Contrato de encargado del tratamiento de datos personales

1. Partes

Responsable del tratamiento («el Cliente»): es el titular de la web alojada. Sus datos se rellenan al contratar:

• Nombre o razón social: ______________________________
• NIF: ______________________________
• Domicilio: ______________________________
• Correo electrónico: ______________________________

Encargado del tratamiento («Blooglee»): Mkpro Kotler SL, CIF B99554446, C/ Ibón de Astún 17, 7º, 50011 Zaragoza. Contacto: Alejandro Tellería, 605 87 57 01 · alejandro@mkpro.es.

El Cliente decide para qué se usan los datos de los usuarios de su web y cómo. Blooglee solo los trata por cuenta del Cliente para prestar el servicio. Si Blooglee decidiera por su cuenta los fines o los medios, se le consideraría responsable de ese tratamiento (art. 28.10 RGPD); no es lo previsto.

2. Objeto

Este contrato regula los datos personales a los que Blooglee accede o que trata al alojar y mantener la web WordPress del Cliente (alojamiento, seguridad, actualizaciones, copias, correo y DNS) y, si el Cliente contrata la Mejora Blog, al publicar artículos en su web, conforme a las Condiciones del servicio.

3. Duración

Dura lo que dure el servicio. Termina con la baja y se mantiene mientras Blooglee conserve datos del Cliente para devolvérselos o borrarlos (apartado 11).

4. Qué datos y de quién

Interesados (de quién son los datos):

• Visitantes y usuarios de la web del Cliente.
• Clientes del Cliente que compran en su tienda o rellenan formularios.
• Personas que escriben al Cliente por correo en los buzones de su dominio.
• Usuarios y administradores de WordPress de la web.

Categorías de datos:

• Identificación y contacto: nombre, apellidos, correo, teléfono, dirección.
• Los que contienen formularios y mensajes de contacto, incluido lo que escribe la persona.
• Datos de pedidos y facturación en tiendas: productos, importes, direcciones de envío.
• Cuentas de usuario: nombre de usuario, correo y contraseña protegida con hash.
• Datos técnicos: dirección IP, registros de acceso del servidor, identificadores de sesión.
• Contenido de los buzones de correo del dominio.

Datos que no esperamos tratar: datos de categorías especiales (salud, ideología, etc., art. 9 RGPD) ni datos de tarjetas de pago. Si la web del Cliente puede recoger alguno (por ejemplo, un formulario con datos de salud), el Cliente debe avisar antes y acordaremos por escrito las medidas adicionales que haga falta.

Los datos que el Cliente nos da como cliente nuestro (facturación, contacto) no son objeto de este contrato: de ellos somos responsables y se explican en la política de privacidad de blooglee.com.

5. Obligaciones de Blooglee

Blooglee se compromete a (art. 28.3 RGPD):

1. Tratar los datos solo según las instrucciones documentadas del Cliente, que son este contrato y las Condiciones del servicio. Si cree que una instrucción infringe la normativa de protección de datos, se lo comunicará.
2. Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente.
3. Medidas de seguridad del apartado 7.
4. Subencargados: solo los del apartado 6, con las condiciones allí previstas.
5. Ayudar al Cliente a responder las solicitudes de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad) cuando le lleguen a Blooglee: se las trasladará en un plazo máximo de 3 días laborables y no responderá directamente salvo instrucción del Cliente.
6. Ayudar al Cliente a cumplir sus obligaciones de seguridad, de notificación de brechas, de evaluación de impacto y de consulta previa, teniendo en cuenta la información que Blooglee tenga (arts. 32 a 36 RGPD).
7. Supresión o devolución al terminar (apartado 11).
8. Información y auditoría (apartado 10).
9. No usar los datos para fines propios ni combinarlos con datos de otros clientes.
10. Inteligencia artificial: no enviar datos personales de los usuarios del Cliente al proveedor de inteligencia artificial que genera los textos del blog. En las tareas de mantenimiento asistidas por IA, tomar medidas razonables para que el proveedor no reciba datos personales (por ejemplo, no enviarle bases de datos completas ni el contenido de los buzones). Si en algún caso concreto fuera imprescindible que los recibiera, se tratará con las garantías del apartado 6.
11. Mantener un registro de las actividades de tratamiento que hace como encargado (art. 30.2 RGPD).

6. Subencargados

El Cliente autoriza con carácter general a Blooglee a recurrir a estos subencargados (art. 28.2 RGPD). Blooglee firma con cada uno un contrato con las mismas obligaciones de protección de datos que este (art. 28.4 RGPD) y responde ante el Cliente de su cumplimiento.

Blooglee no trata los datos de los usuarios del Cliente en herramientas internas de facturación (Holded) ni en las de gestión de proyectos.

