Contrato de encargo del tratamiento

Qué es esto. El contrato que el artículo 28 del RGPD obliga a tener por escrito entre quien decide sobre unos datos personales y quien los trata por su cuenta. Aquí, el negocio decide sobre los datos de su clientela y de su personal, y huequia los trata siguiendo sus instrucciones.

Este texto se firma junto con los términos del servicio y forma parte inseparable de ellos. En todo lo relativo a datos personales, este documento prevalece.

1. Las partes

• Responsable del tratamiento: el negocio que contrata la plataforma, con los datos identificativos que consten en la oferta aceptada.
• Encargado del tratamiento: Huequia S.L., NIF B05731047, domicilio en Hoces del Duratón 57, Salamanca 37008. Contacto en materia de protección de datos: ops@huequia.com.

2. Objeto

El encargado tratará datos personales por cuenta del responsable con la única finalidad de prestarle el servicio contratado: gestionar sus citas, su clientela, su personal y sus recursos, y publicar y operar su web de reservas.

El encargado no trata esos datos para ninguna finalidad propia. En particular, no los usa para elaborar perfiles, para publicidad, para venderlos ni para entrenar sistemas de inteligencia artificial.

2 bis. Lo que el encargado trata como responsable

Para que la frontera quede escrita y no dependa de interpretaciones, estos son los únicos tratamientos en los que el encargado actúa como responsable, con su propia base jurídica y su propia política de privacidad:

1. La relación con el negocio: contrato, facturación, soporte y avisos del servicio.
2. La cuenta de acceso con la que la clientela y el personal del negocio entran en las aplicaciones: correo, credencial y sesiones. Es una cuenta común a todos los negocios en los que esa persona reserva o trabaja, y por eso no puede ser de ninguno de ellos.
3. La seguridad de la plataforma: los controles antifraude de las reservas en línea (correo y dirección IP de los intentos rechazados, noventa días), los registros de auditoría y las trazas de error.

Nada de lo que el negocio guarda de su clientela o de su personal entra en esa lista. Si el encargado usara esos datos para una finalidad distinta de las de este contrato, pasaría a ser responsable de ese tratamiento (art. 28.10 del RGPD) y respondería como tal: no lo hace, y este apartado es el compromiso de no hacerlo.

3. Duración

Este contrato de encargo entra en vigor con el inicio de la prestación del servicio y dura mientras dure la relación contractual. Las obligaciones de confidencialidad y las de devolución y supresión (cláusula 12) subsisten a su terminación.

4. Instrucciones del responsable

4.1. El encargado tratará los datos únicamente conforme a las instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales.

4.2. Constituyen instrucciones documentadas del responsable: este contrato, los términos del servicio, la configuración que el responsable establezca en el panel de gestión, el uso normal de las funcionalidades de la plataforma, y cualquier instrucción adicional que remita por escrito a ops@huequia.com.

4.3. El encargado informará al responsable si, en su opinión, una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos, y podrá suspender su ejecución hasta que se aclare.

4.4. Si una norma de la Unión o de un Estado miembro obliga al encargado a tratar los datos de otro modo, se lo informará al responsable antes de hacerlo, salvo que esa misma norma lo prohíba por razones de interés público.

4.5. Las instrucciones que exijan desarrollo, configuración específica o recursos no previstos podrán presupuestarse aparte. Nunca se cobrará por atender una instrucción necesaria para cumplir la normativa.

5. Obligaciones del responsable

El responsable —el negocio— se obliga a:

• Determinar la finalidad y los medios del tratamiento, y contar con una base jurídica válida para cada uno.
• Informar a su clientela y a su personal conforme a los artículos 13 y 14 del RGPD, publicando su propia política de privacidad en su web de reservas.
• Recabar el consentimiento explícito cuando trate datos de categorías especiales, y en particular los consentimientos informados y cuestionarios de salud que decida guardar en la plataforma.
• Atender las solicitudes de derechos de los interesados, con la asistencia del encargado prevista en la cláusula 9.
• Llevar su propio registro de actividades de tratamiento cuando le corresponda (art. 30.1).
• Realizar la evaluación de impacto cuando proceda, y consultar a la autoridad de control si el resultado lo exige.
• No introducir en la plataforma datos personales que no sean necesarios para el servicio, ni categorías de datos distintas de las del Anexo I sin acordarlo antes por escrito.
• Revisar y publicar sus propios textos legales: el panel los compone con sus respuestas, pero la decisión de publicarlos, y su contenido, son suyos.

