Contrato de Encargo de Tratamiento

Este documento forma parte integrante de los Términos y Condiciones y da cumplimiento al artículo 28 del RGPD. Se acepta junto con la contratación del servicio, sin necesidad de firma separada, y queda accesible de forma permanente en esta dirección.

1. Partes

• Responsable del tratamiento: el negocio cliente que contrata LocalStats (en adelante, «el Responsable»).
• Encargado del tratamiento: PENDIENTE — Razón social o nombre del autónomo, NIF PENDIENTE — NIF, domicilio en PENDIENTE — Calle, número, CP, ciudad, provincia, contacto contacto@localstats.es (en adelante, «el Encargado»).

2. Objeto, duración y naturaleza del tratamiento

El Encargado tratará datos personales por cuenta del Responsable con la única finalidad de prestarle el servicio LocalStats. El encargo estará vigente mientras lo esté la suscripción.

No se tratan categorías especiales de datos del artículo 9 del RGPD. El Responsable se compromete a no introducir en la plataforma datos de salud, ideología, afiliación sindical, datos biométricos con fines de identificación ni ningún otro dato de esas categorías.

3. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las transferencias internacionales, y no utilizarlos para fines propios ni cederlos a terceros.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido.
• Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en la cláusula 5.
• Asistir al Responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige directamente al Encargado, este se lo comunicará al Responsable a la mayor brevedad.
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y, en su caso, evaluación de impacto y consulta previa.
• Notificar sin dilación indebida, y en todo caso en menos de 48 horas, cualquier violación de la seguridad de la que tenga conocimiento, con la información necesaria para que el Responsable pueda cumplir el artículo 33 del RGPD.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previa notificación con antelación suficiente.
• Llevar por escrito un registro de las categorías de tratamientos efectuados por cuenta del Responsable.

4. Obligaciones del Responsable

• Disponer de una base legítima para el tratamiento e informar debidamente a sus clientes y empleados, incluyendo que utiliza LocalStats como proveedor.
• Velar por el cumplimiento previo y durante todo el tratamiento de la normativa aplicable.
• Supervisar el tratamiento y atender el ejercicio de derechos de los interesados.
• Utilizar el servicio conforme a la ley y, en particular, abstenerse de toda práctica de manipulación de reseñas según la cláusula 3 de los Términos y Condiciones.

5. Medidas de seguridad

• Cifrado de las comunicaciones mediante HTTPS/TLS.
• Contraseñas protegidas con Argon2id; nunca se almacenan ni se muestran en claro.
• Aislamiento lógico estricto entre clientes: cada cuenta accede exclusivamente a sus propios datos, verificado en cada petición del servidor.
• Control de acceso por roles y registro de auditoría de las operaciones sensibles.
• Limitación de intentos de acceso y protección frente a peticiones no autorizadas.
• Copias de seguridad periódicas y procedimiento de restauración.
• Minimización: las direcciones IP asociadas a comentarios de clientes finales se almacenan anonimizadas, y los comentarios se eliminan automáticamente a los 24 meses.

6. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados que figuran en la Política de Privacidad, con quienes el Encargado formaliza obligaciones equivalentes a las aquí previstas.

Cualquier alta o sustitución de subencargados se comunicará con al menos 30 días de antelación, plazo en el que el Responsable podrá oponerse motivadamente y, en tal caso, resolver el contrato sin penalización.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Si algún subencargado tratase datos fuera del Espacio Económico Europeo, la transferencia se amparará en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en otra garantía adecuada del capítulo V del RGPD.

8. Devolución y supresión al finalizar

Finalizada la prestación, el Encargado, a elección del Responsable, devolverá o suprimirá los datos personales. A tal efecto:

• El Responsable puede exportar todos sus datos en cualquier momento desde el panel, incluida la etapa previa a la baja.
• Tras la baja, los datos se conservarán 30 días para permitir su recuperación y, transcurrido ese plazo, se eliminarán de forma segura, incluidas las copias de seguridad conforme a su ciclo de rotación.
• Se exceptúan los datos que deban conservarse por obligación legal, debidamente bloqueados durante el plazo de prescripción de las correspondientes responsabilidades.

9. Responsabilidad

Cada parte responde del incumplimiento de las obligaciones que le correspondan conforme al RGPD y a este contrato. La limitación de responsabilidad de los Términos y Condiciones no resulta aplicable a las sanciones impuestas por autoridades de control que traigan causa del incumplimiento imputable a una de las partes.

10. Legislación aplicable

Este encargo se rige por el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y de la Unión Europea aplicable en materia de protección de datos.

Última actualización: 24 de julio de 2026