Contrato de encargo del tratamiento
Última actualización: 13 de noviembre de 2026 · Versión 2026-11-c
Este contrato se celebra entre la gestoría que lo acepta en su espacio privado (el «Responsable») y Younes Sbai, NIF 08117733K, con domicilio en Calle Antonio Sedeño Cantos 4, 2.º D, 29640 Fuengirola (Málaga), España, que presta el servicio con el nombre comercial Arraigo Spain (el «Encargado»), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de uso y se acepta electrónicamente: la aceptación queda registrada con la fecha, la persona y la versión.
1. Objeto
El Encargado trata, por cuenta del Responsable, los datos personales necesarios para prestar el servicio Arraigo Spain, y únicamente para:
- mostrar el prediagnóstico de extranjería con el nombre del Responsable y guardar las solicitudes de las personas que piden que el Responsable estudie su caso;
- recibir, a través de la conexión con la cuenta de WhatsApp Business del Responsable, los mensajes y archivos que esas personas envían, guardarlos en su ficha y permitir al Responsable responder desde el espacio privado;
- enviar, en nombre del Responsable y si este no los desactiva, los mensajes automáticos de acuse de recibo y de recordatorio de cita;
- permitir al Responsable gestionar los contactos: etapas, citas, cambios de fecha, ausencias y reembolsos anotados, seguimiento, notas internas, historial, estadísticas e informes;
- enviar los emails del servicio (enlaces de acceso, invitaciones, avisos de nuevos contactos con su nombre o teléfono y la vía propuesta, informes mensuales), con el nombre del Responsable, a las direcciones que el Responsable indique;
- poner a disposición de las herramientas del Responsable (API y notificaciones) los datos que este solicite y, solo si el Responsable activa la medición de anuncios y la persona ha dado su consentimiento previo, enviar a Meta el evento descrito en el anexo;
- atender automáticamente las solicitudes de baja recibidas por WhatsApp y suprimir los datos en los plazos previstos.
2. Duración
Mientras el Responsable use el servicio. A su término se aplica la cláusula 11.
3. Datos y personas afectadas
| Personas afectadas | Potenciales clientes y clientes del Responsable que hacen el prediagnóstico (o la persona para la que se hace) o le escriben por WhatsApp; miembros del equipo del Responsable. |
|---|---|
| Identificativos y de contacto | Nombre y sexo (si se indican), número de teléfono y nombre del perfil de WhatsApp, email (si se indica), idioma. |
| Respuestas del prediagnóstico | Según el caso: nacionalidad y país de residencia, mes y año de nacimiento, situación administrativa y de residencia y sus fechas (llegada a España, tarjeta, caducidad, salidas de España, pruebas de presencia), situación familiar, laboral y de estudios, nivel de español y exámenes, recursos económicos (en tramos o el importe indicado), proyecto, objetivo y plazo; resultado del prediagnóstico. |
| Comunicaciones | Contenido de los mensajes de WhatsApp enviados y recibidos (incluidas las ubicaciones que la persona envíe), su estado y los archivos enviados por la persona (que pueden incluir documentos de identidad o de residencia y, ocasionalmente, otros datos que la persona decida enviar). |
| Seguimiento | Etapa, citas (fecha, tipo y persona del equipo), cambios de fecha, ausencias y reembolsos anotados, próxima acción, notas internas, persona asignada, historial de acciones, origen o campaña. |
| Medición de anuncios | Identificador del clic en un anuncio de Meta (fbc), datos técnicos del navegador (user agent) y referencia de la ficha. Solo se envían a Meta si el Responsable activa la medición y la persona ha dado su consentimiento previo (ver anexo). |
| Equipo del Responsable | Nombre, email, rol, oficina, teléfono (si se indica), firma de los mensajes y registros de acceso. |
