Aviso: Este documento se preparó con asistencia de IA y se ofrece como punto de partida; no constituye asesoramiento jurídico ni crea una relación abogado-cliente. La legislación puede cambiar. Se recomienda que un profesional jurídico cualificado en España lo revise antes de publicarlo o utilizarlo. El autor de la herramienta no asume responsabilidad por su uso.

Plantilla: completar los campos destacados, el anexo de medidas/proveedores y las instrucciones del cliente. Ambas partes deben aceptar y conservar un ejemplar antes de tratar datos personales por cuenta del cliente.

Contrato de encargo del tratamiento

Versión de la plantilla: 2 de noviembre de 2026.

1. Partes y objeto

De una parte, [NOMBRE Y APELLIDOS DEL CLIENTE / RAZÓN SOCIAL], NIF [NIF], domicilio en [DOMICILIO], representado por [REPRESENTANTE Y CARGO] (el «Responsable»). De otra, Derek Sanz, profesional autónomo, NIF [NIF DEL PRESTADOR], domicilio profesional en Carrer De La Generalitat, 8, Alcanar, prestador de Oteaya bajo el nombre comercial Wakefold; sitio web: https://wakefold.com (el «Encargado»). Las partes acuerdan este encargo conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la normativa española aplicable.

Este contrato se aplica únicamente cuando el Responsable configura Oteaya para tratar datos personales por su cuenta y siguiendo sus instrucciones. No modifica la función de cada parte para tratamientos en los que actúe como responsable independiente. El Responsable declara que tiene base jurídica para el tratamiento y que ha cumplido sus deberes de información.

2. Descripción del tratamiento

• Objeto y finalidad: recoger, filtrar, organizar, conservar y mostrar al Responsable contenido de fuentes abiertas según las consultas de sus monitores; generar, si el Responsable activa esa función, clasificaciones automatizadas para facilitar su lectura; permitir consultas del contenido a través de la interfaz y de la API, si el plan la incluye.
• Duración: durante la vigencia del servicio y el periodo de conservación contratado. Al finalizar, se aplicará la devolución o supresión indicada en la cláusula 8, sin perjuicio de copias de respaldo y obligaciones legales.
• Operaciones: recogida, consulta, registro, organización, conservación, extracción, adaptación, comunicación al Responsable mediante la cuenta, limitación y supresión.
• Personas afectadas: personas cuyos datos aparezcan en las publicaciones, noticias o mensajes que coincidan con las consultas del Responsable; usuarios, empleados y colaboradores del Responsable que utilicen la cuenta o integraciones.
• Tipos de datos: identificadores y datos de perfil o contacto publicados en fuentes abiertas; contenido de publicaciones y comunicaciones, datos profesionales, opiniones y otros datos que aparezcan en dichas fuentes; datos de cuenta y actividad de los usuarios del Responsable; consultas, criterios y resultados de análisis configurados por el Responsable.
• Datos especiales o penales: el Responsable no debe configurar monitores para buscar ni inferir categorías especiales de datos o datos relativos a condenas e infracciones penales. Si ese contenido aparece incidentalmente en fuentes abiertas, el Responsable decidirá y documentará las medidas lícitas que correspondan e instruirá al Encargado para su supresión o tratamiento restringido.

3. Instrucciones documentadas

El Encargado tratará los datos únicamente para prestar Oteaya conforme a este contrato, las instrucciones documentadas del Responsable, la configuración de sus monitores y las instrucciones emitidas desde la cuenta por personas autorizadas. Las instrucciones adicionales deberán conservarse por escrito. Si una instrucción infringe, a juicio del Encargado, el RGPD u otra norma de protección de datos, el Encargado informará al Responsable sin demora y podrá suspender la operación afectada hasta recibir instrucciones lícitas, salvo que la ley prohíba esa comunicación.

El Responsable determina las finalidades, las consultas y los criterios de vigilancia; debe limitar los datos y el periodo de conservación, revisar los resultados automatizados y no utilizar el servicio para decisiones ilícitas o discriminatorias. El Encargado no utilizará los datos personales para fines propios. Las condiciones de cualquier tratamiento por un subencargado, incluido el eventual uso para mejora o entrenamiento de modelos, deberán confirmarse y quedar limitadas en el anexo antes de activar esa función: [CONFIRMAR CONDICIONES DE OPENAI Y CONFIGURACIÓN APLICABLE.]

4. Confidencialidad y seguridad

El Encargado garantizará que las personas autorizadas a tratar datos personales estén sujetas a un deber de confidencialidad y reciban acceso limitado a sus funciones. Aplicará las medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD, descritas en el anexo de medidas de seguridad. Las medidas podrán actualizarse si mantienen un nivel de protección adecuado. El Responsable podrá solicitar información razonable para comprobarlas, evitando acceder a datos de otros clientes o comprometer la seguridad del servicio.

