Saltar a contenido

Contrato de encargo del tratamiento (art. 28 RGPD)

Versión dpa-direct-v2026-10-30 · vigente desde el 2026-10-30. La versión en español es la fuente jurídica. Aplica a los clientes directos de pago; los participantes de la beta se rigen por el contrato de encargo de la beta, y la cadena MSSP no está cubierta (cláusula 14).

Partes

  • Responsable (el «Cliente»): razón social, CIF, domicilio y representante que figuren en el pedido o en la firma de este contrato.
  • Encargado («Hodeitek»): HODEITEK SL, CIF B56478027, Markole, 20550 Aretxabaleta (Gipuzkoa), España. Contacto de privacidad: privacy@hodeitek.com. Representante: el administrador de Hodeitek SL.

1. Objeto y forma (art. 28(3), párrafo primero; art. 28(9))

1.1 El Cliente encarga a Hodeitek el tratamiento de los datos personales que el Cliente introduce o genera en la plataforma HodeiShield (app.hodeishield.com) para prestarle el servicio contratado.

1.2 Este contrato vincula a Hodeitek respecto del Cliente, fija el objeto, la duración, la naturaleza y finalidad, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del Cliente (art. 28(3)), y consta por escrito, en formato electrónico (art. 28(9)).

1.3 En materia de protección de datos prevalece sobre las condiciones del servicio y sobre cualquier otro documento comercial; en lo demás rigen éstos.

1.4 Si el Cliente participó en la beta, este contrato sustituye al contrato de encargo de la beta desde la fecha de alta del plan de pago indicada en el pedido y se aplica a todos los datos que sigan en el servicio. Los datos de la beta que no hayan pasado a pago se rigen por ese contrato.

2. Funciones de las partes

2.1 El Cliente es responsable del tratamiento de los datos descritos en el Anexo A; Hodeitek es encargado.

2.2 El Cliente garantiza que tiene base jurídica para cargar esos datos y que ha informado a los interesados cuando proceda (arts. 6, 13 y 14 RGPD).

2.3 Quedan fuera de este contrato los tratamientos de los que Hodeitek decide fines y medios como responsable: datos de las cuentas de usuario, autenticación, registros de acceso y de seguridad y facturación. Se rigen por el aviso de privacidad de la consola (app.hodeishield.com/privacy), que el Cliente se compromete a trasladar a sus usuarios cuando proceda.

3. Descripción del tratamiento

3.1 Objeto y naturaleza: alojamiento, almacenamiento, organización, consulta, análisis automatizado y supresión de los datos para prestar las funciones contratadas.

3.2 Finalidad: prestar el servicio al Cliente. Hodeitek no usa los datos para otros fines propios.

3.3 Tipos de datos y categorías de interesados: Anexo A.

3.4 Categorías especiales (art. 9): el Cliente no debe cargarlas. Si una evidencia o documento las contuviera, el Cliente lo comunica antes a Hodeitek, que valora si pueden tratarse con las medidas del Anexo C.

3.5 Duración: la del contrato de servicio de pago del Cliente, más el periodo de devolución y supresión de la cláusula 11.

4. Art. 28(3)(a): instrucciones documentadas

4.1 Hodeitek trata los datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a transferencias a un tercer país u organización internacional, salvo que el Derecho de la Unión o del Estado miembro aplicable a Hodeitek le obligue a otra cosa; en ese caso informará al Cliente de esa exigencia legal antes del tratamiento, salvo que el Derecho lo prohíba por razones importantes de interés público.

4.2 Instrucciones del Cliente: este contrato, la configuración que el Cliente elige en la plataforma (por ejemplo, activar o desactivar HodeiAI o el plazo de inactividad de cuentas) y las instrucciones escritas adicionales que envíe a privacy@hodeitek.com y Hodeitek confirme. En el servicio de pago, si el administrador del Cliente nunca decidió, HodeiAI está apagado; mantenerlo encendido es una instrucción documentada del Cliente.

4.3 Si Hodeitek considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Cliente.

5. Art. 28(3)(b): confidencialidad

5.1 Hodeitek garantiza que las personas autorizadas a tratar los datos se han comprometido por escrito a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad de naturaleza estatutaria.

5.2 El acceso de personal de Hodeitek al contenido del Cliente se limita a lo necesario para prestar el servicio.

6. Transferencias internacionales (art. 28(3)(a); arts. 44 a 46 RGPD)

6.1 El Cliente autoriza, como instrucción documentada, las transferencias que resultan de los subencargados del Anexo B, en las condiciones de esta cláusula.

