Contrato de encargo del tratamiento

Versión 1.2 · 25/10/2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Este contrato se celebra entre la empresa cliente de la aplicación Gestión Plagas, identificada con los datos de su cuenta (en adelante, «el Responsable»), y aColor Software, S.L., NIF B72518962, con domicilio en Passatge del Garrofer, 17, 08980 Sant Feliu de Llobregat, Barcelona, España (en adelante, «el Encargado»). Forma parte de las Condiciones del servicio y se acepta junto con ellas.

1. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales que este introduzca en el Servicio, con la única finalidad de prestarle el Servicio descrito en las Condiciones: alojar, procesar, mostrar, enviar y conservar la información necesaria para la gestión de su actividad de control de plagas y sanidad ambiental.

2. Duración

Este contrato tiene la misma duración que el contrato de servicio. A su finalización se aplica la cláusula 8.

3. Naturaleza, finalidad, datos e interesados

Tratamientos: recogida, registro, estructuración, conservación, consulta, comunicación por transmisión (emails, WhatsApp, portal del cliente, exportaciones), cotejo, limitación y supresión, siempre por medios automatizados dentro del Servicio.
Categorías de interesados: clientes del Responsable y sus personas de contacto, empleados y técnicos del Responsable, proveedores y sus personas de contacto, firmantes de documentos.
Categorías de datos: identificativos (nombre, NIF, firma), de contacto (dirección, email, teléfono), económicos y bancarios (IBAN, facturas, cobros, movimientos bancarios de la empresa), laborales (puesto, horario y fichajes cuando el Responsable activa el control horario), datos de los servicios prestados (direcciones de servicio, plagas detectadas, productos aplicados, incidencias), registros técnicos (IP, dispositivo, fecha y hora de acceso y firma) e imágenes (fotos de servicios, planos). No se prevé el tratamiento de categorías especiales de datos; si el Responsable las introdujera (por ejemplo, datos de salud en una incidencia), lo hará bajo su exclusiva responsabilidad.

4. Obligaciones del Encargado

El Encargado se compromete a:

Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se concretan en la configuración y el uso que este hace del Servicio, y no utilizarlos para fines propios. Si considera que una instrucción infringe la normativa, informará de inmediato al Responsable.
Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad y han recibido la formación necesaria en protección de datos. El acceso del personal del Encargado a la cuenta del Responsable (soporte) queda registrado y se limita a lo necesario para atender la solicitud.
Aplicar las medidas de seguridad del anexo I y las demás que resulten apropiadas conforme al artículo 32 RGPD.
Respetar las condiciones de la cláusula 5 para recurrir a otros encargados.
Asistir al Responsable, mediante las funciones del Servicio y, cuando no basten, directamente, para que pueda atender las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige al Encargado, este lo comunicará al Responsable sin demora y no responderá por sí mismo salvo instrucción.
Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto y consultas previas, en lo que afecte al Servicio.
Notificar al Responsable, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos personales, con la información disponible sobre su naturaleza, interesados y datos afectados, consecuencias probables y medidas adoptadas o propuestas, completándola después a medida que se disponga de ella.
Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir y contribuir a las auditorías o inspecciones que el Responsable u otro auditor autorizado por él realicen, con un preaviso razonable, como máximo una vez al año salvo incidente, y sin acceder a datos de otros clientes.
Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (artículo 30.2 RGPD).
No comunicar los datos a terceros salvo que cuente con autorización del Responsable o lo exija una norma; en este último caso informará al Responsable antes, salvo que la propia norma lo prohíba.

