1. Objeto y ámbito
Documento vigente · Rev. 20261027
El presente Acuerdo de Encargo del Tratamiento («DPA») regula el tratamiento de datos personales que Adaptix Networks, S.L. («Adaptix» o el «Encargado») pueda realizar por cuenta del Cliente (el «Responsable») como consecuencia de la prestación de servicios de alojamiento, cloud, correo electrónico, almacenamiento, respaldo, seguridad gestionada, soporte técnico, servicios profesionales u otros servicios en los que Adaptix trate datos personales siguiendo instrucciones del Cliente.
El DPA se integra en las Condiciones Generales de Contratación y Servicio y en las Condiciones Específicas aplicables. Solo será aplicable respecto de los tratamientos en los que jurídicamente Adaptix actúe como encargado del tratamiento. Los tratamientos propios de Adaptix como responsable —por ejemplo, administración de la relación contractual, facturación, prevención del fraude, soporte, seguridad, cumplimiento normativo o defensa de reclamaciones— se rigen por la Política de Privacidad y la normativa aplicable.
2. Normativa aplicable
Las partes se obligan a cumplir el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y cualquier otra norma aplicable al tratamiento objeto del servicio.
3. Duración
El presente DPA permanecerá vigente mientras Adaptix trate datos personales por cuenta del Cliente en virtud de los servicios contratados y, respecto de las obligaciones que deban subsistir, durante el tiempo legalmente necesario.
La terminación del servicio no implica la eliminación de la cuenta administrativa del Cliente, facturas, tickets, registros contractuales u otra información que Adaptix trate como responsable y deba conservar legítimamente.
4. Objeto, naturaleza y finalidad del tratamiento
El tratamiento tendrá por objeto la prestación técnica de los servicios contratados y podrá incluir, según el producto y las instrucciones del Cliente, operaciones de alojamiento, almacenamiento, transmisión, respaldo, restauración, sincronización, administración, soporte, monitorización técnica, acceso remoto, resolución de incidencias, migración, mantenimiento, borrado u otras operaciones necesarias para ejecutar el servicio.
La naturaleza y finalidad concreta se determinarán por la funcionalidad del servicio contratado, la configuración elegida por el Cliente y las instrucciones documentadas que éste comunique a Adaptix.
5. Categorías de interesados y tipos de datos
Dependiendo del servicio, los datos personales tratados por cuenta del Cliente pueden corresponder, entre otros, a:
- empleados, colaboradores y usuarios del Cliente;
- clientes, proveedores, contactos y terceros del Cliente;
- usuarios de sitios web, aplicaciones, buzones o sistemas alojados;
- cualesquiera otras personas cuyos datos el Cliente incorpore legítimamente a los servicios.
Los tipos de datos pueden incluir datos identificativos y de contacto, credenciales, registros técnicos, direcciones IP, comunicaciones, archivos, documentos, bases de datos, correos electrónicos y cualquier otro dato que el Cliente decida almacenar o tratar mediante el servicio.
El Cliente determinará qué categorías de datos incorpora a la plataforma. Si pretende tratar categorías especiales de datos, datos relativos a condenas e infracciones penales o información sujeta a requisitos sectoriales especiales, será responsable de verificar previamente que el servicio y las medidas contratadas resultan adecuados y de comunicar a Adaptix cualquier requisito específico que deba formar parte del encargo.
6. Instrucciones del Responsable
Adaptix tratará los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluidas las contenidas en el contrato, pedido, configuración del servicio, tickets, solicitudes de soporte y demás comunicaciones autorizadas.
Si Adaptix considera que una instrucción infringe el RGPD, la LOPDGDD u otra normativa aplicable, informará al Cliente en la medida permitida por la ley y podrá suspender la ejecución de dicha instrucción hasta que sea aclarada o modificada.
Si una norma de la Unión Europea o del Derecho español obliga a Adaptix a tratar los datos al margen de las instrucciones del Cliente, Adaptix informará previamente al Cliente salvo que el Derecho aplicable lo prohíba por razones importantes de interés público.
7. Confidencialidad
Adaptix garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal equivalente.
El acceso a datos del Cliente se limitará al personal y colaboradores que lo necesiten para prestar, mantener, asegurar o dar soporte al servicio.
8. Medidas técnicas y organizativas
Adaptix aplicará medidas técnicas y organizativas apropiadas teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos para los derechos y libertades de las personas.
Según el servicio contratado, dichas medidas podrán incluir controles de acceso, autenticación, segmentación, cifrado cuando proceda, registro de eventos, copias de seguridad, protección perimetral, gestión de vulnerabilidades, actualización de infraestructura, redundancia, controles físicos del centro de datos, procedimientos de soporte y gestión de incidentes.