6.2 La ubicación y la garantía de transferencia de cada proveedor figuran en la página de subencargados, que es la lista autorizada (Anexo B). Donde esa página dice «en verificación» o «por confirmar», Hodeitek no afirma ninguna región. Cloudflare, Inc. (EE. UU.) interviene en el tránsito de las peticiones al amparo del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) y, si dejara de aplicarse, de las cláusulas contractuales tipo de la Comisión (Decisión de Ejecución (UE) 2021/914; art. 46(2)(c) RGPD).

6.3 Si algún subencargado accediera a datos desde fuera del Espacio Económico Europeo, la transferencia se ampara en la decisión de adecuación (Decisión (UE) 2023/1795) si el destinatario está adherido al Marco, o en las cláusulas tipo (art. 46(2)(c)). Hodeitek facilitará una copia de esas garantías si el Cliente la pide.

6.4 Hodeitek informará al Cliente de cualquier cambio de región que implique una transferencia nueva, por el procedimiento de la cláusula 9.

7. Art. 28(3)(c): medidas de seguridad (art. 32 RGPD)

7.1 Hodeitek aplica las medidas técnicas y organizativas del Anexo C, adecuadas al riesgo (art. 32 RGPD), y las mantiene mientras trate los datos.

7.2 Hodeitek puede actualizarlas siempre que no reduzca el nivel de protección global.

8. Art. 28(3)(f): asistencia en los arts. 32 a 36 y violaciones de seguridad

8.1 Hodeitek asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de violaciones a la autoridad y a los interesados, evaluación de impacto y consulta previa).

8.2 Violaciones (art. 33(2)): Hodeitek notificará al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, toda violación de la seguridad que afecte a los datos del Cliente, al correo de contacto del Cliente, con la información de que disponga (naturaleza, categorías y número aproximado de interesados y registros, persona de contacto de Hodeitek, consecuencias probables, medidas adoptadas o propuestas) y completándola por fases cuando no pueda darla toda a la vez. Las 72 horas del art. 33(1) son del responsable, que decide si notifica a la autoridad y a los interesados (arts. 33 y 34).

8.3 Hodeitek documenta cada violación (hechos, efectos y medidas correctoras) con su procedimiento escrito de una página: detectar, clasificar, avisar al responsable en 48 horas y documentar. Decide el administrador de Hodeitek SL. Hodeitek facilita al Cliente, si lo pide a privacy@hodeitek.com, un resumen del procedimiento vigente.

9. Art. 28(3)(d), 28(2) y 28(4): subencargados

9.1 Autorización general. El Cliente autoriza con carácter general los subencargados del Anexo B (art. 28(2)).

9.2 Preaviso y oposición. Hodeitek informará al Cliente por escrito de cualquier cambio previsto (alta o sustitución) con al menos 15 días de antelación, por correo al contacto del contrato y en la página pública de subencargados, indicando quién es, qué servicio presta, dónde trata los datos y con qué garantía de transferencia, para que pueda oponerse por motivos razonables de protección de datos. Si Hodeitek no puede ofrecer una alternativa razonable, el Cliente puede resolver el servicio afectado, y se aplica la cláusula 11 con reembolso proporcional de lo pagado por adelantado por el periodo no disfrutado del servicio afectado. La actualización del Anexo B por este procedimiento no es una modificación del contrato.

9.3 Mismas obligaciones (art. 28(4)). Hodeitek impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato, en particular garantías suficientes de medidas técnicas y organizativas adecuadas. Si el subencargado incumple, Hodeitek sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de aquél (art. 28(4), última frase).

10. Art. 28(3)(e): asistencia en el ejercicio de derechos de los interesados

10.1 Hodeitek asistirá al Cliente, con medidas técnicas y organizativas apropiadas y en lo posible, para que pueda atender las solicitudes del capítulo III del RGPD (arts. 12 a 22).

10.2 Si un interesado se dirige a Hodeitek por datos que el Cliente ha cargado, Hodeitek se las hará llegar al Cliente sin demora y como máximo en 5 días laborables, y no las responderá por su cuenta salvo instrucción del Cliente.

10.3 Hodeitek conserva 3 años, desde que se resuelve, el registro de las solicitudes de derechos que reciba o traslade, bloqueado pasado el primer año y destruido al terminar los 3 años (así lo anuncia el aviso de privacidad). El registro de solicitudes del Cliente dentro de su inquilino es suyo.

11. Art. 28(3)(g): supresión o devolución al terminar

11.1 Al terminar la prestación, y según elija el Cliente, Hodeitek suprimirá o devolverá todos los datos personales y suprimirá las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos.

