RGPD y contrato de encargo

Responsable del tratamiento: el despacho, sociedad profesional o profesional que contrata el servicio y sube los documentos.

Encargado del tratamiento: [Razón social completa, con forma jurídica], con NIF [NIF] y domicilio social en [Domicilio social completo: calle, número, CP, localidad y provincia]. Contacto para asuntos de protección de datos: [Correo para ejercicio de derechos]; delegado de protección de datos: [Delegado de Protección de Datos: nombre y contacto, o «no designado»].

Este documento se acepta junto con los términos de servicio y prevalece sobre ellos en todo lo relativo a protección de datos.

El encargado trata los datos personales contenidos en los documentos que el responsable sube y en los datos extraídos de ellos, con la única finalidad de prestar el servicio contratado: almacenar los documentos, someterlos a extracción automatizada de datos, permitir su revisión y aprobación por el personal del responsable, y generar escritos a partir de las plantillas de éste.

El encargado no trata esos datos para ninguna finalidad propia, no los cede a terceros distintos de los subencargados del apartado 6 y no los utiliza para elaborar perfiles ni para entrenar modelos de inteligencia artificial.

El encargo se mantiene mientras dure la relación contractual entre las partes. Terminada ésta, se aplica lo previsto en el apartado 10 (supresión y devolución).

El responsable decide qué documentos sube; el encargado no restringe su contenido. Por la naturaleza de la actividad, esos documentos pueden contener:

• Categorías de interesados: clientes del despacho, contrapartes, testigos, peritos, representantes y cualesquiera terceros que figuren en un expediente; y el propio personal del despacho como usuario de la plataforma.
• Categorías de datos: datos identificativos y de contacto, datos económicos y de transacciones, datos procesales y cualquier otro contenido del documento.
• Categorías especiales y datos penales. Un documento jurídico puede contener datos del art. 9 RGPD —salud, por ejemplo, en un procedimiento de daños— y datos relativos a condenas e infracciones penales del art. 10 RGPD. El responsable debe contar con la base jurídica adecuada para tratarlos; el encargado los trata con las mismas medidas que el resto del contenido y sin distinguir por categoría.

Dentro de la plataforma, los datos extraídos se almacenan campo a campo y las plantillas pueden marcar cada campo como identificativo de una persona, lo que permite localizarlos después para atender una solicitud de derechos.

• Lo almacenamos en un depósito de objetos ubicado en la Unión Europea. El país de la organización determina la región y, hoy, todos los países admitidos se resuelven a la región europea; un país no reconocido se rechaza en lugar de asignarse a una región por defecto. El contenido del documento nunca se guarda dentro de la base de datos de la aplicación: ésta sólo guarda la referencia al objeto.
• Lo sometemos a extracción enviándolo al modelo de Vertex AI de Google en su multirregión europea, para obtener los campos que define la plantilla del responsable. La aplicación comprueba la región y el destino antes de realizar la llamada y la rechaza si no figuran en la lista cerrada de destinos europeos aprobados.
• Guardamos los datos extraídos —cada uno con su nivel de confianza y con la página del documento de la que procede— para que el responsable pueda revisarlos, corregirlos, aprobarlos y generar sus escritos.
• Registramos quién hace qué en un registro de auditoría al que sólo se añaden entradas, consultable por el propio despacho, que guarda identificadores y metadatos y nunca el contenido del documento, los valores extraídos, nombres, correos ni direcciones IP.

No usamos los documentos ni los datos extraídos para entrenar modelos, ni propios ni de terceros. No entrenamos ningún modelo propio, y el tratamiento por parte de Google se rige por las condiciones de Google Cloud para Vertex AI, que excluyen el uso de los datos de cliente para entrenar sus modelos.

El responsable autoriza de forma general la intervención de los subencargados que se relacionan a continuación. Esta lista se mantiene como registro interno dentro del propio producto y es la que el titular de un despacho puede consultar en cualquier momento desde la sección de privacidad de su cuenta:

Si el encargado pretende añadir o sustituir un subencargado, lo comunicará al responsable con antelación razonable para que pueda oponerse. En caso de oposición fundada, el responsable podrá resolver el contrato sin penalización.

El encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responde frente al responsable del cumplimiento de aquéllas.

El tratamiento se realiza en la Unión Europea. La aplicación no confía esa afirmación a la configuración: incorpora una comprobación que rechaza, antes de realizar cualquier llamada saliente, toda región o destino que no figure en una lista cerrada de destinos europeos aprobados; un destino desconocido se bloquea en lugar de tratarse como europeo. El punto de acceso público y no europeo del modelo está además prohibido de forma expresa por su nombre, de modo que una modificación futura no pueda reintroducirlo sin que la comprobación falle.

