Este DPA debe firmarse electrónicamente por el Responsable (club, armería, entidad) antes de la puesta en producción del servicio Cloud Alfa.
1. Partes
- Responsable del Tratamiento: el cliente (club, armería, entidad) que contrata Cloud Alfa, con los datos identificativos que consten en el contrato principal.
- Encargado del Tratamiento: [RAZÓN SOCIAL COMPLETA], NIF [NIF/CIF], domicilio [DOMICILIO SOCIAL COMPLETO], representada por [REPRESENTANTE LEGAL].
2. Objeto
El Encargado tratará los datos personales necesarios para prestar el servicio Cloud Alfa conforme a las instrucciones del Responsable y a este DPA, en su condición de Encargado del Tratamiento del artículo 28 del RGPD.
3. Duración
El presente DPA tiene la misma duración que el contrato principal de servicio Cloud. Se extinguirá automáticamente al término del contrato, sin perjuicio de las obligaciones de confidencialidad y de las obligaciones de supresión o devolución de datos.
4. Naturaleza y finalidad del tratamiento
- Naturaleza: tratamiento automatizado en entorno cloud multiusuario.
- Finalidad: gestión de socios, cuotas, reservas, inventario, libro de tiro, recarga, competiciones, etc.
- Categorías de datos: identificativos, de contacto, económicos, operativos.
- Categorías de interesados: socios, clientes, empleados del Responsable.
- Duración del tratamiento: la del contrato + 30 días para devolución o supresión.
5. Instrucciones del Responsable
El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Si el Encargado considera que una instrucción infringe el RGPD, informará de inmediato al Responsable y podrá suspender su ejecución hasta recibir confirmación.
6. Obligaciones del Encargado
- Tratar los datos solo para las finalidades del contrato.
- Garantizar la confidencialidad del personal autorizado, mediante acuerdos de confidencialidad.
- Aplicar medidas técnicas y organizativas del art. 32 RGPD.
- No subcontratar sin autorización del Responsable.
- Asistir al Responsable en la atención de derechos de los interesados (arts. 15-22 RGPD).
- Asistir en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, violaciones, evaluaciones de impacto).
- Notificar violaciones de seguridad sin dilación indebida y en plazo máximo de 48 horas.
- Suprimir o devolver los datos al finalizar el contrato, a elección del Responsable.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento.
- Permitir auditorías razonables, previo aviso de 15 días.
- Designar un punto de contacto para cuestiones de protección de datos.
- Mantener un registro de actividades de tratamiento (art. 30.2 RGPD).
7. Subencargados
El Responsable autoriza los subencargados listados en la Política de Subencargados. El Encargado informará de cualquier cambio con 30 días de antelación para permitir la oposición del Responsable. Si el Responsable se opone y no se alcanza un acuerdo, podrá resolver el contrato sin penalización.
8. Transferencias internacionales
El Encargado no realizará transferencias fuera del EEE sin garantías adecuadas (Cláusulas Contractuales Tipo, decisión de adecuación o equivalentes conforme al Capítulo V del RGPD). Se informará al Responsable de las transferencias existentes y de sus garantías.
9. Medidas de seguridad
Se aplican las medidas detalladas en la Política de Seguridad de la Información:
- Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
- Control de acceso basado en roles (RBAC) y tenant.
- Autenticación multifactor (MFA) para roles sensibles.
- Registro de auditoría inmutable.
- Backups cifrados y probados.
- Monitorización 24/7 y alertas.
- Pseudonimización cuando sea posible.
10. Violaciones de seguridad
El Encargado notificará al Responsable en un plazo máximo de 48 horas desde que tenga conocimiento de una violación de seguridad de datos personales, con la información del art. 33.3 RGPD:
- Naturaleza de la violación.
- Categorías y número aproximado de interesados afectados.
- Categorías y número aproximado de registros afectados.
- Datos de contacto del DPO o punto de contacto.
- Consecuencias probables.
- Medidas adoptadas o propuestas.
11. Auditoría
El Responsable podrá auditar el cumplimiento una vez al año o tras incidente grave, previo aviso de 15 días y sin interferir en la operativa. La auditoría podrá realizarse por el propio Responsable o por tercero independiente sujeto a confidencialidad.
12. Finalización
Al término del contrato, el Encargado devolverá o suprimirá los datos en un plazo máximo de 30 días, a elección del Responsable, salvo obligación legal de conservación. Se emitirá certificado de borrado.
13. Responsabilidad
Se aplica el régimen del art. 82 RGPD. El Encargado responde de los daños causados por tratamientos que infrinjan el RGPD o que se aparten de las instrucciones del Responsable.
14. Ley aplicable
Legislación española y europea en materia de protección de datos. Jurisdicción conforme al contrato principal.
Anexo I — Detalles del tratamiento
| Elemento | Detalle |
|---|
| Finalidad | Gestión operativa del club/armería |
| Duración | Vigencia del contrato + 30 días |
| Categorías de interesados | Socios, clientes, empleados |
| Categorías de datos | Identificativos, contacto, económicos, operativos |
| Transferencias | No previstas fuera del EEE salvo CCT |
Anexo II — Medidas de seguridad
- Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
- RBAC, tenant enforcement, políticas RLS.
- MFA para owner/admin.
- Logs inmutables y auditoría.
- Backups cifrados, probados, con retención de 90 días.
- Monitorización 24/7 con SIEM.
- Pseudonimización y minimización.
Anexo III — Firma
El presente DPA se firma electrónicamente por ambas partes a través de plataforma de firma cualificada conforme al Reglamento eIDAS (UE) 910/2014.