Anexo de encargo de tratamiento

Responsable: [PENDIENTE: organización cliente, NIF, domicilio y representante]. Encargado: [PENDIENTE: nombre o razón social del titular], NIF [PENDIENTE: NIF/CIF], domicilio [PENDIENTE: domicilio social completo].

Objeto: alojar y tratar por cuenta del responsable los datos incorporados a Verbenia para prestar las funciones contratadas. Duración: la relación de servicio y el periodo de devolución o supresión posterior.

Operaciones: recogida a través de formularios configurados, registro, organización, consulta, comunicación, conservación, copia de seguridad, soporte, exportación y supresión. Finalidad: gestión organizativa, censal, económica, documental, de eventos y accesos decidida por el responsable.

Personas: miembros, usuarios, representantes, proveedores, invitados, participantes, familiares y contactos; pueden incluir menores. Datos: identificativos, contacto, NIF, domicilio, nacimiento, membresía, respuestas, operaciones económicas, documentos e imágenes.

El encargado tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas estas condiciones y la configuración legítima del servicio. Informará si considera que una instrucción infringe la normativa, salvo prohibición legal. No destinará los datos a fines propios incompatibles.

El encargado garantizará compromisos de confidencialidad y acceso por necesidad. Aplicará medidas técnicas y organizativas apropiadas al riesgo: control de acceso y roles, autenticación, cifrado en tránsito, contraseñas protegidas, copias, registro de eventos de seguridad, actualización, recuperación y revisión periódica.

Medidas concretas y análisis de riesgos: [PENDIENTE: anexo de seguridad, cifrado en reposo, continuidad, RTO/RPO, pruebas y responsables].

El encargado asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, para atender derechos y obligaciones de seguridad, evaluaciones de impacto y consultas previas. Las solicitudes recibidas directamente se trasladarán sin resolverlas por cuenta propia salvo autorización.

El encargado notificará al responsable sin dilación indebida las violaciones de seguridad de datos de las que tenga conocimiento, aportando la información disponible sobre naturaleza, personas y registros afectados, consecuencias, medidas y contacto. Plazo operativo: [PENDIENTE: acordar plazo máximo y canal].

Subencargados previstos: hosting [PENDIENTE: proveedor de hosting, país y región de alojamiento]; correo [PENDIENTE: proveedor SMTP/email, país y región]; backups [PENDIENTE: proveedor, ubicación y plazo de conservación de copias de seguridad]; OpenAI [PENDIENTE: entidad contratada de OpenAI, región y garantías de transferencia aplicables]; Stripe [CONDICIONAL: Stripe cuando se habiliten los planes de pago]; Google [CONDICIONAL: Google cuando se habilite el acceso con Google].

Transferencias y garantías: [PENDIENTE: transferencias internacionales y garantías aplicables]. El encargado informará de altas o sustituciones con antelación razonable para permitir objeciones fundadas y trasladará a cada subencargado obligaciones equivalentes.

Al terminar, y a elección documentada del responsable, los datos se devolverán o suprimirán, salvo obligación legal. Como configuración general se permitirá su recuperación durante 30 días; después se eliminarán de producción y se propagarán a backups conforme a su ciclo. Los datos sujetos a conservación legal quedarán bloqueados y accesibles solo para responsabilidades.

El encargado pondrá a disposición la información necesaria para demostrar cumplimiento y permitirá auditorías razonables, coordinadas, confidenciales y proporcionales, preferentemente mediante documentación o informes independientes y sin comprometer a otros clientes. Costes y preaviso: [PENDIENTE: condiciones].

Versión 2026-09-05. Fecha: [PENDIENTE]. Aceptación del responsable: [PENDIENTE]. Aceptación del encargado: [PENDIENTE].

Este anexo complementa los términos B2B y prevalece en materia de encargo de tratamiento.