Anexo de Contrato de Encargado de Tratamiento

1. Objeto del anexo

El presente Anexo (en adelante, el "Anexo" o el "DPA") regula el tratamiento de datos personales que Comfaena realiza por cuenta del Cliente en el marco de la prestación del Servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Este Anexo forma parte integrante de los Términos y Condiciones de contratación del Servicio y prevalece sobre estos en todo lo relativo al tratamiento de datos personales.

2. Partes y calificación

El Cliente actúa como responsable del tratamiento de los datos personales de sus operarios, de los administradores de fincas y de los clientes finales que introduce en la Plataforma. Comfaena actúa exclusivamente como encargado del tratamiento, tratando dichos datos únicamente siguiendo instrucciones documentadas del Cliente y para la prestación del Servicio.

3. Alcance, naturaleza y finalidad del tratamiento

Naturaleza de las operaciones: almacenamiento, estructuración, consulta, generación de documentos (albaranes, informes), transmisión y conservación de datos en servidores gestionados por Comfaena o sus subencargados, con el fin de prestar las funcionalidades de la Plataforma (panel de administración, app de operario y portal de cliente).

Finalidad: permitir al Cliente coordinar avisos y tareas, gestionar a sus operarios en campo, generar documentación de trabajo y ofrecer un portal de transparencia a sus clientes finales (administradores de fincas).

4. Categorías de datos e interesados

No se prevé el tratamiento de categorías especiales de datos (art. 9 RGPD) en el uso ordinario de la Plataforma. Si el Cliente introdujera datos de esta naturaleza por su cuenta, será responsable de contar con la base legal correspondiente.

5. Duración del tratamiento

Comfaena tratará los datos personales durante toda la vigencia del contrato de prestación del Servicio suscrito con el Cliente, y hasta su devolución o supresión conforme a lo previsto en la sección 15 de este Anexo.

6. Instrucciones del responsable

Comfaena tratará los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluida la relativa a las transferencias de datos personales a un tercer país u organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que resulte aplicable a Comfaena; en tal caso, Comfaena informará al Cliente de esa exigencia legal previamente al tratamiento, salvo que el Derecho lo prohíba por razones importantes de interés público.

Se entiende que la configuración y el uso ordinario de la Plataforma conforme a su documentación funcional constituyen, por sí mismos, la instrucción del Cliente.

7. Obligaciones del encargado

Comfaena se compromete a:

• Tratar los datos personales únicamente para la prestación del Servicio y conforme a las instrucciones documentadas del Cliente.
• Garantizar que las personas autorizadas para tratar los datos se comprometen a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• Adoptar las medidas de seguridad exigidas por el artículo 32 RGPD, descritas en la sección 9.
• Respetar las condiciones para recurrir a otro encargado del tratamiento (subencargado) descritas en la sección 10.
• Asistir al Cliente en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de derechos de los interesados.
• Asistir al Cliente en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas a la autoridad de control.
• Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 RGPD, y facilitar auditorías.
• Devolver o suprimir todos los datos personales al finalizar la prestación del Servicio, conforme a la sección 15.

8. Confidencialidad

Comfaena garantiza que el personal autorizado para tratar los datos personales del Cliente ha asumido, de forma expresa y por escrito, el compromiso de confidencialidad o está sujeto a una obligación de confidencialidad de naturaleza estatutaria, y que dicho personal ha recibido la formación necesaria en materia de protección de datos.

9. Medidas de seguridad

Comfaena aplicará, como mínimo, las siguientes medidas técnicas y organizativas, sin perjuicio de otras que resulten de su análisis de riesgos:

• Cifrado de las comunicaciones mediante certificado SSL/TLS.
• Control de acceso basado en roles, con credenciales individuales por usuario.
• Aislamiento lógico de los datos de cada Cliente (arquitectura multi-tenant), impidiendo el acceso cruzado entre entornos de distintos clientes.
• Copias de seguridad periódicas de los datos alojados en la Plataforma.
• Registro de actividad (logs) sobre operaciones relevantes realizadas en la Plataforma.
• [Añadir: ubicación de los servidores, proveedor de hosting, certificaciones de seguridad si las hubiera, política de contraseñas, cifrado en reposo, etc.]

10. Subencargados del tratamiento

El Cliente autoriza con carácter general a Comfaena a subcontratar servicios de tratamiento de datos personales con los siguientes subencargados:

Comfaena informará al Cliente de cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Cliente la oportunidad de oponerse a dichos cambios en un plazo de [X días]. Comfaena impondrá contractualmente a cada subencargado las mismas obligaciones en materia de protección de datos que las establecidas en este Anexo.

11. Asistencia en el ejercicio de derechos de los interesados

Comfaena asistirá al Cliente, mediante las medidas técnicas y organizativas apropiadas y en la medida en que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad de los datos y a no ser objeto de decisiones individuales automatizadas.

Si Comfaena recibiera directamente una solicitud de un interesado referida a datos tratados por cuenta del Cliente, la trasladará a este sin dilación indebida, sin atenderla directamente salvo instrucción expresa del Cliente.

12. Notificación de violaciones de seguridad

Comfaena notificará al Cliente, sin dilación indebida y en cualquier caso en un plazo máximo de [24-72 horas] desde que tenga conocimiento de ello, cualquier violación de la seguridad de los datos personales tratados por cuenta del Cliente, facilitando como mínimo la información necesaria para que el Cliente pueda, en su caso, cumplir con su obligación de notificación a la autoridad de control y, en su caso, a los interesados afectados conforme a los artículos 33 y 34 RGPD.

13. Auditorías y verificación del cumplimiento

Comfaena pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Anexo, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor autorizado por el Cliente, previo aviso razonable y sin perjuicio de la confidencialidad debida respecto a otros clientes de la Plataforma. [Detallar condiciones: periodicidad máxima, coste, alcance.]

14. Transferencias internacionales

En caso de que la prestación del Servicio implique una transferencia de datos personales fuera del Espacio Económico Europeo, Comfaena garantizará que dicha transferencia se ampara en alguno de los mecanismos previstos en el Capítulo V del RGPD (decisión de adecuación, cláusulas contractuales tipo u otra garantía adecuada), informando de ello al Cliente.

[Especificar si algún subencargado (ej. proveedor de IA, servicio de email) transfiere datos fuera de la UE y qué garantía aplica.]

15. Devolución y supresión de datos

Una vez finalizada la prestación del Servicio, Comfaena, a elección del Cliente, devolverá o suprimirá todos los datos personales tratados por cuenta de este, así como las copias existentes, salvo que exista una obligación legal de conservación aplicable a Comfaena. El Cliente dispondrá de un plazo de [X días] tras la baja del Servicio para exportar sus datos, transcurrido el cual Comfaena procederá a su supresión definitiva conforme a lo descrito en las Condiciones de contratación.

16. Responsabilidad

Cada parte responderá de los daños y perjuicios que cause por el incumplimiento de las obligaciones que le correspondan conforme al presente Anexo y a la normativa de protección de datos aplicable.

17. Vigencia

Este Anexo entrará en vigor en el momento de la contratación del Servicio y permanecerá vigente durante toda la duración del contrato principal, así como durante el plazo adicional necesario para el cumplimiento de las obligaciones de devolución o supresión de datos descritas en la sección 15.

18. Aceptación

La contratación del Servicio Comfaena implica la aceptación de este Anexo por parte del Cliente en su condición de responsable del tratamiento. Para clientes que requieran firma expresa del presente documento, se podrá formalizar mediante el siguiente bloque: