Contrato de encargo del tratamiento
Cómo trata Entreturno los datos personales por cuenta de las organizaciones que usan el servicio.
Este contrato regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD, el tratamiento de datos personales que Entreturno realiza por cuenta de sus clientes. Forma parte de las condiciones de contratación y se acepta con ellas.
1. Partes
- Responsable del tratamiento: la empresa o profesional que contrata Entreturno («el Cliente»).
- Encargado del tratamiento: José Alberto Molina Abellán, NIF 23037374E, con domicilio en C/ Alfonso XIII, 68, 1.º C, 30310 Cartagena (Murcia), titular de Entreturno, con contacto en info@entreturno.es («el Encargado»).
2. Objeto, naturaleza y finalidad
El Encargado trata los datos personales que el Cliente introduce en Entreturno con la única finalidad de prestarle el servicio contratado: almacenarlos, mostrarlos a los usuarios autorizados del Cliente, enviar avisos relacionados con el servicio, hacer copias de seguridad y dar soporte técnico. Las operaciones de tratamiento son las de recogida, registro, organización, conservación, consulta, comunicación a los usuarios del Cliente, supresión y destrucción.
3. Datos y personas afectadas
| Personas afectadas | Datos |
|---|---|
| Trabajadores y usuarios del Cliente | Nombre, datos de contacto profesionales, usuario y rol, permisos, pertenencia a grupos de trabajo y datos de acceso. |
| Contactos que el Cliente incluya en las notas | Nombre, teléfono, correo electrónico y cualquier dato que el Cliente decida escribir en el parte de novedades. |
| Registros de actividad | Notas creadas, editadas o eliminadas, autor, fecha y hora, e historial de cambios. |
El servicio no está pensado para tratar categorías especiales de datos (salud, ideología, etc.) ni contraseñas, códigos o claves de sistemas de terceros. El Cliente se compromete a no introducirlos.
4. Duración
Este contrato dura lo mismo que la suscripción del Cliente. Al terminar, se aplica lo previsto en el apartado 7 sobre devolución y supresión de los datos.
5. Obligaciones del Encargado
El Encargado se compromete a:
- Instrucciones: tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato, las condiciones de contratación y el uso que el Cliente haga del servicio. Si considera que una instrucción infringe la normativa, se lo comunicará de inmediato.
- Finalidad: no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 6 o por obligación legal.
- Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad, también después de terminar su relación con el Encargado.
- Seguridad: aplicar las medidas técnicas y organizativas del artículo 32 RGPD adecuadas al riesgo, entre ellas: cifrado de las comunicaciones (HTTPS), aislamiento de los datos de cada organización mediante políticas de seguridad a nivel de fila en la base de datos, control de acceso por usuario, rol y permisos, contraseñas almacenadas con cifrado irreversible, copias de seguridad periódicas y acceso restringido a la infraestructura.
- Derechos de los interesados: ayudar al Cliente a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una solicitud llega al Encargado, se la trasladará al Cliente sin demora y no la contestará por su cuenta.
- Brechas de seguridad: notificar al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que el Cliente pueda, en su caso, notificarla a la autoridad de control y a los afectados.
- Colaboración: ayudar al Cliente, teniendo en cuenta la naturaleza del tratamiento, en las evaluaciones de impacto y consultas previas que pudiera necesitar.
- Registro: llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
- Demostración y auditorías: poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de al menos 30 días, en horario laboral y con compromiso de confidencialidad, a cargo del Cliente.
6. Subencargados
El Cliente autoriza de forma general al Encargado a recurrir a los siguientes subencargados para prestar el servicio. El Encargado les impone por contrato las mismas obligaciones de protección de datos y responde de su cumplimiento.
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Base de datos, autenticación y almacenamiento | Servidores en la Unión Europea (Irlanda) |
| Hostinger International Ltd. | Alojamiento de la aplicación web y correo electrónico de soporte | Unión Europea (servidor en París, Francia) |
Supabase recurre a su vez a sus propios subencargados, entre ellos Amazon Web Services, Inc. (alojamiento de los servidores) y Cloudflare, Inc. (red de entrega y protección del tráfico), ambos con sede en Estados Unidos, con las mismas garantías contractuales. Su lista actualizada está en supabase.com/legal/subprocessors.
El Encargado informará al Cliente por correo electrónico de cualquier alta o sustitución de subencargados con al menos 30 días de antelación. El Cliente podrá oponerse de forma motivada en ese plazo; si no se encuentra una solución, podrá darse de baja del servicio sin penalización.
7. Fin del contrato: devolución y supresión
Al terminar la suscripción, el Cliente dispone de 30 días para solicitar la exportación de sus datos. Después, el Encargado los suprimirá, incluidas las copias que existan, salvo que una ley obligue a conservarlos; en ese caso los mantendrá bloqueados mientras dure esa obligación. Los datos incluidos en copias de seguridad se eliminan cuando estas caducan según su ciclo de rotación. El Encargado lo certificará si el Cliente lo solicita.
8. Transferencias internacionales
Algunos subencargados tienen sede fuera del Espacio Económico Europeo (Estados Unidos o Singapur) o pueden tratar datos fuera de él. Esas transferencias se amparan en las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas o, en su defecto, las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas complementarias que procedan.
9. Obligaciones del Cliente
El Cliente, como responsable del tratamiento, se compromete a:
- contar con una base legal para tratar los datos que introduce y haber informado a los afectados (sus trabajadores y contactos) conforme a los artículos 13 y 14 RGPD;
- introducir solo los datos necesarios y mantenerlos exactos y actualizados;
- gestionar correctamente los usuarios, roles y permisos de su organización, y dar de baja a quienes dejen de necesitar acceso;
- supervisar el tratamiento y dar al Encargado las instrucciones que considere oportunas por escrito.
10. Responsabilidad
Si el Encargado usa los datos para otra finalidad, los comunica o incumple este contrato, será considerado responsable del tratamiento en lo que se refiere a dicho incumplimiento (art. 28.10 RGPD). En lo demás, se aplica el régimen de responsabilidad de las condiciones de contratación.
Última actualización: 11 de noviembre de 2026.