Contrato de encargado de tratamiento

Versión 1 · 19 de septiembre de 2026 · Anexo a las condiciones del servicio

Al contratar el Servicio, la empresa cliente (el «Responsable») encarga a [RAZÓN SOCIAL], NIF [CIF], domicilio [DOMICILIO] (el «Encargado» o «Nazari») el tratamiento de los datos personales necesarios para prestarlo, en los términos del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Este contrato forma parte de las condiciones del servicio y se entiende aceptado con ellas.

1. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales que este introduzca en su instalación de Nazari, con la única finalidad de prestar el Servicio: alojarlos, hacer copias de seguridad, mantener y actualizar el programa, y dar soporte cuando el Responsable lo pida.

2. Datos y personas afectadas

Datos de identificación y contacto, datos profesionales y laborales (categoría, coste hora, fichajes, documentación de coordinación de actividades), datos bancarios (cuentas, mandatos SEPA), datos económicos de la relación (presupuestos, certificaciones, facturas, recibos), firmas manuscritas digitalizadas, imágenes y fotografías de la obra, y datos de localización solo si el Responsable activa esa función. Afectan a empleados, operarios de subcontratas, clientes, proveedores, direcciones facultativas y demás personas de contacto del Responsable. El Responsable decide qué datos introduce y garantiza que tiene base legítima para tratarlos.

3. Duración

La del Servicio. A su terminación se aplica lo previsto en la cláusula 8.

4. Obligaciones del Encargado

• Tratar los datos solo conforme a las instrucciones documentadas del Responsable, que son las que resultan de la contratación del Servicio y de su uso normal; si considera que una instrucción infringe la normativa, se lo comunicará de inmediato.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal, en cuyo caso informará al Responsable si la ley lo permite.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad y han recibido formación.
• Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable.
• Asistir al Responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados, comunicándole en un máximo de 5 días laborables cualquier solicitud que reciba directamente, y facilitándole las herramientas del programa para atenderlas.
• Notificar al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible sobre su naturaleza, los afectados, las consecuencias probables y las medidas adoptadas.
• Apoyar al Responsable en las evaluaciones de impacto y en las consultas previas a la autoridad de control cuando proceda.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías que el Responsable o un auditor autorizado por él realicen, con aviso razonable y sin comprometer la seguridad de otros clientes.

5. Medidas de seguridad

El Encargado aplica, como mínimo: alojamiento en centros de datos de la Unión Europea; una instalación y una base de datos separadas por cliente; cifrado de las comunicaciones (HTTPS); control de acceso con usuarios y claves individuales, con roles definidos por el Responsable; registro de accesos administrativos; copias de seguridad diarias cifradas con retención de 30 días; actualizaciones de seguridad del sistema y del programa; y procedimiento de respuesta a incidentes. El Responsable es quien administra sus usuarios, sus permisos y los dispositivos autorizados de la app de obra.

6. Subencargados

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados necesarios para prestar el Servicio, que en la fecha de esta versión son: el proveedor del alojamiento (centro de datos en la Unión Europea) y el proveedor de correo saliente (IONOS SE, Unión Europea). El Encargado informará al Responsable de cualquier cambio con 30 días de antelación, para que pueda oponerse; si se opone y no hay alternativa, cualquiera de las partes podrá resolver el Servicio. El Encargado impone a sus subencargados obligaciones equivalentes a las de este contrato y responde de su cumplimiento.

7. Transferencias internacionales

Los datos se tratan en el Espacio Económico Europeo. No se realizan transferencias internacionales; si alguna vez fueran imprescindibles, se harían con las garantías del capítulo V del RGPD y previa información al Responsable.

8. Terminación

Al terminar el Servicio, el Encargado devolverá al Responsable los datos en los formatos previstos en las condiciones del servicio (BC3, CSV o Excel, adjuntos, volcado completo) durante los 30 días siguientes y, después, los destruirá junto con sus copias en un máximo de 30 días, certificándolo al Responsable. Podrá conservar bloqueados los datos que una obligación legal le exija.

9. Obligaciones del Responsable

• Facilitar al Encargado los datos e instrucciones necesarios y garantizar que los datos que introduce se han obtenido lícitamente y que ha informado a los interesados.
• Realizar, cuando proceda, la evaluación de impacto y la consulta previa; en particular, antes de activar la geolocalización de los fichajes, y de tratar datos de trabajadores de empresas subcontratistas.
• Velar por el cumplimiento de la normativa de protección de datos por su parte, incluida la supervisión del tratamiento.

10. Responsabilidad

Cada parte responde de los daños que cause por incumplir sus obligaciones bajo el RGPD y este contrato. Si el Encargado determina por sí los fines y medios de un tratamiento, será considerado responsable de ese tratamiento.