# Borrador de acuerdo de encargo del tratamiento · CuidaEnRed

**Estado:** plantilla de negociación. No firmar ni cargar datos reales de salud hasta completar los anexos, verificar subencargados y obtener revisión jurídica de ambas partes.

## 1. Partes y objeto

**Responsable:** [nombre legal de la agencia], NIF [ ], domicilio [ ], representada por [ ].

**Encargado:** SOLANA DIGITAL, S.L., NIF B24954828, Avenida de la Vega, número 8, Bloque 2, Portal 2, Planta 1, Puerta B, 28108 Alcobendas (Madrid), representada por [ ].

El encargo comprende el alojamiento y operación de CuidaEnRed para coordinar los círculos de las personas atendidas por la agencia. La agencia determina los fines y la base jurídica; SOLANA DIGITAL trata los datos únicamente siguiendo instrucciones documentadas, salvo obligación legal aplicable, que comunicará cuando proceda.

## 2. Descripción del tratamiento (anexo A, completar)

| Elemento | Acuerdo específico |
| --- | --- |
| Duración y fecha de inicio | [ ] |
| Fines y naturaleza | Coordinación de tareas, calendario, partes, incidencias, personas y comunicaciones [ajustar] |
| Categorías de interesados | Personas cuidadas, familiares, profesionales, contactos de apoyo [ajustar] |
| Categorías de datos | Identificación, contacto, asignaciones, partes y posibles datos de salud [detallar] |
| Base jurídica decidida por la agencia | [ ] |
| Instrucciones sobre acceso, conservación y exportación | [ ] |
| Persona de contacto y canal de incidencias | [ ] |

## 3. Obligaciones del encargado

1. Tratar los datos solo bajo instrucciones documentadas del responsable y avisar si alguna instrucción parece infringir la normativa.
2. Exigir confidencialidad a las personas autorizadas.
3. Aplicar las medidas técnicas y organizativas del anexo B y revisar su eficacia.
4. No incorporar subencargados nuevos sin el procedimiento de autorización pactado. Imponerles obligaciones equivalentes y responder de su actuación conforme al artículo 28 RGPD.
5. Asistir al responsable en solicitudes de derechos, incidentes, EIPD y consultas previas, en la medida posible y con la información disponible.
6. Comunicar al responsable una violación de seguridad sin dilación indebida tras conocerla, por el canal [ ], con la información disponible y actualizaciones posteriores.
7. Poner a disposición del responsable la información necesaria para demostrar cumplimiento y permitir auditorías razonables pactadas, protegiendo la confidencialidad de otros clientes.

## 4. Subencargados y transferencias (anexo C, completar)

Documentar antes de firmar: Google Firebase / Google Cloud (Firestore, Functions, Hosting y Authentication), Stripe cuando corresponda, Google Play cuando corresponda y proveedor de correo. Para cada uno: entidad contractual, función, categorías de datos, lugar de tratamiento, acuerdo de tratamiento, mecanismo de transferencia internacional y autorización del responsable. **Firebase Authentication procesa datos de autenticación en Estados Unidos; no declarar residencia íntegra en la UE.**

La base Firestore oficial está en `eur3` (Bélgica / Países Bajos, testigo Finlandia), las funciones en `europe-west1` (Bélgica) y Hosting utiliza una CDN global. Cualquier migración a Madrid exige un proyecto de migración y un anexo actualizado.

## 5. Medidas de seguridad (anexo B, verificar)

- Inicio de sesión con Firebase Authentication; verificación de correo según flujo.
- Reglas Firestore por pertenencia, rol y módulos; retirada de accesos al finalizar la asignación.
- HTTPS/cifrado en tránsito; gestión de secretos fuera del repositorio.
- Historial funcional de cambios en partes, tareas e incidencias; **no** afirmar auditoría exhaustiva de lecturas.
- Copia, restauración, monitorización y procedimiento de respuesta a incidentes: [describir y comprobar].
- Política de accesos administrativos, revisión periódica, autenticación multifactor y baja de personal: [completar].

## 6. Finalización y eliminación

Al finalizar el servicio, el responsable elegirá por escrito devolución/exportación o supresión de los datos, salvo conservación legal obligatoria. Plazo de exportación [ ], plazo de supresión [ ], procedimiento para copias y certificación [ ]. La cuenta individual puede solicitar eliminación conforme a la política pública, pero no sustituye la instrucción de la agencia sobre círculos compartidos.

## 7. Responsabilidad, ley y firma

Las responsabilidades económicas, jurisdicción y relación con el contrato de servicio se fijarán en [ ]. Nada de este borrador sustituye los derechos y obligaciones imperativos del RGPD.

Firmado en [ ], a [ ]. Responsable: [firma]. Encargado: [firma].

**Referencias:** artículo 28 del Reglamento (UE) 2016/679 y guía de la AEPD para responsables del tratamiento.