Acuerdo de tratamiento de datos

Última actualización: 2 de febrero de 2026

Objeto

Este Acuerdo regula el tratamiento de datos personales que realiza el Encargado del tratamiento en nombre del Responsable del tratamiento, de conformidad con el artículo 28 del RGPD. El tratamiento forma parte de la prestación de la plataforma de cumplimiento de Complir y los servicios relacionados.

Naturaleza del tratamiento

El Encargado del tratamiento procesa datos personales para proporcionar al Responsable del tratamiento herramientas de gestión del cumplimiento de productos, incluyendo:

Almacenamiento de información de contacto de proveedores
Procesamiento de documentación relacionada con productos cargada
Soporte de flujos de trabajo impulsados por IA para clasificación, traducción y evaluación de riesgos

Tipos de datos personales

Los tipos de datos pueden incluir, sin limitarse a:

Nombre
Correo electrónico
Número de teléfono
Afiliación empresarial
Cargo/función
Datos de la empresa proveedora
Documentos cargados que contengan información personal o de proveedores

Categorías de interesados

El Encargado del tratamiento puede procesar datos personales relativos a las siguientes categorías de interesados en nombre del Responsable del tratamiento:

Empleados y usuarios autorizados del Responsable del tratamiento que acceden o utilizan la plataforma Complir.
Contactos y representantes de proveedores cuya información es cargada o gestionada en la plataforma por el Responsable del tratamiento.
Subcontratistas o socios externos cuyos datos puedan aparecer en documentación o datos de cumplimiento proporcionados por el Responsable del tratamiento.

No se prevé el tratamiento de categorías especiales de datos personales (según se definen en el artículo 9 del RGPD) en virtud de este Acuerdo.

Medidas de seguridad

El Encargado del tratamiento implementa medidas técnicas y organizativas apropiadas, incluyendo:

Comunicación cifrada (TLS)
Control de acceso basado en roles
Revisiones periódicas de acceso
Registro y supervisión mediante Sentry
Copias de seguridad periódicas
Uso de proveedores de infraestructura certificados según ISO 27001

Derechos de los interesados y asistencia

El Encargado del tratamiento asiste al Responsable del tratamiento en el cumplimiento de sus obligaciones conforme al Capítulo 3 del RGPD (derechos de los interesados), incluyendo acceso, rectificación, supresión y oposición.

Supresión o devolución de datos

Tras la finalización del Acuerdo, el Encargado del tratamiento suprimirá o devolverá todos los datos personales a solicitud del Responsable del tratamiento, salvo que la ley disponga otra cosa.

Derechos de auditoría

El Responsable del tratamiento podrá auditar las prácticas de tratamiento de datos del Encargado del tratamiento una vez al año, con un preaviso por escrito de 30 días. Los costes de la auditoría correrán a cargo del Responsable del tratamiento, salvo que se detecte un incumplimiento sustancial.

Notificación de brechas de seguridad

El Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y, en todo caso, a más tardar 48 horas después de tener conocimiento de una brecha de seguridad de datos personales.

Duración

Este Acuerdo permanecerá en vigor mientras el Encargado del tratamiento procese datos personales en nombre del Responsable del tratamiento.