Contrato de encargo del tratamiento
Versión 2026-08-30. Artículo 28 del Reglamento (UE) 2016/679.
Las partes
Responsable del tratamiento: la agencia titular de la cuenta.
Encargado del tratamiento: PENDIENTE DE COMPLETAR, con NIF PENDIENTE DE COMPLETAR y domicilio en PENDIENTE DE COMPLETAR, que presta el servicio Consta.
Este contrato desarrolla el artículo 28 del Reglamento (UE) 2016/679 y se acepta al abrir la cuenta.
Objeto, naturaleza, finalidad y duración
Objeto: el tratamiento de los datos que la agencia introduce en Consta.
Naturaleza y finalidad: calcular el límite de renta aplicable, emitir el justificante y conservar el cálculo en un archivo inalterable.
Duración: mientras la cuenta esté activa y, después, durante los plazos de la cláusula de devolución.
Datos y personas afectadas
Tipos de datos: dirección del inmueble, referencia catastral, características de la vivienda, fechas y renta del contrato de arrendamiento.
Categorías de personas afectadas: arrendadores y arrendatarios de las viviendas que la agencia gestiona.
No se tratan categorías especiales de datos del artículo 9 del Reglamento.
Instrucciones
El encargado trata los datos únicamente siguiendo las instrucciones documentadas del responsable; el uso del servicio constituye esas instrucciones.
No los usa para ninguna finalidad propia ni los cede a terceros distintos de los subencargados que se indican.
No hay transferencias internacionales: el servidor está en España y todos los proveedores están dentro del Espacio Económico Europeo.
Si alguna norma obligara a un tratamiento distinto, el encargado lo comunicaría antes de llevarlo a cabo, salvo que esa misma norma lo prohíba.
Confidencialidad
Las personas autorizadas a tratar los datos se comprometen expresamente a la confidencialidad.
El compromiso subsiste después de terminar la relación.
Seguridad
Todo el tráfico va cifrado. Las contraseñas se guardan cifradas y no son legibles ni para el encargado.
Los datos de cada agencia son invisibles para cualquier otra.
El acceso al servidor es sólo por clave criptográfica; el acceso por contraseña está cerrado.
Se hacen copias de seguridad diarias y se comprueba periódicamente que se restauran.
El archivo de cálculos es de sólo escritura: está protegido en la propia base de datos y encadenado por huellas digitales, de modo que cualquier alteración se detecta.
Otros encargados
El responsable autoriza a los siguientes subencargados:
Clouding Hosting, S.L., España: alojamiento del servidor y de la base de datos.
Sendinblue SAS, «Brevo», Francia: envío del correo del servicio.
Instituto Geográfico Nacional, «Cartociudad», España: conversión de la dirección en coordenadas y sección censal.
El encargado comunicará cualquier alta o baja de subencargado con quince días de antelación, y el responsable podrá oponerse de forma motivada.
Ayuda con los derechos de las personas
El encargado asiste al responsable para atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición.
Si una solicitud llega directamente al encargado, este la traslada al responsable y no la responde por su cuenta.
Ayuda con los artículos 32 a 36
El encargado asiste al responsable en la seguridad del tratamiento, en la notificación de violaciones de seguridad, en la comunicación a las personas afectadas, en la evaluación de impacto y en la consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.
Violaciones de seguridad
El encargado comunica al responsable cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho horas siguientes a tener conocimiento de ella.
La comunicación describe la naturaleza del incidente, los datos y las personas afectadas, las consecuencias probables y las medidas adoptadas.
Devolución y supresión
Al terminar el servicio el responsable puede exportar su archivo en una hoja de cálculo.
Terminado el servicio, los datos se suprimen en el plazo de un año, salvo los que deban conservarse para atender posibles reclamaciones.
El archivo de cálculos no se modifica ni se borra registro a registro: en eso consiste. Cuando se ejerce el derecho de supresión se borra la dirección y se conserva el cálculo, al amparo del artículo 17.3 del Reglamento.
Información y auditoría
El encargado pone a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.
Permite y contribuye a auditorías, incluidas inspecciones, realizadas por el responsable o por quien este designe, avisando con quince días de antelación y sin interrumpir el servicio.
Ley aplicable
Este contrato se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018 y por la ley española.
En lo no previsto se aplican las condiciones del servicio.