Acuerdo de Encargo del Tratamiento
Artículo 28 del Reglamento (UE) 2016/679 · Versión 1.0 · En vigor desde el 11 de agosto de 2026
Este acuerdo regula el tratamiento de datos personales que UAITEC LABS, S.L.U. (NIF B27607977, Calle Berlín 6, 6ºD, 28028 Madrid), titular de la marca HireAgents, en adelante el Encargado, realiza por cuenta del cliente que contrata sus servicios, en adelante el Responsable.
Forma parte inseparable de las Condiciones Generales de Contratación y prevalece sobre ellas en todo lo relativo a protección de datos personales. La aceptación de la Hoja de Pedido implica la de este acuerdo.
1. Objeto y alcance
El Responsable habilita al Encargado para tratar, por su cuenta y siguiendo sus instrucciones, los datos personales necesarios para prestar los servicios contratados.
- Objeto: envío automatizado de comunicaciones a los destinatarios que el Responsable determine y a su personal interno.
- Naturaleza: recogida desde las herramientas del Responsable, consulta, composición de mensajes, envío y registro de envío.
- Finalidad: exclusivamente la ejecución del contrato.
- Duración: la vigencia del contrato.
- Interesados: las personas cuyos datos el Responsable aporte al Servicio; con carácter general, sus clientes, contactos profesionales y personal propio.
- Datos: los que el Responsable registre en sus sistemas y sean necesarios para las tareas contratadas, conforme a la Hoja de Pedido. Con carácter general: datos identificativos y de contacto, y datos relativos a la relación entre el Responsable y el interesado.
No se tratan categorías especiales de datos (artículo 9 del RGPD) ni datos relativos a condenas o infracciones penales (artículo 10). El Responsable se obliga a no introducir datos de dichas categorías en las herramientas conectadas al servicio; si lo hiciera, asumirá en exclusiva las consecuencias y deberá comunicarlo de inmediato.
El Encargado no realiza elaboración de perfiles ni decisiones automatizadas con efectos jurídicos sobre los interesados en el sentido del artículo 22 del RGPD.
2. Instrucciones del Responsable
El Encargado tratará los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen instrucción documentada la Hoja de Pedido, las Condiciones Generales, este acuerdo y la configuración del servicio aprobada por escrito por el Responsable.
Si el Encargado considera que una instrucción infringe la normativa de protección de datos, lo comunicará al Responsable y podrá suspender su ejecución hasta que sea confirmada o rectificada por escrito.
El Encargado no tratará los datos para finalidades propias, no los cederá a terceros salvo los subencargados previstos en la cláusula 5, y no los utilizará para entrenar modelos ni para elaborar productos o servicios distintos de los pactados.
3. Obligaciones del Encargado
- Tratar los datos conforme a la cláusula 2 y no aplicarlos a finalidad distinta.
- Llevar el registro de actividades de tratamiento por cuenta del Responsable exigido por el artículo 30.2 del RGPD.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, obligación que subsiste tras el fin de su relación con el Encargado.
- Aplicar las medidas de la cláusula 4.
- Asistir al Responsable, en la medida de lo posible y a costa de este cuando la asistencia exceda de lo ordinario, en la respuesta a las solicitudes de ejercicio de derechos y en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo.
- Suprimir o devolver los datos conforme a la cláusula 9 y comunicar las violaciones de seguridad conforme a la cláusula 7.
4. Medidas de seguridad
El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Entre ellas:
- cifrado de las comunicaciones en tránsito;
- control de accesos basado en identidades individuales y en el principio de mínimo privilegio, sin credenciales compartidas de larga duración;
- aislamiento de los datos del Responsable respecto de los de cualquier otro cliente del Encargado, mediante entornos separados;
- registro de la actividad del sistema;
- copias de seguridad y capacidad de restauración;
- alojamiento en centros de datos ubicados en la Unión Europea.
El Encargado podrá modificar, sustituir o actualizar las medidas, los componentes técnicos y la arquitectura empleados, siempre que el nivel de seguridad resultante no sea inferior al descrito. La elección de los medios técnicos corresponde al Encargado.
El detalle concreto de la implementación técnica tiene la consideración de secreto empresarial del Encargado. El Responsable podrá solicitar la información razonablemente necesaria para acreditar el cumplimiento normativo, sin que ello alcance al código fuente, al diseño interno ni a la documentación de arquitectura.
5. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a subencargados. A la fecha de esta versión, el subencargado utilizado es:
- Google Cloud EMEA Limited (Google Cloud Platform) — alojamiento e infraestructura — tratamiento en la Unión Europea.
El Encargado informará de cualquier alta o sustitución de subencargados con una antelación mínima de treinta (30) días naturales, publicando la actualización en esta página y comunicándolo al Responsable. Este podrá oponerse por motivos razonables y fundados dentro de dicho plazo. En caso de oposición, las partes buscarán de buena fe una solución alternativa; de no alcanzarse, cualquiera podrá resolver el contrato sin penalización, siendo esta la única consecuencia de la oposición.
