Contrato de encargo del tratamiento
Contrato entre la gestoría, responsable del tratamiento, y el prestador de Milegajo, encargado del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679. Se acepta al dar de alta la gestoría y forma parte del contrato de suscripción.
Por qué existe
Cuando una gestoría sube a Milegajo la documentación de sus clientes, sigue siendo ella la responsable de esos datos personales; el prestador solo los trata por cuenta suya. El RGPD exige que esa relación conste por escrito, con un contenido mínimo. Sin este contrato, ambas partes incumplirían.
Objeto, duración y naturaleza
El encargado trata los datos personales que el responsable y sus clientes incorporan al portal, con la única finalidad de prestar el servicio contratado: almacenamiento, puesta a disposición, gestión de solicitudes de documentación y envío de los avisos asociados. El tratamiento dura lo que dure la suscripción.
Datos y personas afectadas
Datos identificativos y de contacto de los usuarios del portal, y los datos personales contenidos en la documentación que se suba, que puede incluir información fiscal, laboral y económica. Personas afectadas: los clientes del responsable, sus trabajadores y el personal de la propia gestoría.
Obligaciones del encargado
- Tratar los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a transferencias internacionales.
- No destinar los datos a una finalidad distinta de la prestación del servicio.
- Garantizar que quien accede a los datos se ha comprometido a respetar la confidencialidad, con carácter indefinido.
- Aplicar las medidas técnicas y organizativas apropiadas conforme al artículo 32, incluido el aislamiento entre gestorías, el control de acceso y el cifrado de las credenciales.
- Asistir al responsable para que pueda atender las solicitudes de ejercicio de derechos que reciba de las personas afectadas.
- Asistir al responsable en las evaluaciones de impacto y en las consultas previas que procedan.
- Notificar al responsable sin dilación indebida, y en todo caso dentro de las cuarenta y ocho horas siguientes a tener conocimiento, cualquier violación de la seguridad de los datos, con la información necesaria para que pueda cumplir sus propias obligaciones de notificación.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías.
Subencargados
El responsable autoriza de forma general que el encargado recurra a los subencargados que se relacionan a continuación, con los que mantiene contratos que imponen las mismas obligaciones. El encargado informará de cualquier alta o sustitución con antelación suficiente para que el responsable pueda oponerse; si se opone, podrá resolver la suscripción sin penalización.
| Stripe Payments Europe, Ltd. | Cobro de la suscripción | Irlanda (UE) |
| Postmark (ActiveCampaign, LLC) | Envío de los correos del servicio | Estados Unidos — Data Privacy Framework |
| Amazon Web Services EMEA SARL | Alojamiento de la aplicación, la base de datos y los documentos | Unión Europea |
| Functional Software, Inc. (Sentry) | Registro de errores de la aplicación | Estados Unidos — Data Privacy Framework |
Devolución y supresión
Al terminar la suscripción, el encargado conserva los datos durante treinta días para que el responsable pueda recuperarlos. Transcurrido ese plazo, y salvo que el responsable pida antes la supresión inmediata, los suprime, junto con las copias existentes, salvo aquello que deba conservar por obligación legal, en cuyo caso lo mantendrá bloqueado.
Obligaciones del responsable
Corresponde a la gestoría contar con la base jurídica que ampare el tratamiento, informar a las personas afectadas, atender el ejercicio de sus derechos y velar por que el uso del portal se ajuste a la normativa de protección de datos.
Última actualización: 27/08/2026