Acuerdo de encargo del tratamiento

1. Partes

Responsable del tratamiento: La asesoría, gestoría o despacho que ha contratado Docket, identificada por los datos facilitados al contratar (en adelante, «la asesoría» o «el responsable»).
Encargado del tratamiento: Limbo, SLU, Carretera de la Rabassa, Edifici Terres de Cibós, bloc B, 1r 1a, AD600 Sant Julià de Lòria, Principat d'Andorra, NRT L-718107-N, titular de Docket (en adelante, «Docket» o «el encargado»). Contacto: hola@limbo.ad.

Normativa aplicable: el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 cuando el responsable esté establecido en España o trate datos de residentes en la Unión Europea; la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (LQPD) y el Decret 391/2022 cuando esté establecido en Andorra. Donde ambas coincidan, se cita el RGPD por brevedad; el artículo 31 de la LQPD contiene las mismas obligaciones para el encargado que el artículo 28 del RGPD.

2. Objeto, naturaleza, finalidad y duración del tratamiento

Objeto: La prestación del servicio Docket: gestión de asuntos, clientes y documentación de la asesoría, con rutas de trámites automatizadas, formularios para clientes finales, lectura automática de documentos, generación de impresos, avisos y envío de comunicaciones por correo electrónico en nombre de la asesoría.
Naturaleza: Recogida (a través de la aplicación y de los formularios que la asesoría envía a sus clientes), registro, estructuración, conservación, extracción (lectura automática de documentos), consulta, comunicación por transmisión (envíos que la asesoría ordena), y supresión o devolución.
Finalidad: Exclusivamente la prestación del servicio a la asesoría, conforme a sus instrucciones. Docket no trata los datos para ningún fin propio.
Duración: La del contrato de servicio. A su fin, se aplica la cláusula 9 (devolución y supresión).

3. Tipos de datos y categorías de interesados

Interesados: Los clientes de la asesoría (personas físicas, y representantes, socios, administradores o contactos de las personas jurídicas), sus familiares o personas vinculadas cuando un trámite lo requiera, terceros que intervienen en un trámite (contrapartes, notarios, contactos en bancos u organismos) y los propios usuarios de la asesoría.
Datos: Identificativos y de contacto; documentos de identidad y de residencia (DNI, NIE, pasaporte, permisos), con los datos que contienen; datos del trámite (situación familiar, económica, patrimonial, laboral, societaria, inmobiliaria); documentos aportados o generados en el expediente; datos de las comunicaciones; datos de la conexión de los clientes finales a los formularios (IP, navegador, fecha y hora, aceptaciones).
Categorías especiales: No se prevén. Si un trámite exige tratar alguna (por ejemplo, datos de salud para una prestación), la asesoría lo determina bajo su responsabilidad y garantiza la base jurídica del artículo 9.2 RGPD; Docket aplica a esos datos las mismas medidas de seguridad.

4. Obligaciones del encargado

Docket se obliga a (art. 28.3 RGPD; art. 31.4 LQPD):

Tratar los datos solo siguiendo las instrucciones documentadas de la asesoría [28.3.a], que son las contenidas en este acuerdo, en las condiciones generales y las que la asesoría dé a través de las funciones de la aplicación (configurar rutas, enviar formularios, ordenar envíos, conectar su buzón, borrar). Si Docket considera que una instrucción infringe la normativa, informará de inmediato a la asesoría. Solo tratará los datos fuera de esas instrucciones cuando lo exija el Derecho de la Unión, de un Estado miembro o de Andorra, y en ese caso informará a la asesoría antes, salvo que la ley lo prohíba.
No transferir datos a un tercer país sin las garantías de la cláusula 7 [28.3.a].
Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad [28.3.b], con obligaciones de confidencialidad en sus contratos y acceso limitado a quien lo necesite para prestar el servicio. Docket accede al contenido de los datos de una asesoría solo para operar el servicio, resolver incidencias o atender una solicitud de soporte de la propia asesoría.
Aplicar las medidas de seguridad del artículo 32 RGPD [28.3.c] descritas en el anexo de medidas (cláusula 11) y en la página de seguridad, y mantenerlas actualizadas conforme al estado de la técnica.
Respetar las condiciones de subcontratación de la cláusula 6 [28.3.d].
Asistir a la asesoría para que pueda responder a las solicitudes de ejercicio de derechos de los interesados [28.3.e]: cuando un interesado se dirija a Docket, este trasladará la solicitud a la asesoría sin dilación y en un máximo de tres días laborables, y facilitará las funciones de la aplicación (consulta, exportación, rectificación y supresión de fichas y documentos) para atenderla.
Ayudar a la asesoría a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (artículos 32 a 36 RGPD) [28.3.f], facilitando la información de la que disponga como encargado.
Suprimir o devolver los datos al finalizar la prestación conforme a la cláusula 9 [28.3.g].
Poner a disposición de la asesoría toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a las auditorías conforme a la cláusula 10 [28.3.h].