Esto último no es una formalidad. La plataforma tiene campos de texto libre —notas de la ficha de cliente, observaciones de una cita—. Escribir ahí datos de salud, de origen étnico o de creencias convierte un campo ordinario en una categoría especial sin que ningún sistema se entere. El responsable debe instruir a su personal sobre qué se escribe en esos campos.

6. Obligaciones del encargado

Además de lo anterior, el encargado se obliga a:

6.1. Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido expresamente y por escrito a respetar la confidencialidad, con un deber que subsiste tras el fin de su relación (art. 28.3.b y art. 29).

6.2. Limitación del acceso. Que solo accedan a datos de producción las personas que lo necesiten para prestar el servicio, y solo en la medida en que lo necesiten.

6.3. Seguridad. Aplicar las medidas técnicas y organizativas apropiadas del artículo 32, que se detallan en el documento de medidas de seguridad y forman el Anexo II de este contrato.

6.4. Registro. Llevar el registro de las categorías de tratamientos efectuados por cuenta del responsable que exige el artículo 30.2, y ponerlo a su disposición cuando lo pida.

6.5. No cesión. No comunicar los datos a terceros, salvo a los subencargados autorizados conforme a la cláusula 7, o por obligación legal. Si una autoridad requiere los datos, el encargado lo comunicará al responsable antes de entregarlos, salvo prohibición legal, y entregará únicamente lo requerido.

7. Subencargados

7.1. El responsable autoriza de forma general al encargado a recurrir a otros encargados para prestar el servicio, en las condiciones de esta cláusula (art. 28.2).

7.2. Los subencargados autorizados en la fecha de este contrato son los que figuran en el Anexo III, más abajo, y en la página de subencargados, que es la versión siempre actualizada.

7.3. El encargado comunicará con treinta días de antelación la incorporación o sustitución de cualquier subencargado, por correo electrónico al contacto del responsable y con un aviso en su panel. Dentro de ese plazo el responsable puede oponerse por motivos razonables y fundados relativos a la protección de datos, explicándolos por escrito o desde el propio aviso.

7.4. Si el responsable se opone, las partes buscarán de buena fe una solución —una configuración alternativa, otro proveedor— durante quince días. Si no la hay, el responsable podrá resolver el contrato sin penalización, con devolución a prorrata de lo pagado por anticipado, y el encargado no incorporará el subencargado para los datos de ese responsable mientras siga la relación.

7.5. El encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume aquí, y responderá plenamente ante el responsable del incumplimiento de sus subencargados.

7.6. El encargado mantiene a disposición del responsable la identidad completa de la cadena: sociedad, domicilio y contacto de cada subencargado (Anexo III) y dónde publica cada uno los suyos, y le facilitará en un plazo razonable cualquier dato adicional que necesite para verificar sus garantías.

8. Transferencias internacionales

8.1. Los datos se almacenan en servidores situados en la Unión Europea.

8.2. Algunos subencargados son sociedades constituidas en Estados Unidos y su personal puede acceder a los datos desde allí, aunque el almacenamiento sea europeo. Ese acceso es una transferencia internacional y está amparado en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, complementadas con las medidas técnicas descritas en el Anexo II.

8.3. El encargado no realizará ninguna transferencia a un tercer país distinta de las declaradas en el Anexo III sin informar previamente al responsable, que podrá oponerse en los términos de la cláusula 7.

8.4. El encargado informará al responsable si recibe una solicitud vinculante de acceso a los datos por parte de una autoridad de un tercer país, salvo que esté legalmente prohibido, y la impugnará cuando existan motivos razonables para hacerlo.

9. Asistencia en el ejercicio de derechos

9.1. Si un interesado ejerce ante el encargado un derecho que corresponde atender al responsable, el encargado no lo atenderá directamente: lo comunicará al responsable dentro de las cuarenta y ocho horas hábiles siguientes, junto con la información recibida, e informará al interesado de que su solicitud se ha trasladado a quien decide sobre sus datos.

