Acuerdo de encargo de tratamiento (DPA)
Versión del 19 de octubre de 2026
Esta es una traducción facilitada para su comodidad. En caso de discrepancia, prevalece la versión francesa. Leer la versión francesa
1. Partes y objeto
El presente acuerdo se celebra entre el Cliente, responsable del tratamiento, y EDJ XTECH LAW SCHOOL, S.L. (el «Encargado»), titular de Le Frac. Forma parte integrante de las condiciones generales de contratación y uso y se aplica siempre que el Encargado trate datos personales por cuenta del Cliente en el marco del Servicio.
En caso de contradicción, este acuerdo prevalece sobre las condiciones generales en todo lo relativo a la protección de datos personales.
2. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto y naturaleza | Alojamiento, registro, organización, consulta, transmisión y supresión de datos en el marco del Servicio |
| Finalidades | Emisión y recepción de facturas, recordatorios, cobro, seguimiento de tesorería, envío de correos, SMS o cartas a petición del Cliente, funciones de asistencia mediante inteligencia artificial |
| Interesados | Clientes, potenciales clientes y proveedores del Cliente y sus interlocutores; usuarios de la cuenta del Cliente |
| Categorías de datos | Identidad y datos de contacto profesionales, identificadores de empresa, datos de facturación y pago (importes, vencimientos, datos bancarios), historial de intercambios y recordatorios |
| Datos sensibles | No se prevén; el Cliente se compromete a no registrarlos |
| Duración | Duración de la suscripción, 30 días de reversibilidad y supresión (véase el apartado 9) |
3. Instrucciones del Cliente
El Encargado solo trata los datos siguiendo instrucciones documentadas del Cliente: estas condiciones, la configuración del Servicio y las acciones realizadas en él constituyen instrucciones. Informa inmediatamente al Cliente si una instrucción le parece contraria a la normativa.
Si el Derecho de la Unión o de un Estado miembro le obliga a un tratamiento, informa al Cliente antes de realizarlo, salvo que dicho Derecho lo prohíba.
4. Confidencialidad
Las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad y solo acceden a ellos en la medida necesaria.
5. Seguridad
El Encargado aplica las medidas técnicas y organizativas descritas en el anexo «Medidas de seguridad», adecuadas al riesgo, conforme al artículo 32 del RGPD. Puede adaptarlas sin reducir el nivel de protección.
6. Subencargados
El Cliente otorga una autorización general para recurrir a los subencargados indicados en la política de privacidad (apartado 5). El Encargado informa al Cliente de cualquier incorporación o sustitución con al menos 30 días de antelación; el Cliente puede oponerse por un motivo razonable de protección de datos y, a falta de acuerdo, resolver sin coste.
El Encargado impone a cada subencargado las mismas obligaciones de protección de datos y sigue siendo responsable ante el Cliente de su cumplimiento.
7. Transferencias fuera de la Unión Europea
Toda transferencia fuera del Espacio Económico Europeo se ampara en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea (RGPD, arts. 45 y 46), como se indica en la política de privacidad (apartado 6).
8. Asistencia al Cliente
- Derechos de los interesados: el Servicio permite al Cliente consultar, corregir, exportar y suprimir los datos; el Encargado remite al Cliente, sin responderla él mismo, cualquier solicitud que reciba directamente.
- Violación de datos: el Encargado notifica al Cliente cualquier violación de datos personales sin dilación indebida y a más tardar 48 horas después de tener conocimiento de ella, con la información útil para la notificación a la autoridad de control.
- Evaluación de impacto y consulta previa: el Encargado facilita al Cliente la información de que disponga.
9. Fin del tratamiento
Al terminar el Servicio, el Cliente puede exportar sus datos durante 30 días. Después, el Encargado suprime los datos y sus copias, salvo obligación legal de conservación; las copias de seguridad de la base de datos, gestionadas por su proveedor (Supabase), se borran al final de su ciclo de rotación.
10. Documentación y auditorías
El Encargado pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite auditorías, como máximo una vez al año salvo violación de datos, anunciadas con 30 días de antelación, a cargo del Cliente, por un auditor sujeto a confidencialidad.
11. Obligaciones del Cliente
El Cliente garantiza que dispone de una base jurídica para los datos que confía al Servicio y que ha informado a los interesados. Lleva su propio registro de actividades de tratamiento.
Anexo: medidas de seguridad
- Cifrado en tránsito (HTTPS / TLS) y cifrado en reposo a cargo del proveedor de la base de datos.
- Datos separados por empresa en la base de datos (reglas de acceso por fila).
- Credenciales de servicios externos cifradas; claves de API guardadas solo en el servidor.
- Autenticación de los usuarios; acceso del equipo limitado a lo necesario.
- Datos de la aplicación alojados en la Unión Europea (Fráncfort); copias de seguridad de la base de datos a cargo de su proveedor (Supabase).
- Funciones de IA: solo se envían los datos útiles para la función y el Encargado no conserva nada.