Modelo de contrato de encargo del tratamiento para universidades, hospitales y grupos de investigación que contratan análisis estadístico o revisión de manuscritos. Incluye la lista de subencargados y las garantías de transferencia internacional.
Modelo de contrato de encargo del tratamiento (art. 28 del RGPD) para universidades, hospitales y grupos de investigación que contratan análisis estadístico, revisión metodológica o las herramientas de la web. La institución es la RESPONSABLE y el titular es el ENCARGADO. Es un modelo para firmar, no un dictamen jurídico: lo normal es que la asesoría de tu centro lo revise y lo adapte.
El RESPONSABLE encarga a CIUDAD SERVICES C.B. (en adelante, el ENCARGADO) el tratamiento de datos personales necesario para prestar los servicios contratados: análisis estadístico, revisión metodológica de manuscritos y trabajos académicos, preparación de la defensa, y los informes automatizados generados por las herramientas de la web.
El ENCARGADO trata los datos únicamente para prestar ese servicio. No los utiliza para ninguna finalidad propia, ni para elaborar perfiles, ni para entrenar modelos de inteligencia artificial, ni los cede a terceros distintos de los subencargados relacionados en el anexo.
Este contrato produce efectos desde su firma y mientras dure la prestación del servicio. Terminado el encargo, se aplica lo previsto en la cláusula 9.
Naturaleza: tratamiento por cuenta ajena, sin adopción de decisiones sobre las finalidades ni sobre los medios esenciales.
Categorías de interesados: participantes de los estudios del RESPONSABLE, y personal investigador del propio RESPONSABLE.
Tipos de datos: datos contenidos en los conjuntos de datos y manuscritos que el RESPONSABLE aporte, y datos identificativos y de contacto del personal investigador.
Datos de categoría especial: el servicio está diseñado para trabajar con datos anonimizados o seudonimizados. Si el conjunto de datos incluyera datos de salud u otras categorías del art. 9 RGPD, el RESPONSABLE lo hará constar por escrito antes de la entrega, y ambas partes acordarán las medidas adicionales que procedan.
El ENCARGADO trata los datos siguiendo exclusivamente las instrucciones documentadas del RESPONSABLE, incluidas las relativas a transferencias internacionales. Si una norma de la Unión o de un Estado miembro le obligara a tratar los datos de otro modo, lo comunicará antes del tratamiento, salvo que esa norma lo prohíba por razones de interés público.
El ENCARGADO informará de inmediato al RESPONSABLE si, en su opinión, una instrucción infringe el RGPD o cualquier otra norma de protección de datos.
El ENCARGADO mantiene la confidencialidad de todos los datos a los que acceda, y esa obligación subsiste indefinidamente tras la terminación del contrato.
El ENCARGADO presta el servicio personalmente. No hay personal adicional con acceso a los datos; si en el futuro lo hubiera, se le exigirá por escrito el mismo compromiso de confidencialidad antes de darle acceso.
El ENCARGADO firmará, además, el acuerdo de confidencialidad propio del RESPONSABLE si este lo requiere.
El ENCARGADO aplica las siguientes medidas: cifrado en tránsito (TLS) en todas las comunicaciones; cifrado en reposo en la base de datos y en el almacenamiento del proveedor; acceso restringido mediante autenticación, con claves de servicio no expuestas al navegador; control de acceso por roles en la base de datos; registro de operaciones; y copias de seguridad gestionadas por el proveedor de base de datos.
Minimización efectiva: los manuscritos (texto y archivo) NO se conservan en los servidores del ENCARGADO, tampoco en las cuentas de usuario. El texto se procesa para elaborar la revisión y se descarta al terminar. En los informes de pago se guarda de forma temporal, cifrado y asociado al pago, solo mientras se completa el pago y se genera el informe, y se elimina en cuanto el informe se ha generado y, en todo caso, a las 24 horas. El informe resultante, con las citas literales que contiene, se conserva 30 días asociado al pago para que el usuario pueda recuperarlo y, en su cuenta, hasta que el usuario lo borre. La copia del manuscrito que permite volver a abrirlo se guarda únicamente en el navegador del usuario.
El ENCARGADO no envía los datos a ningún modelo de inteligencia artificial que los utilice para entrenamiento. Los contratos de pago con los proveedores de IA excluyen expresamente ese uso.
El texto viaja primero por un intermediario que exige en cada petición servidores con retención cero; solo si no está disponible va directamente al proveedor de IA, que conserva sus registros de abuso durante el plazo indicado en el anexo y después los borra. Ni el manuscrito ni la revisión se envían por correo electrónico a quien aporta el manuscrito: se consultan en la web y, si el usuario tiene cuenta, en ella. Si paga el informe Profesional, recibe un único correo con el enlace para volver a él, sin el manuscrito ni el informe dentro.
El RESPONSABLE autoriza de forma general los subencargados relacionados en el anexo. El ENCARGADO informará de cualquier alta o sustitución con una antelación mínima de treinta días, y el RESPONSABLE podrá oponerse motivadamente dentro de ese plazo.
Con cada subencargado existe un contrato que impone las mismas obligaciones de protección de datos previstas aquí. El ENCARGADO responde plenamente ante el RESPONSABLE del cumplimiento de los subencargados.
Transferencias internacionales: los subencargados situados fuera del Espacio Económico Europeo tratan los datos amparados en cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias que resulten aplicables.
El ENCARGADO asiste al RESPONSABLE en la atención de los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si un interesado ejerce un derecho ante el ENCARGADO, este lo comunicará al RESPONSABLE en un plazo máximo de tres días hábiles.
El ENCARGADO notificará al RESPONSABLE cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, dentro de las veinticuatro horas siguientes a tener constancia de ella, con la información necesaria para que el RESPONSABLE pueda cumplir con los arts. 33 y 34 RGPD.
El ENCARGADO colabora en las evaluaciones de impacto y en las consultas previas a la autoridad de control que el RESPONSABLE deba realizar.
Terminada la prestación, el ENCARGADO devolverá al RESPONSABLE los datos y los resultados del tratamiento y suprimirá cualquier copia existente en sus sistemas, salvo que una norma exija conservarlos, en cuyo caso los bloqueará durante el plazo legal correspondiente.
A petición del RESPONSABLE, el ENCARGADO emitirá un certificado escrito de supresión.
El ENCARGADO pone a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de estas obligaciones, y permite y contribuye a la realización de auditorías o inspecciones, por el propio RESPONSABLE o por un auditor que este designe, con preaviso razonable y sin interferir de forma desproporcionada en la actividad.
Cada parte responde de los daños que cause por el incumplimiento de sus propias obligaciones, conforme al art. 82 RGPD.
Este contrato se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018 y por la legislación española. Las partes se someten a los juzgados y tribunales que correspondan conforme a derecho.