Contrato de encargo del tratamiento (art. 28 RGPD)

Última actualización: 1 de septiembre de 2026

1. Partes

• Responsable del tratamiento: el cliente. Sus datos identificativos se incorporan al cuerpo del contrato en el momento de la firma.
• Encargado del tratamiento: DaVinci Agency IA (davinciagency.ia@gmail.com). La identificación registral completa se incorpora al contrato al firmarlo y a esta plantilla en cuanto el alta de la actividad quede formalizada.

2. Objeto del encargo

El encargado tratará por cuenta del responsable los datos personales necesarios para prestar los servicios de marketing digital contratados: gestión de contactos y clientes potenciales, atención de conversaciones entrantes, agenda de citas, publicación de contenidos y elaboración de informes.

3. Categorías de interesados y de datos

• Interesados: clientes y clientes potenciales del responsable, y personas que contactan con él por sus canales.
• Datos: identificativos (nombre, teléfono, correo), de contacto, contenido de las conversaciones mantenidas y datos de la cita o del presupuesto.
• No se tratan categorías especiales de datos (art. 9 RGPD). Si el negocio del responsable las implicara —por ejemplo, datos de salud en una clínica— deberá pactarse un anexo específico antes de activar el servicio.

4. Duración

El encargo dura lo que dure el contrato de servicio. A su fin, el encargado devolverá o suprimirá los datos según indique el responsable, salvo los que deba conservar por obligación legal, que quedarán bloqueados.

5. Obligaciones del encargado

1. Tratar los datos solo siguiendo instrucciones documentadas del responsable.
2. Guardar secreto, y garantizar que quien accede a los datos se compromete a lo mismo.
3. Aplicar medidas de seguridad del art. 32 RGPD: cifrado en tránsito, control de acceso por cuenta, aislamiento de los datos de cada cliente en su propio espacio y registro de las acciones realizadas.
4. No usar los datos para fines propios ni para entrenar modelos de inteligencia artificial.
5. No subcontratar sin autorización. Los subencargados actuales son Supabase (base de datos y autenticación), Stripe (pagos), Anthropic (procesamiento con IA, sin entrenar modelos con los datos) y Google (correo) — además de las plataformas sociales que el propio responsable autoriza al conectar sus redes (Meta, TikTok, Google/YouTube, LinkedIn) —, todos con contrato equivalente firmado. Cualquier alta o sustitución se comunicará al responsable con antelación para que pueda oponerse.
6. Asistir al responsable en la atención de los derechos de los interesados y en las evaluaciones de impacto que procedan.
7. Notificar cualquier brecha de seguridad sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a tener conocimiento de ella, con la información necesaria para que el responsable pueda cumplir el art. 33 RGPD.
8. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

6. Obligaciones del responsable

1. Entregar al encargado únicamente datos que haya obtenido lícitamente y para los que tenga base legal.
2. Informar a los interesados del tratamiento y atender sus derechos.
3. Dar las instrucciones al encargado y velar por el cumplimiento previo y continuo del RGPD.

7. Transferencias internacionales

Si algún subencargado está fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias que procedan.

8. Responsabilidad

Cada parte responde de los daños que cause por incumplir la normativa de protección de datos, en los términos del art. 82 RGPD.

Firmado electrónicamente al contratar el servicio. Fecha y versión: las del momento de la firma, que quedan registradas en el portal del cliente junto al contrato.

← Volver al inicio