Contrato de encargo de tratamiento de datos personales (con proveedores de nube, planillas, marketing o seguridad)

CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES

Conste por el presente documento el contrato de encargo de tratamiento de datos personales que celebran, de una parte, [RAZÓN SOCIAL], con RUC N° [número], con domicilio en [dirección, distrito, provincia y departamento], debidamente representada por [nombre], identificado(a) con [DNI / C.E.] N° [número], según poder inscrito en el asiento [número] de la Partida Electrónica N° [número] del Registro de Personas Jurídicas de la Zona Registral N° [número], Sede [ciudad], a quien en adelante se denominará EL RESPONSABLE; y, de la otra parte, [RAZÓN SOCIAL], con RUC N° [número], con domicilio en [dirección, distrito, provincia y departamento], debidamente representada por [nombre], identificado(a) con [DNI / C.E.] N° [número], según poder inscrito en el asiento [número] de la Partida Electrónica N° [número] del Registro de Personas Jurídicas de la Zona Registral N° [número], Sede [ciudad], a quien en adelante se denominará EL ENCARGADO; en los términos y condiciones siguientes:

PRIMERA. Antecedentes. EL RESPONSABLE y EL ENCARGADO celebraron el [fecha] un contrato de [servicio] (en adelante, EL CONTRATO PRINCIPAL). Para prestar ese servicio, EL ENCARGADO necesita tratar datos personales de los que EL RESPONSABLE es titular del banco de datos o responsable del tratamiento.

SEGUNDA. Objeto. EL RESPONSABLE encarga a EL ENCARGADO el tratamiento de los datos personales descritos en el Anexo 1, únicamente para prestar los servicios de EL CONTRATO PRINCIPAL y conforme a las instrucciones documentadas de EL RESPONSABLE (art. 30 de la Ley N° 29733).

TERCERA. Obligaciones del encargado. EL ENCARGADO se obliga a: (i) tratar los datos solo según las instrucciones de EL RESPONSABLE y para la finalidad indicada; (ii) no usarlos para fines propios ni transferirlos a terceros, ni siquiera para su conservación; (iii) garantizar que su personal con acceso está sujeto a confidencialidad y capacitado; (iv) aplicar las medidas de seguridad técnicas, organizativas y legales exigidas por el Reglamento, incluidos el control y la revisión de accesos, el registro de actividades (logs) y las copias de respaldo; y (v) informar a EL RESPONSABLE si una autoridad le solicita acceso a los datos.

CUARTA. Subencargo. EL ENCARGADO no podrá subcontratar el tratamiento sin autorización previa y escrita de EL RESPONSABLE. [EL RESPONSABLE autoriza desde ahora a los subencargados del Anexo 2.] El subencargado asumirá las mismas obligaciones de este contrato, y EL ENCARGADO responderá frente a EL RESPONSABLE por su cumplimiento (arts. 32 y 33 del Reglamento).

QUINTA. Ubicación de los datos. Los datos se almacenarán en [Perú / [país]] por medio de [proveedor de nube]. Cualquier transferencia a otro país requiere autorización previa de EL RESPONSABLE y garantías adecuadas, para que EL RESPONSABLE pueda cumplir las reglas de flujo transfronterizo.

SEXTA. Incidentes de seguridad. EL ENCARGADO comunicará a EL RESPONSABLE, de inmediato y en un plazo máximo de [veinticuatro] horas desde que lo conozca, cualquier incidente que afecte los datos, con la información disponible sobre su naturaleza, los datos afectados, sus posibles consecuencias y las medidas adoptadas, y colaborará para que EL RESPONSABLE notifique, cuando corresponda, a la Autoridad y a los titulares dentro de las 48 horas que exige el Reglamento.

SÉPTIMA. Derechos de los titulares. Si EL ENCARGADO recibe una solicitud de un titular para ejercer sus derechos, la trasladará a EL RESPONSABLE dentro de los tres días hábiles siguientes y lo apoyará para responderla en plazo.

OCTAVA. Auditoría. EL ENCARGADO pondrá a disposición de EL RESPONSABLE la información necesaria para acreditar el cumplimiento de este contrato y permitirá auditorías, con aviso de [diez] días hábiles, por EL RESPONSABLE o un auditor designado.

NOVENA. Devolución y supresión. Al terminar EL CONTRATO PRINCIPAL, EL ENCARGADO devolverá a EL RESPONSABLE los datos en un formato [estructurado y de uso común] y luego los suprimirá, incluidas las copias, entregando una constancia escrita dentro de los [treinta] días. Solo podrá conservarlos, con autorización expresa de EL RESPONSABLE, mientras se prevean nuevos encargos y por un máximo de dos años desde la finalización del último encargo (art. 31.2 del Reglamento).

