Acuerdo de encargo de tratamiento (DPA)

Modelo de acuerdo de tratamiento de datos para clientes.

Borrador de revisión. Esta página contiene verificaciones contractuales o técnicas pendientes marcadas en amarillo y no debe publicarse como versión jurídica definitiva.

En esta página · ver apartados

Este DPA regula el tratamiento de datos personales por Domora por cuenta del Cliente. Si el Cliente actúa a su vez como encargado de una comunidad u otro responsable, las partes deberán asegurar que el Cliente está autorizado a subcontratar y que las obligaciones se transmiten a Domora.

1. Roles y objeto

Para los tratamientos descritos en el Anexo I, el Cliente actúa como responsable o encargado autorizado y Domora como encargado o subencargado. Domora no tratará esos datos para fines propios incompatibles. Los tratamientos en los que Domora sea responsable independiente —por ejemplo, su propia facturación o determinadas actividades de seguridad— quedan fuera de este DPA y se rigen por la Política de Privacidad.

2. Instrucciones documentadas

  • Domora tratará los datos únicamente conforme a las instrucciones documentadas del Cliente, incluidas transferencias internacionales, salvo obligación legal aplicable a Domora.
  • La configuración del Servicio, el Order Form, tickets autorizados, APIs y acciones de usuarios con permisos podrán constituir instrucciones documentadas dentro del alcance contratado.
  • Si Domora considera que una instrucción infringe RGPD u otra normativa aplicable de protección de datos, informará al Cliente sin demora y podrá suspender la instrucción afectada hasta su aclaración, en la medida permitida legalmente.

3. Confidencialidad y personal autorizado

Domora limitará acceso a personal y colaboradores que necesiten tratar los datos para prestar el Servicio y estén sujetos a obligaciones de confidencialidad adecuadas. Se aplicará principio de mínimo privilegio y procesos de alta/cambio/baja de accesos.

4. Seguridad del tratamiento

Domora implementará medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 RGPD y al Anexo II. El Anexo II no debe convertirse en una lista aspiracional: cualquier control descrito contractualmente debe estar implementado, monitorizado y respaldado por evidencia.

5. Subencargados

Cuando exista autorización general por escrito, el procedimiento deberá incluir comunicación activa al contacto contractual del Cliente ante incorporaciones o sustituciones previstas, con información suficiente para valorar el cambio y una oportunidad real de oposición. La mera actualización silenciosa de una página web no se considerará notificación suficiente.

[PENDIENTE: confirmar autorización general o específica, canal de avisos, plazo de preaviso, procedimiento de oposición y evidencia de entrega antes de activar este compromiso.]

  • El Cliente otorga [PENDIENTE: autorización general o específica] para subencargados.
  • Con autorización general, Domora informará con antelación razonable de altas o sustituciones materiales y ofrecerá un mecanismo de objeción por motivos razonables de protección de datos.
  • Domora impondrá al subencargado obligaciones de protección de datos sustancialmente equivalentes a las aplicables a Domora respecto del tratamiento delegado.
  • Domora seguirá siendo responsable frente al Cliente del cumplimiento de las obligaciones del subencargado en los términos del RGPD.
  • La lista vigente identificará al menos entidad, servicio, ubicación relevante y función; el registro interno conservará más detalle de due diligence.

6. Transferencias internacionales

Domora no realizará transferencias internacionales de Customer Data salvo instrucción/documentación aplicable y mecanismo válido del capítulo V RGPD. Cuando proceda, se utilizarán decisiones de adecuación, SCC 2021/914 u otro mecanismo válido, con evaluaciones de riesgo/medidas complementarias cuando sean necesarias. La ubicación del datacenter no es el único factor: deben evaluarse accesos de soporte y subprocesadores.

7. Asistencia con derechos de interesados

Domora, teniendo en cuenta la naturaleza del tratamiento, asistirá al Cliente mediante medidas técnicas y organizativas apropiadas para responder a solicitudes de derechos. Si recibe directamente una solicitud identificable relativa a Customer Data, no actuará como responsable: la notificará al Cliente y solo responderá conforme a instrucciones o exigencia legal.

8. Asistencia en cumplimiento, EIPD y consulta previa

Domora pondrá a disposición información razonablemente necesaria sobre seguridad, naturaleza del tratamiento, subencargados y funcionamiento relevante para ayudar al Cliente con obligaciones de artículos 32 a 36 RGPD, incluyendo EIPD y consulta previa cuando proceda. La asistencia extraordinaria puede regularse comercialmente siempre que no vacíe obligaciones legales.

