CONTRATO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES

(Artículo 28 RGPD — Cuentas de Organización y Cooperativa de CERESAT)

Sitio web y documentos legales: https://ceresat.net · Plataforma: https://ceresat.app Versión: 1.0 · Referencia: [DPA-CERESAT-____]

REUNIDOS#

RESPONSABLE DEL TRATAMIENTO

[DENOMINACIÓN DE LA COOPERATIVA U ORGANIZACIÓN], [forma jurídica], CIF [__], domicilio en [_], [datos registrales], representada por D./D.ª [], NIF [], en calidad de [cargo]. Correo en materia de protección de datos: [___]. En adelante, el «Responsable».

Si el Responsable es una comunidad de regantes u otra entidad de derecho público, revísese el contrato para incorporar las especialidades de la LOPDGDD y la posible obligación de designar Delegado de Protección de Datos.

ENCARGADO DEL TRATAMIENTO

David Gabella Merino, empresario individual (autónomo), NIF 70425461J, domicilio en Calle Luis Ponce de León 9, 14011 Córdoba, Córdoba, España, titular de la marca CERESAT (https://ceresat.net). Correo en materia de protección de datos: david@ceresat.net. En adelante, el «Encargado» o «CERESAT».

Ambas partes se reconocen capacidad suficiente y suscriben este Contrato de Encargo, que forma parte del contrato de prestación de servicios regido por los Términos y Condiciones de CERESAT (el «Contrato Principal»), en la modalidad de Cuenta de Organización.

1. OBJETO Y DELIMITACIÓN DE ROLES#

1.1. El Encargado tratará datos personales por cuenta y siguiendo instrucciones del Responsable para prestar el servicio CERESAT bajo una Cuenta de Organización, con el alcance del Anexo I, y no los usará para fines propios.

1.2. CERESAT es ENCARGADO (este contrato) respecto de los datos de los socios o miembros del Responsable y de sus explotaciones: identidad, parcelas, geometrías, referencias catastrales y SIGPAC, cuaderno de campo, temporadas e informes.

1.3. CERESAT es RESPONSABLE independiente (no este contrato, sino su Política de Privacidad) respecto de los datos de cuenta y credenciales de los usuarios, los logs y datos técnicos de seguridad, y los datos de facturación con el Responsable.

1.4. Si el Encargado tratara los datos del punto 1.2 para fines propios, será considerado responsable de ese tratamiento (art. 28.10 RGPD).

1.5. Miembro autorregistrado. Cuando un miembro se registre por sí mismo dentro de la Cuenta e introduzca sus propias parcelas, dicho tratamiento se regirá por este Contrato de Encargo, actuando el Responsable como responsable también de esos datos, por ser el titular de la Cuenta y quien determina el marco y la finalidad del tratamiento. El Responsable garantiza informar a dichos miembros y disponer de base jurídica. (Opción elegible; puede sustituirse por un acuerdo de corresponsabilidad ex art. 26 RGPD si las partes lo prefieren.)

2. DURACIÓN#

Vigente mientras dure el Contrato Principal. Su terminación conlleva la de este contrato, salvo las obligaciones que sobrevivan conforme a la cláusula 16.

3. INSTRUCCIONES DEL RESPONSABLE — art. 28.3.a)#

El Encargado tratará los datos únicamente conforme a instrucciones documentadas del Responsable, que son: este contrato y sus anexos, el Contrato Principal, las acciones realizadas por el Responsable y sus usuarios a través de la plataforma (que se consideran instrucciones válidas), y las instrucciones escritas a david@ceresat.net. El Encargado informará al Responsable si, a su juicio, una instrucción infringe la normativa de protección de datos, pudiendo suspender su ejecución. Si una norma le obligara a un tratamiento distinto, informará antes, salvo prohibición legal.

