⚠️ Este es el documento que más conviene que revise un abogado antes de usarlo. El Art. 28 RGPD es bastante prescriptivo sobre lo que tiene que incluir un contrato de este tipo, y las cláusulas exactas (sobre todo las de subencargados y transferencias internacionales) dependen de tu configuración real de proveedores. Trátalo como estructura de partida, no como texto definitivo.
Cómo se usa: normalmente esto no se firma “a mano” con cada cliente — lo habitual en un SaaS es incorporarlo automáticamente a los Términos de Servicio (aceptándolo al registrarse) o presentarlo como anexo aceptable con un checkbox en el registro. Aquí lo tienes como documento independiente para que decidas cómo integrarlo.
En Picassent, a 6 de agosto de 2026.
REUNIDOS
De una parte, Manuel Alcántara, con NIF 44880341G y domicilio en Carrer Jacint Serra 1, Picassent (Valencia) (en adelante, “el Encargado”), actuando como prestador del Servicio “Presupuestador Negocios”.
De otra parte, la empresa que se registra y acepta estos términos a través de la plataforma (en adelante, “el Responsable”), identificada por los datos de la cuenta que proporciona en el momento del registro.
EXPONEN
Que el Responsable utiliza el Servicio prestado por el Encargado para gestionar presupuestos, facturas y datos de sus propios clientes, lo que implica el tratamiento de datos personales por cuenta del Responsable. En consecuencia, resulta de aplicación el artículo 28 del Reglamento (UE) 2016/679 (RGPD), acordando lo siguiente:
1. Objeto
El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el Servicio, en los términos descritos en este contrato.
2. Duración
Este contrato estará vigente mientras el Responsable mantenga una cuenta activa en el Servicio, y durante el plazo adicional que sea necesario para cumplir obligaciones legales de conservación.
3. Naturaleza y finalidad del tratamiento
El tratamiento consiste en el almacenamiento, estructuración y puesta a disposición de los datos personales que el Responsable introduce en el Servicio (nombres, teléfonos, direcciones, DNI/NIF de sus clientes), con la única finalidad de permitir al Responsable generar y gestionar presupuestos, facturas y trabajos.
4. Tipo de datos y categorías de interesados
- Tipo de datos: identificativos (nombre, teléfono, dirección, DNI/NIF) y datos económicos (importes de presupuestos y facturas).
- Categorías de interesados: clientes del Responsable, personas destinatarias de los presupuestos y facturas emitidos por el Responsable a través del Servicio.
No se tratan categorías especiales de datos (art. 9 RGPD) a través del Servicio.
5. Obligaciones del Encargado
El Encargado se compromete a:
Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable (que se materializan en el uso normal de las funcionalidades del Servicio), salvo que deba tratarlos de otra forma en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable.
Garantizar que las personas autorizadas para tratar los datos se comprometan a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal o contractual.
Aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 RGPD (cifrado, control de acceso, aislamiento de datos entre distintos Responsables, copias de seguridad periódicas).
Respetar las condiciones para recurrir a otro encargado de tratamiento (subencargado) indicadas en la cláusula 6.
Asistir al Responsable, dentro de lo razonable, para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados.
Ayudar al Responsable a garantizar el cumplimiento de las obligaciones de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto, en la medida en que le sea aplicable y le sea razonablemente posible.
Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 RGPD, y permitir auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por este, previo aviso razonable.
Notificar al Responsable, sin dilación indebida y en cualquier caso en un plazo máximo de
[72 horas], cualquier violación de la seguridad de los datos personales de la que tenga conocimiento.Suprimir o devolver todos los datos personales al Responsable una vez finalice la prestación del Servicio, y suprimir las copias existentes, salvo que se requiera la conservación de los datos en virtud del Derecho aplicable.
6. Subencargados
El Responsable autoriza de forma general al Encargado a contratar a los siguientes subencargados para la prestación del Servicio:
- Supabase Inc. — infraestructura de base de datos, autenticación y almacenamiento de archivos.
[Tu proveedor de email, ej. Resend]— envío de emails transaccionales.[Stripe, cuando esté activo]— procesamiento de pagos (aplica solo a los datos de facturación de la propia cuenta del Responsable, no a los datos de sus clientes).
El Encargado informará al Responsable de cualquier cambio previsto en estos subencargados, dando al Responsable la oportunidad de oponerse a dichos cambios en un plazo de [15 días].
7. Transferencias internacionales
Los datos de la infraestructura principal (Supabase) se almacenan en la región eu-central-1 (Frankfurt, Alemania), dentro del Espacio Económico Europeo. En la medida en que alguno de los subencargados listados en la cláusula 6 trate datos fuera del EEE, dicha transferencia se ampara en las garantías adecuadas previstas por el RGPD (cláusulas contractuales tipo aprobadas por la Comisión Europea u otro mecanismo válido).
8. Responsabilidad
Cada parte responderá frente al otro y frente a terceros de las infracciones en las que pudiera incurrir en el ejercicio de sus propias obligaciones y funciones en relación con los datos personales tratados en el marco del presente contrato.
Plantilla generada como punto de partida — pendiente de revisión legal antes de su uso.