Acuerdo de encargo de tratamiento de datos personales

Versión 2026-11-12.3

Partes

SCORE CAPITAL, S.L., con NIF B65839482 y domicilio en Ctra. de Boadilla 114, 28220 Majadahonda (Madrid), titular de la plataforma Scoreapps (en adelante, «Scoreapps»).

El cliente identificado en el contrato de prestación de servicios suscrito con Scoreapps y, en su caso, al pie de este documento (en adelante, el «Cliente»).

Exponen

I. Que el Cliente utiliza la plataforma Scoreapps y sus servicios asociados en virtud del contrato de prestación de servicios suscrito con Scoreapps, incluidas sus condiciones generales (en adelante, el «Contrato»).

II. Que la prestación de esos servicios requiere que Scoreapps trate datos personales por cuenta del Cliente.

III. Que, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y del artículo 33 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»), las partes suscriben el presente acuerdo de encargo de tratamiento (en adelante, el «Acuerdo»), que se regirá por las siguientes

Cláusulas

1. Objeto y posición de las partes

1.1. Scoreapps tratará por cuenta del Cliente los datos personales necesarios para prestar los servicios del Contrato, incluidos los periodos de prueba, en los términos descritos en el Anexo I.

1.2. El Cliente actúa como responsable del tratamiento y Scoreapps como encargado. Cuando el Cliente trate los datos por cuenta de terceros, actuará como encargado y Scoreapps como subencargado. En ese caso, el Cliente garantiza que está autorizado por los responsables para encomendar el tratamiento a Scoreapps y a los subencargados del Anexo III, y les trasladará las comunicaciones que reciba de Scoreapps en virtud de este Acuerdo.

1.3. Los datos identificativos, de contacto y de facturación del Cliente y de sus representantes, que Scoreapps trata como responsable para gestionar la relación contractual, se rigen por su política de privacidad y quedan fuera de este Acuerdo.

2. Duración

El Acuerdo estará vigente mientras lo esté el Contrato y, una vez finalizado este, hasta que los datos hayan sido devueltos o suprimidos conforme a la cláusula 11.

3. Instrucciones del Cliente

3.1. Scoreapps tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente, también en lo relativo a las transferencias internacionales, salvo que esté obligada a tratarlos en virtud del Derecho de la Unión o de un Estado miembro. En ese caso, informará previamente al Cliente, a menos que ese Derecho lo prohíba por razones importantes de interés público.

3.2. Son instrucciones del Cliente el Contrato, este Acuerdo, la configuración y el uso que el Cliente y sus usuarios autorizados hagan de la plataforma y las indicaciones que el Cliente remita por escrito a través de los canales de la cláusula 15.

3.3. Scoreapps no utilizará los datos para fines propios. En particular, no los cederá ni comercializará ni los empleará con fines publicitarios.

3.4. Scoreapps informará de inmediato al Cliente si considera que una instrucción infringe la normativa de protección de datos y suspenderá su ejecución hasta que el Cliente la modifique o acredite su conformidad con dicha normativa.

4. Obligaciones del Cliente

El Cliente:

a) garantiza que el tratamiento que encomienda cuenta con una base jurídica y que los interesados han sido informados conforme a la normativa, por el propio Cliente o por el responsable por cuya cuenta actúe;

b) incorporará a la plataforma únicamente los datos necesarios para los servicios contratados;

c) custodiará sus credenciales de acceso y administrará los permisos de sus usuarios;

d) no incorporará a la plataforma categorías especiales de datos ni datos relativos a condenas e infracciones penales sin el acuerdo previo y por escrito de Scoreapps;

e) mantendrá actualizados sus datos de contacto a efectos de este Acuerdo.

5. Confidencialidad

Scoreapps garantiza que las personas autorizadas para tratar los datos han asumido un compromiso de confidencialidad o están sujetas a una obligación legal de confidencialidad, y que han recibido formación en protección de datos. El deber de confidencialidad subsistirá tras la finalización del Acuerdo.

6. Seguridad

6.1. Scoreapps aplica las medidas técnicas y organizativas descritas en el Anexo II, adecuadas al riesgo del tratamiento conforme al artículo 32 RGPD.

6.2. Scoreapps podrá actualizar esas medidas para adaptarlas a la evolución de la técnica y de los servicios, siempre que mantenga o mejore el nivel de protección, y comunicará al Cliente los cambios sustanciales.