| Datos especialmente protegidos | El prediagnóstico no pregunta por detalles de antecedentes penales, expulsiones ni procedimientos sancionadores: solo anota, si la persona lo señala, que hay «un punto que revisar con un profesional». No pregunta por la salud. El origen sefardí, que puede revelar un origen étnico o religioso (art. 9 RGPD), solo se guarda si la persona da su consentimiento expreso en el propio prediagnóstico. Si la persona envía otros datos por iniciativa propia en un mensaje o archivo (por ejemplo, de salud o penales), el Encargado los guarda sin analizarlos, solo para su caso, y los archivos se suprimen a los 90 días. El acuse de recibo automático advierte de no enviar informes médicos ni documentos penales salvo petición expresa del Responsable, y el Responsable puede borrar los archivos de una ficha en cuanto los transmite a su programa de expedientes. |
| Plazos de supresión automáticos | Fichas pendientes cuyo mensaje no llega (cuando el WhatsApp del Responsable está conectado): datos personales borrados a los 30 días. Solicitudes de baja: ficha borrada a los 30 días, con un registro sin datos personales. Archivos de WhatsApp: 90 días como máximo, o antes si el Responsable los borra. Contactos sin actividad: 24 meses, o 12 meses si el Responsable lo elige. Historial de uso de la API: 90 días. El Responsable puede borrar un contacto antes en cualquier momento. |
4. Instrucciones del Responsable
El Encargado trata los datos solo siguiendo las instrucciones documentadas del Responsable, que son las de este contrato y los ajustes que el Responsable configura en su espacio (por ejemplo, conectar su WhatsApp Business, activar o desactivar los mensajes automáticos o la medición de anuncios, o crear claves de API). Si una instrucción le parece contraria a la normativa, lo comunicará de inmediato. No usará los datos para fines propios, no los venderá ni los cederá, y no los usará para entrenar sistemas de inteligencia artificial ni para publicidad propia o de terceros. En particular, no contactará a los potenciales clientes del Responsable ni les ofrecerá servicios, propios o de terceros.
El Encargado no accede al espacio del Responsable salvo cuando este autoriza expresamente un acceso de asistencia técnica, limitado a 7 días. Durante ese acceso, los datos de contacto y las notas permanecen ocultos, no se pueden modificar los contactos ni el equipo, y cada visita queda registrada y visible para el Responsable.
5. Confidencialidad
El Encargado y cualquier persona que trabaje para él con acceso a los datos están obligados a guardar secreto, también después de terminar el contrato.
6. Seguridad
El Encargado aplica, entre otras, estas medidas (art. 32 RGPD):
- Datos alojados en Europa (Unión Europea y Reino Unido) y cifrados en tránsito (HTTPS/TLS) y en reposo.
- Archivos en un almacenamiento privado separado por gestoría; solo se abren con enlaces temporales, después de comprobar que la persona del equipo puede ver esa ficha, y se suprimen a los 90 días.
- Acceso al espacio mediante enlaces de un solo uso con caducidad de 20 minutos; sesiones de 30 días que se guardan solo como huella cifrada y se revocan al retirar el acceso.
- Verificación de la firma de Meta en cada mensaje recibido por WhatsApp.
- Separación de los datos de cada gestoría; opción de que cada miembro del equipo vea solo sus contactos.
- Registro de las acciones del equipo sobre cada contacto.
- API de solo lectura, con claves revocables por el Responsable, guardadas solo como huella cifrada, avisos firmados e historial de uso de 90 días.
- Acceso a la base de datos solo desde el servidor, con claves de servicio que nunca se envían al navegador.
7. Subencargados
El Responsable autoriza de forma general la intervención de los siguientes subencargados, con los que el Encargado tiene contratos que imponen obligaciones equivalentes:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Supabase Inc. | Base de datos y almacenamiento de archivos | Reino Unido (Londres), país con decisión de adecuación de la Comisión Europea |
| Vercel Inc. | Alojamiento y ejecución del servicio | Unión Europea (Fráncfort) |
| Resend (Plus Five Five, Inc.) | Envío de emails transaccionales | Unión Europea (Irlanda) |
El Encargado informará al Responsable por email de cualquier cambio de subencargado con al menos 15 días de antelación; el Responsable podrá oponerse y, si no hay solución, darse de baja sin coste.
