Contrato de encargo de tratamiento
Última actualización: 20 de octubre de 2026
Modelo pendiente de revisión jurídica. Este es el modelo de contrato que proponemos a las organizaciones y administraciones que contratan TARJE2ME, conforme al artículo 28 del RGPD y al artículo 33 de la LOPDGDD. Antes de firmarse se completa con los datos de cada cliente y puede ajustarse a sus pliegos. Pídelo en formato editable en oscar@indole.es.
1. Partes
Responsable del tratamiento: la organización o administración cliente (en adelante, el Responsable).
Encargado del tratamiento: INDOLE DATA TECHNOLOGY S.L.L., NIF B39887120, Paseo del Niño 3, 39300 Torrelavega (Cantabria) (en adelante, el Encargado).
2. Objeto, duración y naturaleza
El Encargado trata datos personales por cuenta del Responsable para prestarle el servicio TARJE2ME: crear, alojar y mostrar las tarjetas de visita digitales de su personal, gestionar los contactos que capta su personal y, cuando estén disponibles y el Responsable los active, sus eventos y sus integraciones. Las operaciones son: recogida, registro, estructuración, conservación, consulta, comunicación por transmisión a los sistemas que indique el Responsable, supresión y destrucción.
La duración coincide con la del contrato de servicio. Al terminar, se aplica la cláusula 8.
3. Tipos de datos y categorías de interesados
- Personal del Responsable: nombre y apellidos, cargo, departamento, entidad, datos de contacto profesional, fotografía, redes profesionales y estadísticas de uso de su tarjeta.
- Contactos captados por el personal o en eventos: nombre, empresa, cargo, datos de contacto, notas, etiquetas, evento y prueba del consentimiento.
- Participantes en eventos organizados por el Responsable, cuando el modo eventos esté disponible: datos de acreditación, intereses y sector.
No se tratan categorías especiales de datos. El Responsable se compromete a no introducirlas.
4. Obligaciones del Encargado
- Tratar los datos solo según las instrucciones documentadas del Responsable, incluidas las que da al configurar el servicio, y avisarle si cree que una instrucción infringe la normativa.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad de la cláusula 6.
- No recurrir a otro encargado sin cumplir la cláusula 5.
- Ayudar al Responsable a atender los derechos de los interesados, poniendo a su disposición herramientas de consulta, exportación, rectificación y supresión, y trasladándole sin demora cualquier solicitud que reciba directamente.
- Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas.
- Notificar al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad de los datos, con la información necesaria para documentarla y comunicarla.
- Llevar el registro de actividades de tratamiento como encargado.
- No tratar los datos fuera del Espacio Económico Europeo sin autorización previa y por escrito del Responsable y las garantías del capítulo V del RGPD.
5. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a subencargados. El Encargado le informará de cualquier alta o cambio con al menos 30 días de antelación, y el Responsable podrá oponerse por motivos fundados. Cada subencargado queda sujeto a las mismas obligaciones que este contrato.
Lista actual de subencargados:
| Servicio | Ubicación | Estado |
|---|---|---|
| Alojamiento de la plataforma y copias de seguridad | Unión Europea; servidor gestionado por Índole | Activo |
| Lectura automática con IA (opcional): Anthropic | Estados Unidos | Solo si el Responsable la activa; procesa lo enviado para leerlo, sin guardarlo ni usarlo para entrenar |
| Correo transaccional, pasarela de pago | — | Se añadirán a esta lista antes de activarse |
6. Medidas de seguridad
- Cifrado de las comunicaciones (TLS).
- Control de acceso por roles (superadministrador, administrador de entidad, editor y empleado) y acceso sin contraseña con código de un solo uso enviado al correo.
- Separación lógica de los datos de cada organización.
- Copias de seguridad periódicas.
- Registro de auditoría de los cambios realizados en el panel.
- Minimización: la analítica de las tarjetas no guarda datos que identifiquen a quien las abre; el consentimiento se acredita sin guardar la IP.
- Hoja de ruta hacia el Esquema Nacional de Seguridad. TARJE2ME no está certificado hoy en el ENS ni en ISO 27001.
7. Obligaciones del Responsable
El Responsable garantiza que tiene base jurídica para los datos que entrega o hace captar, informa a los interesados, configura el servicio conforme a sus instrucciones y supervisa el tratamiento, incluidas las auditorías de la cláusula 9.
8. Devolución y supresión
Al terminar el servicio, el Encargado pondrá los datos a disposición del Responsable en formatos estándar (CSV y VCF) durante 30 días y, después, los suprimirá, incluidas las copias, salvo los que deba conservar bloqueados por obligación legal mientras puedan derivarse responsabilidades. Las copias de seguridad se eliminan en su ciclo ordinario de renovación. El Encargado certificará la supresión si se le pide.
9. Información y auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitirá y contribuirá a las auditorías e inspecciones que realice el Responsable u otro auditor autorizado por él, con un preaviso razonable y sin afectar a la seguridad ni a los datos de otros clientes.
10. Ley aplicable
Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española aplicable. En caso de conflicto con el contrato de servicio en materia de protección de datos, prevalece este contrato.