Acuerdo de Encargado del Tratamiento (DPA)

Última actualización: 2 de octubre de 2026

1. Objeto

1.1. El presente Acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable como consecuencia de la prestación del Servicio, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

1.2. El detalle del tratamiento (finalidad, naturaleza, tipos de datos y categorías de interesados) figura en el Anexo I.

1.3. En lo no previsto en este Acuerdo, se aplicará el Contrato Principal. En caso de contradicción en materia de protección de datos, prevalecerá este Acuerdo.

2. Instrucciones del Responsable

2.1. El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que esté obligado a otra cosa por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará al Responsable de dicha exigencia antes del tratamiento, salvo prohibición legal.

2.2. La contratación del Servicio y la configuración que el Responsable realice en la Plataforma constituyen instrucciones documentadas. El Encargado informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos.

2.3. El Encargado no utilizará los datos para fines propios ni distintos de la prestación del Servicio. En particular, no utilizará los datos del Responsable para entrenar, reentrenar o ajustar modelos de inteligencia artificial.

3. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos conforme a las instrucciones del Responsable y a la normativa aplicable.

   2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad y han recibido la formación necesaria.

   3. Aplicar las medidas de seguridad técnicas y organizativas exigidas por el artículo 32.4 del RGPD y que se establecen en la cláusula 4.

   4. Respetar las condiciones para recurrir a otro encargado (subencargado) conforme a la cláusula 6.

   5. Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, en la respuesta a las solicitudes de ejercicio de derechos de los interesados conforme a la cláusula 7.

   6. Asistir al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas), teniendo en cuenta la naturaleza del tratamiento y la información disponible.

   7. Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 8.

   8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de sus obligaciones y permitir y contribuir a auditorías conforme a la cláusula 9.

   9. Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable.

   10. Designar, cuando proceda, un delegado de protección de datos y comunicar sus datos de contacto al Responsable.

4. Seguridad del tratamiento

4.1. El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD, incluyendo, según proceda: el cifrado de los datos, la seudonimización cuando resulte adecuada, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, la capacidad de restaurar el acceso a los datos en caso de incidente y procesos de verificación periódica de la eficacia de las medidas.

4.2. El detalle de las medidas de seguridad implementadas se describe en el Anexo III (o, en su caso, en la documentación de seguridad facilitada por el Encargado).

5. Notificación de violaciones de seguridad

5.1. El Encargado notificará al Responsable, sin dilación indebida y a más tardar en un plazo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales tratados por cuenta de aquel.

5.2. La notificación incluirá, en la medida en que se disponga de ella: la naturaleza de la violación y, cuando sea posible, las categorías y número aproximado de interesados y registros afectados; los datos de contacto del punto de información; las consecuencias probables; y las medidas adoptadas o propuestas. Si la información no puede facilitarse simultáneamente, se aportará de forma gradual sin dilación indebida.

6. Subencargados

6.1. El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados relacionados en la Lista de Subencargados publicada en www.arcilla.ai/legal, que forma parte de este Acuerdo.

6.2. El Encargado podrá incorporar o sustituir subencargados, informando previamente al Responsable mediante actualización de la Lista con notificación con una antelación razonable, de forma que el Responsable pueda oponerse por motivos justificados relacionados con la protección de datos. En caso de oposición fundada no resuelta, el Responsable podrá resolver el contrato.

6.3. El Encargado impondrá a todo subencargado, mediante contrato, las mismas obligaciones de protección de datos previstas en este Acuerdo, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento por aquel.

7. Derechos de los interesados

El Encargado asistirá al Responsable en la atención de las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y de no ser objeto de decisiones individuales automatizadas. A tal fin, dará traslado al Responsable de cualquier solicitud que reciba directamente, sin dilación indebida y a más tardar en tres días naturales desde su recepción, sin responder por sí mismo salvo instrucción del Responsable.

8. Devolución y supresión de los datos

8.1. Tras la terminación del Contrato Principal, el Responsable dispondrá de un plazo de treinta 30 días naturales para exportar o solicitar una copia del Contenido del Cliente en un formato estructurado y de uso común.

8.2. Transcurrido dicho plazo, el Encargado procederá a la supresión segura del Contenido del Cliente en sus sistemas de producción. Con independencia de lo anterior, el Encargado suprimirá los datos en cualquier momento cuando el Responsable lo solicite de forma expresa, incluido el ejercicio del derecho previsto en el artículo 17 del RGPD.

8.3. El Contrato Principal se entenderá terminado cuando haya transcurrido 1 año de inactividad ininterrumpida en todas las cuentas de la organización.

8.4. No obstante, el Encargado podrá conservar una copia bloqueada de los datos durante los plazos de prescripción legalmente aplicables, con la única finalidad de atender posibles responsabilidades, de conformidad con el artículo 32 de la LOPDGDD.

9. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo. El Responsable podrá realizar una auditoría al año, preavisando con dos meses de antelación, dentro de un alcance razonable y respetando la confidencialidad y los secretos empresariales conforme a la Ley 1/2019, de 20 de febrero, de Secretos Empresariales.