5. Subencargados y transferencias

El Responsable autoriza de forma general el uso de los subencargados identificados en el anexo de proveedores. El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y seguirá siendo responsable frente al Responsable por el cumplimiento de sus obligaciones. El Encargado notificará con antelación razonable cualquier alta o sustitución de subencargado en [PLAZO Y CANAL DE AVISO]; el Responsable podrá oponerse por motivos fundados de protección de datos dentro de [PLAZO DE OPOSICIÓN]. Si no es posible resolver la objeción, cualquiera de las partes podrá dejar de utilizar la función afectada.

No se realizarán transferencias internacionales por cuenta del Responsable sin un mecanismo válido conforme al capítulo V del RGPD. Los destinos y garantías concretos se indicarán en el anexo de proveedores antes de activar el tratamiento correspondiente.

6. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá razonablemente al Responsable para atender solicitudes de derechos, cumplir las obligaciones de seguridad, notificar violaciones, realizar evaluaciones de impacto y efectuar consultas previas cuando proceda. El Encargado remitirá al Responsable las solicitudes de derechos que reciba directamente y no responderá en su nombre, salvo autorización o exigencia legal.

El Encargado notificará al Responsable una violación de seguridad de los datos personales sin dilación indebida desde que tenga conocimiento, facilitando la información disponible para que el Responsable pueda cumplir sus propias obligaciones. El Responsable decidirá si debe notificar a la autoridad o a las personas afectadas.

7. Auditorías e información

El Encargado pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías por el Responsable o un auditor independiente sujeto a confidencialidad, con preaviso de [PLAZO], durante horario laboral y con una frecuencia razonable. Las auditorías no podrán acceder a datos de otros clientes ni afectar indebidamente a la seguridad, confidencialidad o continuidad del servicio. Si un informe o certificación independiente aporta evidencia suficiente, las partes podrán acordar que sustituya total o parcialmente una auditoría in situ.

8. Devolución y supresión

Al terminar el servicio, el Responsable podrá exportar los datos disponibles mediante las funciones del plan durante [PLAZO DE EXPORTACIÓN]. Una vez vencido ese plazo, el Encargado suprimirá o devolverá los datos personales tratados por cuenta del Responsable, a elección del Responsable, salvo que una norma exija conservarlos. Las copias de respaldo se purgarán conforme al ciclo del anexo de seguridad y permanecerán protegidas hasta su eliminación. El Responsable puede solicitar antes la supresión de contenido mediante las funciones del servicio o por escrito.

9. Responsabilidad y duración

Este contrato entra en vigor cuando ambas partes lo aceptan y dura mientras el Encargado trate datos personales por cuenta del Responsable. Cada parte responde por las obligaciones que le impone la normativa y por los daños que cause conforme a ella. Ninguna limitación contractual afectará a derechos o responsabilidades que no puedan excluirse legalmente.

10. Anexo de medidas y proveedores por completar

• Alojamiento y base de datos: [PROVEEDOR, SERVICIO, PAÍS, UBICACIÓN Y MEDIDAS DE CIFRADO/ACCESO].
• Proxy y entrega de tráfico: Cloudflare, cuando la conexión del cliente pasa por su red; [SERVICIOS ACTIVOS, PAÍSES Y DATOS TRATADOS].
• Análisis automatizado: OpenAI, solo si se activa; [SERVICIO, PAÍS, CATEGORÍAS ENVIADAS, RETENCIÓN DEL PROVEEDOR Y MECANISMO DE TRANSFERENCIA].
• Correo transaccional: Resend, cuando está configurado, para verificación de cuenta, restablecimiento de contraseña e invitaciones; [PAÍS Y DATOS TRATADOS].
• Copias de seguridad: [PROVEEDOR, PAÍS, CIFRADO, FRECUENCIA Y PLAZO DE PURGA].
• Medidas: [CONTROL DE ACCESO, AUTENTICACIÓN, CIFRADO EN TRÁNSITO Y EN REPOSO, REGISTRO DE ACCESOS, RESPALDOS Y GESTIÓN DE INCIDENTES].

11. Aceptación y firma de cada encargo

Esta plantilla pública no constituye por sí sola un encargo cumplimentado para un cliente concreto. Antes de activar monitores con datos personales, las partes deben completar el anexo, aceptar este contrato y conservar una copia firmada o aceptada electrónicamente.

Responsable: [NOMBRE/RAZÓN SOCIAL, NIF, REPRESENTANTE, EMAIL Y FECHA].
Encargado: Derek Sanz, nombre comercial Wakefold, sitio web https://wakefold.com, [NIF], [EMAIL Y FECHA].

Lista para completar antes de firmar

• Identidad, domicilio, NIF y representantes de ambas partes.
• Instrucciones, duración, categorías de datos y personas afectadas para ese cliente.
• Lista final de subencargados, países, transferencias y mecanismos vigentes.
• Medidas de seguridad, plazos de exportación y borrado, aviso de subencargados y auditorías.
• Firma o aceptación electrónica de ambas partes antes de activar el tratamiento.