11.2 Plazos (iguales para todo el contrato). El Cliente dispone de 30 días desde el fin del contrato para pedir por escrito a privacy@hodeitek.com la devolución o la supresión. Hodeitek suprime los datos de los sistemas activos en un máximo de 30 días desde esa petición; si el Cliente no pide nada, Hodeitek inicia la supresión al terminar esos 30 días y la completa en los 30 días siguientes. Durante la beta la consola no suprime un inquilino por sí sola: Hodeitek lo suprime a mano, dentro de esos plazos, con su procedimiento interno de baja de inquilino. Se suprimen todos los datos del Cliente y del servicio, sin excepción por tipo de dato, salvo lo que exija conservar el Derecho de la Unión o de un Estado miembro (cláusula 11.6); de ellos solo permanecen, y de forma transitoria, las copias de seguridad hasta que caducan (cláusula 11.4). Los registros de facturación de la suscripción (solo si se contrata desde la consola) no son datos del Cliente ni datos del servicio: Hodeitek los trata como responsable del tratamiento, por una obligación legal (art. 6.1.c RGPD), la de conservar la documentación contable durante seis años (art. 30 del Código de Comercio). Al terminar el contrato y suprimir los datos del Cliente, Hodeitek desvincula esos registros del inquilino y los conserva 6 años desde el cierre del ejercicio de su último documento; después se borran automáticamente. No contienen datos del servicio (proveedores, incidentes, cuestionarios, evidencias ni usuarios de la cuenta) y solo se usan para cumplir esa obligación.

11.3 Forma de la devolución. En formato estructurado y de uso común, JSON o CSV. Los administradores del Cliente obtienen desde la consola la exportación de datos del inquilino, un único fichero JSON con todas las tablas que pertenecen a su inquilino: proveedores y sus contactos, cuestionarios y respuestas, evidencias y documentos (sus datos, no los ficheros), incidentes con su historial, sus plazos, los informes generados y los envíos registrados, riesgos, políticas, observaciones del agente de endpoint, registro de auditoría del inquilino y conversaciones de HodeiAI. No incluye las columnas que pueden guardar credenciales, los ficheros subidos, los usuarios de la cuenta, el texto de los mensajes de HodeiAI ni las identidades y el inventario de los equipos del agente de endpoint, y lleva como máximo 10.000 filas por tabla y 100.000 en total (si se corta, el propio fichero lo indica). Lo que la exportación no cubra lo entrega Hodeitek a mano, en JSON o CSV, con su procedimiento interno de baja de inquilino, a petición del Cliente y en todo caso dentro del plazo de la cláusula 11.2. La exportación lleva también las suscripciones de facturación del inquilino; tras la terminación esos registros no se suprimen con el inquilino, sino que se desvinculan y conservan según la cláusula 11.2.

11.4 Copias de seguridad. Los datos en copias de seguridad no se restauran ni se usan y se eliminan cuando caducan esas copias: como máximo 2 días en la base de datos gestionada y 17 días en las copias de n8n, contados desde la supresión.

11.5 Certificado. A petición del Cliente, Hodeitek le confirma por escrito la supresión una vez producida.

11.6 Conservación legal y bloqueo. Si una norma de la Unión o de un Estado miembro exige conservar datos, Hodeitek los conserva bloqueados y sólo para esa finalidad. Además, Hodeitek puede conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el Cliente (art. 33.4 LOPDGDD; el responsable decide si se destruyen, devuelven o entregan a un nuevo encargado, art. 33.3 LOPDGDD).

11.7 Plazos por defecto durante el servicio, modificables por instrucción del Cliente: conversaciones con HodeiAI, 90 días; registro de auditoría, 365 días en base de datos y después archivo inmutable. Datos del agente de endpoint: observaciones, 365 días; estado de control, mientras dure el servicio; inventario, vaciado al revocar el agente; revocación automática tras 90 días sin comunicación; identidades revocadas, 365 días; decisiones de actualización, 90 días. Incidentes del registro de incidentes, durante la vigencia del encargo: 5 años desde su cierre; después se borran automáticamente junto con su historial, sus plazos, sus informes y los envíos registrados, y cada borrado deja un asiento en el registro de auditoría. Durante la vigencia del encargo, un incidente que no está cerrado no se borra, sea cual sea su antigüedad, y la consola no ofrece un borrado manual de incidentes. Ese plazo de 5 años no se aplica tras la terminación: al terminar el encargo, los incidentes se suprimen como el resto de los datos del Cliente, en los plazos de la cláusula 11.2, aunque no hayan pasado 5 años desde su cierre o no estén cerrados, sin ninguna excepción posterior a la terminación. Antes de la terminación, los administradores del Cliente pueden exportarlos con la exportación de datos del inquilino de la consola (JSON) y descargar de cada incidente sus informes para la autoridad; lo que la exportación no cubra se entrega según la cláusula 11.3.