El Encargado impondrá a sus subencargados obligaciones equivalentes a las de este acuerdo y responderá frente al Responsable del cumplimiento por parte de aquellos, con los límites de la cláusula 10.
Transferencias internacionales: no se prevén fuera del Espacio Económico Europeo. Si en el futuro resultaran necesarias, se ampararán en alguno de los mecanismos del Capítulo V del RGPD y se comunicarán previamente.
6. Derechos de los interesados
La atención de las solicitudes de ejercicio de derechos corresponde al Responsable, que es quien mantiene la relación con los interesados.
Si un interesado dirigiera una solicitud al Encargado, este la remitirá al Responsable sin dilación indebida y sin responderla por su cuenta. El Encargado asistirá facilitando la información de que disponga y ejecutando, previa instrucción escrita, las supresiones o rectificaciones que le correspondan en su ámbito de tratamiento.
7. Violaciones de la seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a que tenga conocimiento efectivo de ella, cualquier violación de la seguridad que afecte a los datos objeto de este acuerdo.
La notificación incluirá la información de que disponga en ese momento: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables y medidas adoptadas o propuestas.
La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Responsable, a quien compete valorar el riesgo conforme a los artículos 33 y 34 del RGPD. La notificación del Encargado no constituye reconocimiento de culpa ni de responsabilidad.
8. Obligaciones y garantías del Responsable
El Responsable garantiza y asume que:
- Dispone de base jurídica válida para el tratamiento de los datos que facilita y para el envío de las comunicaciones objeto del servicio.
- Ha cumplido el deber de información a los interesados conforme a los artículos 13 y 14 del RGPD, incluida la mención a la existencia de encargados del tratamiento.
- Los datos que introduce en sus herramientas son exactos, están actualizados y son adecuados a la finalidad. El Encargado los reproduce sin obligación de verificarlos.
- Las direcciones de correo de destino son correctas y corresponden al interesado al que se refiere cada comunicación.
- Ha revisado y aprobado por escrito los textos de las comunicaciones antes de su puesta en producción.
El Responsable mantendrá indemne al Encargado frente a reclamaciones de interesados, de terceros o de autoridades de control que traigan causa del incumplimiento de estas garantías.
9. Devolución y supresión
A la finalización del contrato, el Encargado, a elección del Responsable manifestada por escrito dentro de los treinta (30) días naturales siguientes, devolverá los datos en formato electrónico estándar o los suprimirá. Transcurrido ese plazo sin manifestación, procederá a la supresión.
El Encargado podrá conservar los datos estrictamente necesarios para cumplir obligaciones legales, debidamente bloqueados, durante los plazos de prescripción aplicables.
9.1 Registro de envíos
El Encargado mantiene un registro técnico que impide reenviar una comunicación ya enviada. Su supresión anticipada provocaría el reenvío de comunicaciones a los interesados, por lo que se conserva mientras la comunicación pueda volver a producirse.
Los datos personales asociados a dicho registro se suprimen a los treinta (30) días, conservándose únicamente los identificadores técnicos imprescindibles para la garantía de no duplicación.
10. Responsabilidad
Cada parte responderá de los daños causados por el tratamiento cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a ella o haya actuado al margen de las instrucciones lícitas de la otra, conforme al artículo 82 del RGPD.
La responsabilidad total del Encargado derivada de este acuerdo queda limitada, acumulativamente con la del contrato principal, al importe efectivamente satisfecho por el Responsable en los doce (12) meses anteriores al hecho generador, salvo en supuestos de dolo o culpa grave o cuando la ley no admita limitación.
El Encargado no responderá de las consecuencias derivadas de la inexactitud de los datos facilitados por el Responsable, de la ausencia de base jurídica o de información a los interesados, ni del contenido de los textos aprobados por el Responsable.
11. Auditoría
El Responsable podrá verificar el cumplimiento de este acuerdo mediante solicitud escrita de información, que el Encargado atenderá en un plazo de treinta días naturales.
Las auditorías presenciales o técnicas requerirán preaviso de treinta días naturales, se limitarán a una (1) al año salvo requerimiento de una autoridad de control, se realizarán en horario laboral sin interferir en la actividad del Encargado, estarán sujetas a confidencialidad y correrán por cuenta del Responsable.
La auditoría no alcanzará a información relativa a otros clientes del Encargado, ni a su código fuente, diseño interno o documentación de arquitectura.
12. Duración
Este acuerdo entra en vigor con la firma de la Hoja de Pedido y permanece vigente mientras dure el tratamiento. Las obligaciones de confidencialidad y las derivadas de la cláusula 9 subsisten tras su terminación.
13. Legislación y jurisdicción
Se rige por el RGPD, por la Ley Orgánica 3/2018 (LOPDGDD) y por la legislación española. Las partes se someten a los Juzgados y Tribunales de Madrid, con renuncia a cualquier otro fuero.
14. Contacto
Para cualquier consulta relacionada con este acuerdo: [email protected].