9.1 bis. En particular, cuando una persona cierra su cuenta de acceso desde la aplicación, el encargado cierra la cuenta, que es suya (cláusula 2 bis), y traslada al responsable una solicitud de supresión en su panel, con el plazo de un mes del artículo 12.3. No borra ni anonimiza la ficha que el responsable conserva de esa persona: eso lo decide él, que puede tener obligación de guardar algo. Y a la inversa: lo que el responsable decida sobre su cliente se ejecuta solo sobre sus datos, sin tocar la ficha que esa misma persona tenga en otro negocio ni su cuenta de acceso mientras otro negocio la siga usando.

9.2. El encargado asistirá al responsable con medidas técnicas y organizativas apropiadas para que pueda atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. En la práctica, esa asistencia está integrada en el producto: el panel permite consultar, corregir, exportar y borrar los datos de una persona sin necesidad de intervención del encargado.

9.3. Cuando la solicitud exija una actuación que el panel no cubra, el encargado la atenderá en un plazo razonable y, en todo caso, con tiempo suficiente para que el responsable cumpla el plazo de un mes del artículo 12.3.

10. Violaciones de la seguridad

10.1. El encargado notificará al responsable sin dilación indebida y, como máximo, dentro de las veinticuatro horas desde que tenga conocimiento de una violación de la seguridad que afecte a sus datos.

10.2. La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas, y el punto de contacto para ampliar información. Si no se dispone de todo, se enviará por fases, sin retrasar la primera comunicación.

10.3. La notificación a la autoridad de control y a los interesados corresponde al responsable (arts. 33 y 34). El encargado le prestará toda la asistencia y la información necesarias para hacerlo dentro de las 72 horas.

10.4. El encargado documentará todas las violaciones, sus efectos y las medidas correctoras, y pondrá esa documentación a disposición del responsable.

11. Asistencia adicional

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el encargado asistirá al responsable en el cumplimiento de las obligaciones de los artículos 32 a 36: seguridad del tratamiento, notificación de violaciones, evaluación de impacto y consulta previa a la autoridad de control.

12. Devolución y supresión

12.1. A la terminación de la prestación, y a elección del responsable, el encargado devolverá los datos o los suprimirá.

12.2. Por defecto se aplica la devolución seguida de supresión: el encargado pone a disposición del responsable una exportación completa en formato estructurado, de uso común y legible por máquina. El responsable dispone de treinta días desde la baja para solicitarla y descargarla, las veces que necesite; cada fichero generado permanece descargable siete días y se regenera a petición dentro de ese plazo de treinta.

12.3. Transcurrido ese plazo, el encargado suprime los datos de los sistemas activos. Los que persistan en copias de seguridad se suprimen con la rotación de estas, en un máximo de treinta días adicionales; mientras tanto no se acceden ni se tratan para ninguna finalidad.

12.4. Excepción. El encargado conservará, bloqueados, los datos que sean necesarios para acreditar el cumplimiento de sus obligaciones o para atender posibles responsabilidades, durante el plazo de prescripción de estas, y únicamente a disposición de jueces, tribunales, ministerio fiscal y autoridades competentes (art. 32 de la LOPDGDD). En particular, los registros de auditoría se conservan cinco años por esta razón; contienen identificadores de operaciones y de cuentas, no fichas de clientela.

13. Verificación del cumplimiento

13.1. El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28, en el plazo de treinta días desde que la pida.

13.2. El responsable puede realizar una auditoría al año, y además siempre que se produzca una violación de la seguridad que afecte a sus datos o lo exija una autoridad de control. Se avisa con treinta días de antelación, se realiza en horario laboral y sin interrumpir el servicio, y el auditor debe firmar acuerdo de confidencialidad y no ser competidor del encargado.

13.3. Los costes de la auditoría los asume quien la solicita, salvo que revele un incumplimiento relevante del encargado, en cuyo caso los asume él, junto con la subsanación.

13.4. El encargado podrá satisfacer estas obligaciones mediante informes de auditoría o certificaciones de tercero independiente, cuando disponga de ellos y cubran el alcance solicitado.

