Encargo de tratamiento

1. Partes

Responsable del tratamiento

El despacho titular de la cuenta, identificado con los datos facilitados en el alta.

Encargado del tratamiento

José Pino Guisado, NIF 49092989H, domicilio en Av. Manuel Clavero Arévalo, Dos Hermanas, Sevilla. 1C, correo contacto@ulpianolaw.com.

El despacho determina los fines y medios del tratamiento de los datos que incorpora al servicio y es, respecto de ellos, responsable del tratamiento. El encargado los trata únicamente por cuenta del despacho.

2. Objeto, naturaleza y finalidad

El objeto del encargo es el tratamiento de los datos personales necesarios para prestar el servicio descrito en las condiciones: alojamiento, organización, conservación, consulta, modificación, generación documental y supresión de la información de los expedientes del despacho.

El encargado no tratará los datos para ninguna finalidad propia. En particular, no los utilizará para elaborar productos o servicios derivados, ni para entrenar modelos de aprendizaje automático, ni los comunicará a terceros distintos de los subencargados autorizados, salvo por instrucción del responsable, como la sincronización con Google Calendar descrita en la cláusula 12.

3. Duración

El encargo se mantiene vigente mientras el despacho utilice el servicio. Concluye con la baja de la cuenta, sin perjuicio del plazo de conservación previsto en la cláusula 10.

4. Tipo de datos y categorías de interesados

Por la naturaleza de la actividad del despacho, el tratamiento puede alcanzar a:

• Categorías de interesados: clientes del despacho, contrapartes, representantes, testigos, peritos y demás intervinientes en los asuntos, así como el personal del propio despacho.
• Tipos de datos: identificativos y de contacto, económicos y financieros, profesionales y laborales, procesales, y cualesquiera otros que el despacho incorpore a sus expedientes.
• Categorías especiales y datos penales: el tratamiento puede incluir datos de las categorías especiales del artículo 9 del RGPD (por ejemplo, datos de salud en reclamaciones de daños, o afiliación sindical en asuntos laborales) y datos relativos a condenas e infracciones penales en el sentido del artículo 10 del RGPD. El despacho asume la valoración de licitud de dichos tratamientos.

5. Obligaciones del encargado

Conforme al artículo 28.3 del RGPD, el encargado se obliga a:

1. Tratar los datos únicamente siguiendo instrucciones documentadas del despacho, incluidas las que se cursen a través de la propia configuración y uso del servicio. Si el encargado considerase que una instrucción infringe la normativa de protección de datos, lo informará de inmediato.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido expresamente a respetar la confidencialidad, con carácter indefinido y también tras el fin de la relación.
3. Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en la cláusula 7.
4. Respetar el régimen de subencargados de la cláusula 6.
5. Asistir al despacho, en la medida de lo posible, en la atención de las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirigiera directamente al encargado, este le remitirá al despacho y se lo comunicará sin dilación.
6. Asistir al despacho en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, incluidas la notificación de brechas y, en su caso, la evaluación de impacto.
7. Suprimir o devolver los datos al término de la prestación, conforme a la cláusula 10.
8. Poner a disposición del despacho la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías conforme a la cláusula 11.

6. Subencargados

El despacho autoriza con carácter general la subcontratación de los siguientes subencargados, necesarios para prestar el servicio:

El encargado informará al despacho de cualquier alta o sustitución de subencargado con una antelación mínima de 15 días, dándole la oportunidad de oponerse. Cuando el cambio venga impuesto por un subencargado que haya concedido un preaviso menor, el encargado lo comunicará sin demora desde que lo reciba, indicando el plazo efectivamente disponible. Si el despacho se opone motivadamente, podrá resolver la relación y exportar sus datos sin coste.

El encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las asumidas en este documento, y responde frente al despacho de su incumplimiento.

7. Medidas de seguridad

Atendiendo al estado de la técnica y a los riesgos del tratamiento, se aplican al menos las siguientes medidas:

• Cifrado de las comunicaciones en tránsito mediante TLS.
• Cifrado de cada documento, antes de almacenarlo, con una llave propia de ese documento. Las llaves se guardan cerradas con una llave raíz custodiada por un proveedor distinto del que almacena los documentos (AWS KMS, en España), de modo que ninguno de los dos puede leerlos por sí solo. Cada uso de la llave raíz queda anotado en un registro que no puede modificarse ni borrarse durante seis años.
• Cifrado en reposo de la base de datos, en los términos ofrecidos por su proveedor.
• Autenticación gestionada por un proveedor especializado, con soporte de segundo factor.
• Aislamiento por despacho: toda consulta de datos se filtra por el despacho al que pertenecen, y las claves de almacenamiento documental incorporan el identificador del despacho. La comprobación se realiza en la propia base de datos, que aplica reglas de acceso por fila y rechaza las consultas que no identifiquen al despacho, de modo que no depende de controles de la interfaz ni de que el programa recuerde aplicarlos.
• Registro de auditoría inalterable de las acciones sobre los expedientes, incluidas las consultas: quién ha abierto cada expediente, documento o ficha de cliente, y cuándo. Se conserva 6 años y el programa no ofrece forma de modificarlo ni de borrarlo.
• Copias de seguridad con capacidad de recuperación a un momento anterior.
• Control de acceso del personal del encargado según el principio de mínimo privilegio.

