Contrato de encargo del tratamiento de LegioLog
Versión 1.0, 30 de octubre de 2026. Traducción a título informativo. La versión inglesa de este contrato es la única vinculante. Este contrato de encargo del tratamiento forma parte del contrato entre Basepay B.V., que opera con el nombre LegioLog, número del Registro Mercantil neerlandés 42081353 ("Encargado") y el cliente ("Responsable"), y se aplica mientras LegioLog trate datos personales por cuenta del cliente.
1. Objeto y duración
1.1 El Encargado trata datos personales solo para prestar el Servicio descrito en el contrato y según las instrucciones escritas del Responsable, y no para fines propios.
1.2 Este contrato dura lo mismo que el contrato principal y mientras el Encargado conserve datos después.
2. Naturaleza, finalidad y categorías
2.1 Naturaleza y finalidad del tratamiento: registrar, almacenar, mostrar e informar de las entradas del registro digital de legionela, enviar alertas y prestar soporte.
2.2 Categorías de interesados: empleados y otros usuarios a los que el Responsable da acceso al Servicio, y terceros autorizados por el Responsable (como un asesor en legionela).
2.3 Categorías de datos personales: nombre, correo electrónico, datos de cuenta y datos de registro atribuibles a un usuario (quién registró qué purga o tarea y cuándo). No se tratan categorías especiales de datos; el Responsable se asegura de que tampoco se introduzcan en campos de texto libre.
3. Obligaciones del Encargado
3.1 El Encargado trata los datos solo dentro del Espacio Económico Europeo, salvo los servicios auxiliares indicados en la declaración de privacidad, para los que se aplican garantías adecuadas (decisión de adecuación o cláusulas contractuales tipo).
3.2 El Encargado garantiza que las personas con acceso a los datos están sujetas a confidencialidad.
3.3 El Encargado toma medidas técnicas y organizativas adecuadas, entre ellas: conexiones cifradas (TLS), almacenamiento cifrado de contraseñas, separación de acceso por organización a nivel de base de datos (row level security), separación de funciones para sistemas internos, copias de seguridad y un registro de entradas que no se puede modificar.
3.4 El Encargado ayuda al Responsable, en la medida de lo razonable, a responder solicitudes de los interesados y a cumplir sus obligaciones sobre seguridad, notificación de violaciones de datos y evaluaciones de impacto. El Encargado puede cobrar costes razonables si la ayuda solicitada va más allá de las funciones estándar del Servicio.
4. Subencargados
4.1 El Responsable autoriza de forma general la contratación de subencargados. La lista actual figura en la declaración de privacidad en legiolog.com.
4.2 El Encargado impone a los subencargados obligaciones equivalentes a este contrato y sigue siendo responsable ante el Responsable de su cumplimiento.
4.3 El Encargado anuncia un cambio previsto de subencargados con al menos 30 días de antelación. En ese plazo el Responsable puede oponerse por escrito y de forma motivada; las partes buscan entonces una solución razonable. Si no se llega a una solución, el Responsable puede resolver el contrato con efecto en la fecha en que entra en vigor el cambio.
5. Violaciones de datos
5.1 El Encargado informa al Responsable sin dilación indebida, y como máximo 48 horas después de descubrirla, de una violación de la seguridad de los datos personales, con la información que el Responsable necesita para una posible notificación a la autoridad de control y a los interesados.
5.2 La notificación a la autoridad de control y a los interesados corresponde al Responsable.
6. Auditorías
6.1 A petición, el Encargado pone a disposición la información que el Responsable necesita para evaluar el cumplimiento de este contrato, como descripciones de las medidas tomadas e informes disponibles de los proveedores de infraestructura.
6.2 Como máximo una vez al año, o tras una violación importante, el Responsable puede encargar a su costa una auditoría a un experto independiente, con un preaviso de al menos 30 días y sin alterar innecesariamente el servicio ni la confidencialidad de los datos de otros clientes.
7. Devolución y supresión
7.1 Tras el fin del contrato, el Responsable puede exportar los datos a través del Servicio durante 60 días (PDF y un formato legible por máquina). Después, el Encargado suprime los datos personales, salvo que una obligación legal exija conservarlos más tiempo.
7.2 Las partes reconocen que el registro tiene valor probatorio y que por eso las entradas no se modifican ni se eliminan durante la vigencia; las correcciones se registran como una entrada nueva. Las solicitudes de supresión de los interesados las valora el Responsable, teniendo en cuenta sus obligaciones legales de conservación.
8. Responsabilidad y disposiciones finales
8.1 A este contrato se aplican las disposiciones sobre responsabilidad de las condiciones generales.
8.2 En caso de contradicción entre este contrato y el contrato principal, prevalece este contrato en lo relativo al tratamiento de datos personales.
8.3 Este contrato se rige por el derecho neerlandés. La versión inglesa es la vinculante.