Contrato de Encargado del Tratamiento (DPA)

Este Contrato de Encargado del Tratamiento (en adelante, "DPA") se incorpora a los Términos y Condiciones del Servicio y resulta de aplicación cuando AGALE trate datos personales por cuenta del Cliente. Cumple los requisitos del artículo 28 del RGPD.

1. Partes

• Responsable del tratamiento: el Cliente que contrata el Servicio.
• Encargado del tratamiento: Antonio Galera Ferre, NIF 48630140K, Molina de Segura, Murcia (España) ("AGALE").

2. Objeto y duración

AGALE tratará los datos personales facilitados por el Cliente para la prestación del Servicio descrito en los Términos. La duración coincide con la vigencia del contrato principal.

3. Naturaleza y finalidad del tratamiento

Prestación de servicios SaaS de gestión documental, auditoría, formación, CRM y funcionalidades asistidas por IA, según el plan contratado.

4. Tipo de datos personales

• Datos identificativos y de contacto de empleados/colaboradores del Cliente.
• Datos profesionales (cargo, departamento).
• Datos contenidos en documentos cargados por el Cliente.
• Registros de acceso y trazabilidad.

5. Categorías de interesados

Empleados, colaboradores, auditores y, en su caso, terceros cuyos datos el Cliente decida incorporar a la Plataforma.

6. Obligaciones del encargado (AGALE)

AGALE se obliga a:

a) Tratar los datos únicamente conforme a las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo obligación legal.

b) Garantizar que las personas autorizadas se comprometan a respetar la confidencialidad o estén sujetas a obligación legal de secreto.

c) Adoptar todas las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD, conforme a la Política de Seguridad.

d) No subcontratar sin autorización del Cliente. Se entiende otorgada autorización general para los subencargados listados en la sección 9, comprometiéndose AGALE a informar de cualquier cambio con antelación razonable para permitir oposición.

e) Asistir al Cliente para responder al ejercicio de derechos de los interesados.

f) Asistir al Cliente en el cumplimiento de las obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (arts. 32 a 36 RGPD).

g) Notificar las brechas de seguridad al Cliente sin dilación indebida y, en cualquier caso, en un plazo máximo de 48 horas desde su conocimiento, aportando toda la información disponible.

h) A elección del Cliente, suprimir o devolver los datos personales al finalizar la prestación, así como suprimir las copias existentes, salvo obligación legal de conservación.

i) Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, por el Cliente o un auditor autorizado, con preaviso razonable.

7. Obligaciones del responsable (Cliente)

El Cliente:

• Garantiza disponer de base jurídica suficiente para el tratamiento.
• Ha informado a los interesados conforme a los arts. 13 y 14 del RGPD.
• Configura los permisos y accesos de sus Usuarios.
• Comunica a AGALE por escrito cualquier instrucción especial.

8. Transferencias internacionales

AGALE podrá tratar los datos dentro del EEE y, mediante los subencargados listados, fuera del EEE. Para tales transferencias se aplican las Cláusulas Contractuales Tipo aprobadas por Decisión 2021/914/UE de la Comisión Europea y, en su caso, medidas suplementarias (cifrado, seudonimización, segregación).

9. Subencargados autorizados

• Supabase Inc. — base de datos, autenticación, almacenamiento de objetos.
• Cloudflare, Inc. — alojamiento de aplicación, CDN, mitigación DDoS.
• Stripe Payments Europe, Ltd. — pasarela de pagos.
• Proveedores de IA contratados por AGALE — procesamiento puntual de prompts en funcionalidades de asistencia. Los proveedores se comprometen contractualmente a no utilizar los datos para entrenar modelos.

Lista actualizada disponible bajo solicitud en info@agale.es.

10. Responsabilidad

Cada parte responde de los daños causados por incumplimiento de las obligaciones del RGPD que específicamente le correspondan. La limitación de responsabilidad pactada en los Términos se aplica también a este DPA.

11. Vigencia

Este DPA se considera aceptado con la contratación del Servicio. Los clientes empresa que requieran firma específica pueden solicitarla a info@agale.es.