4. OBLIGACIONES Y GARANTÍAS DEL RESPONSABLE#

El Responsable garantiza: disponer de base jurídica (art. 6 RGPD) para el tratamiento de los datos de sus miembros; haberles facilitado la información de los arts. 13 y 14 RGPD, incluida la existencia de CERESAT como encargado; que los datos son exactos y pertinentes; no introducir categorías especiales (art. 9) ni datos del art. 10; gestionar los accesos de sus usuarios conforme al mínimo privilegio; y atender los derechos de sus miembros. Mantendrá indemne al Encargado frente a reclamaciones derivadas del incumplimiento de estas garantías.

5. OBLIGACIONES DEL ENCARGADO#

Tratar los datos solo conforme a las instrucciones; no comunicarlos a terceros salvo autorización, subencargados autorizados u obligación legal; llevar el registro de actividades del art. 30.2 RGPD; cooperar con la autoridad de control; garantizar el aislamiento lógico entre cuentas; y no realizar transferencias internacionales distintas de las previstas sin instrucción.

6. CONFIDENCIALIDAD — art. 28.3.b)#

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a la confidencialidad, deber que subsiste tras el fin de la relación. El acceso se limita al personal estrictamente necesario. Los datos de explotación de los miembros pueden constituir secreto empresarial (Ley 1/2019).

7. SEGURIDAD — art. 28.3.c) y art. 32 RGPD#

El Encargado aplicará las medidas técnicas y organizativas apropiadas descritas en el Anexo II, adecuadas al riesgo, pudiendo actualizarlas siempre que no disminuya el nivel de seguridad. Garantizará la capacidad de restaurar la disponibilidad y el acceso a los datos.

8. ASISTENCIA EN DERECHOS — art. 28.3.e)#

Corresponde al Responsable atender los derechos de sus miembros. Si un interesado se dirigiera al Encargado, este no resolverá por su cuenta, trasladará la solicitud al Responsable en un máximo de 72 horas e informará al interesado. El Encargado asistirá con medidas técnicas: el explorador de datos permite consultar y exportar los datos de un miembro (acceso y portabilidad) y las funcionalidades de supresión en cascada dan soporte a rectificación y supresión.

9. ASISTENCIA EN SEGURIDAD Y EVALUACIONES — art. 28.3.f)#

El Encargado asistirá al Responsable, según la información de que disponga, en el cumplimiento de los arts. 32 a 36 RGPD (medidas de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas).

10. VIOLACIONES DE SEGURIDAD#

El Encargado notificará al Responsable sin dilación indebida y en un máximo de [24] horas desde que tenga conocimiento de una violación de seguridad, con la información del art. 33.2 RGPD (naturaleza, categorías y número de afectados, consecuencias probables y medidas adoptadas), de forma gradual si no estuviera toda disponible. La decisión de notificar a la autoridad y a los interesados corresponde al Responsable; el Encargado no notificará por su cuenta salvo instrucción o mandato legal. El Encargado cooperará plenamente y mantendrá un registro interno de incidentes.

11. SUBENCARGADOS — arts. 28.2 y 28.4#

11.1. El Responsable otorga autorización general para recurrir a subencargados. Los actuales figuran en el Anexo III y en https://ceresat.net/subencargados.

11.2. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos (art. 28.4) y seguirá siendo responsable ante el Responsable de su cumplimiento.

11.3. El Encargado informará de cualquier alta o sustitución con 30 días de antelación. Dentro de ese plazo el Responsable podrá oponerse motivadamente por razones de protección de datos; si no hay acuerdo, podrá resolver sin penalización, con reembolso proporcional y exportación de sus datos.

12. TRANSFERENCIAS INTERNACIONALES#

12.1. Los datos se almacenan en la Unión Europea (Fráncfort). No obstante, existe una transferencia a Estados Unidos por el envío de correo (que incluye informes PDF y mapas como adjuntos), y los proveedores de base de datos, alojamiento y caché son sociedades estadounidenses cuyo personal puede acceder en remoto, lo que también constituye transferencia internacional.