7. Subencargados

7.1. El Cliente autoriza con carácter general y por escrito a Scoreapps a recurrir a los subencargados identificados en la versión del Anexo III puesta a su disposición antes de aceptar este Acuerdo, para las funciones y datos allí descritos. El Anexo III forma parte del ejemplar contractual. Scoreapps publica una copia versionada y descargable del Anexo III en Proveedores y subencargados, accesible sin registro antes de la aceptación, junto con el DPA y los Términos. Se conservará la versión puesta a disposición y la evidencia de aceptación del conjunto contractual. Identificará las entidades, su domicilio y contacto de protección de datos, las funciones, los datos afectados, los países de tratamiento y acceso y las garantías de transferencia correspondientes.

7.2. Scoreapps comunicará al Cliente por escrito, con una antelación mínima de treinta días naturales, la incorporación o la sustitución de un subencargado, indicando su identidad y contacto, el servicio que prestará, los datos afectados, los países de tratamiento y acceso y las garantías de transferencia. El Cliente podrá oponerse durante ese plazo por motivos justificados de protección de datos.

7.3. Si el Cliente se opone, Scoreapps no encomendará sus datos al nuevo subencargado y las partes buscarán de buena fe una alternativa. Si no la alcanzan en el plazo de treinta días naturales, cualquiera de ellas podrá resolver la parte del servicio afectada —o el Contrato, si no fuera separable— sin penalización y con devolución de la parte proporcional de las cantidades pagadas por adelantado.

7.4. Antes de encomendarle datos personales, Scoreapps impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que le correspondan en este Acuerdo, y responderá ante el Cliente del cumplimiento de las obligaciones de sus subencargados.

7.5. El Anexo III es público y puede consultarse, descargarse y compartirse. Su publicación no altera la confidencialidad de los datos personales ni de la información no pública protegida por este Acuerdo. La incorporación o sustitución de subencargados seguirá el procedimiento de comunicación y oposición de las cláusulas 7.2 y 7.3.

8. Transferencias internacionales

8.1. Scoreapps solo transferirá datos fuera del Espacio Económico Europeo a los subencargados del Anexo III, en los lugares de tratamiento que en él se indican, o a los que se incorporen conforme a la cláusula 7.

8.2. Toda transferencia se amparará en una decisión de adecuación de la Comisión Europea —como la relativa al Marco de Privacidad de Datos UE-EE. UU., respecto de las entidades adheridas— o en las garantías adecuadas del artículo 46 RGPD, en particular las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914.

8.3. Scoreapps documentará la garantía aplicable a cada transferencia, comprobará periódicamente su vigencia y facilitará esa información al Cliente cuando la solicite.

8.4. Cuando corresponda, Scoreapps evaluará las circunstancias de la transferencia y adoptará las medidas complementarias necesarias. Las cláusulas contractuales tipo aplicables prevalecerán sobre las estipulaciones incompatibles del Contrato. Scoreapps examinará la legalidad de los requerimientos de acceso de autoridades de terceros países, limitará la entrega a lo legalmente exigible e informará al Cliente cuando la ley lo permita.

9. Asistencia al Cliente

9.1. Teniendo en cuenta la naturaleza del tratamiento, Scoreapps asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individuales automatizadas.

9.2. Si Scoreapps recibe directamente una solicitud de un interesado, la remitirá al Cliente sin dilación indebida y la atenderá únicamente cuando el Cliente se lo indique.

9.3. Scoreapps asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto y consultas previas a la autoridad de control (artículos 32 a 36 RGPD).

10. Violaciones de la seguridad de los datos

10.1. Scoreapps notificará al Cliente las violaciones de la seguridad de los datos personales objeto del encargo sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ellas.

10.2. La notificación describirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, sus posibles consecuencias, las medidas adoptadas o propuestas y un punto de contacto. Cuando no sea posible facilitar toda la información a la vez, Scoreapps la facilitará de forma gradual.

10.3. Scoreapps documentará las violaciones de la seguridad y colaborará con el Cliente en su contención, investigación y resolución. Corresponde al responsable del tratamiento decidir sobre la notificación a la autoridad de control y la comunicación a los interesados.

11. Devolución y supresión de los datos

Los métodos, formatos, estructuras y límites disponibles se describen en el registro de exportación y salida de datos. Este registro no limita los derechos de devolución ni los plazos de esta cláusula.

