Contrato de Encargo de Tratamiento (DPA)
Art. 28 RGPD — entre el Responsable (cliente) y el Encargado (VI-Studio)
Modelo de contrato de encargo que VI-Studio pone a disposición de sus clientes. Debe firmarse entre el Responsable (técnico de PRL / comunidad) y el Encargado (VI-Studio).
1. Objeto
Regular el tratamiento de datos personales que VI-Studio (Encargado) realiza por cuenta del cliente (Responsable) para prestar el servicio PRL Comunidades, conforme al art. 28 RGPD.
2. Instrucciones y finalidad
El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable y con la única finalidad de prestar el servicio (almacenar checklists, extraer su contenido, generar la documentación PRL y ponerla a disposición).
3. Duración
Mientras esté vigente la relación de servicio. A su fin, el Encargado suprimirá o devolverá los datos y suprimirá las copias existentes, salvo obligación legal de conservación.
4. Obligaciones del Encargado
- Confidencialidad del personal autorizado.
- Medidas de seguridad del art. 32 (TLS, hash, control de acceso, hosting UE).
- Asistir al Responsable en el ejercicio de derechos y en las evaluaciones de impacto.
- Notificar sin dilación indebida las violaciones de seguridad de las que tenga conocimiento.
- Poner a disposición la información necesaria para demostrar el cumplimiento.
5. Subencargados autorizados
El Responsable autoriza el recurso a los siguientes subencargados, con quienes el Encargado mantiene las garantías del art. 28.4:
| Subencargado | Servicio | Ubicación | Garantía de transferencia |
|---|---|---|---|
| OVH | Alojamiento (VPS) | Unión Europea | No procede (UE) |
| Anthropic, PBC | Modelo de IA (Claude) vía API | EE. UU. | Cláusulas contractuales tipo (SCC) |
El Encargado informará de cualquier cambio de subencargados, dando opción a oponerse.
6. Transferencias internacionales
Las transferencias a Anthropic (EE. UU.) se amparan en las cláusulas contractuales tipo de la Comisión Europea u otro mecanismo válido del Capítulo V RGPD.
7. Responsabilidad
Cada parte responde conforme al art. 82 RGPD. El Responsable garantiza la licitud de los datos que aporta y la información a los interesados.