← Volver a Tap2ENS

Acuerdo de Encargado del Tratamiento (DPA)

Versión 1.0 · Fecha de entrada en vigor: en la fecha de firma del contrato de Partner

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a los artículos 33 y 64 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Partes del acuerdo

Responsable del tratamiento (el "Partner")

[RAZÓN SOCIAL DEL PARTNER]
NIF: [NIF DEL PARTNER]
Domicilio: [DOMICILIO FISCAL DEL PARTNER]
Representante: [NOMBRE Y DNI DEL REPRESENTANTE LEGAL]

Encargado del tratamiento (el "Encargado" o "Tap2ENS")

Intechnetworks, S.L.
NIF: B-09.386.908-X
Domicilio: C/ Atbitocazpe, 1, Urb. Tamaide, Edf. Tamaide 1-323, 38670 Adeje, Santa Cruz de Tenerife, España
Representante: [NOMBRE Y DNI DEL REPRESENTANTE LEGAL DE INTECHNETWORKS]

1. Objeto y duración

El presente Acuerdo tiene por objeto regular el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco de la prestación del servicio SaaS Tap2ENS.

El presente Acuerdo entra en vigor en la fecha de firma y se mantiene vigente mientras esté en vigor el contrato principal de prestación de servicios de Tap2ENS.

2. Tipología de datos personales tratados

El Encargado trata, por cuenta del Responsable, las siguientes categorías de datos personales:

• Datos identificativos y de contacto del personal del Partner y de los Clientes finales del Partner: nombre, apellidos, NIF, email, dirección postal, teléfono.
• Datos profesionales: cargo, empresa, sector, CIF de la empresa cliente, funciones en la organización.
• Datos técnicos de uso de la plataforma: dirección IP, logs de acceso, agente de usuario, actividad dentro de la plataforma, eventos de seguridad.
• Evidencias y documentos subidos a la plataforma en el marco del cumplimiento ENS, que pueden incluir datos personales y, en ciertos sectores, categorías especiales (datos de salud, datos de menores).
• Datos de facturación del Partner (gestionados a través de Stripe o equivalente).

3. Categorías de interesados

• Empleados y representantes del Partner.
• Empleados, representantes y usuarios de los Clientes finales del Partner.
• Personas físicas mencionadas en las evidencias o documentos del cumplimiento (p. ej., en un Sistema de Información de una empresa cliente).
• En sectores como sanidad o educación: pacientes, alumnos, cuyos datos se incluyen en el inventario de activos o en las evidencias del Cliente final.

4. Finalidad del tratamiento

El Encargado trata los datos personales para las siguientes finalidades, todas ellas necesarias para la prestación del servicio:

• Prestación del servicio SaaS Tap2ENS al Partner y a sus Clientes finales.
• Gestión de cuentas de usuarios, autenticación y control de acceso.
• Almacenamiento de evidencias y documentos de cumplimiento.
• Generación de informes (SoA, Declaración de Conformidad, Informe ejecutivo).
• Facturación y gestión administrativa del servicio.
• Soporte técnico y atención al Partner.
• Mejora del producto (análisis agregados y seudonimizados).
• Seguridad de la plataforma, prevención de fraude, control de accesos y registro de auditoría.
• Cumplimiento de obligaciones legales del Encargado (fiscales, mercantiles, regulatorias).

5. Duración del tratamiento

El Encargado tratará los datos personales durante la vigencia del contrato principal de prestación de servicios.

Tras la terminación del contrato, el Encargado conservará los datos durante un plazo máximo de 30 días naturales, periodo durante el cual el Responsable podrá exportarlos en formatos estándar (JSON, CSV). Transcurrido dicho plazo, los datos se eliminarán de forma irreversible, salvo:

• La obligación legal de conservar determinada documentación durante plazos específicos (6 años para documentación mercantil y fiscal).
• La existencia de litigios o requerimientos legales que exijan la conservación de los datos durante más tiempo.

6. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos personales únicamente para las finalidades del objeto del presente Acuerdo, siguiendo en todo caso las instrucciones documentadas del Responsable.
2. Garantizar que las personas autorizadas para tratar datos personales se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad.
3. Aplicar las medidas técnicas y organizativas apropiadas (Anexo II) para garantizar un nivel de seguridad adecuado al riesgo.
4. No comunicar datos a terceros salvo en los casos previstos en el presente Acuerdo, o cuando sea necesario para la ejecución del servicio (subencargados).
5. Asistir al Responsable en el cumplimiento de sus obligaciones, en particular:
   • Respondiendo a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad).
   • Asistiendo en la realización de Evaluaciones de Impacto en la Protección de Datos (EIPD) cuando proceda.
   • Asistiendo en la notificación de violaciones de seguridad a la autoridad de control y a los interesados.
6. Notificar al Responsable, sin dilación indebida y en cualquier caso en un plazo máximo de 24 horas, cualquier violación de la seguridad de los datos personales que tenga o pueda tener efectos en los datos del Responsable.
7. Devolver o suprimir los datos personales al finalizar la prestación de los servicios, conforme a lo previsto en la cláusula 5.
8. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del presente Acuerdo, y permitir y contribuir a la realización de auditorías, inspecciones o revisiones por parte del Responsable o de un auditor autorizado por éste.