9. Violaciones de datos personales

Domora notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de datos personales que afecte a Customer Data. La notificación inicial incluirá la información disponible y podrá completarse por fases. Domora cooperará razonablemente para que el Cliente pueda evaluar riesgo y cumplir sus obligaciones de notificación.

Contenido inicial cuando esté disponibleEjemplos
Naturaleza y alcancesistemas/tenants afectados, categorías de datos/interesados y estimación de registros
Cronologíadetección, conocimiento, contención y estado
Impacto y riesgoconfidencialidad, integridad, disponibilidad y consecuencias potenciales
Medidascontención, recuperación, mitigación y acciones siguientes
Contactopunto de coordinación de seguridad/privacidad

10. Auditorías e información

Domora pondrá a disposición información necesaria para demostrar cumplimiento del artículo 28 y permitirá/contribuirá a auditorías en los términos legales. El contrato puede ordenar el proceso: uso prioritario de informes independientes cuando existan, cuestionarios razonables, confidencialidad, preaviso y límites para evitar comprometer a otros clientes, sin impedir auditorías exigidas por ley o autoridad.

11. Devolución, exportación, supresión y bloqueo

El flujo comercial previsto ofrece 30 días naturales tras la terminación para que el Cliente acceda y exporte datos a través de las herramientas habilitadas. Después se suspenderá el acceso ordinario. Esta ventana operativa se coordinará con el derecho del responsable a elegir devolución o supresión, las obligaciones legales de conservación y el procedimiento de borrado de copias; no constituye una retención general e indefinida.

[PENDIENTE: fijar plazos de supresión efectiva y expiración de backups, formato de exportación, quién ejecuta la elección y excepciones legales documentadas.]

Al terminar los servicios, y a elección del Cliente en la medida prevista por el RGPD y contrato, Domora devolverá/exportará o suprimirá los datos personales, salvo obligación de conservación. Cuando Domora deba conservar datos bloqueados por una obligación propia, impedirá su uso ordinario. Las copias de seguridad se eliminarán mediante su ciclo de expiración documentado y no se restaurarán para uso productivo salvo recuperación necesaria, en cuyo caso las obligaciones vuelven a aplicarse.

12. Uso de datos para modelos y mejora

13. Responsabilidad y prevalencia

La responsabilidad se rige por el Acuerdo principal salvo obligaciones que no puedan limitarse legalmente. En caso de conflicto sobre tratamiento de datos personales por cuenta del Cliente, este DPA prevalecerá en esa materia. Las SCC aplicables prevalecerán cuando así lo exijan sus propias cláusulas.

Anexo I - Detalles del tratamiento

CampoDescripción a completar
ObjetoPrestación de los módulos de Domora contratados y soporte autorizado.
DuraciónVigencia del Servicio + periodo de salida/retención definido; [PENDIENTE por contrato].
Naturaleza/operacionesalojar, organizar, consultar, transmitir, generar borradores, automatizar según instrucciones, backup, seguridad, soporte; concretar por módulo.
FinalidadesLas determinadas por el Cliente dentro del uso autorizado del Servicio.
Interesadospropietarios, residentes, representantes, presidentes/cargos, proveedores, empleados/usuarios del Cliente y otros según módulos.
Datosidentificación/contacto, comunidad/inmueble, incidencias, juntas, financieros, documentos, comunicaciones, voz/transcripciones y logs según módulos activados.
Categorías especialesNo solicitadas por diseño; pueden aparecer incidentalmente. Si el Cliente prevé tratamiento sistemático, debe documentarse antes.
Datos de menoresNo dirigidos por diseño; posible presencia incidental en Customer Data.
FrecuenciaContinua durante uso del Servicio.

Anexo II - Medidas técnicas y organizativas

El detalle contractual definitivo debe extraerse de DOM-SEC-11 TOMs una vez verificado. Como mínimo, cubrirá control de acceso y MFA, segregación tenant, cifrado en tránsito y reposo cuando proceda, gestión de secretos, logging/auditoría, SDLC seguro, vulnerabilidades, backups/continuidad, incident response, due diligence de proveedores, minimización y controles de IA.

Anexo III - Subencargados

Se incorpora por referencia la Lista de Subencargados vigente de Domora, con el mecanismo de notificación/objeción definido en este DPA. La lista pública no sustituye al registro interno de evaluación.

Firma / aceptación

ParteNombre y cargoFechaFirma / mecanismo de aceptación
Por Domora Technologies, S.L.[PENDIENTE][PENDIENTE][PENDIENTE]
Por el Cliente[PENDIENTE][PENDIENTE][PENDIENTE]

Marco normativo y fuentes de referencia

Las referencias se incluyen para trazabilidad jurídica. Deben revisarse de nuevo cuando se modifique el producto, el flujo de datos o la normativa aplicable.