DÉCIMA. Responsabilidad. Si EL ENCARGADO destina los datos a otra finalidad, los transfiere o los trata contra las instrucciones, será considerado responsable del tratamiento y responderá por ello. EL ENCARGADO mantendrá indemne a EL RESPONSABLE frente a multas, reclamos y daños derivados de su incumplimiento.

UNDÉCIMA. Vigencia. Este contrato rige mientras dure EL CONTRATO PRINCIPAL y, en lo relativo a confidencialidad, devolución y supresión, hasta que se cumplan esas obligaciones.

DUODÉCIMA. Cesión. Ninguna de las partes podrá ceder su posición contractual ni los derechos y obligaciones de este contrato sin el consentimiento previo y por escrito de la otra, conforme al artículo 1435 del Código Civil.

DECIMOTERCERA. Comunicaciones y domicilios. Las comunicaciones se dirigirán a los domicilios indicados en la introducción o a los correos electrónicos [correo 1] y [correo 2]. Todo cambio de domicilio o correo debe comunicarse por escrito con [cinco] días de anticipación; de lo contrario, las comunicaciones enviadas al domicilio anterior se tendrán por válidamente efectuadas.

DECIMOCUARTA. Integridad y modificaciones. Este contrato contiene todo lo acordado por las partes sobre su objeto y sustituye cualquier acuerdo previo. Cualquier modificación deberá constar por escrito y estar firmada por ambas partes.

DECIMOQUINTA. Solución de controversias. Las partes procurarán resolver de buena fe cualquier controversia derivada de este contrato. De no lograrlo en [quince] días, la controversia se resolverá mediante arbitraje de derecho, a cargo de [un árbitro único / un tribunal de tres árbitros], organizado y administrado por el Centro de Arbitraje de [la Cámara de Comercio de Lima / institución], conforme a su reglamento. El laudo será definitivo e inapelable. [Alternativa: las partes se someten a la competencia de los jueces y tribunales de [ciudad].]

DECIMOSEXTA. Ley aplicable. El presente contrato se rige por las leyes de la República del Perú. En lo no previsto, se aplica el Código Civil y las demás normas pertinentes.

En señal de conformidad, las partes suscriben el presente contrato en dos ejemplares de igual tenor, en [ciudad], el [día] de [mes] de [año].

_______________________________ [Nombre] EL RESPONSABLE: [Representante / Por derecho propio]_______________________________ [Nombre] EL ENCARGADO: [Representante / Por derecho propio]

ANEXO 1. DESCRIPCIÓN DEL TRATAMIENTO

AspectoDetalle

Banco de datos[clientes / trabajadores / proveedores]

Categorías de titulares[clientes, trabajadores, postulantes]

Tipos de datos[nombre, DNI, correo, teléfono, datos bancarios, remuneración, salud (sensible)]

Operaciones[almacenamiento, consulta, cálculo de planillas, envío de correos]

Finalidad[detalle]

Duración[mientras dure EL CONTRATO PRINCIPAL]

Medidas de seguridad específicas[cifrado, doble factor, copias semanales]

ANEXO 2. SUBENCARGADOS AUTORIZADOS

SubencargadoServicioPaís

[nombre][hosting / envío de correos][país]

NOTAS PARA COMPLETAR ESTE MODELO (elimina esta página antes de firmar o enviar) Por qué es necesario. El encargado solo puede tratar los datos para la finalidad del servicio; no puede aplicarlos a otro fin ni transferirlos, ni siquiera para conservarlos, y debe suprimirlos al terminar (Ley N° 29733, art. 30). El contrato es la prueba de que diste instrucciones y exigiste seguridad. No hay una lista legal cerrada de cláusulas. Este modelo recoge las obligaciones de los arts. 28 a 36 del Reglamento (servicios tercerizados, conservación máxima, subencargo, incidentes) y buenas prácticas. Nube. Si el proveedor es un servicio estándar (correo, almacenamiento), revisa que sus condiciones cumplan los criterios del art. 29 del Reglamento: que no se atribuya la titularidad de los datos, que garantice su confidencialidad y que permita su eliminación al terminar. Flujo transfronterizo. Si los datos se almacenan fuera del Perú, aplican las reglas de flujo transfronterizo: garantías adecuadas y comunicación a la Autoridad.