGPD · Cláusulas tipo · Versión 1.0 · 14 mayo 2026

Documento contractual estándar que regula el tratamiento de datos personales cuando JUSTICIA LEGALIA actúa como encargado del tratamiento por cuenta del cliente (Art. 28 RGPD). Se firma como anexo al contrato principal en operaciones B2B y para colaboradores.

1. Identificación de las partes

RolIdentidad
Responsable del tratamientoEl cliente que contrata el servicio (datos en contrato principal)
Encargado del tratamientoAlberto García Fernández · NIF 71177412W · Valladolid

2. Objeto y duración

El encargado tratará datos personales del responsable únicamente para las finalidades del contrato principal de prestación de servicios (análisis documental, gestión de reclamaciones, generación de escritos). La duración coincide con la del contrato principal.

3. Naturaleza y finalidad del tratamiento

4. Obligaciones del encargado (Art. 28.3 RGPD)

JUSTICIA LEGALIA, como encargado, se obliga a:

  1. Tratar los datos únicamente siguiendo instrucciones documentadas del responsable.
  2. Garantizar que las personas autorizadas para tratar datos se han comprometido a la confidencialidad (NDA).
  3. Adoptar todas las medidas técnicas y organizativas del Art. 32 RGPD (ver Política de Seguridad).
  4. Respetar las condiciones para recurrir a subencargados (preautorización general — Anexo II).
  5. Asistir al responsable en el cumplimiento de sus obligaciones de respuesta a derechos ARCO-POL.
  6. Ayudar al responsable en evaluaciones de impacto y consultas previas a la AEPD.
  7. A elección del responsable, suprimir o devolver los datos al finalizar la prestación.
  8. Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento del Art. 28.
  9. Notificar brechas de seguridad sin dilación indebida (máx. 24h).

5. Subcontratistas autorizados (Anexo II)

SubencargadoServicioUbicación
Stripe Payments Europe Ltd.Procesamiento de pagosIrlanda + USA (DPF)
Vercel Inc.Hosting de la plataformaUE (Frankfurt)
Google WorkspaceEmail corporativoUE/USA (DPF)
Base44Backend SaaSUE

El responsable consiente expresamente el recurso a estos subencargados. Cualquier cambio será comunicado con 30 días de antelación, pudiendo el responsable objetar motivadamente.

6. Transferencias internacionales

Las transferencias a EE. UU. se amparan en el Data Privacy Framework UE-USA (Decisión de Adecuación de 10/07/2023). Para terceros países sin decisión de adecuación se aplicarán Cláusulas Contractuales Tipo (Decisión UE 2021/914).

7. Auditoría e inspecciones

El responsable podrá auditar el cumplimiento de este DPA mediante:

8. Responsabilidad

Cada parte responde de las multas administrativas y daños derivados de su propio incumplimiento. La responsabilidad solidaria queda limitada al alcance establecido por el Art. 82 RGPD.

9. Devolución o supresión

Al finalizar el contrato, en plazo máximo de 30 días, JUSTICIA LEGALIA devolverá o suprimirá (a elección del responsable) todos los datos personales tratados, certificando dicha actuación por escrito, salvo obligación legal de conservación (mínimo 6 años fiscal).

10. Legislación aplicable y jurisdicción

RGPD (UE) 2016/679 · LOPDGDD 3/2018 · Tribunales de Valladolid (España).

← Volver al inicio