Acuerdo de tratamiento de datos
Última actualización: 13 de julio de 2026
Objeto
Este Acuerdo regula el tratamiento de datos personales que realiza el Encargado del tratamiento en nombre del Responsable del tratamiento, de conformidad con el artículo 28 del RGPD. El tratamiento forma parte de la prestación de la plataforma de cumplimiento de Complir y los servicios relacionados.
Naturaleza del tratamiento
El Encargado del tratamiento procesa datos personales para proporcionar al Responsable del tratamiento herramientas de gestión del cumplimiento de productos, incluyendo:
- Almacenamiento de información de contacto de proveedores
- Procesamiento de documentación relacionada con productos cargada
- Soporte de flujos de trabajo impulsados por IA para clasificación, traducción y evaluación de riesgos
Tipos de datos personales
Los tipos de datos pueden incluir, sin limitarse a:
- Nombre
- Correo electrónico
- Número de teléfono
- Afiliación empresarial
- Cargo/función
- Datos de la empresa proveedora
- Documentos cargados que contengan información personal o de proveedores
Categorías de interesados
El Encargado del tratamiento puede procesar datos personales relativos a las siguientes categorías de interesados en nombre del Responsable del tratamiento:
- Empleados y usuarios autorizados del Responsable del tratamiento que acceden o utilizan la plataforma Complir.
- Contactos y representantes de proveedores cuya información es cargada o gestionada en la plataforma por el Responsable del tratamiento.
- Subcontratistas o socios externos cuyos datos puedan aparecer en documentación o datos de cumplimiento proporcionados por el Responsable del tratamiento.
No se prevé el tratamiento de categorías especiales de datos personales (según se definen en el artículo 9 del RGPD) en virtud de este Acuerdo.
Medidas de seguridad
El Encargado del tratamiento implementa medidas técnicas y organizativas apropiadas, incluyendo:
- Comunicación cifrada (TLS)
- Control de acceso basado en roles
- Revisiones periódicas de acceso
- Registro y supervisión mediante Sentry
- Copias de seguridad periódicas
- Uso de proveedores de infraestructura certificados según ISO 27001
Subencargados del tratamiento
El Responsable del tratamiento otorga al Encargado del tratamiento una autorización general por escrito para recurrir a subencargados del tratamiento cuando sea razonablemente necesario para prestar, proteger, supervisar, soportar o mejorar la plataforma Complir y los servicios relacionados.
La lista actual de subencargados del tratamiento autorizados está disponible en complir.io/legal/sub-processors. El Responsable del tratamiento autoriza el uso por parte del Encargado del tratamiento de los subencargados del tratamiento allí enumerados en la fecha de entrada en vigor del Acuerdo, incluidos los proveedores de alojamiento en la nube, proveedores de infraestructura, proveedores de supervisión, proveedores de flujos de trabajo y proveedores de modelos de IA utilizados para prestar los servicios.
El Encargado del tratamiento seguirá siendo responsable de los actos y omisiones de sus subencargados del tratamiento en la medida exigida por la legislación de protección de datos aplicable. El Encargado del tratamiento garantizará que cada subencargado del tratamiento quede vinculado por obligaciones escritas que ofrezcan, como mínimo, el mismo nivel de protección de los datos personales que el presente Acuerdo, incluidas la confidencialidad, la seguridad, la notificación de brechas y las garantías aplicables a las transferencias cuando corresponda.
El Encargado del tratamiento notificará con una antelación mínima de 30 días antes de añadir o sustituir un subencargado del tratamiento que vaya a tratar de forma sustancial datos personales por cuenta del Responsable del tratamiento, salvo que se requiera un plazo de preaviso más breve por motivos de seguridad, legales, operativos o de emergencia. La notificación podrá dirigirse a los administradores de la plataforma del Responsable del tratamiento o a otros contactos designados del cliente por correo electrónico, mediante aviso en el producto o mediante la actualización de la lista publicada de subencargados del tratamiento.
El Responsable del tratamiento podrá oponerse a un subencargado del tratamiento nuevo o sustituto en el plazo de 14 días desde la notificación, pero únicamente por motivos razonables y documentados de protección de datos o de seguridad de la información. El Encargado del tratamiento empleará esfuerzos comercialmente razonables para atender la oposición, lo que podrá incluir facilitar información adicional, garantías adicionales o una alternativa cuando resulte comercial y técnicamente viable.
Si las Partes no logran resolver la oposición en un plazo razonable, el Responsable del tratamiento podrá resolver el servicio afectado mediante notificación por escrito. Cuando el servicio afectado no pueda separarse razonablemente de la plataforma en su conjunto, el Responsable del tratamiento podrá resolver el Acuerdo. En ambos casos, el único remedio del Responsable del tratamiento será el reembolso prorrateado de las tarifas prepagadas correspondientes al servicio resuelto por el periodo posterior a la fecha efectiva de resolución. El Encargado del tratamiento no estará obligado a modificar su infraestructura, a suspender el uso del subencargado del tratamiento para otros clientes ni a mantener un entorno de tratamiento específico para un cliente.
Derechos de los interesados y asistencia
El Encargado del tratamiento asiste al Responsable del tratamiento en el cumplimiento de sus obligaciones conforme al Capítulo 3 del RGPD (derechos de los interesados), incluyendo acceso, rectificación, supresión y oposición.
Supresión o devolución de datos
Tras la finalización del Acuerdo, el Encargado del tratamiento suprimirá o devolverá todos los datos personales a solicitud del Responsable del tratamiento, salvo que la ley disponga otra cosa.
Derechos de auditoría
El Responsable del tratamiento podrá auditar las prácticas de tratamiento de datos del Encargado del tratamiento una vez al año, con un preaviso por escrito de 30 días. Los costes de la auditoría correrán a cargo del Responsable del tratamiento, salvo que se detecte un incumplimiento sustancial.
Notificación de brechas de seguridad
El Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y, en todo caso, a más tardar 48 horas después de tener conocimiento de una brecha de seguridad de datos personales.
Duración
Este Acuerdo permanecerá en vigor mientras el Encargado del tratamiento procese datos personales en nombre del Responsable del tratamiento.