CONTRATO DE ENCARGADO DEL TRATAMIENTO

Artículo 28 del Reglamento (UE) 2016/679 · Artículo 33 de la Ley Orgánica 3/2018

En Las Palmas de Gran Canaria, a 04/08/2026

REUNIDOS

De una parte, como RESPONSABLE DEL TRATAMIENTO:
D./D.ª ______________________________________, mayor de edad, con NIF ____________________, actuando en nombre propio o en representación de ______________________________________, con CIF ____________________ y domicilio a efectos de notificación en ______________________________________________________, en adelante el Responsable o el Cliente.

De otra parte, como ENCARGADA DEL TRATAMIENTO:
D.ª Elia Maria Acosta Ojeda, mayor de edad, con NIF 44701980P, empresaria individual que opera bajo los nombres comerciales ILETSOFT e iSaaSWeb Technology, con domicilio a efectos de notificación en Calle Pi y Margall, 12 - 5 Dcha, 35006, Las Palmas de Gran Canaria, Las Palmas, en adelante la Encargada.

Ambas partes se reconocen capacidad suficiente para contratar y

EXPONEN

I. Que la Encargada es titular de la plataforma iSaaSWeb Technology, un servicio de Software como Servicio (SaaS) multi-entidad integrado por los módulos verticales ISW Taller, ISW Puertas, ISW Cristal, accesible en www.isaasweb.es.

II. Que el Responsable ha contratado el acceso a la plataforma y dispone de una entidad propia en la que introduce y genera datos personales de sus propios clientes, proveedores, personas de contacto y, en su caso, empleados.

III. Que la prestación del servicio implica necesariamente el acceso de la Encargada a dichos datos, acceso que no tendrá la consideración de comunicación de datos conforme al artículo 28.10 del RGPD.

IV. Que el Responsable ostenta tal condición respecto de los datos alojados en su entidad, y que la Encargada actúa exclusivamente por cuenta y bajo las instrucciones de aquél.

Y a tal efecto suscriben el presente contrato con arreglo a las siguientes

ESTIPULACIONES

PRIMERA. Objeto

El Responsable encomienda a la Encargada el tratamiento de los datos personales alojados en su entidad de la plataforma, con la exclusiva finalidad de prestar los servicios contratados. Las instrucciones documentadas constan en el Anexo I.

SEGUNDA. Duración

El presente contrato estará vigente mientras se mantenga la suscripción a la plataforma y se extinguirá automáticamente con ella, sin perjuicio de las obligaciones que subsistan conforme a la estipulación DECIMA.

TERCERA. Naturaleza, finalidad y tipo de datos

Operaciones de tratamiento	Recogida, registro, estructuración, conservación, consulta, modificación, extracción, copia de respaldo, recuperación, supresión y comunicación a la AEAT por cuenta del Responsable.
Finalidad	Exclusivamente la prestación del servicio contratado. La Encargada no tratará los datos con finalidad propia alguna.
Categorías de interesados	Clientes, proveedores, personas de contacto y, en su caso, empleados del Responsable.
Categorías de datos	Identificativos (NIF/CIF, nombre y apellidos, dirección, teléfono, correo electrónico, firma), económicos y de facturación, y los específicos de cada módulo contratado según el Anexo II.

CUARTA. Obligaciones de la Encargada

La Encargada se obliga a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluso en materia de transferencias internacionales. Si considerase que una instrucción infringe la normativa, lo comunicará de inmediato.
• No utilizar los datos para finalidad propia, ni con fines comerciales, estadísticos, de demostración, de elaboración de perfiles ni de entrenamiento de sistemas automatizados.
• Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad o están sujetas a obligación de confidencialidad de naturaleza estatutaria, con carácter indefinido.
• Adoptar las medidas técnicas y organizativas del artículo 32 del RGPD, detalladas en el Anexo III.
• Mantener el aislamiento lógico estricto entre la entidad del Responsable y las de los demás clientes de la plataforma.
• Asistir al Responsable en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos, comunicándole en un plazo máximo de 72 horas cualquier solicitud que reciba directamente de un interesado.
• Ayudar al Responsable a garantizar el cumplimiento de los artículos 32 a 36 del RGPD, incluidas la notificación de violaciones y la evaluación de impacto.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a la realización de auditorías e inspecciones.
• No comunicar los datos a terceros, ni siquiera para su conservación, salvo obligación legal o instrucción expresa del Responsable.
• Llevar el registro de actividades de tratamiento por cuenta de terceros previsto en el artículo 30.2 del RGPD.

QUINTA. Obligaciones del Responsable

• Disponer de base de legitimación válida para los datos que incorpore a la plataforma.
• Informar a sus interesados y atender el ejercicio de sus derechos.
• Mantener su propio registro de actividades de tratamiento y, en su caso, realizar la evaluación de impacto.
• Gestionar los permisos y las altas y bajas de sus usuarios, y custodiar sus credenciales.
• Comunicar a la Encargada cualquier variación sustancial que afecte al objeto de este contrato.
• No introducir categorías especiales de datos del artículo 9 del RGPD sin comunicarlo previamente por escrito.
• Realizar, cuando resulte necesario, las consultas previas a la autoridad de control.
• Supervisar el tratamiento, incluida la realización de auditorías o inspecciones.

