Contrato de encargado del tratamiento

1. Partes

• Responsable: el Cliente titular de la cuenta de Aira CRM.
• Encargado: Manuel Rodríguez Giráldez, NIF 35577357Z, con domicilio en Avda. Castelao 32, 36860 Ponteareas (Pontevedra), España y email info@blackholdconsulting.com.

2. Objeto, naturaleza y finalidad

El Encargado trata los datos personales que el Responsable introduce o conecta en Aira CRM con la única finalidad de prestarle el servicio de CRM: almacenamiento, organización, consulta, envío de comunicaciones (email, WhatsApp y chat web), automatizaciones, informes y soporte técnico.

3. Tipos de datos e interesados

Interesados: contactos, leads, clientes y proveedores del Responsable, y los usuarios que el Responsable da de alta en su cuenta.

Datos: identificativos y de contacto (nombre, email, teléfono, empresa, cargo), datos comerciales (oportunidades, notas, tareas, historial de actividad), contenido de las conversaciones y los formularios, y cualquier otro dato que el Responsable decida incluir.

El Responsable no debe introducir categorías especiales de datos (art. 9 RGPD) salvo que sea imprescindible y cuente con una base jurídica válida.

4. Duración

Este contrato estará vigente mientras el Responsable tenga una cuenta en Aira CRM. A su finalización se aplicará lo previsto en el apartado «Fin de la prestación».

5. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, incluidas las que da mediante la configuración del servicio.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
• Garantizar que las personas autorizadas para tratar los datos se comprometen a mantener la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD descritas en este contrato.
• Ayudar al Responsable a atender las solicitudes de ejercicio de derechos de los interesados y trasladarle sin demora las que reciba directamente.
• Ayudar al Responsable en las evaluaciones de impacto y consultas previas cuando procedan.
• Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información disponible.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de 30 días y a cargo del Responsable.
• Informar al Responsable si considera que una instrucción infringe la normativa de protección de datos.

6. Obligaciones del Responsable

• Disponer de una base jurídica para el tratamiento y haber informado a los interesados.
• Obtener los consentimientos necesarios para enviar comunicaciones comerciales por email o WhatsApp.
• Dar instrucciones lícitas y supervisar el tratamiento.
• Gestionar correctamente los accesos de sus propios usuarios.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, que ofrecen garantías suficientes y están sujetos a obligaciones equivalentes a las de este contrato:

El Encargado informará al Responsable, con al menos 15 días de antelación, de cualquier cambio en los subencargados. El Responsable podrá oponerse por motivos razonables y, si no se llega a un acuerdo, resolver el contrato.

8. Transferencias internacionales

Si un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se basará en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas adicionales que sean necesarias.

9. Medidas de seguridad

• Cifrado de las comunicaciones mediante HTTPS/TLS.
• Contraseñas almacenadas con funciones de hash robustas.
• Separación lógica de los datos de cada organización y control de acceso por usuario.
• Acceso a los sistemas de producción restringido a personal autorizado.
• Registro de la actividad relevante y revisión de incidentes.
• Actualización periódica del software y de sus dependencias.

10. Fin de la prestación

Al terminar el servicio, el Encargado pondrá los datos a disposición del Responsable durante 30 días para su recuperación y, después, los suprimirá de forma segura, salvo que la ley obligue a conservarlos. En ese caso los mantendrá bloqueados solo durante el plazo legal.

11. Legislación aplicable

Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española. Si el Responsable necesita una versión firmada de este contrato, puede solicitarla en info@blackholdconsulting.com.