8. Confidencialidad y secreto profesional

El encargado es consciente de que la información tratada puede estar amparada por el secreto profesional del abogado. Se obliga a guardar estricta confidencialidad sobre ella, a no acceder a su contenido salvo cuando resulte imprescindible para prestar el servicio, resolver una incidencia o cumplir una obligación legal, y a documentar tales accesos.

9. Violaciones de la seguridad

El encargado notificará al despacho, sin dilación indebida y en todo caso dentro de las 24 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales, con la información disponible sobre su naturaleza, categorías y número aproximado de interesados afectados, consecuencias probables y medidas adoptadas.

La notificación a la autoridad de control y, en su caso, a los interesados corresponde al despacho como responsable.

10. Devolución y supresión al finalizar

A la finalización del encargo, el despacho puede exportar la totalidad de sus datos: expedientes en formato estructurado y documentos en su formato original.

Los datos se conservan durante 90 días desde la baja, para permitir la reactivación o la exportación, y se suprimen definitivamente una vez transcurrido dicho plazo, salvo que su conservación resulte exigida por el Derecho de la Unión o de los Estados miembros.

11. Auditoría

El encargado pondrá a disposición del despacho la información necesaria para acreditar el cumplimiento de este encargo y colaborará en las auditorías que el despacho o un auditor por él mandatado realicen, previa solicitud con antelación razonable, en horario laboral y sin comprometer la confidencialidad de la información de otros despachos.

12. Transferencias internacionales

Los datos de los expedientes se tratan íntegramente en el Espacio Económico Europeo: base de datos en Fráncfort, documentos en la jurisdicción europea de Cloudflare R2, ejecución de la aplicación en Fráncfort y envío de correo desde Irlanda. La llave raíz del cifrado de documentos se custodia en España. Ningún dato de expediente se comunica al proveedor de autenticación, cuyo tratamiento se limita a identificadores de cuenta, correo y nombre del usuario. La única salida es la que decide el propio despacho, descrita al final de esta cláusula.

Los subencargados relacionados en la cláusula 6 son sociedades estadounidenses, o filiales europeas que contratan junto con su matriz estadounidense, como Amazon Web Services EMEA SARL con Amazon Web Services, Inc. Todas pueden acceder en remoto a la infraestructura europea con fines de soporte y mantenimiento. Esa posibilidad de acceso constituye transferencia internacional a efectos del capítulo V del Reglamento, y queda amparada en la adhesión de las seis sociedades estadounidenses al Marco de Privacidad de Datos UE-EE. UU., verificada como activa el 1 de septiembre de 2026 y, la de Amazon Web Services, Inc., el 25 de septiembre de 2026, en el registro del Departamento de Comercio de los Estados Unidos, al que resulta de aplicación la decisión de adecuación de la Comisión Europea de 10 de julio de 2023.

Con carácter subsidiario, los contratos de encargo suscritos con Amazon Web Services, Clerk, Cloudflare, Databricks y Resend incorporan las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, en su módulo tercero (encargado a subencargado) para los datos de los expedientes.

El encargado comprueba anualmente la vigencia de estas adhesiones. Si alguna decayera, la transferencia quedaría amparada por las cláusulas contractuales tipo y se comunicaría al despacho conforme a la cláusula 6.

Sincronización con Google Calendar. Cuando un usuario del despacho conecta su propia cuenta de Google, el encargado comunica a Google LLC, siguiendo esa instrucción del responsable, los eventos de la agenda de ese usuario —título, lugar, fecha y hora—, que pueden contener datos de los expedientes, y recibe los de los calendarios que el usuario elija. Google no es subencargado del encargado: es un proveedor que el despacho o su usuario eligen y con el que contratan directamente, y la transferencia a Estados Unidos que esa comunicación supone se rige por esa relación. La funcionalidad no trata ningún dato mientras nadie conecte una cuenta, y cada usuario puede retirarla en cualquier momento desde la configuración de la aplicación.

13. Responsabilidad

Cada parte responde de los daños causados por su propio incumplimiento de la normativa de protección de datos, conforme al artículo 82 del RGPD.