Acuerdo de Encargo de Tratamiento (DPA)

CODECONTRACT SL (en adelante, "Encargado del Tratamiento")

Dirección: Pérez Galdós Kalea 22, 48010 Bilbao, Vizcaya, España

Email: privacy@codecontract.io

Y el Cliente (en adelante, "Responsable del Tratamiento"), siendo la organización que contrata el servicio Code Contract.

El presente acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco del servicio Code Contract (plataforma de gestión documental con IA).

• Datos de identificación de contactos y firmantes
• Documentos y archivos subidos a la plataforma
• Comunicaciones (emails, mensajes)
• Firmas digitales y evidencias
• Datos extraídos por IA de los documentos

Exclusivamente para la prestación del servicio Code Contract contratado: recogida, validación, certificación y firma de documentos.

1. Tratar los datos únicamente según las instrucciones documentadas del Responsable.
2. Garantizar que las personas autorizadas se han comprometido a respetar la confidencialidad.
3. Tomar todas las medidas de seguridad del artículo 32 del RGPD:
   • Cifrado AES-256-GCM para credenciales
   • Contraseñas hasheadas con bcrypt (12 rounds)
   • TLS 1.3 en todas las comunicaciones
   • Multi-tenancy con aislamiento por organización
   • Control de acceso basado en roles (RBAC)
   • Registro de auditoría inmutable
   • 2FA para usuarios con roles elevados
4. No recurrir a otro encargado del tratamiento sin autorización previa (ver lista de subprocesadores en el Trust Center).
5. Asistir al Responsable en el ejercicio de derechos de los interesados.
6. Suprimir o devolver todos los datos al finalizar la prestación del servicio.
7. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento.

Ver listado actualizado en el Trust Center.

Cambios en subprocesadores se notificarán con 30 días de antelación.

Cuando se producen transferencias fuera del EEE, se aplican Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea y medidas complementarias.

El Encargado notificará al Responsable cualquier brecha de seguridad en un plazo máximo de 48 horas desde su detección.

Este acuerdo tiene la misma duración que el contrato de servicio principal.

Legislación española. Tribunales de Bilbao.