Contrato de Encargo de Tratamiento

1. Partes

Responsable del tratamiento

El Cliente: la empresa, despacho u organización titular de la cuenta de SwiftProcess, cuyos datos identificativos constan en su cuenta y en el alta.

Encargado del tratamiento

En adelante, «el Encargado».

2. Objeto

El Encargado trata datos personales por cuenta del Responsable con la única finalidad de prestarle el servicio SwiftProcess conforme a los Términos de Uso.

El Encargado no determina las finalidades ni los medios esenciales del tratamiento de esos datos: es el Responsable quien decide qué información recoge, con qué finalidad y con qué base jurídica, y quien responde de la licitud de dicho tratamiento.

3. Duración

Este contrato entra en vigor con la aceptación del Cliente en el alta y se mantiene vigente mientras dure la relación de servicio. Su terminación se rige por la cláusula 17.

Las obligaciones de confidencialidad subsisten tras la terminación, sin límite temporal.

4. Naturaleza y finalidad del tratamiento

Naturaleza: alojamiento, almacenamiento, procesamiento y puesta a disposición de datos personales mediante una aplicación de gestión en la nube, así como copia de seguridad y soporte técnico.

Finalidad: permitir al Responsable gestionar su despacho —clientes, expedientes, cumplimentación de modelos oficiales, documentación, control económico y firma electrónica— en el marco de su actividad profesional, que incluye de forma característica la tramitación de asuntos de extranjería.

El Encargado no accede al contenido de estos datos para finalidades propias, no los cede a terceros para fines de estos y no los emplea para entrenar modelos ni para desarrollar productos derivados.

Estadísticas agregadas y no identificativas (instrucción documentada)

El Responsable instruye expresamente al Encargado para que pueda producir estadísticas agregadas y no identificativas sobre volúmenes de utilización del servicio —por ejemplo, cuántos clientes, expedientes o documentos existen en el conjunto de la plataforma— con las siguientes finalidades:

• operación del servicio;
• mejora del servicio;
• medición agregada de su uso;
• presentación pública agregada de la actividad de la plataforma.

Esta instrucción no autoriza, en ningún caso:

• la elaboración de perfiles;
• la publicidad personalizada;
• la explotación del contenido de los expedientes o de los documentos;
• la venta o cesión de información a terceros;
• la identificación de clientes finales ni la identificación pública de ningún despacho.

Las cifras resultantes son recuentos. En particular:

• no contienen el contenido de los expedientes;
• no identifican públicamente al Responsable ni a ningún despacho;
• no identifican a los interesados;
• no se utilizan para elaborar perfiles;
• no se utilizan para publicidad personalizada;
• no se venden ni se ceden a terceros;
• no suponen explotación del contenido de los expedientes.

5. Operaciones de tratamiento

• recogida a través de los formularios de la aplicación;
• registro, estructuración y almacenamiento en una base de datos dedicada al Responsable;
• consulta y utilización por los usuarios autorizados por el Responsable;
• modificación y actualización;
• generación de documentos a partir de los datos, incluida la cumplimentación de modelos oficiales;
• almacenamiento de documentos y adjuntos;
• comunicación por correo electrónico a los destinatarios que el Responsable determine, incluidas las solicitudes de firma;
• comunicación al proveedor de firma electrónica de los documentos y de los datos de los firmantes designados por el Responsable;
• copia de seguridad y, en su caso, restauración;
• registro de auditoría de las acciones realizadas en la aplicación;
• supresión, conforme a la cláusula 17.

6. Categorías de datos personales

Las que el Responsable decida incorporar. Por la naturaleza de su actividad, comprenden de forma característica:

• Identificación y contacto: nombre y apellidos, DNI, NIE y número de soporte, pasaporte, número de la Seguridad Social, domicilio, domicilio a efectos de notificaciones, teléfono y correo electrónico.
• Características personales: fecha y lugar de nacimiento, nacionalidad, sexo, estado civil, profesión y fecha de entrada en España.
• Datos de familiares y representantes: los de las personas vinculadas al expediente —padre, madre, cónyuge, hijos, el familiar del trámite y el titular del derecho—, incluidos menores de edad.
• Documentos y adjuntos: modelos oficiales cumplimentados, hojas de encargo, certificados y documentación acreditativa aportada por el Responsable.
• Datos económicos: importes, cobros, pagos parciales y pendientes de cada expediente.
• Datos de firma electrónica: nombre y correo del firmante, estado y fecha de firma, documento firmado y certificado de firma.
• Categorías especiales (art. 9 RGPD): datos relativos a la salud o a la discapacidad, cuando el trámite concreto lo requiera.
• Datos del art. 10 RGPD: información relativa a antecedentes penales y a certificados de antecedentes.
• Protección internacional: información vinculada a procedimientos de asilo o protección internacional, cuando el expediente la incorpore.

