Acuerdo de Encargo de Tratamiento (DPA)

Resumen contractual del art. 28 RGPD para clientes B2B de ObraCore.

Estado del documento

Versión 1.1 (10 de marzo de 2026). Este resumen no sustituye el DPA completo firmable.

1. Objeto, duración y alcance

Este DPA regula el tratamiento de datos personales que ObraCore realiza por cuenta del Cliente para prestar el servicio SaaS. El Cliente actúa como Responsable del Tratamiento y ObraCore como Encargado, conforme al art. 28 RGPD.

  • Objeto: prestación del servicio SaaS contratado y soporte asociado.
  • Duración: durante la vigencia del contrato principal y hasta finalización de obligaciones postcontractuales.
  • Naturaleza: almacenamiento, organización, consulta, transmisión y supresión de datos en el marco de la plataforma.

2. Tipos de datos e interesados

  • Interesados: usuarios de la cuenta cliente, empleados/colaboradores, clientes finales y contactos del CRM del Cliente.
  • Datos: identificación, contacto, datos de facturación, documentos de proyecto, metadatos técnicos y logs de uso.
  • Finalidad: prestación, soporte, seguridad, continuidad y funcionalidades solicitadas por el Cliente.

3. Obligaciones de ObraCore (Encargado)

  • Tratar los datos solo siguiendo instrucciones documentadas del Cliente.
  • Garantizar confidencialidad del personal autorizado y compromiso de secreto.
  • Aplicar medidas técnicas y organizativas apropiadas de seguridad.
  • Asistir al Cliente en ARSLO, brechas, evaluaciones de impacto y consultas previas cuando sea necesario.
  • Notificar incidentes de seguridad sin dilación indebida tras su detección.
  • Suprimir o devolver datos al finalizar el servicio, salvo obligación legal de conservación.

4. Obligaciones del Cliente (Responsable)

  • Determinar la base jurídica y finalidades del tratamiento en su organización.
  • Informar a los interesados y atender sus derechos cuando proceda.
  • Configurar permisos de usuarios y revocaciones de acceso bajo su control.
  • No cargar datos ilícitos ni categorías especiales sin base legal suficiente.

5. Subencargados y transferencias internacionales

ObraCore puede recurrir a subencargados para operar el servicio. El listado actualizado se publica en Subencargados.

Cuando exista transferencia internacional, se aplicarán SCC y medidas suplementarias razonables según riesgo.

Medidas técnicas y organizativas de referencia: Anexo de Seguridad (TOMs).

6. Auditoría y evidencia

El Cliente podrá solicitar información razonable sobre medidas de seguridad y cumplimiento del DPA mediante canal legal, con límites de confidencialidad, proporcionalidad y seguridad operativa.

7. Firma del DPA completo

Para solicitar el DPA completo para firma, escribe a [Placeholder informativo: email legal pendiente de confirmación] indicando razón social del cliente y titular de cuenta. También puedes consultar el DPA completo firmable. Si necesitas revisión de subencargados, consulta el Procedimiento de Objeción y su SLA.