Además, Docket llevará un registro de las categorías de actividades de tratamiento efectuadas por cuenta de la asesoría (artículo 30.2 RGPD; artículo 32 LQPD) y designará delegado de protección de datos si llega a estar obligado.

5. Obligaciones del responsable

La asesoría, como responsable:

Garantiza que dispone de base jurídica para tratar los datos que introduce en la aplicación y que ha cumplido su deber de información frente a los interesados. Acepta que, para los clientes finales que acceden a un formulario, Docket muestre en su nombre la información sobre protección de datos del portal —que identifica a la asesoría como responsable y a Docket como encargado— y se compromete a completar esa información con sus propios datos identificativos y de contacto cuando un interesado lo solicite (artículo 15.8 del Decret 391/2022: el encargado que recoge datos cumple el deber de informar en nombre del responsable en la forma y momento acordados).
Da a Docket únicamente instrucciones lícitas y documentadas, a través de este acuerdo y de la aplicación.
Realiza, cuando proceda, la evaluación de impacto y la consulta previa, y decide qué datos son necesarios para cada trámite (minimización).
Configura y revisa los permisos de sus usuarios, custodia sus credenciales, y revisa los resultados de la lectura automática de documentos antes de usarlos.
Cumple sus propias obligaciones profesionales (secreto profesional, prevención del blanqueo de capitales, conservación documental) y los plazos de conservación que le apliquen, ordenando a Docket la supresión cuando corresponda.

6. Subencargados

La asesoría autoriza de forma general a Docket a recurrir a los subencargados que figuran en la lista de subencargados para prestar el servicio (art. 28.2 RGPD; art. 31.3 LQPD). Esa lista indica, para cada uno, el servicio que presta, su ubicación y el mecanismo de transferencia si está fuera del Espacio Económico Europeo y de Andorra.

Docket informará a la asesoría de cualquier cambio en la lista (incorporación o sustitución de un subencargado) con al menos 30 días de antelación, por correo electrónico al administrador de la asesoría, y actualizará la página. Durante ese plazo la asesoría puede oponerse por motivos razonables relacionados con la protección de datos; si la oposición no puede resolverse, la asesoría podrá resolver el contrato sin penalización antes de que el cambio surta efecto, con devolución de sus datos conforme a la cláusula 9.

Docket impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este acuerdo, en particular las garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, y sigue siendo plenamente responsable ante la asesoría del cumplimiento de las obligaciones del subencargado (art. 28.4 RGPD; art. 31.5 LQPD).

Los sistemas propios de la asesoría no son subencargados de Docket. Si la asesoría conecta su cuenta de Microsoft 365 para que Docket guarde una copia de los archivos en su OneDrive, esa copia se escribe en un sistema que la asesoría contrata y controla por su cuenta: Microsoft actúa allí como proveedor de la asesoría, bajo el contrato que ella tenga con Microsoft, y Docket solo ejecuta la instrucción de copiar. La asesoría puede desconectarlo cuando quiera desde Ajustes; lo ya copiado queda en su OneDrive y es la asesoría quien decide qué hacer con ello.

7. Transferencias internacionales

Docket está establecido en Andorra, que cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2010/625/UE, confirmada en 2024), por lo que la transferencia de datos desde una asesoría de la Unión Europea a Docket no requiere garantías adicionales. La base de datos y los ficheros se alojan en la Unión Europea (Irlanda).

Cuando un subencargado esté en un tercer país sin decisión de adecuación (Estados Unidos), la transferencia se ampara en su certificación bajo el EU-US Data Privacy Framework o en las cláusulas contractuales tipo de la Decisión (UE) 2021/914 de la Comisión, con las medidas complementarias que resulten de la evaluación de la transferencia; la LQPD reconoce las decisiones de adecuación de la Comisión (artículo 43). Docket facilitará a la asesoría, a petición, copia o resumen de esas garantías.

8. Violaciones de la seguridad

Docket notificará a la asesoría, sin dilación indebida y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales que trate por su cuenta, por correo electrónico al administrador de la asesoría, con al menos: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas, y un punto de contacto. Si no es posible dar toda la información a la vez, se facilitará de forma gradual.

Corresponde a la asesoría, como responsable, decidir si notifica a la autoridad de control (72 horas: artículo 33 RGPD; artículo 36 LQPD) y si comunica a los interesados; Docket le prestará la asistencia necesaria y documentará el incidente.

