Contrato de Encargo del Tratamiento
BORRADOR. Texto de trabajo. El contrato vinculante es el que el administrador de la Organización firma en la plataforma; esta página publica su contenido para consulta.
1. Partes
Responsable: la Organización. Encargado: ID MOVIL LLC.
2. Objeto y duración
El encargado obtiene y entrega, por cuenta del responsable, los documentos que los titulares autoricen, durante la vigencia de la cuenta y hasta la eliminación de los datos tras su cierre.
3. Obligaciones del encargado
Tratar los datos solo según instrucciones documentadas; custodiar los certificados cifrados con registro de cada uso; eliminar los documentos entregados a los treinta días; asistir al responsable en el ejercicio de derechos; notificar las brechas de seguridad sin dilación.
4. Subencargados
El Responsable autoriza de forma general a los subencargados del Anexo II. El Encargado informa de altas y sustituciones publicando la versión actualizada de este anexo.
Anexo II · Subencargados autorizados
Aprobado el 2026-09-28. Refleja lo que el código llama hoy y debe ser idéntico a la lista publicada en el contrato firmado por cada Organización.
| Subencargado | Finalidad | Datos a los que accede | Ubicación del tratamiento | Mecanismo de transferencia |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (AWS) | Infraestructura: servidores, base de datos (RDS), almacenamiento de documentos y certificados (S3), gestión de claves (KMS), extracción estructurada de datos de documentos (Bedrock, modelos Claude) | Todos los datos tratados por cuenta del Responsable, incluidos los documentos obtenidos y su contenido | Unión Europea: región eu-south-2 (España); la extracción usa el perfil de inferencia paneuropeo de Bedrock, que no sale de la UE | No hay transferencia internacional; contrato AWS DPA con cláusulas contractuales tipo como salvaguarda adicional |
| Proveedor de correo transaccional (SMTP) | Envío de invitaciones, avisos y notificaciones a titulares y usuarios | Nombre, dirección de correo, contenido de los avisos (sin documentos ni contraseñas) | [PENDIENTE: proveedor y región] | [PENDIENTE] |
No son subencargados a los efectos de la cláusula 7.5:
- Stripe Payments Europe, Ltd. (Irlanda): pasarela de pago de los créditos que adquiere la Organización. Trata los datos de pago de la propia Organización como responsable independiente y no accede a datos de los titulares.
- Google LLC (Google Sign-In): proveedor de identidad usado únicamente en el acceso del personal de la Organización.
- Viafirma (Viavansi Corporación, S.L.): prestador cualificado de servicios de confianza que emite los sellos de tiempo de las firmas; recibe únicamente un resumen criptográfico del documento, nunca su contenido.
- Las administraciones públicas ante las que se realizan las actuaciones.
- El modelo de lenguaje de escritorio que el Encargado usa para pruebas de desarrollo no procesa datos reales y no forma parte del servicio.
Colaboradores externos con acceso al entorno productivo: [PENDIENTE: ninguno o relación nominal].
5. Fin del encargo
Al cierre de la cuenta, el responsable puede solicitar la exportación de sus expedientes antes de la eliminación. Los registros de auditoría y los movimientos de crédito se conservan durante el plazo legal.