La existencia de mecanismos internos de continuidad o recuperación ante desastres no modifica por sí misma las condiciones contractuales de retención, restauración o disponibilidad del servicio contratado.
9. Seguridad compartida
El Cliente reconoce que determinadas medidas dependen de su propia administración y configuración, especialmente cuando dispone de privilegios administrativos, credenciales, paneles de control, sistemas operativos, aplicaciones, permisos de usuario, reglas de firewall, claves de cifrado u otras funciones bajo su control.
El DPA no traslada a Adaptix las obligaciones de seguridad que correspondan al Cliente como Responsable ni convierte a Adaptix en administrador de sistemas o aplicaciones que no formen parte del alcance contratado.
10. Subencargados
En la configuración operativa vigente a la fecha de esta revisión, Adaptix no utiliza subencargados con acceso al contenido alojado o procesado por cuenta del Cliente en los Servicios cubiertos por este Acuerdo. Si en el futuro resultara necesario recurrir a un subencargado para dicho tratamiento, el Cliente otorga una autorización general condicionada al cumplimiento de los requisitos del artículo 28 del RGPD y al mecanismo de información previsto en este apartado.
Adaptix impondrá al subencargado, mediante contrato u otro acto jurídico vinculante, obligaciones de protección de datos equivalentes en lo sustancial a las asumidas frente al Cliente respecto de los tratamientos subcontratados.
Adaptix mantendrá actualizado el Anexo III. Mientras no existan subencargados aplicables, dicho Anexo lo indicará expresamente. Si se incorpora alguno, Adaptix pondrá a disposición del Cliente su identidad, función y localización relevante cuando corresponda.
Cuando sea jurídicamente exigible comunicar cambios en los subencargados, Adaptix informará con antelación razonable por un medio adecuado. El Cliente podrá formular objeciones razonadas basadas en protección de datos. Si no fuera posible resolver razonablemente una objeción legítima, las partes evaluarán alternativas técnicas o contractuales y, en último término, la terminación del servicio afectado conforme al contrato.
El inventario de subencargados se mantendrá en el Anexo III — Subencargados autorizados, que podrá actualizarse separadamente del cuerpo principal del DPA. A la fecha de revisión, el inventario declara que no existen subencargados con acceso al contenido del Cliente dentro del encargo aquí regulado.
11. Transferencias internacionales
Adaptix no realizará transferencias internacionales de datos personales por cuenta del Cliente fuera del Espacio Económico Europeo salvo que exista una base válida conforme al capítulo V del RGPD o que la transferencia sea necesaria para ejecutar instrucciones legítimas del Cliente.
Cuando un subencargado o servicio implique una transferencia internacional, Adaptix aplicará el mecanismo jurídico correspondiente —por ejemplo, decisión de adecuación, cláusulas contractuales tipo u otro instrumento válido— y las medidas complementarias que resulten necesarias según el caso.
A la fecha de revisión no se han identificado transferencias internacionales del contenido del Cliente derivadas de subencargados externos, dado que los aplicativos y servicios cubiertos operan sobre infraestructura de Adaptix y los proveedores de centros de datos no disponen de acceso al contenido. Esto no prejuzga tratamientos distintos vinculados a servicios específicos, como el registro de nombres de dominio, que se analizan bajo su función y base jurídica propias.
12. Asistencia al Responsable en derechos de los interesados
Teniendo en cuenta la naturaleza del tratamiento, Adaptix asistirá razonablemente al Cliente para que pueda responder a solicitudes de ejercicio de derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad u otros derechos aplicables.
Si Adaptix recibe directamente una solicitud relativa a datos tratados exclusivamente por cuenta del Cliente, podrá remitirla al Cliente y no responderá sobre el fondo salvo instrucción o obligación legal.
Las actuaciones extraordinarias que excedan del soporte ordinario podrán ser objeto de cotización cuando requieran dedicación técnica significativa y ello sea compatible con la normativa aplicable.
13. Asistencia en seguridad, brechas y evaluaciones
Adaptix asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en el cumplimiento de sus obligaciones relativas a seguridad, notificación de violaciones de seguridad, evaluaciones de impacto y consultas previas cuando resulten aplicables.
Cuando Adaptix tenga constancia de una violación de seguridad de los datos personales tratados por cuenta del Cliente, la comunicará al Cliente sin dilación indebida, aportando progresivamente la información disponible necesaria para que éste pueda evaluar sus obligaciones legales.
La comunicación de un incidente no implica por sí misma reconocimiento de responsabilidad.
