Contrato de Encargo del Tratamiento

REUNIDOS. De una parte, [Denominación de la entidad], con NIF [NIF] y domicilio en [domicilio completo], en adelante, el RESPONSABLE del tratamiento. Y de otra parte, DATAPLUS ÉLITE, S.L.U., con NIF B73568222 y domicilio en Avda. Constantino López, 27, 30840 Alhama de Murcia (Murcia), titular de la plataforma cofrALDÍA, en adelante, el ENCARGADO. Contacto en protección de datos: privacidad@cofraldia.com.

Versión vigente del contrato: 2026-10-11.

1. Objeto, naturaleza y finalidad del encargo

Tratamiento de datos personales necesario para la prestación de la plataforma SaaS «cofrALDÍA» de gestión para hermandades y cofradías (hermanos/cofrades, cuotas y cobros, contabilidad, fiscalidad, comunicaciones, procesiones y documentación). El deber de informar a los interesados corresponde exclusivamente al RESPONSABLE.

Ubicación: servicio en la nube; los datos se alojan y tratan en servidores ubicados en la Unión Europea (Frankfurt), a través de los subencargados del Anexo I. El ENCARGADO accede a los sistemas únicamente para la prestación, el mantenimiento y el soporte.

2. Datos personales y categorías de interesados

• Identificativos y de contacto: nombre y apellidos, DNI/NIF/NIE, dirección postal y electrónica, teléfono.
• Económicos y de gestión: IBAN y domiciliación, cuotas, recibos y pagos, donativos, datos fiscales y documentos adjuntos.
• Indumentaria/tallas y participación en procesiones, cuando la entidad los registre.

Interesados: hermanos y cofrades; y, en su caso, antiguos miembros, donantes y personas de contacto de los órganos de gobierno.

Categorías especiales (art. 9 RGPD): la pertenencia a una hermandad o cofradía puede revelar las creencias religiosas; la base de licitud corresponde al RESPONSABLE (art. 9.2.d RGPD). El ENCARGADO trata estos datos solo por cuenta del RESPONSABLE.

3. Obligaciones del RESPONSABLE

• Garantizar la licitud y adecuación de los datos facilitados.
• Informar a los interesados y disponer de la base de licitud, incluida la de categoría especial.
• Realizar, cuando proceda, la evaluación de impacto (EIPD).

4. Obligaciones del ENCARGADO

• Tratar los datos solo conforme a las instrucciones documentadas del RESPONSABLE.
• No destinarlos a una finalidad distinta del encargo.
• Llevar un registro de actividades por cuenta del RESPONSABLE (art. 30.2).
• Asistir al RESPONSABLE (arts. 32 a 36) y en la atención de derechos; permitir auditorías.

5. Personal autorizado y confidencialidad

El personal autorizado se ha comprometido por escrito a la confidencialidad o está sujeto a obligación legal de secreto, trata los datos solo según instrucciones del RESPONSABLE y ha recibido formación en protección de datos.

6. Medidas de seguridad (art. 32 RGPD)

• Cifrado en tránsito (HTTPS/TLS) y en reposo; cifrado adicional (AES-256-GCM) de los datos más sensibles; contraseñas con hash (bcrypt).
• Confidencialidad, integridad, disponibilidad y resiliencia; aislamiento lógico por entidad.
• Control de acceso por usuario y contraseña, doble factor (2FA) disponible y registro de auditoría.
• Copias de seguridad con recuperación a un punto en el tiempo (7 días) y evaluación periódica de las medidas.

7. Violaciones de seguridad (brechas)

El ENCARGADO notificará al RESPONSABLE cualquier violación de seguridad, sin dilación indebida y a más tardar en 48 horas desde que tenga conocimiento, con la información mínima exigida. Corresponde al RESPONSABLE valorar la notificación a la autoridad de control y a los interesados (arts. 33 y 34 RGPD).

8. Comunicación de datos a terceros

El ENCARGADO no comunicará datos a terceros salvo autorización previa y por escrito del RESPONSABLE o exigencia legal. Las comunicaciones a autoridades públicas en el ejercicio de sus funciones no precisan autorización.

9. Transferencias internacionales

El tratamiento se realiza, con carácter general, en servidores de la Unión Europea (Anexo I). Cuando algún subencargado implique tratamiento fuera del EEE (p. ej. el correo electrónico), la transferencia queda amparada por un mecanismo válido del Capítulo V del RGPD (adecuación o cláusulas contractuales tipo).

10. Subcontratación (otros encargados)

El RESPONSABLE autoriza a los subencargados del Anexo I. El ENCARGADO les impone las mismas obligaciones, informará de cualquier alta o sustitución concediendo un plazo de oposición por motivos razonables, y responde de su cumplimiento.

11. Derechos de los interesados

El ENCARGADO asiste al RESPONSABLE en la atención de los derechos. Si recibe una solicitud directamente, la traslada al RESPONSABLE sin dilación (a más tardar el día laborable siguiente).

12. Evaluación de impacto y análisis de riesgos

Corresponde al RESPONSABLE decidir y realizar, cuando proceda, la EIPD (art. 35) y la consulta previa (art. 36). El ENCARGADO presta la asistencia necesaria y aplica las medidas acordadas.

13. Responsabilidad

Cada parte responde conforme al artículo 82 del RGPD. Nada de lo previsto limita las responsabilidades legales que correspondan a cada parte.

14. Finalización del encargo

A la finalización, el ENCARGADO, a elección del RESPONSABLE, devolverá o suprimirá los datos y sus copias en el plazo acordado, con certificado si se solicita. Las copias de seguridad se eliminan automáticamente en el ciclo de retención (7 días). No procederá la supresión cuando exista obligación legal de conservación, en cuyo caso se bloquearán. El deber de secreto subsiste tras la finalización.

Anexo I — Subencargados del tratamiento

Anexo II — Medidas de seguridad (resumen)

• Confidencialidad: acceso con usuario/contraseña (bcrypt) y 2FA; aislamiento por entidad; cifrado TLS y AES-256-GCM.
• Integridad y disponibilidad: BD cifrada, copias con recuperación a un punto en el tiempo (7 días), infraestructura redundante.
• Trazabilidad: registro de auditoría y cabeceras de seguridad (HSTS, CSP…); evaluación periódica de las medidas.