Contrato de Encargado de Tratamiento

1. Partes y objeto

Este contrato se celebra entre la persona física o jurídica titular de la cuenta, en adelante la Responsable, y PENDIENTE DE COMPLETAR (razón social registrada), en adelante la Encargada.

Este contrato forma parte integrante de los Términos del Servicio y se incorpora a ellos como anexo, de modo que su contenido se presenta junto con el contrato principal y no por remisión a un documento externo.

2. Definiciones

Datos personales

Cualquier dato relativo a una persona física identificada o identificable, conforme al artículo 3 de la Ley 8968.

Tratamiento

Cualquier operación sobre datos personales: recolección, registro, conservación, consulta, modificación, transferencia o supresión.

Persona titular

La persona física a la que se refieren los datos: una persona trabajadora de la finca, un proveedor, un cliente.

Sub-encargado

Tercero contratado por la Encargada que trata datos personales por cuenta de la Responsable.

3. Alcance del tratamiento

La Encargada trata los siguientes datos por cuenta de la Responsable:

El tratamiento se realiza por medios automatizados, durante la vigencia del contrato de servicio y por los plazos de conservación que se indican en la sección 9.

4. Obligaciones de la Encargada

La Encargada se obliga a:

• Tratar los datos únicamente conforme a instrucciones. No utilizará los datos para fines propios, ni para elaborar perfiles, ni para entrenar modelos, ni para ningún fin distinto de prestar el servicio contratado.
• No vender ni ceder los datos. En ningún caso comercializará, difundirá ni distribuirá los datos a terceros.
• Guardar confidencialidad. El deber de secreto subsiste incluso después de terminada la relación contractual, conforme al artículo 11 de la Ley 8968.
• Aplicar medidas de seguridad. Las descritas en el Resumen de Seguridad, que forma parte de este contrato.
• Asistir a la Responsable. Le facilitará los medios técnicos para atender las solicitudes de acceso, rectificación y supresión que reciba de las personas titulares.
• Notificar incidentes. Comunicará sin demora indebida cualquier violación de seguridad que afecte a los datos tratados por cuenta de la Responsable, con la información necesaria para que esta cumpla sus propias obligaciones.
• Devolver o suprimir. Al terminar la relación, procederá conforme a la sección 9.

5. Obligaciones de la Responsable

La Responsable declara y se obliga a:

• Haber informado a las personas titulares, en los términos del artículo 5.1 de la Ley 8968, sobre la existencia de la base de datos, sus finalidades, quiénes pueden consultarla y cómo ejercer sus derechos.
• Haber obtenido el consentimiento expreso cuando la ley lo exija, de forma independiente de cualquier otro documento, y conservar la prueba de haberlo obtenido.
• Registrar únicamente los datos necesarios para las finalidades declaradas, absteniéndose de introducir datos sensibles que no requiera para la gestión de su finca.
• Atender, en su condición de responsable, las solicitudes que le dirijan las personas titulares dentro del plazo de 5 días hábiles del artículo 7 de la Ley 8968.
• Mantener actualizada la lista de personas usuarias con acceso a su organización y revocar el acceso de quienes cesen.

6. Sub-encargados

La Responsable autoriza de forma general a la Encargada a contratar sub-encargados, con sujeción a las siguientes condiciones:

• La lista vigente se publica en la Lista de Sub-encargados y forma parte de este contrato.
• La Encargada impondrá a cada sub-encargado, por escrito, obligaciones de protección de datos no menos exigentes que las de este contrato.
• Toda incorporación o sustitución se notificará con al menos 10 días hábiles de anticipación.
• La Responsable podrá objetar por escrito dentro de los 30 días naturales siguientes a la notificación.
• Si la objeción es razonable y no existe alternativa viable, la Responsable podrá terminar el contrato sin penalidad, con reembolso proporcional de la parte no consumida.

La Encargada responde frente a la Responsable por los actos y omisiones de sus sub-encargados como si fueran propios.

7. Transferencias internacionales

La base de datos principal permanece alojada en Costa Rica. El almacenamiento de archivos y el enrutamiento de red implican transferencia hacia infraestructura de Cloudflare fuera del territorio nacional.

Conforme al Capítulo III de la Ley 8968, esas transferencias se amparan en el consentimiento informado de las personas titulares, que la Responsable se obliga a recabar, y en compromisos contractuales de confidencialidad y seguridad con el sub-encargado.

8. Verificación

La Responsable puede solicitar, una vez al año y con 30 días naturales de preaviso, información razonable para verificar el cumplimiento de este contrato. La Encargada responderá por escrito y podrá satisfacer la solicitud mediante documentación de sus medidas de seguridad.

Si la Responsable requiere una auditoría presencial, deberá acordarse previamente su alcance, fecha y costo, y no podrá comprometer la confidencialidad de los datos de otras personas clientes.

9. Devolución y supresión

Al terminar el contrato de servicio:

• La Responsable conserva acceso de solo lectura y capacidad de exportación durante 30 días naturales.
• Transcurrido ese plazo, la Encargada suprime los datos de los sistemas activos.
• Los respaldos cifrados conservan copias hasta 90 días naturales adicionales, mientras rotan, sin que sean accesibles para uso ordinario.

La Encargada conserva, con posterioridad a la supresión y con la única finalidad de acreditar el cumplimiento de sus obligaciones legales, el registro de aceptación de los documentos contractuales. Ese registro no contiene datos de finca ni de personal.

10. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este contrato le atribuye.

11. Vigencia y ley aplicable

Este contrato entra en vigor con la aceptación de los Términos del Servicio y permanece vigente mientras la Encargada trate datos por cuenta de la Responsable.

Se rige por la legislación de la República de Costa Rica, en particular la Ley 8968 y su Reglamento, y se somete a la jurisdicción de los tribunales costarricenses.

Para cualquier comunicación relativa a este contrato: [email protected].