12.2. Toda transferencia se ampara en el Capítulo V del RGPD: la Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795) cuando el proveedor esté certificado y activo, y/o las Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) con medidas suplementarias y evaluación de la transferencia. El Encargado facilitará copia de las garantías a solicitud del Responsable.

12.3. Si un mecanismo de transferencia dejara de ser válido, el Encargado implantará un mecanismo alternativo o suspenderá la transferencia; en su defecto, el Responsable podrá resolver sin penalización. A solicitud del Responsable, el Encargado desactivará el envío de informes por correo para su cuenta, quedando disponibles para descarga desde la plataforma.

Contexto a revisar antes de cada firma: el marco UE-EE. UU. sigue en vigor pero está bajo presión (recurso ante el TJUE C-703/25 P; efectos de Trump v. Slaughter, 29/06/2026). Medida prudente: superponer Cláusulas Contractuales Tipo a la certificación y migrar el proveedor de correo a la UE.

13. SUPRESIÓN O DEVOLUCIÓN — art. 28.3.g)#

A la finalización, el Encargado, a elección del Responsable, suprimirá o devolverá todos los datos y sus copias, salvo obligación legal de conservación. El Responsable comunicará su elección en 30 días; a falta de comunicación, se procederá a la supresión previo aviso. Durante ese plazo dispondrá de acceso en modo consulta y exportación (formato estructurado: [JSON/CSV/GeoJSON]). La supresión alcanzará las copias de seguridad en su ciclo de rotación (máx. 30 días). El Encargado emitirá certificado de supresión a solicitud y podrá conservar bloqueada la documentación de facturación exigida por ley.

14. INFORMACIÓN Y AUDITORÍAS — art. 28.3.h)#

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 y permitirá auditorías con 30 días de preaviso, máximo una anual (salvo brecha o requerimiento), en horario laboral, sin afectar a datos de otros clientes ni al código fuente, con auditor no competidor sujeto a confidencialidad y costes a cargo del Responsable salvo incumplimiento acreditado. El Encargado podrá satisfacer estas obligaciones aportando certificaciones o informes de auditoría vigentes cuando cubran el alcance.

15. RESPONSABILIDAD#

Cada parte responde del incumplimiento de sus obligaciones (art. 82 RGPD). El Encargado responde cuando incumpla obligaciones del RGPD dirigidas a los encargados o actúe al margen de las instrucciones lícitas. Las limitaciones del Contrato Principal se aplican también aquí, salvo para sanciones de la autoridad de control, indemnizaciones del art. 82 RGPD y supuestos de dolo o culpa grave.

16. CESIÓN Y SUCESIÓN DE EMPRESA#

El Responsable queda informado de que la actividad bajo la marca CERESAT está prevista para su continuación a través de una sociedad de nueva constitución CERES AGRICULTURAL TECHNOLOGIES, S.L.. El Encargado podrá ceder su posición contractual —incluida la condición de encargado— a dicha sociedad o en cualquier supuesto de transmisión de la unidad productiva, con estas reglas: (i) sin consentimiento previo del Responsable, bastando notificación por correo o aviso en la plataforma con 30 días de antelación; (ii) sin modificación de finalidades, categorías de datos, subencargados, transferencias, plazos ni medidas de seguridad; (iii) subrogación íntegra de la cesionaria, incluidas las obligaciones anteriores; (iv) el cedente no queda liberado de lo devengado antes de la cesión, respondiendo solidariamente; (v) la cesionaria estará domiciliada en España y ofrecerá garantías suficientes (art. 28.1 RGPD); (vi) el Responsable podrá oponerse motivadamente por razones de protección de datos dentro de 30 días y resolver sin penalización, con reembolso proporcional y devolución o supresión de sus datos.

Las obligaciones de sobrevivir tras la terminación: confidencialidad (6), supresión o devolución (13), auditoría respecto del periodo de vigencia (14), responsabilidad (15) y ley aplicable (17).

