Modelo de encargo de tratamiento

Modelo de encargo: requiere formalización

Este documento es el modelo de condiciones de encargo de Trialinx, no una prueba de contrato firmado ni una autorización genérica de proveedores. Antes de tratar datos personales de un estudio, las partes deben identificar al responsable, representantes, estudio y anexos, acordar sus condiciones concretas y formalizar el encargo. Solicítalo a contact@trialinx.com, también para estudios en el plan gratuito.

Partes, objeto y duración

Studio Flix, S.L. actúa como encargado cuando presta captura, gestión, colaboración y análisis de investigación bajo instrucciones del responsable identificado en el acuerdo particular. El acuerdo debe indicar fecha de inicio, duración del servicio y periodo de devolución, archivo o eliminación.

El anexo del estudio identificará participantes y usuarios cuyos datos se tratan; categorías de datos, incluidas las de salud si proceden; operaciones habilitadas, centros, finalidades y límites. No autoriza usos asistenciales, secundarios o de entrenamiento no acordados.

Instrucciones y confidencialidad

El encargado tratará los datos únicamente conforme a instrucciones documentadas, incluidas las transferencias, salvo obligación legal que deberá comunicar cuando sea posible. Informará si una instrucción infringe la normativa. Las personas autorizadas estarán sujetas a confidencialidad y acceso limitado a lo necesario, con formación adecuada.

Seguridad y evidencia

Las medidas del anexo deben corresponder al entorno contratado: accesos y autenticación, cifrado, separación de estudios/centros, trazabilidad y firmas, control de exportaciones, recuperación y gestión de incidentes. El encargado aplicará medidas apropiadas al riesgo conforme al artículo 32 RGPD y mantendrá la evidencia acordada.

El anexo debe distinguir controles disponibles, configuración habilitada y validación pendiente. No se incorporan por referencia certificaciones, regiones, tiempos de recuperación o medidas físicas de otra plataforma.

Subencargados y transferencias

El responsable otorgará autorización escrita específica o general según se acuerde. En autorización general, se informará previamente de incorporaciones o sustituciones con tiempo para objetar antes de su activación, indicando tratamiento y garantías. Si no puede resolverse una objeción justificada, las partes acordarán una alternativa o el fin del tratamiento afectado con salida segura.

El encargado impondrá obligaciones equivalentes a sus subencargados y seguirá respondiendo ante el responsable de su cumplimiento. Los anexos identificarán servicios, datos, regiones, soporte, plazos y garantías del capítulo V RGPD. Publicar una lista informativa no sustituye su autorización.

Derechos, EIPD y cooperación

El encargado asistirá al responsable, según la naturaleza del tratamiento y la información disponible, en derechos, seguridad, EIPD y consulta previa cuando proceda. Trasladará las solicitudes de participantes al responsable y no responderá por su cuenta salvo instrucciones o obligación legal. Facilitará información para demostrar cumplimiento y permitirá auditorías e inspecciones del responsable o auditor autorizado, con medidas razonables para proteger a terceros.

Incidentes

El encargado notificará al responsable las violaciones de datos personales sin dilación indebida desde que tenga constancia, aportando naturaleza, afectados/registros cuando se conozcan, contacto, consecuencias probables y medidas. Podrá completar información por fases sin dilación indebida y cooperará en contención y evaluación. Los contactos y escalado se completarán en el anexo; no se presume que todo incidente deba notificarse a autoridad en todos los casos.

Salida y conservación

Al finalizar, el responsable elegirá devolución o supresión según el acuerdo, salvo conservación legal exigible. Se incluirán copias y subencargados, ciclos técnicos, acceso restringido a lo conservado y evidencia de ejecución. Los datos no se reutilizarán para otras finalidades. Desactivar una cuenta de usuario no termina automáticamente el encargo ni destruye registros del estudio.

Anexos que se deben completar antes de formalizar

• I. Entidades y representantes con autoridad; contacto de privacidad, responsable operativo y sustituto; estudio, centros, finalidad, instrucciones y vigencia.
• II. Categorías de interesados/datos, bases determinadas por el responsable, operaciones, accesos y flujo de datos; IA excluida salvo aprobación expresa y documentada de su alcance.
• III. Medidas de seguridad verificadas, configuración, responsabilidades, evidencia de restauración/validación y límites del servicio.
• IV. Subencargados autorizados, países/soporte/logs, garantías, retención, gestión de cambios y mecanismos de devolución/eliminación.
• V. Retención y custodia por categoría, salida, formatos de exportación, plazos acordados y tratamiento de solicitudes/incidentes.