11.1. A la finalización del Contrato, Scoreapps devolverá o suprimirá los datos, a elección del Cliente. El Cliente dispondrá de treinta días naturales desde la finalización para exportar sus datos o solicitar su devolución, que Scoreapps realizará en un formato estructurado y de uso común. Cuando resulte aplicable el procedimiento de cambio de proveedor de la sección 9 de los Términos, se respetarán también su periodo transitorio y su periodo de extracción, sin suprimir datos necesarios para el cambio antes de su terminación.

11.2. Transcurrido ese plazo, o antes si el Cliente solicita expresamente la supresión, Scoreapps suprimirá los datos de sus sistemas en los treinta días naturales siguientes y ordenará su supresión a los subencargados.

11.3. Los datos contenidos en copias de seguridad se eliminarán con la rotación ordinaria de las copias, en un plazo máximo de seis meses desde su supresión de los sistemas en producción. Hasta entonces permanecerán protegidos y se utilizarán exclusivamente para fines de recuperación. Si fuera necesario restaurar una copia, los datos ya suprimidos se eliminarán de nuevo antes de reanudar el servicio.

11.4. Scoreapps podrá conservar, debidamente bloqueados, los datos que deba mantener por obligación legal o mientras puedan derivarse responsabilidades de su relación con el Cliente, conforme al artículo 33.4 LOPDGDD.

11.5. A solicitud del Cliente, Scoreapps certificará por escrito la supresión, con indicación de su fecha y alcance.

12. Información y auditorías

12.1. Scoreapps pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD y de este Acuerdo.

12.2. Scoreapps permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor independiente designado por este y sujeto a deber de confidencialidad. Las auditorías se limitarán a la información y a los sistemas relacionados con el tratamiento de los datos del Cliente y se realizarán de forma que se preserve la confidencialidad de los datos de otros clientes.

12.3. Las auditorías ordinarias se solicitarán por escrito con una antelación razonable, atendiendo a su alcance, y se coordinarán en horario laboral. Las partes acordarán su organización de forma proporcionada al riesgo y a las verificaciones ya realizadas. Cuando respondan a una violación de la seguridad, a indicios fundados de incumplimiento o al requerimiento de una autoridad de control, se facilitarán con la urgencia que exijan las circunstancias.

12.4. Cada parte asumirá sus propios costes de auditoría.

13. Responsabilidad

Cada parte responderá de los daños y perjuicios que cause por el incumplimiento de las obligaciones que le corresponden conforme a la normativa de protección de datos y a este Acuerdo. Los límites de responsabilidad previstos en el Contrato se aplicarán a este Acuerdo en la medida en que la ley lo permita, sin afectar a los derechos de los interesados ni a las facultades de las autoridades de control.

14. Disposiciones generales

14.1. Este Acuerdo forma parte del Contrato y prevalece sobre las condiciones generales incompatibles en materia de protección de datos. Las condiciones particulares de protección de datos expresamente pactadas conservarán su vigencia y prevalencia en su ámbito, salvo sustitución acordada por las partes. En todo caso prevalecerán las normas imperativas y las cláusulas contractuales tipo de transferencia que resulten aplicables.

14.2. Scoreapps ofrece este Acuerdo como parte de sus Términos. El Cliente lo acepta al aceptar expresamente los Términos que identifiquen e incorporen esta versión, con sus tres anexos puestos a su disposición previamente, o mediante firma. La contratación electrónica permite una única casilla no premarcada para el conjunto contractual y deberá conservar la identidad del contratante, las versiones aceptadas y la fecha. En las nuevas relaciones contractuales, el Acuerdo se formalizará antes del primer tratamiento de datos por cuenta del Cliente, incluidos los periodos de prueba. Para relaciones existentes se documentará la aceptación de esta versión conforme al mecanismo de modificación aplicable. A solicitud del Cliente, las partes lo formalizarán también mediante firma.

14.3. Las modificaciones del Acuerdo requerirán el consentimiento escrito de ambas partes, con excepción de las actualizaciones de los Anexos II y III realizadas conforme a las cláusulas 6.2 y 7.

14.4. El Acuerdo se rige por la legislación española. Las controversias se someterán a los juzgados y tribunales previstos en el Contrato.

15. Comunicaciones

Las comunicaciones relativas a este Acuerdo se dirigirán:

a) a Scoreapps, a la dirección info@scoreapps.com, con el asunto «Protección de datos»;

b) al Cliente, a la dirección de correo electrónico del titular de la cuenta, salvo que el Cliente designe otra por escrito.

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas