Contrato de encargo de tratamiento
Artículo 28 del Reglamento (UE) 2016/679 (RGPD) · Última actualización: 10 de octubre de 2026
Este contrato forma parte de las Condiciones de uso y se acepta al contratar Kromaform. Si tu empresa necesita una versión firmada, pídela en info@kromaform.com.
1. Partes
Responsable del tratamiento: el Cliente que contrata Kromaform.
Encargado del tratamiento: [Nombre y apellidos o razón social], NIF
[NIF], domicilio [Dirección completa].
2. Objeto, naturaleza y finalidad
El Encargado trata datos personales por cuenta del Responsable con la única finalidad de generar, a partir de los datos que envía el Odoo del Responsable, documentos en PDF (facturas, presupuestos, pedidos, proformas y albaranes) y devolvérselos. El tratamiento consiste en recibir los datos, componer el documento y entregarlo.
3. Datos e interesados
| Interesados | Clientes, proveedores y personas de contacto del Responsable que figuren en sus documentos; firmantes de pedidos y albaranes. |
|---|---|
| Datos | Identificativos y de contacto (nombre, NIF, direcciones, correo, teléfono), datos económicos y de la operación (productos, importes, impuestos, cuentas bancarias, condiciones de pago) y, en su caso, la imagen de la firma. |
| Categorías especiales | No se tratan. El Responsable no debe incluirlas en los documentos. |
4. Duración y conservación
El encargo dura lo mismo que el contrato del servicio. El contenido de cada documento no se conserva: se procesa en memoria, en un proceso que termina al entregar el PDF, y no se escribe en disco ni en registros. Solo se conservan metadatos sin contenido del documento (fecha, resultado, duración, páginas, tipo y plantilla) durante 13 meses, para la facturación y el control del servicio.
5. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las de este contrato y la configuración que el Responsable hace en su Odoo. Si una instrucción infringe la normativa, lo comunicará.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados y en los casos que exija la ley.
- Garantizar que las personas autorizadas a acceder al sistema se han comprometido a respetar la confidencialidad.
- Aplicar las medidas de seguridad del apartado 7 (artículo 32 RGPD).
- Ayudar al Responsable a atender los derechos de los interesados. Como el Encargado no conserva el contenido de los documentos, esos derechos se ejercen sobre los datos que el Responsable tiene en su Odoo.
- Notificar al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que pueda notificarla a la autoridad de control si procede.
- Ayudar al Responsable, cuando sea necesario, en las evaluaciones de impacto y consultas previas.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con aviso previo y sin afectar a la seguridad de otros clientes.
6. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a subencargados. A la fecha de este contrato son:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| IONOS (grupo IONOS / Arsys) | Alojamiento del servidor (infraestructura) | España (UE) |
Cloudflare presta solo el servicio de nombres de dominio (DNS) y no recibe datos de los documentos. El Encargado informará con 30 días de antelación de cualquier cambio de subencargado; el Responsable podrá oponerse y, en ese caso, darse de baja del servicio. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos de este contrato.
7. Medidas de seguridad
- Comunicaciones cifradas con TLS (HTTPS) directamente entre el Odoo del Responsable y el servidor, sin intermediarios que descifren el tráfico.
- Cada petición va firmada con la clave del Responsable (HMAC), caduca a los 5 minutos y no se puede reutilizar.
- Cada documento se genera en un proceso aislado que termina al entregarlo; sin memoria de intercambio (swap) ni volcados de memoria.
- Claves de los clientes cifradas en la base de datos con una clave maestra que se guarda fuera de ella.
- Acceso administrativo al servidor solo con clave criptográfica; cortafuegos que solo deja pasar el tráfico necesario; bloqueo automático de intentos de acceso; actualizaciones de seguridad automáticas.
- Copias de seguridad diarias de los datos de cuenta y uso (nunca del contenido de los documentos), conservadas 30 días.
- Vigilancia continua del servicio con avisos al Encargado.
8. Fin del encargo
Al terminar el contrato, el Encargado revocará las credenciales del Responsable y suprimirá sus datos de cuenta y metadatos de uso, salvo los que deba conservar por obligación legal (por ejemplo, los de facturación), que quedarán bloqueados. No hay documentos que devolver, porque no se conservan.
9. Responsabilidad
Cada parte responde del cumplimiento de sus obligaciones conforme al RGPD. Si el Encargado destina los datos a otra finalidad o incumple este contrato, será considerado responsable del tratamiento respecto a ese uso.