Contrato de Encargo de Tratamiento de Datos Personales

Última actualización: 4 de septiembre de 2026

Cláusula 1. Objeto y ámbito de aplicación

El presente Contrato tiene por objeto regular las condiciones en las que firmaSimple ("el Encargado"), tratará por cuenta del cliente profesional ("el Responsable") los datos personales necesarios para prestar el Servicio de firma electrónica, en cumplimiento de lo dispuesto en el artículo 28, apartados 3 y 4, del RGPD.

Este Contrato se aplica al tratamiento de datos personales especificado en el Anexo I. En caso de contradicción entre este Contrato y cualquier acuerdo conexo entre las partes, prevalecerá lo dispuesto en el presente Contrato en lo relativo a la protección de datos personales.

Cláusula 2. Duración

El presente Contrato estará vigente mientras el Responsable utilice el Servicio de firmaSimple para el tratamiento de datos personales de terceros, y quedará automáticamente resuelto cuando finalice dicha relación, sin perjuicio de las obligaciones de conservación, devolución o destrucción de datos recogidas en la Cláusula 8.

Cláusula 3. Obligaciones del Encargado

3.1 Tratamiento conforme a instrucciones documentadas

firmaSimple tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluso en lo relativo a transferencias internacionales de datos, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable. En tal caso, firmaSimple informará al Responsable de esa exigencia legal previa al tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

El uso del Servicio conforme a su funcionalidad ordinaria (subida, envío y firma de documentos, verificación OTP, generación de certificados de auditoría) constituye, en sí mismo, la instrucción documentada del Responsable a estos efectos.

3.2 Limitación de la finalidad

firmaSimple tratará los datos personales únicamente para las finalidades específicas descritas en el Anexo I, sin destinarlos a fines propios ni de terceros.

3.3 Confidencialidad

firmaSimple garantiza que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal o contractual.

3.4 Seguridad del tratamiento

firmaSimple aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD, incluyendo entre otras: cifrado de contraseñas, tokens únicos de acceso a los enlaces de firma, comunicaciones cifradas (HTTPS), control de accesos y copias de seguridad periódicas.

3.5 Subencargados del tratamiento

El Responsable autoriza con carácter general a firmaSimple a recurrir a los subencargados del tratamiento necesarios para la prestación del Servicio. El listado actualizado de subencargados, con su ubicación y mecanismo de transferencia, está disponible en firmasimple.es/subencargados.php.

firmaSimple notificará al Responsable cualquier cambio previsto en la incorporación o sustitución de subencargados con al menos 15 días naturales de antelación a través del correo electrónico asociado a la cuenta del Responsable, dándole la oportunidad de oponerse a dichos cambios. Si el Responsable presenta una objeción razonada dentro de dicho plazo y las partes no logran resolverla, el Responsable podrá rescindir su suscripción al Servicio sin penalización.

Cuando firmaSimple recurra a un subencargado para llevar a cabo actividades de tratamiento específicas por cuenta del Responsable, se le impondrán, mediante contrato, las mismas obligaciones en materia de protección de datos que las establecidas en el presente Contrato, en particular las de ofrecer garantías suficientes de aplicar medidas técnicas y organizativas apropiadas. firmaSimple seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del subencargado.

3.6 Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, firmaSimple asistirá al Responsable, en la medida de lo posible, mediante medidas técnicas y organizativas apropiadas, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).

firmaSimple ayudará asimismo al Responsable a garantizar el cumplimiento de sus obligaciones en materia de seguridad del tratamiento, notificación de violaciones de seguridad y, en su caso, evaluaciones de impacto relativas a la protección de datos y consultas previas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga firmaSimple.

3.7 Notificación de violaciones de seguridad

En caso de que firmaSimple tenga constancia de una violación de la seguridad de los datos personales tratados por cuenta del Responsable, se lo notificará sin dilación indebida y, en cualquier caso, en un plazo máximo de 72 horas desde que haya tenido conocimiento de ella, facilitando la información necesaria para que el Responsable pueda, en su caso, cumplir con su obligación de notificación a la autoridad de control y a los interesados afectados.

Cláusula 4. Transferencias internacionales de datos

Cuando la prestación del Servicio implique una transferencia de datos personales a un país sin decisión de adecuación de la Comisión Europea, dicha transferencia se realizará amparada en las garantías previstas en el capítulo V del RGPD (en particular, Cláusulas Contractuales Tipo, Data Privacy Framework o Normas Corporativas Vinculantes, según el subencargado de que se trate), tal y como se detalla en la página de Subencargados del Tratamiento.

Cláusula 5. Obligaciones del Responsable

El Responsable garantiza que dispone de la base jurídica necesaria para el tratamiento de los datos personales que sube y procesa a través del Servicio, y que ha informado adecuadamente a los interesados (por ejemplo, firmantes, empleados o clientes) sobre dicho tratamiento, en los términos exigidos por el RGPD.

El Responsable es el único competente para determinar las finalidades y medios del tratamiento de los datos que introduce en la plataforma, correspondiéndole en exclusiva la responsabilidad derivada de una base de legitimación inadecuada o de una información deficiente a los interesados.

Cláusula 6. Reparto de responsabilidades

firmaSimple responderá, como encargado del tratamiento, de los daños y perjuicios que se deriven del incumplimiento de las obligaciones que el RGPD impone directamente a los encargados del tratamiento, o cuando haya actuado incumpliendo las instrucciones lícitas del Responsable o al margen de ellas.

El Responsable responderá de los daños y perjuicios que resulten de un tratamiento que infrinja el RGPD por causas que le sean imputables, incluyendo una base de legitimación inadecuada, información insuficiente a los interesados, o instrucciones al Encargado contrarias a la normativa aplicable.

Cláusula 7. Auditorías

firmaSimple pondrá a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Contrato y en el artículo 28 del RGPD, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un tercero autorizado por este, previo aviso razonable, sujeto a las limitaciones operativas propias de una plataforma gestionada por un equipo reducido, y sin perjuicio de la confidencialidad de la información de otros clientes.

Cláusula 8. Destino de los datos al finalizar la prestación del Servicio

Al finalizar la relación entre firmaSimple y el Responsable, los datos personales tratados se eliminarán conforme a los plazos de retención descritos en la Política de Almacenamiento y Eliminación de Documentos de los Términos y Condiciones, salvo que exista una obligación legal que exija su conservación por un plazo superior, en cuyo caso firmaSimple podrá conservar los datos debidamente bloqueados durante dicho plazo.

Anexo I. Descripción del tratamiento

Categorías de interesados	Firmantes de documentos, clientes, empleados u otras personas cuyos datos figuren en los documentos que el Responsable gestiona a través del Servicio.
Categorías de datos personales	Nombre, correo electrónico, número de teléfono (si se activa la verificación OTP), firma electrónica, dirección IP, fecha y hora de firma, y aquellos otros datos que el Responsable incluya en los documentos que sube a la plataforma.
Naturaleza del tratamiento	Alojamiento, procesamiento y firma electrónica de documentos; generación de evidencias y certificados de auditoría; envío de notificaciones asociadas al proceso de firma.
Finalidad del tratamiento por cuenta del Responsable	Prestar el Servicio de firma electrónica de documentos contratado por el Responsable.
Duración del tratamiento	Mientras sea estrictamente necesario para prestar el Servicio, conforme a los plazos de retención de documentos vigentes según el plan contratado (7, 15 o 30 días desde la firma o desde la subida si el documento queda pendiente).
Subencargados	Ver listado actualizado de subencargados.