11.8 Registro propio del Cliente de solicitudes de interesados. El registro de las solicitudes de los interesados del Cliente que éste lleva en el módulo de cumplimiento RGPD de la consola se conserva como mínimo 5 años, y es dato del Cliente. El Cliente instruye esta conservación; al terminar el contrato se le entrega y se suprime, salvo que indique otra cosa, en los plazos de la cláusula 11.2 (30 días para pedir la devolución o la supresión; supresión en los 30 días siguientes).

12. Art. 28(3)(h): información y auditorías

12.1 Hodeitek pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Cliente o por otro auditor autorizado por él.

12.2 Primera vía: documentación. Hodeitek aporta primero los certificados vigentes de ISO/IEC 27001 y del Esquema Nacional de Seguridad, categoría MEDIA, de Hodeitek SL, con su alcance, y respuestas razonables a un cuestionario de seguridad. HodeiShield no tiene calificación CPSTIC.

12.3 Modalidades: preaviso de 30 días, una vez al año salvo violación de seguridad o requerimiento de autoridad, confidencialidad del auditor, límite razonable de alcance y sin acceso a datos de otros clientes; cada parte asume sus propios costes, y el Cliente asume los del auditor a partir de la segunda auditoría anual. Una prueba técnica intrusiva exige acuerdo previo por escrito.

13. Responsabilidad, duración y ley aplicable

13.1 Responsabilidad entre las partes. La responsabilidad total de Hodeitek por los daños derivados de este contrato, incluida la protección de datos personales, se limita: (a) mientras el Cliente use la plataforma en la beta gratuita, a los daños directos que el Cliente acredite, como en las condiciones de la beta; y (b) desde el paso a un plan de pago, a los honorarios que el Cliente haya pagado a Hodeitek por la plataforma en los 12 meses anteriores al hecho que dé lugar a la responsabilidad. En ambos casos el límite no se aplica en caso de dolo ni de culpa grave, rige sólo entre las partes y no afecta a los derechos de los interesados frente a cualquiera de ellas conforme al art. 82 RGPD.

13.2 Duración: la del servicio. Sobreviven las cláusulas 5, 10.3, 11 y 13.

13.3 Ley aplicable y jurisdicción. Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Donostia-San Sebastián. Esto no limita las competencias de las autoridades de control.

14. Vía MSSP: no cubierta

Cuando el partner MSSP es el encargado y Hodeitek su subencargado, este contrato no se aplica: esa cadena (art. 28(2) y 28(4) RGPD) tiene su propio anexo.

Anexo A: datos e interesados

Concepto Contenido
Datos del Cliente tratados por cuenta suya Proveedores y sus personas de contacto; evidencias y documentos; cuestionarios y respuestas; incidentes; riesgos; inventario de equipos que envía el agente de endpoint (observaciones, estado de control, inventario, identidades del agente y decisiones de actualización: plazos en la cláusula 11.7); conversaciones con HodeiAI; suscriptores del Trust Center del Cliente.
Interesados Personas de contacto de proveedores; personas que figuran en evidencias, cuestionarios o incidentes; usuarios finales de equipos del inventario; suscriptores del Trust Center.
Categorías especiales Ninguna prevista (cláusula 3.4).
Frecuencia y duración Continua mientras dure el servicio.

Anexo B: subencargados autorizados

La lista autorizada de subencargados es la de la página Subencargados del tratamiento (https://docs.hodeishield.com/es/legal/subprocessors/), en la versión vigente en cada momento. Esa página es la única lista: este contrato no la reproduce, y sus cambios se avisan con el preaviso de la cláusula 9.2. Incluye, entre otros, los subencargados de alojamiento y base de datos (OVHcloud y Aiven, subencargado de OVHcloud), CDN, correo y la página de estado pública (UptimeRobot). Sentry (Functional Software, Inc.) no es subencargado del Cliente: es proveedor de Hodeitek para los informes de error que Hodeitek trata como responsable. Stripe y Holded tratan datos de facturación de Hodeitek como responsable, no contenido cargado por el Cliente (cláusula 2.3). Las fuentes públicas de datos que la plataforma consulta y que sólo reciben dominios, direcciones o identificadores de componentes, nunca datos de usuarios, no son subencargados.

Anexo C: medidas técnicas y organizativas (art. 32 RGPD)

  • Aislamiento de cada organización e inquilino en la base de datos mediante políticas de seguridad a nivel de fila (RLS).
  • Cifrado TLS de todo el tráfico.
  • Contraseñas con Argon2id; segundo factor y llaves de acceso (passkeys) admitidos.
  • Seudonimización de datos personales antes de enviarlos al modelo de IA en asistente, CISO virtual y redacción de políticas.
  • Registro de auditoría de acciones, con retención por defecto de 365 días.
  • Procedimiento de violaciones de seguridad de datos personales (cláusula 8.3).
  • Medidas organizativas: las del sistema de gestión de la seguridad de la información certificado ISO/IEC 27001 de Hodeitek SL.