Contrato de Encargo de Tratamiento

Este es el modelo del Contrato de Encargo de Tratamiento que Cumplecanal firma con cada cliente al activar el servicio en modalidad SaaS hospedada. Cumple los requisitos del artículo 28 del RGPD y del artículo 33 de la LOPDGDD.

Partes

Responsable: el cliente (empresa o entidad obligada).
Encargado: Consulplan Vida Correduría de Seguros, S.L. — Cumplecanal.

Resumen de obligaciones del Encargado

• Tratar los datos únicamente según instrucciones documentadas del Responsable.
• Garantizar confidencialidad del personal autorizado.
• Aplicar medidas técnicas y organizativas del art. 32 RGPD: cifrado, audit log, aislamiento, anti-forensic.
• Asistir al Responsable en derechos ARSULIPO de los interesados.
• Asistir al Responsable en obligaciones de seguridad, brechas, DPIA y consulta previa.
• Notificar brechas al Responsable en menos de 24 horas.
• Suprimir o devolver todos los datos al fin del servicio + Certificado de Destrucción.
• Permitir auditorías con preaviso mínimo de 15 días hábiles.
• Mantener registro art. 30 RGPD.
• No transferir datos fuera del EEE sin autorización.

Sub-encargados autorizados

Notificación de nuevos sub-encargados con 30 días de antelación. Derecho de oposición motivada en 15 días.

Conservación y devolución

Al fin del servicio, Cumplecanal entrega paquete de cierre: export BD + adjuntos + cadena audit log + Acta de devolución. Posteriormente destruye los datos en sus sistemas y emite Certificado de Destrucción.

Limitación de responsabilidad

Limitada al mayor de: importe pagado en los 12 meses anteriores o 1.000 €. No aplica a dolo, culpa grave o incumplimiento del art. 32 RGPD.

Cláusula penal específica por acceso indebido

Como salvaguarda adicional frente a la situación en que el propio Encargado (Cumplecanal/Consulplan) pudiera, por su posición técnica, acceder a contenido de denuncias fuera de los supuestos contractualmente autorizados, las partes pactan una cláusula penal específica que opera con independencia del régimen general de limitación de responsabilidad:

• Cada acceso a contenido de denuncias (campos descifrados o adjuntos) por parte de personal del Encargado fuera de los supuestos autorizados — soporte solicitado por el Responsable, requerimiento judicial formal o investigación interna del Encargado documentada y notificada al Responsable — devenga una multa fija de 30.000 € por acceso, exigible por el Responsable previa acreditación del hecho mediante el propio acceso_log de la plataforma.
• La multa es acumulable con la indemnización por los daños efectivamente sufridos por el Responsable y por los terceros afectados (en particular el informante), y no sustituye a las responsabilidades administrativas o penales del Encargado.
• El Responsable puede verificar el cumplimiento de esta cláusula en cualquier momento descargando el acceso_log íntegro desde el panel del RSII y comprobando matemáticamente la cadena SHA-256 — el Encargado no puede manipularlo silenciosamente sin romper la cadena de hashes posteriores.

Jurisdicción

Juzgados y Tribunales de Madrid.

El texto íntegro del contrato (16 cláusulas) se entrega firmado a cada cliente. Esta página es el resumen público informativo.