Contrato de encargo de tratamiento (DPA)

Este documento describe los términos del encargo del tratamiento de datos personales que envigor realiza por cuenta de cada asesoría cliente conforme al artículo 28 del RGPD (UE) 2016/679.

1. Partes

• Responsable del tratamiento (en adelante, «Responsable»): la asesoría profesional que contrata el servicio envigor y sube documentos personales de sus clientes (Pymes) y de los empleados de éstos.
• Encargado del tratamiento (en adelante, «Encargado»): envigor — [pendiente de configurar], NIF [pendiente de configurar], con domicilio en [pendiente de configurar]. Datos de contacto en Aviso legal.

2. Objeto del encargo

El Encargado tratará los datos personales que el Responsable suba a la plataforma envigor, exclusivamente para prestar los servicios contratados conforme a los Términos y condiciones:

• Almacenamiento seguro de documentos (contratos, nóminas, plantillas, convenios, organigramas).
• Extracción estructurada de datos mediante modelos de lenguaje (Anthropic Claude).
• Generación de documentos de compliance (planes, registros, auditorías) según instrucciones del Responsable.
• Auditorías documentales determinísticas y mediante RAG sobre corpus normativo.
• Canal público de denuncias conforme a la Ley 2/2023 cuando el Responsable lo active.

3. Categorías de datos e interesados

3.1. Datos personales tratados

• Identificativos: nombre, apellidos, NIF/DNI/NIE, dirección, teléfono, email.
• Profesionales: categoría profesional, grupo, antigüedad, jornada, modalidad contractual, fechas de inicio/fin.
• Económicos: retribuciones (salario base, complementos, percepciones extrasalariales), bases de cotización, IRPF, deducciones, líquido.
• Eventuales datos sobre denuncias (Canal Whistleblower Ley 2/2023): identidad del denunciante (si consiente) y del denunciado, hechos descritos.

3.2. Interesados

• Empleados de las Pymes asesoradas por el Responsable.
• Candidatos a empleo (en caso de revisión de contratos pre-firma).
• Denunciantes y denunciados en el Canal de Denuncias (si activado).

4. Duración

El presente encargo se mantiene durante la vigencia de la suscripción del Responsable a envigor y hasta la efectiva devolución o supresión de los datos conforme al apartado 8.

5. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable (por defecto, las descritas en el apartado 2). Cualquier tratamiento fuera de instrucción será comunicado al Responsable, salvo prohibición legal.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Adoptar las medidas técnicas y organizativas del art. 32 RGPD (cifrado en tránsito y reposo, control de acceso por roles vía RLS de Postgres, MFA obligatorio para usuarios autorizados, audit log inmutable, backups y plan de recuperación, programa de respuesta a incidentes).
4. Asistir al Responsable, en la medida de lo posible, a atender las solicitudes que tengan por objeto el ejercicio de derechos del interesado (acceso, rectificación, supresión, oposición, limitación, portabilidad).
5. Notificar al Responsable, sin dilación indebida (objetivo: dentro de 24 horas desde la detección), cualquier violación de la seguridad de los datos personales (art. 33 RGPD).
6. A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios y suprimir las copias existentes, a menos que se requiera la conservación de los datos en virtud del Derecho de la Unión o de los Estados miembros (audit logs, obligaciones fiscales).
7. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD, así como permitir y contribuir a auditorías razonables.

6. Sub-encargados

El Responsable autoriza al Encargado a recurrir a los siguientes sub-encargados, cuyo DPA con envigor está vigente:

El Encargado informará al Responsable de cualquier nuevo sub-encargado con un mínimo de 30 días de antelación. El Responsable podrá oponerse fundadamente; en caso de oposición no resuelta, podrá rescindir el contrato sin penalización.

7. Transferencias internacionales

Las transferencias de datos a sub-encargados fuera del Espacio Económico Europeo (p.ej. Anthropic) se amparan en Cláusulas Contractuales Tipo (Decisión 2021/914 de la Comisión Europea) y en medidas técnicas suplementarias (cifrado en tránsito y en reposo, ausencia de PII en metadatos de logs).

8. Devolución / supresión al terminar

Una vez finalizado el encargo, el Encargado:

• Mantendrá los datos disponibles para descarga estructurada durante 60 días desde la fecha efectiva de terminación.
• Transcurrido ese plazo, ejecutará el borrado físico de los datos del Responsable y de copias en sub-encargados, conservando exclusivamente los datos exigidos por obligación legal (audit logs durante 5 años; datos fiscales durante 6 años conforme a la LGT).
• Emitirá al Responsable, bajo solicitud, certificado de borrado.

9. Responsabilidad

Cada parte responde frente a la otra y frente a los interesados conforme al régimen del art. 82 RGPD y a los Términos y condiciones firmados.

10. Cómo firmar este DPA

Esta página es la versión consulta. Para formalizar el DPA:

1. Solicita la versión PDF firmable a contact@envigor.es.
2. El operador te devolverá el DPA firmado por su parte.
3. Firma como Responsable y reenvía. El operador archivará la versión firmada y te enviará confirmación.

Hasta que el DPA esté firmado por ambas partes, el alta de la cuenta puede completarse pero la prestación efectiva del servicio queda condicionada a la formalización del encargo.