Versión de trabajo · 2 de septiembre de 2026
Anexo de encargo de tratamiento
1. Partes
Responsable: la persona física o jurídica cliente identificada en el contrato principal (el “Responsable”).
Encargado: Max Reig Roig, NIF 43548701H, que opera bajo la denominación BarnaCloud, con correo de contacto soporte@barnacloud.com y domicilio profesional pendiente de completar (el “Encargado”).
2. Objeto, duración y alcance
El Encargado tratará los datos personales que el Responsable incorpore al servicio de almacenamiento privado BarnaCloud, únicamente para prestar el servicio contratado, gestionar el acceso autorizado y atender soporte técnico. El encargo tendrá la duración de la relación contractual, salvo obligaciones legales de conservación aplicables.
La naturaleza de las operaciones puede incluir alojamiento, conservación, organización técnica, consulta por usuarios autorizados y, cuando sea necesario para el soporte, acceso limitado por personal autorizado. La finalidad es la prestación del servicio de almacenamiento contratado.
3. Datos e interesados
El Responsable determina las categorías de interesados y los tipos de datos personales alojados. Pueden incluir datos identificativos, de contacto, profesionales, comerciales o administrativos. El Responsable no deberá usar el servicio para datos que requieran medidas o garantías no contratadas, incluidos datos de categorías especiales, salvo acuerdo previo por escrito que defina el alcance y las medidas aplicables.
4. Instrucciones del Responsable
El Encargado tratará los datos personales exclusivamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Si una norma aplicable obligase al Encargado a tratar datos de otro modo, informará previamente al Responsable salvo prohibición legal.
5. Obligaciones del Encargado
- Garantizar que las personas autorizadas para tratar datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente.
- Aplicar medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD y al alcance real del servicio contratado.
- Asistir razonablemente al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para atender solicitudes de derechos y obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas.
- Informar al Responsable sin dilación indebida si detecta una violación de seguridad de los datos personales en el ámbito bajo su control.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este anexo y permitir auditorías razonables, previa solicitud escrita y sin afectar indebidamente a la seguridad u operación del servicio.
6. Subencargados
El Responsable autoriza con carácter general el uso de proveedores necesarios para alojar u operar el servicio. Antes de incorporar o sustituir un subencargado que trate datos del Responsable, el Encargado comunicará el cambio cuando resulte aplicable, para que el Responsable pueda oponerse por motivos razonables de protección de datos. El Encargado impondrá al subencargado obligaciones de protección de datos equivalentes a las de este anexo.
7. Seguridad y límites del servicio
Las medidas se aplicarán de forma proporcional al riesgo y al servicio contratado. El servicio actual no incluye una copia independiente, air-gapped o inmutable de archivos de cliente, ni versionado o restauración de archivos. Tampoco se ofrecen SLA, RPO, RTO ni disponibilidad geográfica garantizada. El Responsable mantendrá las copias independientes que necesite para su propia continuidad.
8. Fin del encargo
Al terminar el servicio, el Encargado devolverá o suprimirá los datos personales según las instrucciones documentadas del Responsable y las condiciones contractuales aplicables, salvo que la normativa exija conservarlos. El Responsable deberá descargar o migrar los datos antes del fin del periodo de acceso aplicable.
9. Transferencias internacionales
El Encargado no realizará transferencias internacionales de datos por cuenta del Responsable sin instrucciones documentadas o una base legal aplicable. Si fueran necesarias, se aplicarán las garantías exigidas por la normativa aplicable.
10. Prevalencia y firma
Este anexo complementa el contrato principal. En materia de protección de datos, prevalecerá este anexo en caso de contradicción. Las partes lo firmarán o aceptarán mediante el mecanismo contractual que se habilite, una vez completados los datos pendientes.
Referencia normativa: artículo 28 del RGPD. Para dudas sobre este documento, escribe a soporte@barnacloud.com.