Legal
Acuerdo de encargo del tratamiento
Versión 1.0 · En vigor desde el 1/9/2026
Acuerdo de encargo del tratamiento
Versión 1.0 · Aplicable desde la fecha de aceptación.
Este acuerdo regula el tratamiento de datos personales que se realiza a través de la plataforma Aulia, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD).
Lo acepta la persona que representa a la empresa cliente, en nombre de esta.
1. Las partes y su papel
| Quién | Papel |
|---|---|
| La empresa cliente que contrata la formación para su plantilla | Responsable del tratamiento |
| El operador (la consultora que imparte la formación) | Encargado del tratamiento |
| [Razón social del titular], NIF [NIF] | Subencargado |
La empresa cliente, al aceptar este acuerdo, autoriza expresamente que el operador recurra al titular de la plataforma como subencargado, en los términos que aquí se establecen.
2. Objeto, duración y naturaleza
Objeto. Impartir formación en cumplimiento normativo a las personas que la empresa cliente designe, y generar la evidencia documentada que acredita que esa formación se ha realizado.
Duración. Mientras dure la relación entre la empresa cliente y el operador, más el periodo de bloqueo que establece la cláusula 8.
Naturaleza y finalidad. Recogida, registro, conservación, consulta y, cuando proceda, despersonalización de los datos necesarios para impartir la formación y acreditarla.
3. Categorías de datos y de interesados
Interesados: el personal de la empresa cliente al que se asigne formación, y las personas que la empresa designe para administrarla.
Datos: identificativos (nombre y correo), de la relación laboral estrictamente necesarios (la empresa a la que pertenece y el papel), y los que genera la propia formación: progreso, intentos de evaluación, resultado, certificado y traza técnica (dirección IP y navegador de la sesión de examen).
No se tratan datos de categorías especiales del artículo 9 del RGPD.
4. Instrucciones
El operador y el titular tratan los datos únicamente siguiendo las instrucciones documentadas de la empresa cliente. Estas instrucciones incluyen las que constan en este acuerdo y las que la empresa cliente anote en la plataforma, en particular los plazos de conservación.
Si el operador o el titular consideran que una instrucción infringe la normativa de protección de datos, lo comunicarán inmediatamente a la empresa cliente.
La plataforma no fija ningún plazo de conservación por su cuenta. Mientras la empresa cliente no anote ninguno, no se bloquea ni se despersonaliza nada.
5. Confidencialidad
Las personas autorizadas a tratar los datos están sujetas a deber de confidencialidad, que subsiste una vez terminada la relación.
6. Seguridad
Se mantienen medidas técnicas y organizativas apropiadas, entre ellas:
- cifrado de los datos en tránsito y de las copias de seguridad;
- control de acceso por filas en la base de datos: la separación entre empresas no la hace la
interfaz, la hace el motor de base de datos;
- evidencia inalterable: el progreso, los intentos y los certificados no pueden modificarse ni
borrarse desde la aplicación;
- corrección de la evaluación en el servidor, de modo que el resultado no depende de nada que
ocurra en el dispositivo de quien se examina;
- copias de seguridad diarias fuera de la máquina de servicio, verificadas con restauraciones
periódicas;
- segundo factor de autenticación exigible a las cuentas con capacidad de administración.
7. Subencargados
La empresa cliente autoriza a los siguientes subencargados, todos ellos dentro de la Unión Europea:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Hetzner Online GmbH | Alojamiento y copias de seguridad | Alemania |
| Brevo (Sendinblue SAS) | Correo transaccional | Francia |
| Mollie B.V. | Cobro entre operador y titular | Países Bajos |
| Holded | Facturación y contabilidad | España |
No hay transferencias internacionales de datos fuera de la Unión Europea.
Cualquier incorporación o sustitución de subencargado se comunicará con una antelación de [plazo], y la empresa cliente podrá oponerse de forma razonada.
8. Conservación, bloqueo y supresión
Vencido el plazo que la empresa cliente haya instruido:
- Los datos pasan a estado de bloqueo: se retiran del tratamiento ordinario y se conservan a
disposición de jueces, tribunales y administraciones públicas durante el plazo de prescripción, de acuerdo con el artículo 32 de la LOPDGDD.
- Vencido el bloqueo, se despersonalizan: se retira el nombre del certificado y la traza
técnica.
El certificado no se borra. Acredita una obligación de la propia empresa cliente y, una vez despersonalizado, ya no identifica a nadie: acredita que una persona de aquella empresa superó aquella formación aquel día.
Al terminar la relación, y a elección de la empresa cliente, los datos se devuelven en formato estructurado o se bloquean en los términos anteriores.
9. Asistencia al responsable
El operador y el titular asistirán a la empresa cliente, teniendo en cuenta la naturaleza del tratamiento:
- en la atención de los derechos de los interesados;
- en las evaluaciones de impacto y consultas previas, si proceden;
- poniendo a su disposición la información necesaria para demostrar el cumplimiento de este
acuerdo.
10. Violaciones de seguridad
Se comunicará a la empresa cliente sin dilación indebida cualquier violación de la seguridad de los datos de la que se tenga conocimiento, con la información disponible para que pueda cumplir lo dispuesto en los artículos 33 y 34 del RGPD.
11. Auditoría
La empresa cliente puede verificar el cumplimiento de este acuerdo mediante la información que se le facilite y, en su caso, auditorías acordadas previamente, con un preaviso razonable y sin afectar a la seguridad de los datos de otros clientes.
12. Registro de actividades
El operador y el titular mantienen el registro de actividades de tratamiento que les corresponde según el artículo 30.2 del RGPD, y lo pondrán a disposición de la autoridad de control cuando lo requiera.