14. Registros y documentación
Adaptix mantendrá la documentación que le corresponda como encargado conforme a la normativa aplicable y colaborará razonablemente con el Cliente para demostrar el cumplimiento de las obligaciones derivadas del presente DPA.
15. Auditorías e inspecciones
Adaptix pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD.
Cuando resulte necesario realizar una auditoría, las partes procurarán utilizar primero documentación, certificaciones, informes o evidencias existentes. Las auditorías presenciales o técnicamente intrusivas deberán estar justificadas, coordinarse con antelación, respetar la confidencialidad y seguridad de otros clientes y no interferir indebidamente con la operación de los servicios.
Salvo incumplimiento imputable a Adaptix o exigencia de una autoridad competente, las auditorías extraordinarias que generen costes relevantes podrán ser facturadas al Cliente previa información y acuerdo razonable.
16. Destino de los datos al terminar el servicio
Al finalizar un servicio, Adaptix eliminará o devolverá, según corresponda al producto y a las instrucciones disponibles, los datos personales tratados por cuenta del Cliente y suprimirá las copias existentes asociadas al servicio, salvo que una obligación legal exija conservar determinados datos.
En los servicios cuya política de terminación establece eliminación automática, el Cliente deberá exportar previamente cualquier información que desee conservar. La terminación no genera un periodo ordinario de recuperación posterior salvo previsión expresa del servicio.
La eliminación del contenido técnico no comprende los datos administrativos, fiscales, contractuales, de soporte, seguridad o defensa de reclamaciones que Adaptix trate por cuenta propia como responsable y conserve legítimamente.
17. Devolución y portabilidad técnica
Cuando el servicio permita exportación o descarga mediante herramientas ordinarias, el Cliente deberá utilizarlas antes de la terminación. Cualquier migración, exportación especial o asistencia adicional podrá requerir servicio profesional y cotización independiente.
Adaptix no garantiza que todas las aplicaciones o formatos de terceros permitan una exportación o importación universalmente compatible.
18. Obligaciones del Cliente como Responsable
Corresponde al Cliente, entre otras obligaciones:
- disponer de una base jurídica válida para los tratamientos;
- proporcionar la información exigida a los interesados;
- cumplir los principios del RGPD;
- determinar instrucciones lícitas y documentadas;
- configurar sus sistemas y accesos de manera adecuada;
- comunicar a Adaptix requisitos especiales que afecten a la prestación;
- evaluar si el servicio es adecuado al riesgo y naturaleza de los datos tratados;
- no utilizar los servicios para tratamientos ilícitos.
19. Responsabilidades y roles independientes
Cada parte responderá de las obligaciones que le atribuya directamente la normativa de protección de datos según su rol en cada tratamiento.
Nada en este DPA convierte a Adaptix en corresponsable de los tratamientos cuya finalidad y medios esenciales determine exclusivamente el Cliente, ni convierte al Cliente en responsable de los tratamientos propios que Adaptix realice para administrar su relación comercial o cumplir obligaciones legales.
20. Solicitudes de autoridades
Si Adaptix recibe una solicitud jurídicamente vinculante de una autoridad relativa a datos tratados por cuenta del Cliente, actuará conforme a la normativa aplicable y, cuando legalmente pueda hacerlo, informará al Cliente antes de facilitar los datos o tan pronto como resulte permitido.
21. Orden de prevalencia
En materia de tratamiento por cuenta del Cliente, este DPA prevalecerá sobre cualquier cláusula contradictoria de carácter general, salvo que una condición específica o acuerdo particular establezca garantías adicionales válidas.
En todo lo no regulado aquí serán aplicables las Condiciones Generales, las Condiciones Específicas y la normativa vigente.
22. Anexo operativo del encargo
Para cada servicio, la ficha de contratación, pedido, oferta, documentación técnica o una ficha específica podrá completar:
- servicio afectado;
- objeto y duración;
- naturaleza y finalidad;
- categorías de interesados;
- tipos de datos;
- medidas específicas;
- ubicación principal del tratamiento;
- subencargados asociados;
- transferencias internacionales, si las hubiera;
- instrucciones adicionales del Cliente.
23. Anexos
Forman parte del presente DPA, una vez completados y aprobados:
- Anexo I — Descripción del tratamiento: servicios, categorías de interesados, tipos de datos, naturaleza, finalidad y duración.
- Anexo II — Medidas técnicas y organizativas: marco de medidas aplicables según el servicio y el reparto de responsabilidades.
- Anexo III — Subencargados autorizados: identidad, función, ubicación relevante y, cuando proceda, mecanismo de transferencia internacional.
Los anexos podrán actualizarse cuando cambie el servicio, la arquitectura o los proveedores, sin alterar el resto del DPA salvo que el cambio afecte a sus condiciones esenciales.