7. Categorías de interesados

• clientes del Responsable, presentes y pasados;
• familiares y allegados de esos clientes vinculados al expediente, incluidos menores;
• representantes legales y apoderados;
• titulares del derecho invocado en el trámite;
• firmantes designados por el Responsable, sean o no clientes suyos;
• terceros mencionados en la documentación aportada, en la medida en que el Responsable la incorpore.

8. Instrucciones documentadas

El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen instrucciones documentadas:

• estos Términos y este contrato;
• la configuración y las acciones que el Responsable y sus usuarios realizan en la aplicación, incluidos los envíos a firmar y las comunicaciones que ordenan;
• las instrucciones adicionales que el Responsable remita por escrito a la dirección de correo del Encargado.

Si el Encargado considera que una instrucción infringe el RGPD o la normativa aplicable, lo comunicará de inmediato al Responsable y podrá suspender su ejecución hasta que este la confirme o la modifique.

El Encargado no comunicará ni cederá los datos a terceros salvo instrucción del Responsable, recurso a un subencargado conforme a la cláusula 11, u obligación legal. En este último caso informará previamente al Responsable, salvo que la norma lo prohíba por razones de interés público.

9. Confidencialidad

El Encargado mantendrá la confidencialidad de los datos, obligación que subsiste tras la terminación del contrato.

Garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que reciben la información necesaria sobre sus obligaciones.

El acceso del personal del Encargado a los datos del Responsable se limita a lo imprescindible para prestar el servicio, resolver una incidencia o cumplir una obligación legal. La aplicación pone además a disposición del Responsable, en Mi Empresa, un control que le permite retirar ese acceso operativo; el Encargado no puede reactivarlo por sí solo y cada cambio queda registrado.

10. Medidas de seguridad

El Encargado aplica las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD, entre ellas:

• cifrado del tráfico mediante HTTPS;
• contraseñas almacenadas con función de derivación de clave (BCrypt), nunca en claro;
• base de datos dedicada por cada empresa cliente, de modo que la información de un Responsable no se almacena junto a la de otro;
• control de acceso por roles y permisos configurables por el Responsable;
• protección frente a la falsificación de peticiones entre sitios y verificación anti-bot en los formularios públicos;
• almacenamiento de documentos sin direcciones públicas de acceso directo;
• registro de auditoría de creaciones, modificaciones y supresiones, con identificación de quién las realiza;
• copias de seguridad periódicas con capacidad de restauración verificada;
• registros técnicos que permiten detectar y diagnosticar incidencias.

Estas medidas pueden evolucionar. El Encargado no las reducirá de forma que disminuya el nivel de protección acordado.

11. Subencargados

El Responsable otorga al Encargado una autorización general para recurrir a otros encargados (subencargados), en los términos del artículo 28.2 del RGPD.

La relación de subencargados vigentes, con su finalidad y las categorías de datos que puede tratar cada uno, se publica y mantiene actualizada en Proveedores y subencargados.

Mecanismo de información ante cambios

• La incorporación o sustitución de un subencargado se publicará en esa página y se comunicará a los clientes activos por correo electrónico con una antelación mínima de 30 días a que empiece a tratar datos.
• Durante ese plazo el Responsable podrá oponerse motivadamente por escrito, por razones fundadas de protección de datos.
• Si la oposición está fundada y no es posible una alternativa razonable, el Responsable podrá resolver el contrato sin penalización, con devolución de la parte proporcional no consumida del periodo en curso.
• Un cambio urgente por motivos de seguridad o de continuidad podrá aplicarse de inmediato, informando al Responsable sin dilación y conservando este su derecho de oposición y resolución.

El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que las de este contrato, y responderá frente al Responsable del incumplimiento por parte de aquel.

12. Transferencias internacionales

La infraestructura de alojamiento y de copias de seguridad, así como el proveedor de firma electrónica, se utilizan a través de infraestructura ubicada en la Unión Europea.

Dos de los subencargados relacionados —el proveedor de envío de correo y el de verificación anti-bot— son entidades con sede en los Estados Unidos, por lo que puede producirse una transferencia internacional. Dichas transferencias se amparan en las garantías del capítulo V del RGPD que resulten aplicables en cada caso, tales como el marco de adecuación aplicable a entidades certificadas o, en su defecto, cláusulas contractuales tipo aprobadas por la Comisión Europea.

El Encargado no realizará ninguna transferencia adicional fuera del Espacio Económico Europeo sin informar previamente al Responsable conforme al mecanismo de la cláusula 11.

13. Asistencia en el ejercicio de derechos

Cuando un interesado ejerza ante el Encargado un derecho relativo a datos tratados por cuenta del Responsable, el Encargado no lo atenderá por su cuenta: lo comunicará al Responsable sin dilación indebida junto con la información recibida, e informará al interesado de que debe dirigirse al Responsable.

El Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición, poniendo a su disposición las funciones de la aplicación y, cuando sea necesario, prestando el apoyo técnico razonable.

