Contrato de encargado
del tratamiento

Reunidos

De una parte, [INSTITUCIÓN], con NIF [NIF] y domicilio en [DOMICILIO], representada por [NOMBRE Y CARGO], en adelante el RESPONSABLE DEL TRATAMIENTO.

De otra parte, [PROVEEDOR], con NIF [NIF] y domicilio en [DOMICILIO], en adelante el ENCARGADO DEL TRATAMIENTO.

Ambas partes se reconocen capacidad suficiente y acuerdan las siguientes cláusulas.

Primera. Objeto

1. El ENCARGADO tratará por cuenta del RESPONSABLE los datos personales necesarios para prestar el servicio de [ANÁLISIS DE DATOS Y ELABORACIÓN DE INFORMES DE DEVOLUCIÓN] en el marco del estudio [NOMBRE DEL ESTUDIO], con referencia de comité de ética [REFERENCIA].
2. El tratamiento se limita estrictamente a esa finalidad. El ENCARGADO no utilizará los datos para ningún fin propio, ni los cederá a terceros salvo lo previsto en la cláusula sexta.

Segunda. Duración

1. El presente contrato produce efectos desde su firma y hasta la finalización del servicio, momento en el que el ENCARGADO procederá conforme a la cláusula novena.
2. Las obligaciones de confidencialidad subsisten sin límite temporal tras la extinción del contrato.

Tercera. Datos tratados y categorías de interesados

1. Categorías de interesados: [PERSONAS PARTICIPANTES EN EL ESTUDIO].
2. Tipos de datos: [RESPUESTAS A INSTRUMENTOS VALIDADOS, VARIABLES SOCIODEMOGRÁFICAS, CÓDIGO DE PARTICIPANTE].
3. Categorías especiales del artículo 9 del RGPD: [SÍ / NO]. En caso afirmativo, se detallan: [DATOS RELATIVOS A LA SALUD].
4. Los datos se entregarán SEUDONIMIZADOS. El RESPONSABLE conservará en exclusiva la clave que permite la reidentificación, que en ningún caso se facilitará al ENCARGADO.

Cuarta. Obligaciones del encargado

1. Tratar los datos únicamente siguiendo instrucciones documentadas del RESPONSABLE, incluidas las relativas a transferencias internacionales.
2. Informar al RESPONSABLE de forma inmediata si considera que una instrucción infringe la normativa de protección de datos.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
4. No comunicar los datos a terceros, salvo autorización expresa del RESPONSABLE o exigencia legal.
5. Mantener un registro de las actividades de tratamiento efectuadas por cuenta del RESPONSABLE.
6. No utilizar los datos, ni en todo ni en parte, para el entrenamiento, ajuste o evaluación de modelos de inteligencia artificial, propios o de terceros.

Quinta. Medidas de seguridad

1. El ENCARGADO aplicará las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas: cifrado en tránsito y en reposo; control de acceso individualizado; almacenamiento dentro del Espacio Económico Europeo; y copias de seguridad cifradas.
2. La recepción de los datos se realizará mediante enlace de subida cifrado, de un solo uso y con caducidad. Queda expresamente excluido el envío por correo electrónico.

Sexta. Subencargados

1. El ENCARGADO no recurrirá a otro encargado sin autorización previa, específica o general, por escrito del RESPONSABLE.
2. La relación de subencargados vigente a la firma se recoge en el Anexo I, con indicación de su función y ubicación.
3. Cualquier incorporación o sustitución se comunicará al RESPONSABLE con [15] días de antelación, plazo durante el cual podrá oponerse.

Séptima. Asistencia al responsable

1. El ENCARGADO asistirá al RESPONSABLE en la atención de las solicitudes de ejercicio de derechos de los interesados, dando traslado de cualquiera que reciba en un plazo máximo de [72] horas.
2. Asimismo le asistirá en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, incluida la evaluación de impacto cuando proceda.

Octava. Violaciones de la seguridad

1. El ENCARGADO notificará al RESPONSABLE, sin dilación indebida y en todo caso en un plazo máximo de [24] horas desde que tenga constancia, cualquier violación de la seguridad de los datos.
2. La notificación incluirá la naturaleza del incidente, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas.

Novena. Destino de los datos al finalizar

1. Finalizada la prestación, el ENCARGADO suprimirá los datos de origen y los intermedios en un plazo máximo de [30] días naturales, y acreditará la supresión por escrito.
2. Si el RESPONSABLE solicita la conservación de plantillas o estructuras para oleadas posteriores, se hará constar por escrito, especificando qué se conserva y durante cuánto tiempo.
3. Se exceptúa la conservación que resulte obligatoria por exigencia legal, durante el plazo estrictamente necesario.

Décima. Acreditación del cumplimiento

1. El ENCARGADO pondrá a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de sus obligaciones y permitirá auditorías, incluidas inspecciones, realizadas por el RESPONSABLE o por un auditor por él designado.

Anexo I · Subencargados

Relación de terceros que intervienen en el tratamiento, con su función y ubicación.

Firmas

Modelo mantenido por Ángel Zamora, doctor en Psicología · reportbackstudio.com · No constituye asesoramiento jurídico. Revísalo con la asesoría de tu institución.