14. Responsabilidad

Cada parte responde de los daños que cause por incumplir las obligaciones que el RGPD le impone específicamente, conforme al artículo 82. La limitación de responsabilidad de los términos del servicio no se aplica a la responsabilidad frente a los interesados ni a las sanciones que imponga una autoridad de control por hechos imputables a la parte sancionada.

---

Anexo I — Descripción del tratamiento

Categorías de interesados

• Clientela del negocio: personas que reservan o han reservado una cita.
• Personal del negocio: profesionales, recepción y gerencia con acceso al panel o cuyos horarios y jornada se gestionan en él.
• Contactos del negocio: proveedores y terceros que el negocio registre, cuando sean personas físicas (por ejemplo, un proveedor autónomo).

Categorías de datos personales

Categorías especiales (art. 9)

Datos relativos a la salud, que la plataforma trata como tales en todos los casos:

• de la clientela: alergias y otras advertencias de salud de su ficha, medidas corporales y su evolución, consentimientos informados, cuestionarios de salud y demás documentos de cliente;
• del personal: los certificados de aptitud de los reconocimientos médicos de prevención de riesgos laborales, si el negocio los guarda.

Su tratamiento se limita a almacenamiento, control de acceso y puesta a disposición del responsable: el encargado no los analiza ni los explota, y nunca los incluye en los correos que envía la plataforma.

Se aplican las medidas reforzadas del Anexo II: almacenamiento privado, enlaces de descarga que caducan en sesenta segundos, permisos separados de los del resto de la ficha y registro de cada acceso durante cinco años.

Naturaleza y finalidad

Recogida, registro, estructuración, conservación, consulta, comunicación por transmisión, cotejo, limitación y supresión, con la finalidad exclusiva de prestar el servicio contratado descrito en la cláusula 2.

Duración

La del contrato de prestación de servicios, más los plazos de la cláusula 12.

---

Anexo II — Medidas de seguridad

Las medidas técnicas y organizativas del artículo 32 se describen, una a una, en el documento de medidas de seguridad, que forma parte de este contrato y se mantiene actualizado.

El encargado puede modificarlas para mejorarlas o adaptarlas a la evolución técnica, sin reducir el nivel de protección. Las reducciones relevantes se comunican con treinta días de antelación y dan derecho a oponerse en los términos de la cláusula 7.

---

Anexo III — Subencargados autorizados

Estado a 1 de octubre de 2026. La versión vigente está siempre en la página de subencargados.

Dónde publica cada subencargado los suyos:

• Supabase: https://supabase.com/legal/customer-resources/subprocessor-list
• Northflank: no publica su lista. Se facilita a cualquier negocio que la pida, tal como el proveedor nos la dé por escrito.
• Cloudflare: https://www.cloudflare.com/gdpr/subprocessors/
• Resend: https://resend.com/legal/subprocessors
• Sentry: https://sentry.io/legal/subprocessors/
• Infomaniak: https://www.infomaniak.com/documents/privacy/DPA/Data_Processing_Agreement_(DPA).pdf
• UptimeRobot: https://uptimerobot.com/privacy/

---

Anexo IV — Formalización

Este contrato y sus anexos forman parte del conjunto contractual de los términos del servicio y se aceptan expresamente en la contratación inicial, antes de tratar datos de la clientela o del personal, incluso durante los siete días naturales sin cargo. En el panel la casilla nace desmarcada y confirma una persona que representa al negocio. Se guardan cada versión y huella del texto sellado, la fecha del servidor, la persona, el negocio y, cuando están disponibles, la IP y el navegador. Es la constancia escrita electrónica del artículo 28.9 del RGPD. También cabe firma externa con referencia archivada.

Sin conjunto contractual formalizado no se habilita la operación ordinaria ni la reserva pública del negocio. La cuenta y la configuración necesaria para formalizarlo se mantienen accesibles. Un cambio sustancial requiere aviso y aceptación expresa; las erratas no. Hasta vencer el aviso sigue rigiendo lo pactado. La autorización y el derecho de oposición a los subencargados se rigen por la cláusula 7; no se exige una firma nueva por cada corrección de su lista.

Para solicitar un ejemplar firmado, o una versión adaptada a las exigencias del asesor del negocio, escribir a ops@huequia.com.