Stripe —que interviene en el cobro y no accede en ningún caso a los documentos— es una compañía de alcance global y sus operaciones de soporte pueden implicar accesos desde fuera del EEE, amparados en su acuerdo de tratamiento de datos y en las Cláusulas Contractuales Tipo de la Comisión Europea.

• a) Instrucciones documentadas. Tratar los datos únicamente siguiendo instrucciones documentadas del responsable. Constituyen instrucción documentada este contrato, los términos de servicio y las acciones que el responsable ejecuta en la plataforma —subir un documento, lanzar una extracción, aplicar una plantilla, configurar la retención o borrar—. Si el encargado considera que una instrucción infringe la normativa de protección de datos, lo informará de inmediato.
• b) Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• c) Seguridad. Aplicar las medidas del art. 32 RGPD que se detallan en el apartado 9.
• d) Subencargados. No recurrir a otro encargado sin la autorización del responsable, en los términos del apartado 6.
• e) Asistencia con los derechos de los interesados. Asistir al responsable en la atención de las solicitudes del capítulo III, con las herramientas descritas en el apartado 11.
• f) Asistencia en seguridad y evaluaciones. Asistir al responsable en el cumplimiento de los arts. 32 a 36 —seguridad, notificación de violaciones, evaluación de impacto y consulta previa— teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
• g) Supresión o devolución. A elección del responsable, suprimir o devolver los datos al término de la prestación, en los términos del apartado 10.
• h) Información y auditoría. Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, en los términos del apartado 13.

• Aislamiento entre despachos. Toda consulta y toda escritura pasan por una capa común que fija la organización del solicitante a partir de su sesión verificada; el identificador de organización nunca se acepta como parámetro del cliente. Un identificador que pertenezca a otro despacho se rechaza sin revelar siquiera si existe.
• Control de acceso por rol, con reconfirmación reciente del segundo factor de autenticación para las operaciones destructivas o especialmente sensibles, como la solicitud de borrado del despacho.
• Cifrado en tránsito. El acceso a la aplicación se sirve sobre HTTPS con una política estricta de transporte seguro, y las llamadas al modelo y al almacenamiento en producción se dirigen a puntos de acceso HTTPS de los proveedores.
• Cifrado en reposo. Lo proporcionan los proveedores de almacenamiento y de base de datos conforme a sus propias condiciones; la aplicación no lo configura por sí misma. Se declara así, y no como medida propia, porque no es el encargado quien la gestiona.
• Lista cerrada de destinos externos. El servidor sólo puede comunicarse con un conjunto explícito de proveedores; cualquier otro destino, y en particular los rangos internos y de metadatos de la infraestructura, se bloquean.
• Control de los ficheros admitidos. El tipo real de cada fichero se determina por su contenido, no por su extensión ni por lo que declare el navegador, y lo que no encaja se aísla en lugar de procesarse.
• Límites de frecuencia en las operaciones costosas o susceptibles de abuso —exportaciones, consultas de auditoría, solicitudes de borrado, intentos de acceso—, que fallan de forma restrictiva.
• Minimización en los registros. Ni el registro de auditoría, ni los mensajes de error, ni las trazas de operación incluyen contenido de documentos, valores extraídos, nombres, correos, credenciales ni direcciones IP.
• Recuperación de objetos huérfanos. Un proceso programado reclama periódicamente los ficheros que quedaron en el almacenamiento sin llegar a asociarse a ningún registro —una subida interrumpida—, de modo que no permanezcan indefinidamente.

Ésta es la parte que de verdad protege al responsable, y por eso se describe con detalle. Desde el propio producto, el titular del despacho puede solicitar la eliminación de la organización completa. La operación exige confirmación expresa y una reconfirmación reciente del segundo factor de autenticación.

El proceso recorre los dos almacenes en los que puede haber datos: elimina las filas de la base de datos de la aplicación, tabla por tabla y de las hijas a las padres, y elimina los ficheros del almacenamiento de objetos —primero los referenciados por cada fila y después, como red de seguridad, cualquier objeto que siga colgando de los prefijos del despacho aunque su fila ya no exista—.

Y entonces se comprueba a sí mismo: vuelve a consultar todas las tablas y vuelve a listar el almacenamiento, y la solicitud sólo pasa a «verificada» si ambos recuentos son cero. Si queda algo, el estado es «fallida» y el proceso puede repetirse sin efectos secundarios. El resultado queda registrado con el número de filas y de ficheros eliminados y los que restan, y el titular puede consultarlo.