17. LEY APLICABLE, PREVALENCIA Y FORMA#

Este contrato se rige por el RGPD, la LOPDGDD y la legislación española; las partes se someten a los Juzgados y Tribunales de Madrid. En caso de contradicción con el Contrato Principal en materia de protección de datos, prevalece este contrato; frente a las Cláusulas Contractuales Tipo aplicables a una transferencia, prevalecen estas. Los Anexos I, II y III son parte inseparable. Podrá formalizarse mediante firma electrónica (Reglamento (UE) 910/2014 y Ley 6/2020), cumpliéndose el requisito de forma escrita del art. 28.9 RGPD.

En [LUGAR], a [DD] de [MES] de [AAAA].

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO

Objeto: prestación del servicio CERESAT bajo Cuenta de Organización (gestión de parcelas, cuaderno de campo e informes agronómicos de los miembros). Naturaleza: recogida, registro, conservación, consulta, modificación, extracción, comunicación por transmisión, limitación, supresión y destrucción, por medios automatizados, en entorno multi-inquilino en la nube. Finalidad: permitir al Responsable prestar a sus miembros servicios de gestión técnica agraria. Fuera de estas finalidades, el Encargado no tratará los datos. Duración: la del Contrato Principal, más los plazos de la cláusula 13. Categorías de interesados: socios o miembros del Responsable; personal técnico y gestores con acceso. Tipos de datos: identificativos (nombre, NIF, nº de socio, correo, teléfono, dirección); parcelas y explotación (referencia catastral, SIGPAC, geometría, provincia, municipio, superficie, cultivo, temporada); cuaderno de campo (tratamientos, fertilizaciones, riegos, siembras, cosechas); informes; datos de uso (registros de creación/modificación). Categorías especiales (art. 9) y datos del art. 10: NO se tratan (el Responsable se obliga a no introducirlos). Datos de localización: las geometrías y referencias catastrales reciben tratamiento reforzado (control de acceso, aislamiento, cifrado). Contactos: Responsable [nombre/correo]; Encargado david@ceresat.net.

ANEXO II — MEDIDAS DE SEGURIDAD

Cumplimentar reflejando únicamente las medidas realmente implantadas. Describir medidas inexistentes convierte el documento en prueba de un incumplimiento.

• Control de acceso: autenticación mediante proveedor especializado; contraseñas cifradas no accesibles en claro; control por roles; aislamiento lógico entre cuentas (seguridad a nivel de fila); mínimo privilegio. [Autenticación multifactor en accesos administrativos: confirmar.]
• Cifrado: en tránsito (TLS) y en reposo; copias de seguridad cifradas.
• Trazabilidad: registro de eventos de acceso y de creación/modificación de datos; retención de logs [12] meses.
• Disponibilidad: copias de seguridad [diarias] con retención [30] días; infraestructura en la UE (Fráncfort). [Pruebas de restauración: confirmar frecuencia.]
• Desarrollo: separación de entornos; prohibición de usar datos reales de producción en pruebas sin anonimizar; actualización de dependencias.
• Organizativas: compromisos de confidencialidad firmados; registro de actividades (art. 30.2); procedimiento de gestión de brechas; procedimiento de atención de derechos; contratos de encargo con subencargados; aprobación previa de altas.
• Datos de localización: no publicación ni cesión de geometrías; exportación restringida a usuarios autorizados; informes enviados solo a direcciones de la cuenta.
• Supresión: en cascada, con bloqueo previo (art. 32 LOPDGDD) y sobrescritura de copias.

ANEXO III — SUBENCARGADOS

Procesador de pagos: no aplicable (cobro por transferencia/Bizum; sin datos de tarjeta).

Antes de firmar#

Apellidos y NIF del Encargado · datos del Responsable · verificar si el Responsable es entidad de derecho público · cumplimentar el Anexo II con las medidas reales · verificar la certificación DPF de cada subencargado y firmar sus DPA · confirmar la funcionalidad de desactivar el envío por correo · preparar el registro de actividades como encargado (art. 30.2) y el modelo de adenda de subrogación.

Documento redactado como borrador. No constituye asesoramiento jurídico.