10. Transferencias internacionales

Cuando el tratamiento implique transferencias de datos fuera del Espacio Económico Europeo, estas se realizarán amparadas en un mecanismo válido conforme al Capítulo V del RGPD (decisión de adecuación, Cláusulas Contractuales Tipo u otras garantías adecuadas), según se indica en la Lista de Subencargados.

11. Cesión y sucesión

El presente Acuerdo se cederá conjuntamente con el Contrato Principal. En caso de fusión, adquisición, reorganización societaria o venta de activos o de la línea de negocio del Encargado, el cesionario asumirá por escrito las mismas obligaciones del Encargado del Tratamiento conforme al artículo 28 del RGPD. El Responsable será informado de la cesión con antelación razonable y podrá oponerse únicamente por motivos justificados relacionados con la protección de datos; en caso de oposición fundada no resuelta, el Responsable podrá resolver el contrato.

12. Responsabilidad y duración

12.1. La responsabilidad derivada del incumplimiento de este Acuerdo se regirá por los límites y exclusiones previstos en la cláusula de responsabilidad del Contrato Principal, sin perjuicio de las responsabilidades imperativas en materia de protección de datos.

12.2. Este Acuerdo entra en vigor con la aceptación del Contrato Principal y permanecerá vigente mientras dure el tratamiento por cuenta del Responsable.

13. Ley aplicable y jurisdicción

Este Acuerdo se rige por la legislación española. Las partes se someten a los Juzgados y Tribunales de la ciudad de Barcelona.

ANEXO I — Descripción del tratamiento

Responsable del tratamiento: Cliente

Encargado del tratamiento: ARCILLA AI S.L.

Finalidad: prestación de un servicio de asistente jurídico mediante inteligencia artificial por cuenta y bajo las instrucciones del Responsable, que comprende: el análisis, procesamiento, resumen y clasificación de documentos y contenidos aportados por el Responsable; la interacción conversacional para la formulación de consultas y la generación de respuestas y borradores; y, en su caso, la recepción de texto generado mediante funcionalidades de transcripción.

Naturaleza y operaciones de tratamiento: recepción y almacenamiento, procesamiento y análisis mediante algoritmos de inteligencia artificial, generación de resultados (Output) y supresión segura.

Categorías de datos personales:

• Datos identificativos (nombre, apellidos, DNI/NIE, dirección, firma).

• Datos de contacto (correo electrónico, teléfono).

• Datos profesionales y económicos (cargo, empresa, datos bancarios, información tributaria, historial laboral).

• Información judicial o administrativa (detalles de litigios, número de expediente, hechos y argumentos).

• Metadatos técnicos asociados a las interacciones.

• Categorías especiales (artículo 9 RGPD) y datos relativos a condenas e infracciones (artículo 10 RGPD): podrán incorporarse de forma incidental por la naturaleza de los expedientes jurídicos. El Responsable garantiza disponer de la base jurídica reforzada exigible.

Categorías de interesados: clientes del Responsable, sus empleados, contrapartes y sus representantes, testigos, peritos, autoridades y cualquier tercero cuya información conste en los documentos o consultas tratados.

Duración del tratamiento: la vigencia del Contrato Principal, con las reglas de conservación y supresión de la cláusula 8.

ANEXO II — Subencargados

La relación actualizada de subencargados autorizados, con indicación de su denominación, finalidad, ubicación del tratamiento y mecanismo de transferencia internacional, figura en la Lista de Subencargados publicada en www.arcilla.ai/legal, que forma parte integrante de este Acuerdo.

ANEXO III — Medidas de seguridad (resumen)

1. Cifrado en tránsito. Todas las comunicaciones se realizan sobre TLS/HTTPS.

2. Cifrado en reposo con gestión de claves (KMS) y segregación por cliente. Solo el titular de los datos puede descifrarlos (segregación de claves por cliente).

3. Control de accesos y autenticación reforzada. Autenticación gestionada mediante Clerk (con soporte de MFA/2FA), tokens JWT y control de acceso basado en roles.

4. Residencia de datos en la UE/EEE. Toda la infraestructura de tratamiento se aloja en AWS, regiones europeas.

5. Aislamiento de red y control de tráfico. Servicios desplegados en red privada aislada. CORS.

6. Registro y monitorización. Registro estructurado de eventos y de la ejecución de trabajos, con separación de logs internos y de usuario.

7. Copias de seguridad y recuperación. Recuperación gestionada de los servicios administrados de AWS.

8. Supresión segura de datos. Borrado en cascada del Contenido del Cliente a través de todos los sistemas (metadatos, índices de búsqueda y objetos), así como limpieza periódica de ficheros temporales.

9. No entrenamiento de modelos. El Contenido del Cliente y el Output no se emplean para entrenar, reentrenar ni ajustar modelos de IA, propios ni de terceros.

10. Revisión periódica. Evaluación y revisión periódica de la eficacia de las medidas técnicas y organizativas, con políticas internas de seguridad y confidencialidad del personal.