Contrato de encargo del tratamiento
Última actualización: 11 de noviembre de 2026
Este contrato regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD, el tratamiento de datos personales que AlarmGest realiza por cuenta de sus clientes. Forma parte de las condiciones de contratación y se acepta con ellas.
1. Partes
- Responsable del tratamiento: la empresa o profesional que contrata AlarmGest («el Cliente»).
- Encargado del tratamiento: José Alberto Molina Abellán, titular de AlarmGest, con contacto en info@alarmgest.es («el Encargado»).
2. Objeto, naturaleza y finalidad
El Encargado trata los datos personales que el Cliente introduce en AlarmGest con la única finalidad de prestarle el servicio contratado: almacenarlos, mostrarlos a los usuarios autorizados del Cliente, enviar partes y notificaciones, hacer copias de seguridad y dar soporte técnico. Las operaciones de tratamiento son las de recogida, registro, organización, conservación, consulta, comunicación a los usuarios del Cliente, supresión y destrucción.
3. Datos y personas afectadas
| Personas afectadas | Datos |
|---|---|
| Clientes finales del Cliente (titulares de las instalaciones) | Nombre o razón social, NIF, dirección de la instalación, teléfono, correo electrónico, datos de la instalación y del contrato con la CRA, historial de partes y firmas de conformidad. |
| Contactos de las instalaciones | Nombre, relación con el titular, teléfonos y observaciones. |
| Trabajadores y usuarios del Cliente | Nombre, datos de contacto profesionales y, si el Cliente los introduce, personales; rol y permisos; vehículo asignado; partes asignados; y datos de acceso y del dispositivo para notificaciones. |
El servicio no está pensado para tratar categorías especiales de datos (salud, ideología, etc.) ni códigos o claves de desarmado de los sistemas de alarma. El Cliente se compromete a no introducirlos.
4. Duración
Este contrato dura lo mismo que la suscripción del Cliente. Al terminar, se aplica lo previsto en el apartado 7 sobre devolución y supresión de los datos.
5. Obligaciones del Encargado
El Encargado se compromete a:
- Instrucciones: tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son este contrato, las condiciones de contratación y el uso que el Cliente haga del servicio. Si considera que una instrucción infringe la normativa, se lo comunicará de inmediato.
- Finalidad: no usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del apartado 6 o por obligación legal.
- Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad, también después de terminar su relación con el Encargado.
- Seguridad: aplicar las medidas técnicas y organizativas del artículo 32 RGPD adecuadas al riesgo, entre ellas: cifrado de las comunicaciones (HTTPS), aislamiento de los datos de cada cliente mediante políticas de seguridad a nivel de fila en la base de datos, control de acceso por usuario, rol y permisos, contraseñas almacenadas con cifrado irreversible, copias de seguridad periódicas de la base de datos (que, por el momento, no incluyen los archivos almacenados, como firmas y fotografías) y acceso restringido a la infraestructura.
- Derechos de los interesados: ayudar al Cliente a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si una solicitud llega al Encargado, se la trasladará al Cliente sin demora y no la contestará por su cuenta.
- Brechas de seguridad: notificar al Cliente sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que el Cliente pueda, en su caso, notificarla a la autoridad de control y a los afectados.
- Colaboración: ayudar al Cliente, teniendo en cuenta la naturaleza del tratamiento, en las evaluaciones de impacto y consultas previas que pudiera necesitar.
- Registro: llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
- Demostración y auditorías: poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de al menos 30 días, en horario laboral y con compromiso de confidencialidad, a cargo del Cliente.
6. Subencargados
El Cliente autoriza de forma general al Encargado a recurrir a los siguientes subencargados para prestar el servicio. El Encargado les impone por contrato las mismas obligaciones de protección de datos y responde de su cumplimiento.
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Base de datos, autenticación y almacenamiento de archivos (incluidas las firmas) | Servidores en la Unión Europea (París, Francia) |
| Resend (Plus Five Five, Inc.) | Envío de partes de trabajo y notificaciones por correo electrónico | EE. UU. |
| Google LLC (Firebase Cloud Messaging) | Notificaciones push en dispositivos Android | EE. UU. |
| Hostinger International Ltd. | Alojamiento de la aplicación web y correo electrónico de soporte | Unión Europea (servidor en París, Francia) |
Supabase recurre a su vez a sus propios subencargados, entre ellos Amazon Web Services, Inc. (alojamiento de los servidores) y Cloudflare, Inc. (red de entrega y protección del tráfico), ambos con sede en Estados Unidos, con las mismas garantías contractuales. Su lista actualizada está en supabase.com/legal/subprocessors.
El Encargado informará al Cliente por correo electrónico de cualquier alta o sustitución de subencargados con al menos 30 días de antelación. El Cliente podrá oponerse de forma motivada en ese plazo; si no se encuentra una solución, podrá darse de baja del servicio sin penalización.
7. Fin del contrato: devolución y supresión
Al terminar la suscripción, el Cliente dispone de 30 días para solicitar la exportación de sus datos. Después, el Encargado los suprimirá, incluidas las copias que existan, salvo que una ley obligue a conservarlos; en ese caso los mantendrá bloqueados mientras dure esa obligación. Los datos incluidos en copias de seguridad se eliminan cuando estas caducan según su ciclo de rotación. El Encargado lo certificará si el Cliente lo solicita.
8. Transferencias internacionales
Algunos subencargados tienen sede fuera del Espacio Económico Europeo (Estados Unidos o Singapur) o pueden tratar datos fuera de él. Esas transferencias se amparan en las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas o, en su defecto, las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas complementarias que procedan.
9. Obligaciones del Cliente
El Cliente, como responsable del tratamiento, se compromete a:
- contar con una base legal para tratar los datos que introduce y haber informado a los afectados (sus clientes, contactos y trabajadores) conforme a los artículos 13 y 14 RGPD;
- introducir solo los datos necesarios y mantenerlos exactos y actualizados;
- gestionar correctamente los usuarios, roles y permisos de su empresa, y dar de baja a quienes dejen de necesitar acceso;
- supervisar el tratamiento y dar al Encargado las instrucciones que considere oportunas por escrito.
10. Responsabilidad
Si el Encargado usa los datos para otra finalidad, los comunica o incumple este contrato, será considerado responsable del tratamiento en lo que se refiere a dicho incumplimiento (art. 28.10 RGPD). En lo demás, se aplica el régimen de responsabilidad de las condiciones de contratación.