Acuerdo de Encargo de Tratamiento de Datos (DPA)

Modelo conforme al art. 28 del Reglamento General de Protección de Datos (RGPD) · Versión 1.0 · 12 de junio de 2026

1. Partes

Responsable del tratamiento: [NOMBRE COMPLETO / RAZÓN SOCIAL DEL CLIENTE], con NIF [NIF DEL CLIENTE] y domicilio en [DOMICILIO DEL CLIENTE].

Encargado del tratamiento: Lluís Picornell Quetglas (Demana IA), NIF 43181270K, con domicilio en Carrer de sa Vinyola 13, 07141 Es Pont d'Inca, Illes Balears, España. Correo: hola@demanaia.com.

2. Objeto y duración

El presente Acuerdo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco de la prestación del servicio Demana IA. El tratamiento se extiende durante la vigencia de la suscripción contratada por el Responsable.

3. Naturaleza y finalidad del tratamiento

El Encargado trata los datos personales contenidos en los documentos que el Responsable sube a la plataforma con la finalidad exclusiva de prestar los servicios contratados: indexación, búsqueda semántica y léxica, respuestas a consultas mediante IA generativa, y redacción asistida de documentos. Los datos no se utilizan para fines propios del Encargado ni para entrenar modelos de IA.

4. Tipología de datos y categorías de interesados

Los datos tratados son los que el Responsable decida incluir en los documentos que suba a la plataforma. Típicamente incluyen: datos identificativos de personas físicas (nombre, DNI/NIF, dirección, datos profesionales), datos económico-financieros, y datos relativos a procedimientos judiciales o administrativos. Los interesados son las personas físicas cuyos datos aparecen en dichos documentos.

5. Obligaciones del Encargado

• Confidencialidad: El Encargado y todas las personas autorizadas para tratar datos personales se comprometen a respetar la confidencialidad.
• Seguridad: El Encargado aplica las medidas técnicas y organizativas descritas en el documento de seguridad de la plataforma.
• Subencargados: El Encargado utiliza los siguientes subencargados: Hetzner (infraestructura VPS, Alemania), Supabase (base de datos PostgreSQL, UE), Alibaba DashScope (API LLM Qwen, Frankfurt). El Responsable autoriza expresamente estos subencargados.
• Asistencia al Responsable: El Encargado asistirá al Responsable en la atención de solicitudes de ejercicio de derechos de los interesados, notificación de brechas de seguridad y realización de evaluaciones de impacto, en la medida en que la información esté disponible para el Encargado.
• Destino de los datos al finalizar: Al término de la prestación, el Encargado suprimirá todos los datos personales en un plazo máximo de 30 días, salvo que exista obligación legal de conservación.

6. Obligaciones del Responsable

El Responsable declara que dispone de base jurídica legítima para el tratamiento de los datos personales que sube a la plataforma y que ha informado a los interesados conforme a los arts. 13 y 14 RGPD.

7. Auditoría

El Responsable podrá auditar el cumplimiento de este Acuerdo, previa solicitud con 30 días de antelación, mediante la revisión de la documentación de seguridad publicada por el Encargado, o mediante auditoría remota en horario laboral y sin perturbar la operativa del servicio. El Responsable asumirá el coste de la auditoría.

8. Legislación aplicable

Este Acuerdo se rige por el Reglamento General de Protección de Datos (Reglamento UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.

9. Firmas

Este documento constituye un modelo. Para formalizarlo como Anexo al contrato de servicios, ambas partes deben fecharlo y firmarlo.

Por el Responsable: _______________________________    Fecha: _______________

Por el Encargado: _______________________________    Fecha: _______________