Transferencias internacionales. Supabase Inc., Vercel Inc. y Plus Five Five, Inc. (Resend) tienen su sede en EE. UU., aunque alojan los datos en la Unión Europea (Vercel en Fráncfort, Resend en Irlanda) o en el Reino Unido (Supabase en Londres, país con decisión de adecuación de la Comisión Europea, por lo que ese alojamiento no requiere garantías adicionales). Si alguna accede a los datos desde fuera del Espacio Económico Europeo o del Reino Unido (en particular, desde EE. UU.), la transferencia se ampara en:
- Supabase Inc.: cláusulas contractuales tipo de la Comisión Europea incorporadas en su contrato de encargo (DPA).
- Vercel Inc.: certificación en el Marco de Privacidad de Datos UE-EE. UU. y, además, cláusulas contractuales tipo en su contrato de encargo (DPA).
- Resend (Plus Five Five, Inc.): certificación en el Marco de Privacidad de Datos UE-EE. UU. (desde marzo de 2025).
El Encargado comprobará periódicamente la vigencia de estas garantías y avisará al Responsable de cualquier cambio.
Servicios contratados directamente por el Responsable. No son subencargados del Encargado los servicios que el Responsable decide usar y contrata directamente: en particular, la plataforma WhatsApp Business de Meta, que actúa como encargado contratado directamente por el Responsable (la cuenta pertenece al Responsable, que acepta las condiciones de Meta), su herramienta de anuncios de Meta, su agenda, su pasarela de pago, su correo y las herramientas que conecte mediante la API. El Encargado se conecta a la cuenta de WhatsApp Business y, en su caso, al conjunto de datos de anuncios del Responsable con un usuario técnico que el Responsable autoriza y puede revocar en cualquier momento.
8. Derechos de las personas
El Encargado ayudará al Responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad, en particular con la eliminación de fichas y la exportación de datos desde el espacio. Las solicitudes de baja recibidas por WhatsApp se marcan automáticamente y los datos se suprimen a los 30 días (o antes si el Responsable lo decide), conservando solo un registro sin datos personales del contacto. El Responsable puede anular una baja marcada por error. Si una persona se dirige al Encargado, este le remitirá la solicitud al Responsable sin demora y en todo caso en un plazo de 5 días hábiles.
9. Violaciones de seguridad
El Encargado notificará al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 24 horas desde que tenga conocimiento, con la información disponible para que el Responsable pueda, en su caso, notificarla a la autoridad de control en el plazo de 72 horas.
10. Colaboración y auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y colaborará en las evaluaciones de impacto o consultas previas que procedan. Las auditorías se acordarán con un preaviso razonable y a cargo de quien las solicite.
11. Fin del encargo
Al terminar el servicio, el Responsable dispone de 30 días para pedir una exportación de sus datos. Pasado ese plazo, el Encargado suprimirá los datos, los archivos y sus copias en un máximo de 90 días adicionales, salvo que una ley obligue a conservarlos bloqueados.
12. Obligaciones del Responsable
El Responsable garantiza que tiene una base legal para el tratamiento, informa a las personas mediante la política de privacidad de su prediagnóstico (que el servicio genera con sus datos y que el Responsable revisa), atiende sus derechos, decide cuánto tiempo conserva los contactos en su espacio dentro de los plazos indicados. Si activa la medición de anuncios de Meta, solo se aplica a las personas que hayan dado su consentimiento previo, y el Responsable y Meta son corresponsables de ese envío (art. 26 RGPD).
Anexo. Medición de anuncios de Meta
Solo si el Responsable activa la medición y la persona ha dado su consentimiento previo marcando una casilla en el prediagnóstico, cuando llega su mensaje el Encargado envía a Meta un evento «Lead» con: la referencia de la ficha, la fecha, la página de origen, el identificador del clic en el anuncio (fbc) y los datos técnicos del navegador (user agent). Nunca se envían respuestas, nombre, teléfono ni email. Sin consentimiento no se envía nada. El Responsable y Meta son corresponsables de este envío. El Responsable puede desactivar esta función en cualquier momento.