Acuerdo de encargo — versión 2026-09-06.3
Estado: preparado; requiere identidad completa de las partes, anexo específico y aceptación antes de datos reales.
El cliente es responsable de los contactos de su espacio; el prestador identificado en la propuesta es encargado. El objeto es recibir, registrar, almacenar, organizar, consultar, exportar y suprimir oportunidades comerciales por instrucciones del cliente. Los interesados son contactos y usuarios del cliente. Los datos comprenden identificación, contacto profesional, mensajes, empresa, responsables, notas y acciones; quedan excluidos datos de alto riesgo no autorizados.
El encargo dura durante el servicio y la devolución/supresión acordada. El anexo fija fuente, volumen, categorías, retención operativa y periodo de gracia. Los valores históricos de piloto de 90/30 días no se convierten automáticamente en una obligación de todos los clientes ni prueban una ejecución automática.
El encargado:
- Trata datos únicamente bajo instrucciones documentadas, incluidas transferencias; informa de una instrucción que considere contraria al RGPD. Si una norma le obliga a tratar de otra manera, comunica la exigencia salvo prohibición legal.
- Exige confidencialidad a las personas autorizadas y limita sus permisos al trabajo necesario; documenta accesos de soporte.
- Mantiene medidas apropiadas al riesgo: aislamiento de espacios, autenticación, permisos, transporte protegido, gestión de secretos, registros minimizados, copias y recuperación, controles de borrado e incidentes. El anexo debe describir la configuración real y sus límites, sin atribuir certificaciones inexistentes.
- No incorpora subencargados sin autorización específica o general documentada. Con autorización general, informa de cambios previstos para permitir objeciones fundadas y resolverlas antes del tratamiento afectado. Impone obligaciones equivalentes y responde ante el cliente de su cumplimiento.
- Asiste en derechos, evaluaciones de impacto, consultas previas y seguridad en función de la información disponible y naturaleza del tratamiento.
- Notifica al responsable una violación de seguridad sin dilación indebida, aportando datos conocidos sobre naturaleza, afectados, consecuencias, medidas y contacto, y completando la información progresivamente. El plazo de 72 horas del responsable ante la autoridad no se interpreta como una espera permitida para avisar al cliente.
- Al terminar, devuelve o suprime los datos según la elección documentada del cliente, incluidas copias conforme a su ciclo verificado, salvo conservación legal. Registra el resultado y las excepciones.
- Facilita información necesaria para demostrar cumplimiento y permite auditorías e inspecciones acordes al RGPD, con protección de otros clientes y secretos legítimos, sin anular ese derecho.
El cliente determina la base jurídica, informa a sus contactos, limita los datos y mantiene instrucciones y usuarios autorizados. El encargado remite las peticiones de interesados al responsable sin resolver por su cuenta salvo instrucción o deber legal.
Los proveedores se individualizan en el anexo: entidad, función, datos, región, acceso desde terceros países, contrato/DPA aceptado, garantías de transferencia, retención de logs/copias y evidencia. No basta con localizar una página pública del proveedor. Polar puede actuar como responsable independiente para cobro y obligaciones propias; no se clasifica automáticamente como subencargado de todos los datos.
Para contactos propios de contratación, cuenta, soporte y obligaciones legales, el prestador actúa como responsable según su aviso de privacidad. No se extiende ese papel a datos de clientes para finalidades incompatibles.
Anexo que debe completarse por cliente: identidad de responsable/encargado; espacio y fuente; operadores; volumen; datos; finalidad; duración; retención y gracia; proveedores y evidencias; medidas; canal y responsables de incidentes; exportación/borrado; versión, fecha y aceptación de ambas partes.