El responsable puede además, en cualquier momento y sin intervención del encargado, eliminar documentos concretos y activar la eliminación automática del documento original transcurrido un plazo desde su extracción, conservando los datos ya extraídos. Esa eliminación automática está desactivada por defecto: sin una decisión expresa del responsable no se borra nada por el paso del tiempo.

Si el responsable prefiere la devolución en lugar de la supresión, debe solicitarla antes de ejecutar el borrado —el proceso descrito es irreversible por diseño— y el encargado le facilitará los documentos y los datos extraídos en un formato de uso común.

Cuando un interesado ejerza sus derechos ante el responsable, el producto incluye una exportación de acceso que reúne lo asociado a una persona o a un expediente: los documentos y las extracciones implicadas, los escritos generados y el rastro de accesos correspondiente. Conviene saber con precisión qué es y qué no es: esa exportación devuelve referencias e identificadores, no el contenido, y los campos que la plantilla marca como personales se listan por su nombre de campo, nunca por su valor. Es un localizador que dice dónde está el dato, no un volcado del dato; los documentos se descargan después por los cauces normales del producto, con su control de acceso.

El responsable dispone además del rastro de accesos de un documento o de una extracción concretos —quién la consultó, descargó, aprobó o exportó, y cuándo— y del registro de auditoría completo de su despacho.

Si el responsable necesita algo que estas herramientas no cubran, puede escribir a [Correo para ejercicio de derechos] o a hola@odeyes.es y el encargado le asistirá. El encargado no atenderá directamente a un interesado sobre datos contenidos en documentos del responsable: le remitirá a éste y le informará.

Un contrato de encargo que dijera «se borra todo» sin matizar sería más cómodo y menos cierto. Tras la eliminación de un despacho se conservan, deliberadamente y por este orden de motivos:

• El registro de auditoría, sujeto a su propio plazo de conservación —un año de forma predeterminada, con un proceso diario que elimina lo más antiguo—. Contiene identificadores y metadatos, nunca contenido de documentos ni datos extraídos, y es lo que permite acreditar qué ocurrió, incluido el propio borrado.
• El justificante del borrado: la solicitud, su estado y los recuentos de lo eliminado y de lo restante. Sin él, la verificación descrita en el apartado 10 no sería demostrable.
• Dos contadores antifraude del plan gratuito: el consumo gratuito acumulado por el despacho y el resumen irreversible de la red desde la que se reclamó la prueba. Si desaparecieran con el despacho, el límite dejaría de ser un límite y bastaría con borrarse y volver a darse de alta. No contienen nombre, correo, dirección IP en claro ni referencia a documento alguno. Base: art. 17.3 RGPD.

El encargado pone a disposición del responsable, desde el propio producto, un informe de residencia que enumera los destinos configurados con su región y el registro de subencargados, y el registro de auditoría de su despacho. Cuando eso no baste, el responsable puede solicitar por escrito la información adicional necesaria para acreditar el cumplimiento de este contrato.

El responsable podrá realizar auditorías, por sí o mediante un tercero independiente sujeto a confidencialidad, con preaviso razonable, en horario laboral, sin interrumpir la prestación del servicio y sin acceder a datos de otros clientes. Las partes acordarán su alcance y, en su caso, el reparto de costes.

Si se produce una violación de la seguridad que afecte a datos personales tratados por cuenta del responsable, el encargado se lo notificará sin dilación indebida desde que tenga conocimiento de ella, con la información de que disponga sobre la naturaleza del incidente, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al responsable.

• Disponer de base jurídica para el tratamiento de los datos que sube, incluidos los de categorías especiales y los relativos a condenas e infracciones penales, y haber informado a los interesados conforme a los arts. 13 y 14 RGPD.
• Subir únicamente los datos necesarios para la finalidad perseguida y configurar la retención conforme a sus propios plazos.
• Gestionar los usuarios de su despacho y sus permisos, y retirar el acceso a quien deje de necesitarlo.
• Revisar la extracción antes de usarla. El servicio propone y una persona del responsable aprueba; el encargado no responde del contenido de un escrito generado a partir de datos no verificados.

⚠ Este texto es la base del contrato de encargo y debe revisarlo asesoría legal antes de publicarse. Están pendientes, además de la identidad fiscal y del proveedor de alojamiento: la firma de los acuerdos de tratamiento con los cuatro subencargados del apartado 6, que a fecha de esta versión el registro interno marca como no firmados; y la confirmación con esos mismos proveedores de las condiciones de cifrado en reposo declaradas en el apartado 9.

Consulta también la política de privacidad y los términos de servicio.