Contrato de Encargo de Tratamiento (DPA)

Sign HUB

Última actualización: 22 de julio de 2026

El presente documento recoge el Contrato de Encargo de Tratamiento de Datos Personales (Data Processing Agreement, DPA) que HUB DESPACHOS Y PYMES, S.L. (CIF B76816875), en su condición de encargado del tratamiento, ofrece a sus clientes (despachos profesionales y empresas) en su condición de responsables del tratamiento, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

1. Partes

2. Objeto, duración, naturaleza y finalidad

• Objeto: prestación del servicio SaaS de firma electrónica embebido en el CRM Bitrix24 del cliente (o accedido directamente), que incluye la verificación de identidad del firmante, la recogida de la firma, la aplicación del sello electrónico cualificado, el sellado de tiempo y la generación de la evidencia.
• Duración: la vigencia de este contrato de encargo sigue a la del contrato comercial de prestación del servicio entre las partes, y se mantiene mientras el encargado conserve datos personales por cuenta del responsable.
• Naturaleza del tratamiento: recogida, almacenamiento, estructuración, generación, transmisión y conservación de datos personales por medios automatizados.
• Finalidad: exclusivamente permitir al responsable enviar documentos a la firma de sus propios firmantes (terceros ajenos a este contrato) y conservar la prueba asociada.

3. Tipos de datos y categorías de interesados

Categorías de interesados: firmantes externos designados por el responsable (clientes, empleados o proveedores del propio responsable) — personas físicas que nunca contratan directamente con HUB Consultores.

Tipos de datos tratados:

• Datos identificativos del firmante: nombre completo, DNI/NIF (si lo facilita), email.
• Firma manuscrita digitalizada (imagen).
• Datos de conexión: dirección IP, fecha/hora, user-agent del navegador.
• Hash criptográfico (SHA-256) del documento original y del firmado.
• Consentimientos aceptados por el firmante, con marca temporal.

4. Obligaciones del encargado (art. 28.3 RGPD)

HUB Consultores, como encargado, se compromete a:

1. Instrucciones documentadas. Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable, incluso en lo relativo a transferencias internacionales, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros, en cuyo caso informará al responsable de esa exigencia legal previamente, salvo que tal Derecho lo prohíba por razones importantes de interés público.
2. Confidencialidad reforzada. Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal. Dado que el responsable suele ser una asesoría o despacho profesional sujeto a su propio deber de secreto profesional, HUB Consultores aplica un estándar de confidencialidad reforzado a los datos que trata por cuenta del responsable.
3. Medidas de seguridad (art. 32 RGPD). Implementar medidas técnicas y organizativas apropiadas, resumidas en: cifrado en tránsito (TLS 1.2+) y en reposo (AES-256 + Fernet), almacenamiento inmutable WORM durante el plazo de conservación, identificación de doble factor del firmante (enlace + OTP por email), registro de auditoría de accesos y operaciones críticas, y limitación de acceso al personal estrictamente necesario.
4. Subencargados. HUB Consultores cuenta con autorización general y por escrito del responsable para recurrir a los subencargados recogidos en la Lista de Subencargados pública. Cualquier incorporación o sustitución prevista se comunicará al responsable con un preaviso mínimo de 30 días, durante el cual el responsable podrá oponerse por motivos razonables y documentados relacionados con la protección de datos. HUB Consultores impone contractualmente a cada subencargado las mismas obligaciones de protección de datos recogidas en este contrato, respondiendo íntegramente ante el responsable del cumplimiento del subencargado.
5. Asistencia en el ejercicio de derechos. Asistir al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, en la medida de lo posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados previstos en el Capítulo III RGPD.
6. Asistencia en seguridad y brechas. Ayudar al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 RGPD (seguridad, notificación de brechas a la autoridad de control y a los interesados, evaluaciones de impacto y consultas previas), teniendo en cuenta la información de que dispone HUB Consultores.
7. Supresión o devolución de los datos. Al finalizar la prestación del servicio de firma, y a elección del responsable, suprimir o devolver todos los datos personales y suprimir las copias existentes, con la excepción del subconjunto de evidencias de firma (identidad declarada, dirección IP, user-agent, marcas temporales, hashes del documento y certificado de evidencia), que HUB Consultores conserva durante un mínimo de 5 años en su propia condición de responsable del tratamiento, según se documenta en el apartado 6 siguiente, en virtud de una obligación legal (art. 17.3.e RGPD, defensa frente a reclamaciones; Ley 6/2020 de servicios de confianza; Reglamento (UE) 910/2014, eIDAS).
8. Auditorías. Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por este, hasta una vez al año, con un preaviso mínimo de 30 días y con confidencialidad sobre la información a la que se acceda.

5. Transferencias internacionales

Algunos de los subencargados recogidos en la Lista de Subencargados se ubican en Estados Unidos (por ejemplo, los proveedores de envío de email y de procesamiento de pagos). Cualquier transferencia de datos personales a dichos subencargados se ampara en:

• Su autocertificación bajo el Marco de Protección de Datos UE-EE. UU. (Data Privacy Framework, DPF), cuando resulte aplicable, como mecanismo principal de transferencia; y
• Como garantía de respaldo, las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea (SCC 2021), incorporadas al contrato con el subencargado, de forma que la transferencia siga amparada legalmente aunque el DPF fuera invalidado o dejara de estar disponible.

No se realiza ninguna transferencia de la evidencia de firma que HUB Consultores conserva como responsable propio (apartado 6) a subencargados fuera del Espacio Económico Europeo.

6. Doble naturaleza: encargado y responsable

HUB Consultores actúa bajo dos condiciones distintas según el conjunto de datos de que se trate:

• Como encargado del responsable, respecto del documento enviado a la firma y de los datos identificativos del firmante empleados para completar ese proceso concreto de firma, que se tratan estrictamente por cuenta e instrucciones del responsable.
• Como responsable del tratamiento por cuenta propia, respecto del subconjunto de evidencias de firma descrito en el apartado 4.7 anterior (identidad declarada, dirección IP, user-agent, marcas temporales y hashes del documento), que HUB Consultores genera y conserva durante un mínimo de 5 años para cumplir sus propias obligaciones legales como prestador cualificado de servicios de confianza conforme al Reglamento (UE) 910/2014 (eIDAS) y a la Ley 6/2020, y para la defensa frente a reclamaciones relacionadas con la firma realizada (art. 17.3.e RGPD). Esta conservación es independiente de la relación comercial con el responsable y subsiste a su finalización.

7. Vigencia, modificación y legislación aplicable

Este contrato de encargo se rige por la legislación española y permanece vigente mientras HUB Consultores trate datos personales por cuenta del responsable. Cualquier cambio sustancial de este modelo se publicará en esta página; los cambios de subencargados siguen el procedimiento de preaviso de 30 días descrito en el apartado 4.4.

8. Contacto y formalización

Esta página publica el modelo estándar del contrato de encargo. Para formalizar una copia firmada y adaptada a su empresa, o para cualquier consulta relacionada con este DPA, diríjase a [email protected].