7. Subencargados del tratamiento

El Encargado utiliza los siguientes subencargados del tratamiento. El Responsable autoriza expresamente a:

• Railway Corp. (Frankfurt, UE) — hosting de la API.
• Proveedor de base de datos PostgreSQL gestionada (UE) — almacenamiento de datos.
• DirectAdmin sobre da013.site.eu (España, UE) — hosting del frontend estático.
• Resend / Mailgun / SMTP propio (UE) — email transaccional.
• Stripe Payments Europe (UE) — procesamiento de pagos.

Cualquier cambio o incorporación de un nuevo subencargado será comunicado al Responsable con al menos 15 días de antelación, quien podrá oponerse por motivos justificados. En caso de oposición, las partes negociarán de buena fe una solución alternativa o, en su defecto, el Responsable podrá resolver el contrato sin penalización.

8. Transferencias internacionales

Por defecto, todos los datos se tratan en el Espacio Económico Europeo. Si algún subencargado requiere una transferencia internacional, se realizará bajo una decisión de adecuación de la Comisión Europea o mediante cláusulas contractuales tipo (SCC) de la Decisión 2021/914, complementadas con las medidas técnicas y organizativas adicionales que en su caso exija la AEPD o el EDPB.

9. Medidas técnicas y organizativas (Anexo II)

El Encargado aplica, entre otras, las siguientes medidas, alineadas con el Anexo II del RD 311/2022 (ENS):

9.1. Medidas técnicas

• Cifrado en tránsito: TLS 1.3 con HSTS preload (max-age 1 año, includeSubDomains).
• Cifrado en reposo: AES-256-GCM para datos sensibles y evidencias.
• Hashing de contraseñas: Argon2id con parámetros robustos; migración transparente desde bcrypt.
• Control de acceso (RBAC): 5 roles diferenciados con permisos granulares.
• Autenticación: JWT con expiración + Bearer header. Soporte OIDC (Cl@ve, Keycloak).
• Segregación multi-tenant: aislamiento lógico por partner/tenant; cada partner solo ve SUS clientes.
• Backups cifrados automatizados con periodicidad mínima diaria, conservados 30 días.
• Rate limiting en endpoints sensibles.
• Audit log inmutable de cada acción crítica.
• Monitorización de seguridad y alertas de eventos anómalos.

9.2. Medidas organizativas

• Cláusulas de confidencialidad firmadas por todo el personal con acceso a datos.
• Política de control de accesos y de principio de mínimo privilegio.
• Formación periódica en protección de datos al personal con acceso a datos.
• Procedimiento de notificación de incidentes de seguridad.
• Auditorías internas periódicas de cumplimiento.

10. Notificación de violaciones de seguridad

El Encargado notificará al Responsable, en el plazo máximo de 24 horas desde que tenga conocimiento del incidente, cualquier violación de la seguridad de los datos personales que afecte o pueda afectar a los datos del Responsable. La notificación incluirá al menos:

• Descripción de la naturaleza de la violación.
• Categorías y número aproximado de interesados afectados.
• Consecuencias probables de la violación.
• Medidas adoptadas o propuestas para remediar la violación y mitigar sus efectos.
• Datos de contacto del Delegado de Protección de Datos o del responsable del incidente.

11. Auditoría

El Encargado pondrá a disposición del Responsable, a solicitud de éste y con una periodicidad razonable (máximo anual), toda la información necesaria para demostrar el cumplimiento de las obligaciones del presente Acuerdo. El Responsable podrá solicitar auditorías, que se realizarán:

• En horario laboral y con preaviso mínimo de 15 días.
• A coste del Responsable, salvo que la auditoría revele incumplimientos materiales del Encargado.
• Limitadas a las actividades de tratamiento objeto del presente Acuerdo.

Como alternativa a la auditoría in situ, el Encargado podrá aportar un informe de auditoría externa reciente (ISO 27001, ENS, SOC 2 o equivalente) que cubra los aspectos relevantes.

12. Derechos de los interesados

El Encargado asistirá al Responsable en la atención de las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad) que reciba el Responsable. Las solicitudes se canalizarán a través de ops@tap2ens.com.

El Encargado no atenderá directamente las solicitudes de los interesados, salvo autorización expresa del Responsable.

13. Responsabilidad

El Encargado responderá ante el Responsable de los daños y perjuicios causados por el tratamiento de datos personales que infrinja el RGPD o el presente Acuerdo, de conformidad con el artículo 82 RGPD. En caso de que ambos sean responsables del daño, cada uno asumirá su parte de responsabilidad.

El Encargado mantiene una póliza de seguro de responsabilidad civil profesional que cubre los riesgos derivados del tratamiento de datos personales.

14. Notificaciones y comunicaciones

Todas las notificaciones y comunicaciones entre las partes se realizarán por escrito y se enviarán a las direcciones de contacto indicadas en el encabezamiento del presente Acuerdo o, en su defecto, a ops@tap2ens.com y a la dirección de email del Partner registrada en la plataforma.

15. Ley aplicable y jurisdicción

El presente Acuerdo se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), y la legislación española complementaria. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Santa Cruz de Tenerife.

Firma y aceptación

El presente Acuerdo se entiende aceptado por el Partner en el momento de la aceptación de los términos y condiciones del servicio Tap2ENS en la plataforma. No obstante, el Encargado pone a disposición del Partner la posibilidad de firmar el presente Acuerdo en formato físico o electrónico (vía DocuSign o equivalente) cuando éste lo solicite.

Histórico de versiones:
v1.0 · 15 de julio de 2026 · Versión inicial.
Próxima revisión: al menos una vez al año o ante cambios legislativos.