Acuerdo de encargo del tratamiento de datos personales
Versión 0.1 · Anexo de toda propuesta firmada
Partes: el CLIENTE que firma la propuesta («Responsable») y MICHICORP S.A.S. (en constitución), RUC [RUC] («Encargado»).
Fundamento: LOPDP arts. 30, 34, 43, 47 y 70, y Reglamento arts. 40 a 45.
1. Objeto
El Encargado trata datos personales por cuenta del Responsable solo para ejecutar la obra contratada: desarrollar, probar, publicar y dar soporte a la aplicación. No se considera transferencia (LOPDP art. 34).
2. Descripción del tratamiento
| Finalidad | desarrollo, pruebas, publicación y soporte de la obra |
| Titulares | usuarios de la aplicación del Responsable y personal del Responsable |
| Datos | los que defina el Responsable para su aplicación: [DETALLE POR OBRA] |
| Categorías especiales | [SÍ/NO]. Si hay datos de salud o de menores, aplica la cláusula 9 |
| Duración | la de la obra más la garantía y el soporte contratado |
3. Instrucciones
El Encargado trata los datos solo según las instrucciones documentadas del Responsable: la propuesta, este acuerdo y lo que se registre en el portal. Si una instrucción le parece contraria a la ley, lo avisa antes de cumplirla.
4. Confidencialidad
Toda persona que trate los datos por el Encargado está obligada a guardar confidencialidad, también después de terminar su relación (LOPDP arts. 30 y 47.10). El Encargado mantiene acuerdos de confidencialidad firmados con ellas.
5. Seguridad
El Encargado aplica medidas proporcionales al riesgo:
- cifrado en tránsito y de los secretos en reposo;
- control de acceso por roles con verificación en dos pasos obligatoria para su personal;
- bitácora de actividad;
- respaldos;
- datos de prueba ficticios en lugar de datos reales siempre que sea posible;
- separación entre los entornos de desarrollo y de producción.
6. Subencargados
El Responsable autoriza a los subencargados que figuran en la Política de privacidad (hosting, Cloudflare, correo, Firebase App Distribution, GitHub) para los fines allí descritos (Reglamento art. 45). El Encargado avisará con 15 días de anticipación de cualquier subencargado nuevo, y el Responsable podrá oponerse por motivos razonables. Cada subencargado queda obligado a lo mismo que el Encargado.
7. Transferencias internacionales
Si un subencargado está fuera del Ecuador, el Encargado se asegura de que ofrezca garantías adecuadas (cláusulas contractuales tipo o equivalentes, LOPDP art. 57) y lo informa en la lista de subencargados.
8. Vulneraciones de seguridad
El Encargado notifica al Responsable cualquier vulneración que afecte los datos en el término de 2 días desde que tiene conocimiento (LOPDP art. 43); internamente busca hacerlo en menos de 24 horas. La notificación incluye lo ocurrido, los datos y titulares afectados, las medidas tomadas y un contacto. Además, colabora para que el Responsable avise a la Autoridad y a ARCOTEL (5 días) y a los titulares (3 días).
9. Datos de salud y de menores
Si la aplicación trata datos de salud o datos de niñas, niños y adolescentes:
- el Responsable obtiene el consentimiento expreso del representante legal (para menores de 15 años y para datos sensibles de cualquier menor) o el del adolescente desde los 15 años, con información en lenguaje de su edad (Reglamento art. 19);
- el Encargado minimiza esos datos en todo lo que esté a su alcance: no usa datos reales en pruebas, el paquete de reportes no envía datos personales, y en la tienda la app se publica solo en los países que el Responsable autorice;
- el Responsable decide si hace falta una evaluación de impacto y el Encargado colabora con ella.
10. Derechos de los titulares
Si un titular escribe al Encargado, este lo deriva al Responsable en 2 días hábiles y colabora técnicamente para que el Responsable pueda responder en los 15 días de ley.
11. Fin del encargo
Al terminar la obra (o la garantía o el soporte), el Encargado devuelve o elimina los datos personales, según indique el Responsable, en un plazo de 30 días, y lo certifica por escrito. Solo conserva lo que una ley le obligue (LOPDP art. 70.6).
12. Auditoría
El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permite revisiones razonables, con aviso de 10 días hábiles y a costo del Responsable.
13. Registro de actividades
El Encargado mantiene el registro de actividades del tratamiento hecho por cuenta del Responsable cuando la ley lo exija (Reglamento art. 44).