5. Subencargados

El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, necesarios para prestar el Servicio, con los que el Encargado ha suscrito contratos que les imponen las mismas obligaciones de este contrato:

Subencargado	Servicio	Ubicación
OVHcloud (OVH Groupe SAS, Roubaix, Francia): servidor dedicado en la Unión Europea gestionado por aColor	alojamiento de la aplicación, bases de datos, ficheros y copias de seguridad	Unión Europea
Enable Banking Oy	acceso de solo lectura a los movimientos bancarios (PSD2) cuando la empresa enlaza una cuenta	Finlandia (UE)
Google Ireland Ltd.	inicio de sesión con cuenta de Google, si el usuario lo elige	Irlanda (UE)

El módulo de banca solo implica a su subencargado cuando el Responsable enlaza una cuenta. Los mensajes de WhatsApp se envían desde la aplicación de WhatsApp del propio usuario mediante un enlace: el Encargado no los transmite ni los almacena, por lo que no interviene ningún subencargado. La lectura automática de facturas de proveedores se realiza en sistemas propios del Encargado. El Encargado informará al administrador de la cuenta de cualquier alta o sustitución de subencargado con al menos 30 días de antelación; el Responsable podrá oponerse por motivos justificados y, si no se alcanza un acuerdo, resolver el contrato de servicio sin penalización. La lista vigente se publica en acolor.es/encargo-tratamiento/.

6. Transferencias internacionales

Los datos se alojan y se tratan en la Unión Europea. El Encargado no transferirá datos fuera del Espacio Económico Europeo sin las garantías del capítulo V del RGPD (decisión de adecuación, cláusulas contractuales tipo u otro instrumento válido) e informando previamente al Responsable.

7. Obligaciones del Responsable

Corresponde al Responsable: disponer de base jurídica para los tratamientos; informar a los interesados conforme a los artículos 13 y 14 RGPD (el Servicio facilita textos de ejemplo para contratos y documentos, que el Responsable debe revisar); introducir solo los datos necesarios; configurar los usuarios y permisos de forma adecuada y custodiar las contraseñas; atender los derechos de los interesados; realizar, en su caso, la evaluación de impacto; y velar por el cumplimiento de este contrato por parte del Encargado.

8. Destino de los datos al finalizar

Al finalizar el contrato de servicio, el Responsable podrá exportar sus datos durante 30 días, incluida una copia completa en formato estructurado (JSON y CSV más ficheros) que obtiene por sí mismo desde «Mi suscripción». Transcurrido ese plazo, el Encargado suprimirá los datos personales y sus copias en un máximo de 90 días adicionales, comunicando al Responsable la fecha prevista y recordándosela antes de ejecutarla; si el Responsable lo solicita por escrito antes de la supresión, le entregará previamente una copia completa en formato estructurado. El Encargado podrá conservar los datos bloqueados que deba mantener por obligación legal, únicamente durante el plazo de prescripción de las responsabilidades correspondientes.

9. Responsabilidad

Cada parte responde de los daños que cause por incumplir las obligaciones que el RGPD le impone según su posición, en los términos de su artículo 82. Entre las partes rige, además, la limitación de responsabilidad de las Condiciones del servicio, que no se aplica a las sanciones administrativas impuestas a una parte por su propio incumplimiento.

Anexo I. Medidas de seguridad

Aislamiento: los datos de cada empresa están separados lógicamente y cada consulta se limita a la empresa activa; los ficheros subidos solo se entregan a usuarios autorizados de esa empresa o a sus clientes en la zona privada.
Control de acceso: usuarios personales con contraseña robusta (almacenada con derivación segura), roles y permisos por acción, alcance por sede o por usuario, una sesión por usuario, opción de inicio de sesión con Google y cierre de sesión por inactividad. Registro de actividad (quién, qué y cuándo) consultable por el Responsable.
Cifrado: comunicaciones cifradas (HTTPS con HSTS); claves de servicios externos guardadas fuera del directorio web; firmas y documentos con huella SHA-256 y registro de IP, fecha y hora.
Copias de seguridad: diarias, cifradas y conservadas al menos 30 días, con pruebas periódicas de restauración.
Infraestructura: servidores en la Unión Europea, actualizaciones de seguridad del sistema y de la aplicación, cortafuegos, protección frente a inyección y falsificación de peticiones, y bloqueo de intentos de acceso repetidos.
Personal y procedimientos: acceso del personal de soporte a las cuentas solo bajo solicitud y con registro; deber de confidencialidad; procedimiento de gestión de incidentes y notificación de brechas; revisión anual de estas medidas.
Terceros: conexiones bancarias con acceso de solo lectura, revocable y con caducidad; tokens de API con alcance limitado.