Información legal

Contrato de Encargado del Tratamiento (DPA)

⚠️ Borrador a medida — no es asesoramiento jurídico. Revísalo con un abogado/gestor antes de

usarlo con clientes. Rellena los datos del cliente entre [corchetes] en cada firma.

Entre:

  • [NOMBRE / RAZÓN SOCIAL DEL CLIENTE], con NIF/CIF [CIF] y domicilio en [DIRECCIÓN] (en

adelante, el "Responsable del Tratamiento"), y

  • David Lao Barea (autónomo — "Growlead Agency"), con NIF 39407663-S y domicilio en

Avinguda Lluís Companys, 26, 1º-1ª, 08272 Sant Fruitós de Bages (Barcelona), como prestador del software *Growlead Suite* (en adelante, el "Encargado del Tratamiento").

1. Objeto

El Encargado tratará datos personales por cuenta del Responsable, únicamente para prestar el servicio de software de gestión y facturación (*Growlead Suite*): gestión de clientes, presupuestos, facturas, cobros, compras, inventario y funciones asociadas que el Responsable utilice.

2. Datos y categorías de interesados

  • Interesados: clientes, proveedores y contactos del Responsable.
  • Datos: identificativos (nombre, NIF/CIF, dirección, email, teléfono) y económicos

(presupuestos, facturas, pagos). No se tratan categorías especiales de datos de forma deliberada.

3. Duración

Mientras esté vigente la relación de servicio. A su fin, se aplica la cláusula 9.

4. Obligaciones del Encargado (art. 28 RGPD)

  1. Tratar los datos solo siguiendo instrucciones documentadas del Responsable (este contrato y el

uso normal del software).

  1. Garantizar la confidencialidad de quienes accedan a los datos.
  2. Aplicar medidas de seguridad adecuadas (cláusula 6).
  3. No recurrir a otro encargado sin autorización; los subencargados actuales constan en la cláusula 7.
  4. Asistir al Responsable para atender los derechos de los interesados (acceso, rectificación,

supresión, oposición, limitación, portabilidad).

  1. Ayudar al Responsable con la seguridad, la notificación de brechas y, en su caso, las evaluaciones

de impacto.

  1. Notificar sin dilación indebida cualquier brecha de seguridad de la que tenga conocimiento.
  2. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento.

5. Obligaciones del Responsable

Garantizar que dispone de base legítima para tratar los datos que introduce en el software e informar a sus interesados conforme al RGPD.

6. Medidas de seguridad

  • Datos alojados en servidores en la Unión Europea (Supabase, París).
  • Cifrado en tránsito (HTTPS) y control de acceso por usuario y contraseña.
  • Aislamiento por empresa: cada cliente solo accede a sus propios datos.
  • Copias de seguridad periódicas (diarias en el proveedor + copia adicional).
  • Acceso del personal del Encargado limitado a lo necesario para el soporte.

7. Subencargados (proveedores tecnológicos)

El Responsable autoriza el uso de los siguientes subencargados, todos con garantías adecuadas:

| Subencargado | Función | Ubicación / garantías | |---|---|---| | Supabase | Base de datos y autenticación | Unión Europea (París) | | Vercel | Alojamiento de la aplicación | EEUU/global — Cláusulas Contractuales Tipo (SCC) | | Resend | Envío de correos (facturas, avisos) | Unión Europea (Irlanda) | | Anthropic | IA para lectura de documentos (OCR), solo si se usa | EEUU — SCC / Data Privacy Framework | | Google | Calendario / Drive / Gmail, solo si se conecta | EEUU/global — SCC / DPF |

El Encargado informará de cualquier cambio de subencargado para que el Responsable pueda oponerse.

8. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, dicha transferencia se ampara en garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea y/o adhesión al *EU-US Data Privacy Framework*).

9. Fin del contrato

A la finalización, el Encargado suprimirá o devolverá los datos al Responsable (a elección de este), salvo obligación legal de conservación. El Responsable puede descargar una copia desde la propia aplicación en cualquier momento.

10. Responsabilidad y ley aplicable

Conforme al RGPD (UE) 2016/679 y a la LOPDGDD 3/2018. Legislación española; sumisión a los Juzgados y Tribunales de Manresa (Barcelona).

Firmado en ____________, a ____ de ____________ de 20____.

El Responsable (cliente) ____________________ El Encargado (David Lao Barea) ____________________

© 2026 Growlead · David Lao Barea.