Información legal

Marco del tratamiento por encargo conforme al artículo 28 del RGPD Versión 2026-08-02.1

Este marco público describe las obligaciones previstas, pero no constituye todavía un contrato de encargo cerrado mientras no se identifiquen claramente las partes, el objeto, la duración y las firmas. Cada cliente en producción debe celebrar un acuerdo individualizado con anexos sobre medidas técnicas y subencargados.

1. Roles, objeto y duración

El cliente es responsable de sus procedimientos especializados. El operador trata por encargo los datos profesionales y de portal almacenados en Entiflow. El objeto comprende alojamiento, almacenamiento, tratamiento estructurado, copias, soporte, exportación y eliminación de los módulos acordados. El tratamiento dura la vigencia contractual más los plazos pactados de devolución y eliminación.

2. Datos y personas interesadas

Según el módulo pueden tratarse datos maestros, de contacto, cuenta, contrato, contratación, subvención, contabilidad, empleo, seguridad, salud, denuncias y registro, incluidas categorías especiales del artículo 9 y datos del artículo 10 del RGPD. Pueden ser interesados empleados, candidatos, solicitantes, proveedores, miembros, voluntarios, informantes, clientes y otros participantes. El alcance concreto debe constar por cliente en un catálogo de tratamientos.

3. Instrucciones, confidencialidad y limitación de la finalidad

El operador solo trata datos siguiendo instrucciones documentadas, informa si una instrucción parece ilícita y obliga a confidencialidad a las personas autorizadas. No se permiten publicidad propia, venta de datos del cliente ni entrenamiento de modelos con dichos datos salvo acuerdo separado y lícito.

4. Seguridad y asistencia

El operador aplica medidas adecuadas al riesgo conforme al artículo 32 del RGPD, entre ellas separación de clientes, permisos por roles, contraseñas seguras, transmisión cifrada, registros, copias de seguridad, actualizaciones y procedimientos de recuperación e incidentes. Presta asistencia en el alcance acordado respecto de derechos, evaluaciones de impacto, consultas y notificaciones de los artículos 33 y 34 del RGPD.

5. Subencargados

Los subencargados solo se utilizan con autorización escrita previa específica o general. Con autorización general, los cambios se anuncian previamente con posibilidad de oposición. Deben imponerse contractualmente obligaciones equivalentes de protección de datos.

La lista vinculante de subencargados debe completarse antes de celebrar el contrato.

6. Pruebas, auditorías, devolución y eliminación

El operador facilita las pruebas necesarias y permite controles proporcionados con un preaviso razonable, sin poner en riesgo la seguridad ni los derechos de otros clientes. Al finalizar el contrato, los datos se devuelven o eliminan según la elección e instrucciones del cliente, salvo obligación legal en contrario. Las copias de seguridad se eliminan en el ciclo técnico acordado y se documenta la eliminación.