Contrato de encargo del tratamiento

Última actualización: 8 de octubre de 2026 · versión 2026-10-08

Este contrato regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que Javier Lucena Rosino (OptimusPlanner) (el «Encargado» o «Proveedor») realiza por cuenta del cliente que utiliza la plataforma OptimusPlanner (el «Responsable» o «Cliente»). Forma parte de los Términos y condiciones y se acepta junto con ellos al crear la cuenta; la aceptación queda registrada con fecha, versión, dirección IP y navegador.

1. Objeto y duración

El Encargado tratará los datos personales que el Cliente introduzca o genere en la Plataforma únicamente para prestarle el servicio de software de gestión contratado. El tratamiento durará mientras el Cliente mantenga su cuenta activa y, tras la baja, el plazo de conservación indicado en la cláusula 8.

2. Naturaleza y finalidad del tratamiento

Alojamiento, almacenamiento, consulta, modificación, copia de seguridad, envío de comunicaciones ordenadas por el Cliente (correos a empleados, clientes y candidatos), generación de documentos (facturas, nóminas, cuadrantes, contratos) y, si el Cliente usa las ayudas de inteligencia artificial, el envío al proveedor del modelo de los datos estrictamente necesarios para cada ayuda. Todo ello para que el Cliente gestione su negocio con la Plataforma.

3. Tipos de datos y categorías de interesados

• Empleados y candidatos del Cliente: identificativos (nombre, DNI, dirección, teléfono, correo), laborales (puesto, contrato, horario, fichajes con ubicación si se activa, ausencias, evaluaciones, nómina), bancarios (IBAN), número de la Seguridad Social, datos de salud limitados a bajas y justificantes que el empleado aporte, currículum y datos de los procesos de selección.
• Clientes y contactos del Cliente: identificativos, de contacto, fiscales (NIF, dirección), historial de compras, citas, presupuestos, facturas, consentimientos de marketing y comunicaciones.
• Proveedores y otros terceros: identificativos, fiscales y de contacto.
• Denunciantes del canal interno: los datos que el propio interesado aporte, con acceso restringido al responsable que el Cliente designe.

El Cliente se compromete a no introducir categorías especiales de datos (salud, afiliación, orientación…) más allá de lo imprescindible para la gestión laboral y a contar con base legal para cada tratamiento.

4. Obligaciones del Encargado

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, que se materializan en el uso que este hace de la Plataforma. Si una instrucción vulnera la normativa, el Encargado informará al Cliente de inmediato.
• No usar los datos para fines propios ni cederlos a terceros, salvo los subencargados de la cláusula 6 o cuando lo exija una obligación legal (por ejemplo, la remisión de facturas a la Agencia Tributaria por Verifactu ordenada por el Cliente).
• Garantizar que las personas autorizadas a tratar los datos se comprometen a la confidencialidad y reciben la formación necesaria.
• Aplicar las medidas de seguridad del artículo 32 del RGPD: cifrado en tránsito (TLS) y en reposo, aislamiento de los datos por empresa mediante políticas de acceso a nivel de fila, control de accesos y usuarios con permisos por módulo, verificación en dos pasos opcional, copias de seguridad diarias, registro de cambios en los fichajes y bloqueo de las facturas selladas.
• Asistir al Cliente para atender los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). La Plataforma permite al Cliente atenderlos directamente; si el Encargado recibe una solicitud, la trasladará al Cliente sin demora.
• Notificar al Cliente, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información disponible sobre su naturaleza, los interesados y datos afectados, las consecuencias probables y las medidas adoptadas.
• Apoyar al Cliente en las evaluaciones de impacto y consultas previas a la autoridad de control cuando procedan.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías que el Cliente o un auditor por él autorizado realicen, con un preaviso razonable y sin afectar a la seguridad del resto de clientes.
• Llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente.

5. Obligaciones del Cliente (Responsable)

• Informar a sus empleados, clientes y candidatos del tratamiento y contar con la base legal necesaria para cada dato que introduzca.
• Configurar los textos informativos y consentimientos que la Plataforma ofrece en sus formularios públicos (reservas, reclutamiento, carta, soporte) y atender los derechos de los interesados.
• Gestionar de forma diligente las credenciales de acceso, los usuarios y los permisos por módulo, y dar de baja a los usuarios que dejen de necesitar acceso.
• Realizar las evaluaciones de impacto que procedan y cumplir sus propias obligaciones como responsable.

6. Subencargados

El Cliente autoriza de forma general al Encargado a recurrir a los siguientes subencargados, con los que existe contrato de encargo con garantías equivalentes a este:

El Encargado informará al Cliente, con al menos 30 días de antelación y a través de la Plataforma o por correo, de cualquier incorporación o sustitución de subencargado. El Cliente podrá oponerse por motivos razonables; si no es posible atender la oposición, podrá resolver el contrato sin penalización y exportar sus datos.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado está en Estados Unidos, la transferencia se ampara en su adhesión al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) o en las cláusulas contractuales tipo de la Comisión Europea. Fuera de estos casos no se realizan transferencias internacionales.

8. Devolución y supresión al finalizar

Durante la vigencia del contrato el Cliente puede exportar sus datos en cualquier momento desde la Plataforma (CSV, Excel y PDF). Al causar baja, los datos se conservan bloqueados durante 30 días para permitir su recuperación y después se suprimen de forma definitiva, incluidas las copias de seguridad en sus ciclos de rotación, salvo los que el Encargado deba conservar por obligación legal (datos de facturación del Cliente al Proveedor: 6 años). A petición del Cliente, el Encargado certificará la supresión.

9. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. El Encargado responde de los subencargados que contrate. La limitación de responsabilidad de los Términos y condiciones no se aplica a los daños causados por dolo o negligencia grave ni a las sanciones impuestas por la autoridad de control a una parte por incumplimiento propio.

10. Contacto y vigencia

Cualquier comunicación relativa a este contrato se dirigirá a info@optimusplanner.com. El contrato entra en vigor con la aceptación en el registro y se mantiene mientras dure el servicio. Las modificaciones se publicarán con nueva versión y fecha, y se pedirá al administrador de la cuenta que las acepte.