Contrato de encargado del tratamiento

Responsable del tratamiento: ____________________________, asociación que contrata el servicio CRM Asociaciones (en adelante, «la Asociación»).
NIF: ____________ Domicilio: ______________________________________________

Encargado del tratamiento: JZ DigitalWeb ([nombre completo pendiente de completar]), NIF [NIF pendiente de completar], con domicilio en [domicilio pendiente de completar], Málaga (España) y correo jonaestudios86@gmail.com (en adelante, «el Encargado»).

El Encargado tratará datos personales por cuenta de la Asociación únicamente para prestarle el servicio CRM Asociaciones (alojamiento y operación de la aplicación de gestión de personas atendidas, familiares y seguimientos). El contrato dura lo que dure la prestación del servicio.

Operaciones: recogida, registro, organización, estructuración, conservación, consulta, modificación, comunicación al propio usuario autorizado, exportación y supresión. Finalidad: que la Asociación gestione las fichas, contactos familiares, seguimientos, estadísticas y expedientes de las personas que atiende.

• Interesados: personas atendidas por la Asociación, sus familiares o personas de contacto y el personal de la Asociación que usa la aplicación.
• Datos: identificativos y de contacto (nombre, fecha de nacimiento, DNI/NIE, teléfono, correo, domicilio), económicos (IBAN) y categorías especiales: datos de salud (causa y fecha del daño cerebral, grado de discapacidad, situación, tratamiento, rehabilitación, consumo, observaciones) y notas de seguimiento.

1. Tratar los datos solo siguiendo las instrucciones documentadas de la Asociación (este contrato y el uso normal de la aplicación) y no usarlos para fines propios. Si considera que una instrucción infringe la normativa, se lo comunicará.
2. Garantizar que las personas con acceso se han comprometido a la confidencialidad.
3. Aplicar las medidas de seguridad del Anexo I, adecuadas al riesgo (art. 32 RGPD), y mantenerlas actualizadas.
4. Recurrir solo a los subencargados del Anexo II, con los que mantiene contratos que les imponen obligaciones equivalentes. Avisará a la Asociación de cualquier incorporación o sustitución con al menos 15 días de antelación, para que pueda oponerse; si la oposición es razonada y no hay alternativa, la Asociación podrá resolver el contrato.
5. No transferir datos fuera del Espacio Económico Europeo salvo con garantías adecuadas (cláusulas contractuales tipo u otro mecanismo válido). Los datos se alojan en la UE.
6. Ayudar a la Asociación, con medidas técnicas y organizativas (acceso, exportación, rectificación, supresión, etc.), a responder a las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige directamente al Encargado, se lo trasladará sin dilación.
7. Notificar a la Asociación, sin dilación indebida y como máximo en 48 horas desde que tenga constancia, cualquier violación de seguridad de los datos, con la información disponible para que pueda valorar y notificar a la autoridad y a los afectados.
8. Ayudar a la Asociación en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consulta previa).
9. Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin perjudicar la seguridad de otros clientes.
10. Al terminar el servicio, a elección de la Asociación, devolverle los datos (exportación) y borrar las copias en un plazo de 30 días, salvo que una norma obligue a conservarlos, y acreditar el borrado si se le solicita.

1. Disponer de base legitimadora para tratar los datos (incluida la condición del art. 9 RGPD para los datos de salud) e informar a los interesados.
2. Decidir qué datos se introducen y mantenerlos exactos; evaluar la necesidad de una evaluación de impacto y de un delegado de protección de datos; llevar su registro de actividades de tratamiento.
3. Gestionar a sus usuarios: dar acceso solo a quien lo necesite, dar de baja sin demora y custodiar las contraseñas.
4. Dar instrucciones lícitas al Encargado y atender las solicitudes de los interesados.

Cada parte responde de los daños derivados del incumplimiento de sus obligaciones conforme al art. 82 RGPD y, en lo no regulado, conforme a las condiciones del servicio. Este contrato se rige por la ley española y, salvo norma imperativa, los juzgados y tribunales de Málaga son competentes.