Contrato de encargo del tratamiento
Última actualización: 26 de octubre de 2026 · Versión 2026-10
Este contrato se celebra entre la gestoría que lo acepta en su espacio privado (el Responsable) y Younes Sbai, NIF 08117733K, con domicilio en Calle Antonio Sedeño Cantos 4, 2.º D, 29640 Fuengirola (Málaga), España (el Encargado), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de uso y se acepta electrónicamente: la aceptación queda registrada con la fecha, la persona y la versión.
1. Objeto
El Encargado trata, por cuenta del Responsable, los datos personales de las personas que hacen el diagnóstico de extranjería del Responsable, con el único fin de prestar el servicio Arraigo Spain: mostrar el diagnóstico, recibir y guardar las solicitudes de contacto, avisar al Responsable, enviar al interesado su diagnóstico cuando lo pide por email y permitir al Responsable su gestión y seguimiento en el espacio privado.
2. Duración
Mientras el Responsable use el servicio. A su término se aplica la cláusula 11.
3. Datos y personas afectadas
| Personas afectadas | Potenciales clientes del Responsable que hacen el diagnóstico; miembros del equipo del Responsable. |
|---|---|
| Datos identificativos y de contacto | Nombre (si se indica), teléfono o WhatsApp, email, idioma. |
| Respuestas del diagnóstico | Nacionalidad, edad (en tramos), situación administrativa y de residencia, fechas de llegada o residencia, situación familiar, laboral, de estudios o económica (en tramos), objetivo y plazo. |
| Datos de seguimiento | Estado del contacto, notas internas, persona asignada e historial de acciones del equipo. |
| Datos que no se recogen | El diagnóstico no pregunta por antecedentes penales, expulsiones ni procedimientos sancionadores: solo indica, si la persona lo señala, que hay «un punto que revisar con un profesional». No se recogen datos de salud ni otras categorías especiales. |
4. Instrucciones del Responsable
El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable, que son las de este contrato y los ajustes que el Responsable configura en su espacio. Si una instrucción le parece contraria a la normativa, lo comunicará de inmediato. No usará los datos para fines propios, no los venderá ni los cederá, y no los usará para entrenar sistemas ni para publicidad. En particular, no contactará a los potenciales clientes del Responsable ni les ofrecerá servicios, propios o de terceros.
El Encargado no accede al espacio del Responsable salvo cuando este autoriza expresamente un acceso de asistencia, limitado a 7 días. Durante ese acceso, los datos de contacto y las notas permanecen ocultos y cada visita queda registrada y visible para el Responsable.
5. Confidencialidad
El Encargado y cualquier persona que trabaje para él con acceso a los datos están obligados a guardar secreto, también después de terminar el contrato.
6. Seguridad
El Encargado aplica, entre otras, estas medidas (art. 32 RGPD):
- Datos alojados en la Unión Europea y cifrados en tránsito (HTTPS/TLS) y en reposo.
- Acceso al espacio mediante enlaces de un solo uso con caducidad de 20 minutos; sesiones de 30 días que se guardan solo como huella cifrada y se revocan al retirar el acceso.
- Separación de los datos de cada gestoría; opción de que cada miembro del equipo vea solo sus contactos.
- Registro de las acciones del equipo sobre cada contacto.
- Ocultación de los datos de contacto de las personas que no han dado su consentimiento para ser contactadas.
- Acceso a la base de datos solo desde el servidor, con claves de servicio que nunca se envían al navegador.
7. Subencargados
El Responsable autoriza de forma general la intervención de los siguientes subencargados, con los que el Encargado tiene contratos que imponen obligaciones equivalentes:
| Supabase Inc. | Base de datos y almacenamiento de archivos. Servidores en la UE. |
|---|---|
| Vercel Inc. | Alojamiento y ejecución del servicio. Funciones en la UE (Fráncfort). |
| Resend (Plus Five Five, Inc.) | Envío de emails transaccionales. Envío desde la UE (Irlanda). |
El Encargado informará al Responsable por email de cualquier cambio de subencargado con al menos 15 días de antelación; el Responsable podrá oponerse y, si no hay solución, darse de baja sin coste. Cuando un subencargado con sede fuera del Espacio Económico Europeo pueda acceder a los datos, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.
No son subencargados los servicios que el propio Responsable decide usar con sus clientes (WhatsApp, su agenda, su pasarela de pago, su correo).
8. Derechos de las personas
El Encargado ayudará al Responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una persona se dirige al Encargado, este le remitirá la solicitud al Responsable sin demora y en todo caso en un plazo de 5 días hábiles.
9. Violaciones de seguridad
El Encargado notificará al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento, con la información disponible para que el Responsable pueda, en su caso, notificarla a la autoridad de control en el plazo de 72 horas.
10. Colaboración y auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y colaborará en las evaluaciones de impacto o consultas previas que procedan. Las auditorías se acordarán con un preaviso razonable y a cargo de quien las solicite.
11. Fin del encargo
Al terminar el servicio, el Responsable dispone de 30 días para pedir una exportación de sus datos. Pasado ese plazo, el Encargado suprimirá los datos y sus copias en un máximo de 90 días adicionales, salvo que una ley obligue a conservarlos bloqueados.
12. Obligaciones del Responsable
El Responsable garantiza que tiene una base legal para el tratamiento, informa a las personas mediante la política de privacidad de su diagnóstico (que el servicio genera con sus datos), atiende sus derechos y decide cuánto tiempo conserva los contactos en su espacio.