Cambios: Blooglee avisará al Cliente por correo de cualquier alta o sustitución de subencargado con al menos 30 días de antelación. Si el Cliente se opone por motivos razonables y no hay alternativa, puede darse de baja según el apartado 11 de las Condiciones del servicio y Blooglee le entrega sus datos como en cualquier baja.

Transferencias fuera del Espacio Económico Europeo. Si algún subencargado trata datos fuera del EEE, se hará solo con garantías adecuadas (decisión de adecuación, cláusulas contractuales tipo u otra del capítulo V RGPD, arts. 44 a 46). Para proveedores de EE. UU., la certificación bajo el Marco de Privacidad de Datos UE-EE. UU. (Decisión de ejecución (UE) 2023/1795) o cláusulas contractuales tipo.

7. Medidas de seguridad

Blooglee aplica medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD). Se enumeran sin detallar configuraciones que debilitarían la seguridad si se publicaran.

• Acceso restringido: solo personal autorizado accede a los servidores; los accesos usan claves, no contraseñas compartidas, y los permisos son los mínimos necesarios para cada tarea.
• Actualizaciones: WordPress, plugins, temas y PHP se mantienen actualizados, con vuelta atrás si una actualización falla.
• Vigilancia: hay comprobaciones automáticas del estado de los servidores y de las webs con aviso a personas responsables, y revisión periódica de integridad y plugins.
• Cifrado en tránsito: las webs se sirven por HTTPS con certificado renovado de forma automática.
• Copias: copias de seguridad automáticas de la web, para poder restaurarla.
• Aislamiento entre webs: cada web tiene su propio usuario de sistema.
• Registro de incidencias y procedimiento para gestionarlas (apartado 9).
• Formación y confidencialidad del personal con acceso.

8. Obligaciones del Cliente

El Cliente, como responsable, debe:

• Tener una base legal para los datos que recoge en su web y dar a sus usuarios la información que exige el RGPD (arts. 13 y 14): aviso legal, política de privacidad y cookies propios.
• Dar instrucciones lícitas y no pedir tratamientos ilegales.
• Atender los derechos de sus usuarios y las reclamaciones.
• No subir a la web datos que no necesite ni de categorías especiales sin avisar.
• Mantener seguras sus propias contraseñas de administrador.
• Comunicar a Blooglee cualquier cambio en sus instrucciones.

9. Brechas de seguridad

• Blooglee avisará al Cliente sin dilación indebida al tener conocimiento de una brecha de seguridad que afecte a los datos del Cliente (art. 33.2 RGPD). Objetivo: dentro de las 48 horas desde que la detecte, por correo y, si es grave, por teléfono. Es un objetivo interno, no una garantía: el límite legal es «sin dilación indebida».
• El aviso incluirá, en la medida disponible: qué ocurrió, qué datos y cuántas personas pueden verse afectadas, consecuencias probables y medidas tomadas.
• El Cliente, como responsable, decide si hay que notificar a la autoridad de control (la AEPD, en 72 horas desde que tenga conocimiento, art. 33.1 RGPD) y a los afectados (art. 34 RGPD). Blooglee le ayudará con la información que necesite.
• Blooglee conservará un registro de la brecha y de lo hecho.

10. Información y auditoría

Blooglee pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías o inspecciones del Cliente o de un auditor que él designe, con aviso previo de 15 días, una vez al año salvo brecha, en horario laboral y sin comprometer la seguridad ni los datos de otros clientes (art. 28.3.h RGPD). Los costes de la auditoría los asume el Cliente.

11. Fin del contrato: devolución o borrado

Al terminar el servicio, según elija el Cliente:

• Devolución de la web y de los datos en formato estándar (ficheros comprimidos, base de datos SQL, exportación XML de contenidos, buzones por IMAP), en el plazo y con el procedimiento de las Condiciones del servicio; o
• Supresión de los datos.

Después de la devolución o si el Cliente lo pide, Blooglee borra los datos y las copias existentes, salvo que una norma de la Unión o de España obligue a conservarlos (art. 28.3.g RGPD).

• La web y la base de datos activas se borran como máximo 30 días después del fin del servicio.
• Las copias de seguridad se borran en ese mismo plazo.
• Blooglee confirma el borrado por correo cuando el Cliente lo pida.

12. Responsabilidad

Cada parte responde frente a los interesados y a la autoridad de control según el RGPD (art. 82). Entre las partes, la responsabilidad de Blooglee queda sujeta a la limitación de las Condiciones del servicio (lo pagado en los 12 meses anteriores, salvo dolo o culpa grave). Frente a los interesados no se puede limitar por contrato.

13. Ley aplicable y fuero

Leyes de España y juzgados y tribunales de Zaragoza capital, como en las Condiciones del servicio.

Firma

El Cliente acepta este contrato al aceptar las Condiciones del servicio y completar el alta, o lo firma aparte si se le envía en documento.

• Cliente: ______________________________ · Fecha: ______________
• Mkpro Kotler SL (Blooglee), firmado por: ______________________________ · Fecha: ______________