SEXTA. Subcontratación

El Responsable autoriza expresamente a la Encargada a recurrir a los siguientes subencargados, vinculados mediante contrato escrito con obligaciones equivalentes a las aquí estipuladas:

Subencargado	NIF/CIF	Servicio	Ubicación de los datos
IONOS Cloud S.L.U.	B85049435	Alojamiento e infraestructura	Centros de datos situados en la Union Europea

Para incorporar nuevos subencargados la Encargada deberá:

• Notificarlo previamente y por escrito al Responsable, indicando identidad, servicio y descripción del tratamiento.
• Respetar un plazo de 30 días laborables desde la notificación sin que el Responsable haya formulado objeción motivada por escrito.
• Vincular al subencargado mediante contrato escrito con, al menos, las mismas obligaciones.
• Responder frente al Responsable del incumplimiento del subencargado.

SÉPTIMA. Medidas de seguridad

La Encargada implantará las medidas de los artículos 28 y 32 del RGPD a fin de impedir la alteración, pérdida, tratamiento o acceso no autorizado a los datos, atendiendo al estado de la tecnología, la naturaleza de los datos y los riesgos existentes. El detalle figura en el Anexo III.

OCTAVA. Violaciones de la seguridad

Producida una violación de la seguridad que afecte a los datos del Responsable, la Encargada se lo notificará sin dilación indebida y con plazo suficiente para permitirle informar a la autoridad de control dentro de las 72 horas siguientes, facilitando como mínimo la información del artículo 33 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, datos de contacto, consecuencias probables y medidas adoptadas o propuestas.

NOVENA. Ejercicio de derechos por los interesados

Cuando un interesado ejercite ante la Encargada los derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición, ésta lo comunicará al Responsable en el plazo de 72 horas, sin atender la solicitud por sí misma, junto con cualquier información relevante para resolverla.

DÉCIMA. Devolución o supresión de los datos

Extinguida la relación contractual, el Responsable dispondrá de 30 días naturales para solicitar la exportación íntegra de sus datos en formato estructurado, de uso común y lectura mecánica. Transcurrido dicho plazo, la Encargada devolverá o suprimirá los datos a elección del Responsable, incluidas las copias existentes.

La Encargada podrá retener aquellos datos cuya conservación derive expresamente de una obligación legal, únicamente durante el período estipulado en dicha normativa, sin utilizarlos para ninguna otra finalidad y garantizando su estricta confidencialidad. Prescritas dichas obligaciones, procederá al borrado seguro de todas las copias, bases de datos, archivos temporales y demás soportes.

UNDÉCIMA. Responsabilidad

De conformidad con el artículo 28.10 del RGPD, si la Encargada infringe el Reglamento determinando los fines y medios del tratamiento, será considerada responsable respecto de dicho tratamiento. Cada parte responderá de las sanciones e indemnizaciones derivadas de sus propios incumplimientos.

DUODÉCIMA. Legislación aplicable y jurisdicción

El presente contrato se rige por el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y demás legislación española aplicable. Para la resolución de cualquier controversia, las partes se someten a los Juzgados y Tribunales de Las Palmas de Gran Canaria, Las Palmas, salvo fuero imperativo distinto.

ANEXO I · INSTRUCCIONES DOCUMENTADAS PARA EL TRATAMIENTO

• Alojar y procesar los datos exclusivamente en la infraestructura contratada, situada en la Unión Europea.
• Acceder al entorno de producción únicamente para el diagnóstico y la resolución de incidencias comunicadas por el Responsable o detectadas por sistemas de monitorización.
• Ejecutar despliegues, migraciones, copias de seguridad y restauraciones necesarias para la continuidad del servicio.
• Remitir a la AEAT los registros de facturación generados por el Responsable, por cuenta de éste y conforme al Real Decreto 1007/2023.
• No extraer copias de la base de datos a entornos locales salvo autorización puntual y, siempre que sea técnicamente posible, con datos anonimizados o seudonimizados.
• No utilizar los datos con fines de demostración comercial, formación o desarrollo de productos.
• Registrar toda intervención sobre el entorno de producción, con fecha, alcance y persona interviniente, a disposición del Responsable.
• Atender las instrucciones adicionales que el Responsable comunique por escrito, siempre que sean conformes con la normativa vigente.

ANEXO II · MÓDULOS CONTRATADOS Y DATOS TRATADOS

Contratado	Módulo	Versión	Categorías de datos tratados por cuenta del Responsable
	ISW Taller ISWTALLER	1.2.0	Datos identificativos y de contacto de clientes, matriculas y datos de vehiculos, historicos de reparacion, datos economicos y de facturacion.
	ISW Puertas ISWPUERTAS	1.2.1	Datos identificativos y de contacto de clientes, ubicacion de instalaciones, partes de intervencion, datos economicos y de facturacion.
	ISW Cristal ISWCRISTAL	1.0.0	Datos identificativos y de contacto de clientes, medidas y especificaciones de pedido, datos economicos y de facturacion.

Marque los módulos efectivamente contratados. Los no marcados quedan fuera del objeto de este contrato.

ANEXO III · MEDIDAS TÉCNICAS Y ORGANIZATIVAS

• Aislamiento multi-entidad: separación lógica estricta; toda consulta filtra por identificador de entidad.
• Autenticación: credenciales personales e intransferibles con renovación periódica y bloqueo por inactividad.
• Control de acceso: perfiles y permisos por usuario; concesión y revocación centralizadas en el Responsable de Seguridad.
• Cifrado: HTTPS/TLS en tránsito y AES-256 para certificados digitales y datos sensibles en reposo.
• Integridad: encadenamiento criptográfico SHA-256 de los registros de facturación.
• Copias de respaldo: Diaria, con retencion de 30 dias, con verificación periódica de la recuperación.
• Registro de accesos: conservación mínima de 2 años y revisión periódica.
• Entornos separados: desarrollo y pruebas aislados de producción y poblados con datos ficticios.
• Destrucción segura de soportes desechados.
• Confidencialidad indefinida de todo el personal y colaboradores.
• Auditoría en plazo no superior a 2 años.