Acuerdo de Encargo de Tratamiento (DPA)
Última actualización: 8 de junio de 2026
1. Objeto y ámbito
Este Acuerdo regula el tratamiento de datos personales que Subelio, titularidad de Marcos Tercero Fernández (NIF 53416993E), realiza como encargado por cuenta del Usuario (responsable) cuando este introduce en la plataforma datos personales de terceros; en particular, en el plan Gestoría, los datos de las empresas clientes que gestiona. Forma parte de los Términos y Condiciones y se aplica mientras exista esa relación.
Respecto de los datos del propio Usuario (su cuenta y su empresa), Subelio actúa como responsable conforme a la Política de Privacidad y este Acuerdo no resulta de aplicación.
2. Roles de las partes
- Responsable del tratamiento: el Usuario (en particular, la gestoría) que decide introducir datos de terceros y determina sus finalidades.
- Encargado del tratamiento: Subelio, que trata dichos datos únicamente para prestar el servicio y conforme a las instrucciones del Responsable.
3. Descripción del tratamiento (art. 28.3 RGPD)
- Objeto: prestación del servicio Subelio (agregación, análisis y puntuación de encaje de convocatorias respecto de los perfiles introducidos).
- Duración: mientras esté vigente la suscripción o relación contractual.
- Naturaleza y finalidad: almacenamiento, organización, consulta y análisis automatizado de los datos de perfil para ofrecer resultados de encaje, fichas y alertas.
- Categorías de interesados: autónomos, representantes o personas de contacto de las empresas que el Responsable gestiona.
- Tipos de datos: identificativos y de actividad económica (denominación, NIF/CIF, CNAE, territorio, tamaño, tipos de inversión). No se tratan categorías especiales de datos.
4. Instrucciones del Responsable
Subelio tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se entienden incorporadas en el uso normal del servicio y en los Términos. Si Subelio considerara que una instrucción infringe la normativa de protección de datos, informará de ello al Responsable.
5. Obligaciones de Subelio (Encargado)
- Tratar los datos solo para prestar el servicio y según las instrucciones del Responsable.
- Garantizar que las personas autorizadas a tratar los datos se comprometen a la confidencialidad.
- Aplicar las medidas técnicas y organizativas apropiadas (art. 32 RGPD).
- Asistir al Responsable, en la medida de lo posible, para atender el ejercicio de derechos de los interesados.
- Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto.
- Notificar al Responsable sin dilación indebida las violaciones de seguridad de las que tenga conocimiento.
- A elección del Responsable, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
6. Obligaciones y garantías del Responsable
El Responsable garantiza que:
- Dispone de base jurídica válida para introducir los datos de terceros y para que Subelio los trate por su cuenta.
- Ha informado a los interesados cuando proceda.
- Sus instrucciones son lícitas.
El Responsable es el único responsable de la licitud de la incorporación de esos datos a la plataforma.
7. Subencargados
El Responsable autoriza a Subelio a recurrir a los siguientes subencargados:
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Supabase | Alojamiento de la base de datos | Unión Europea |
| Vercel | Alojamiento de la aplicación | EEUU |
| Resend | Envío de correos | EEUU |
| Stripe | Procesamiento de pagos | EEUU / Irlanda |
| Anthropic | Procesamiento de convocatorias y, en su caso, asistencia en redacción | EEUU |
| OpenAI | Generación de índices semánticos | EEUU |
Subelio impondrá a los subencargados obligaciones de protección de datos equivalentes a las de este Acuerdo. Informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, dándole la oportunidad de oponerse por motivos razonables; si la oposición impidiera prestar el servicio, cualquiera de las partes podrá resolver la relación.
8. Transferencias internacionales
Cuando un subencargado se ubique fuera del Espacio Económico Europeo, las transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea o en un marco de adecuación aplicable (por ejemplo, el Data Privacy Framework).
9. Medidas de seguridad
Subelio aplica medidas proporcionadas al riesgo, como control de acceso, cifrado en tránsito, segregación de entornos y registros de actividad.
10. Violaciones de seguridad
Subelio notificará al Responsable sin dilación indebida tras tener conocimiento de una violación que afecte a los datos tratados por su cuenta, aportando la información disponible para que el Responsable cumpla sus obligaciones.
11. Duración y finalización
Este Acuerdo permanece vigente mientras Subelio trate datos por cuenta del Responsable. A su finalización, Subelio suprimirá o devolverá los datos según lo indicado por el Responsable, salvo obligación legal de conservación.
12. Ley aplicable
Este Acuerdo se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la legislación española, y se interpreta de forma coherente con los Términos y Condiciones y la Política de Privacidad.