9. Devolución y supresión al finalizar el servicio

Al terminar el contrato de servicio, la asesoría elige entre la devolución y la supresión de los datos, con este calendario:

Durante los 30 días siguientes al fin del contrato, la asesoría puede descargar sus documentos desde la aplicación o pedir a Docket una exportación completa de sus datos en formato estructurado y de uso común.
Transcurrido ese plazo, y como máximo a los 90 días del fin del contrato, Docket suprime de forma definitiva todos los datos personales de sus sistemas activos, y de sus copias de seguridad conforme a su ciclo de rotación, sin conservar copia alguna.
Docket puede conservar, bloqueados, los datos estrictamente necesarios para cumplir una obligación legal propia o atender responsabilidades derivadas del tratamiento, durante el plazo de prescripción correspondiente, sin tratarlos para ningún otro fin.
A petición de la asesoría, Docket certificará por escrito la supresión.

Mientras el contrato esté vigente, la asesoría puede suprimir en cualquier momento fichas, documentos y expedientes desde la aplicación; la supresión se propaga a las copias de seguridad en su ciclo de rotación.

10. Información y auditorías

Docket pone a disposición de la asesoría la documentación que acredita el cumplimiento de este acuerdo: este texto, la lista de subencargados, la descripción de medidas de seguridad, el registro de actividades de tratamiento como encargado y, cuando existan, los informes de auditoría o certificaciones de sus proveedores de infraestructura.

La asesoría, o un auditor independiente designado por ella y sujeto a confidencialidad, podrá auditar el cumplimiento de este acuerdo una vez al año, o adicionalmente tras una violación de la seguridad o a requerimiento de una autoridad de control, con un preaviso de 30 días, en horario laboral, sin perturbar el servicio ni acceder a datos de otras asesorías, y asumiendo sus propios costes. Docket colaborará y responderá por escrito a las cuestiones planteadas.

11. Anexo: medidas técnicas y organizativas

Medidas aplicadas por Docket, sin perjuicio de su actualización conforme al estado de la técnica (el detalle vivo está en la página de seguridad):

Cifrado: TLS en todas las comunicaciones; cifrado en reposo de la base de datos, los ficheros y las copias de seguridad.
Aislamiento entre asesorías: cada fila de datos lleva la asesoría a la que pertenece y las políticas de seguridad a nivel de fila de la base de datos impiden que una asesoría lea o escriba datos de otra, también desde el almacenamiento de ficheros.
Control de acceso: autenticación con contraseña cifrada de forma irreversible, cambio obligatorio de la contraseña inicial, políticas de permisos por función (ninguno, lectura, escritura) definidas por cada asesoría, y accesos a los formularios de clientes finales protegidos por enlace personal caducable, clave de acceso de un solo envío, bloqueo por intentos y sesión de duración limitada.
Trazabilidad: registro de la actividad relevante en la aplicación (creación y cambios en asuntos, documentos, permisos, envíos) y registros de acceso en la infraestructura.
Disponibilidad y recuperación: infraestructura gestionada con redundancia, copias de seguridad diarias automáticas de la base de datos con retención de al menos siete días, y procedimiento de restauración probado.
Minimización y seudonimización: los proveedores de terceros reciben solo lo necesario para su función (por ejemplo, el documento que hay que leer, no el expediente); las claves de acceso se almacenan solo como hash.
Proveedores: selección de subencargados con garantías contractuales, ubicación en la Unión Europea siempre que la función lo permita, y revisión periódica.
Organización: acceso del personal de Docket limitado por necesidad, compromisos de confidencialidad, formación en protección de datos y en el uso de sistemas de inteligencia artificial, y procedimiento de gestión de incidentes con los plazos de la cláusula 8.
Desarrollo seguro: revisión de código, pruebas automatizadas de las reglas de acceso, separación de entornos de prueba y producción, y gestión de secretos fuera del código.

12. Disposiciones finales

Cada parte responde de los daños que cause por incumplir la normativa de protección de datos o este acuerdo, conforme al artículo 82 RGPD: Docket, de los derivados de incumplir las obligaciones que la normativa impone específicamente a los encargados o de actuar al margen de las instrucciones de la asesoría; la asesoría, de los derivados de la licitud del tratamiento, del deber de información y de sus instrucciones. Las limitaciones de responsabilidad de las condiciones generales se aplican entre las partes en la medida en que la ley lo permita.

Este acuerdo prevalece sobre las condiciones generales en lo que se refiere al tratamiento de datos personales. Se rige por la normativa de protección de datos aplicable a cada parte y, en lo demás, por la ley y la jurisdicción de las condiciones generales. Si una autoridad de control o un cambio normativo exigiera modificarlo, Docket publicará la nueva versión y avisará a la asesoría con la antelación prevista en las condiciones generales.

Versión de 2026-09-09. Consultas: hola@limbo.ad.

Acuerdo de encargo del tratamiento de datos