14. Asistencia en seguridad y violaciones de datos

El Encargado asistirá al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

Si el Encargado tiene conocimiento de una violación de la seguridad que afecte a los datos tratados por cuenta del Responsable, se lo notificará sin dilación indebida a la dirección de contacto que este tenga registrada y, cuando sea razonablemente posible, dentro de las 48 horas siguientes a tener constancia de ella.

La notificación incluirá, en la medida en que se disponga de ella:

• la naturaleza de la violación y, si es posible, las categorías y el número aproximado de interesados y de registros afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos;
• un punto de contacto para obtener más información.

Si no fuera posible facilitarla toda a la vez, se irá completando de forma gradual sin dilación indebida. Corresponde al Responsable decidir si notifica a la autoridad de control y a los interesados, y hacerlo.

15. Información y auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones de este contrato y del artículo 28 del RGPD.

El Responsable podrá solicitar auditorías o inspecciones, incluso a través de un auditor mandatado por él, en las siguientes condiciones razonables:

• con un preaviso mínimo de 30 días, salvo que exista una causa urgente justificada;
• en horario laboral y sin perturbar la actividad del Encargado;
• con un máximo de una auditoría al año, salvo que exista un incidente de seguridad o un requerimiento de la autoridad de control;
• con sujeción del auditor a un compromiso de confidencialidad, y sin que el auditor sea un competidor del Encargado;
• sin que la auditoría pueda comprometer la seguridad ni la confidencialidad de los datos de otros clientes del Encargado;
• asumiendo el Responsable su coste, salvo que la auditoría revele un incumplimiento relevante del Encargado.

16. Obligaciones del Responsable

El Responsable se obliga a:

• tratar los datos conforme al RGPD y a la normativa española aplicable, y disponer de una base jurídica válida para cada tratamiento que incorpore a la aplicación, incluidos los datos de categorías especiales y los del artículo 10;
• informar a los interesados —incluidos familiares, representantes, menores y firmantes— del tratamiento de sus datos y de la participación del Encargado;
• cumplir los requisitos de legitimación, información, representación y demás garantías aplicables al tratamiento de datos de menores, cuando corresponda;
• no incorporar datos innecesarios para la finalidad perseguida;
• realizar, cuando resulte exigible, la evaluación de impacto y la consulta previa;
• gestionar los permisos de sus usuarios y revocarlos cuando dejen de ser necesarios;
• atender las solicitudes de ejercicio de derechos de los interesados;
• mantener actualizada su dirección de contacto para las notificaciones de este contrato;
• solicitar, si lo desea, la copia de sus datos antes de la eliminación definitiva prevista en la cláusula 17.

17. Destino de los datos al finalizar

Terminada la prestación, el Encargado, a elección del Responsable, le devolverá los datos o los suprimirá.

• Tras la baja, la cuenta queda archivada y se abre un periodo de archivo de 30 días. Durante esos 30 días el Responsable puede solicitar una copia o exportación de su información, que se entregará en los formatos que resulten técnicamente disponibles y razonables. No existe hoy una función de exportación completa en autoservicio.
• Transcurridos los 30 días sin solicitud, o una vez entregada la copia, se procede a la eliminación definitiva de la base de datos dedicada y de los documentos del Responsable.
• Copias de seguridad: tras la eliminación, los datos pueden permanecer en las copias existentes hasta que completen su ciclo, hoy de hasta 30 días. Durante ese periodo permanecen únicamente en la copia, sin acceso desde la aplicación, y desaparecen al caducar esta. No es posible una supresión selectiva dentro de una copia ya realizada sin comprometer su integridad.
• El Encargado podrá conservar los datos estrictamente necesarios, y debidamente bloqueados, durante el tiempo necesario para cumplir obligaciones legales y para la formulación, ejercicio o defensa de reclamaciones, aplicando criterios de minimización y acceso restringido. Esta conservación se limita a los registros necesarios para esa finalidad y no comprende el conjunto de los datos de trabajo.
• La evidencia de la aceptación de este contrato y de los Términos (qué versión se aceptó, cuándo y por quién) se conserva aunque la cuenta operativa se elimine: es la prueba de la relación contractual que existió, y sin ella ninguna de las dos partes podría acreditarla.

18. Responsabilidad y ley aplicable

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD.

La limitación de responsabilidad prevista en los Términos de Uso resulta aplicable a este contrato, sin que ello afecte a las obligaciones y responsabilidades que el RGPD impone directamente al Encargado, que no se limitan ni excluyen.

Este contrato se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Murcia (España).

19. Modificaciones

Este contrato lleva su número de versión y su fecha en la cabecera de esta página (v1.0 · 9 de septiembre de 2026).

Las modificaciones sustanciales se comunicarán a los clientes activos por correo electrónico con al menos 30 días de antelación. La aceptación registrada de cada versión se conserva sin sustituirse, de modo que en todo momento consta qué texto aceptó cada Responsable y cuándo.