Acuerdo de Encargo de Tratamiento (DPA)

Última actualización: 25 de junio de 2026

El presente Acuerdo de Encargo de Tratamiento (en adelante, "DPA") se formaliza entre FONCAD GROUP, S.L. (en adelante, el "Encargado" o "EticAlert") y el Cliente que haya aceptado las Condiciones del Servicio de EticAlert (en adelante, el "Responsable" o el "Cliente"), de conformidad con el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, "RGPD"), y con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD").

La aceptación de las Condiciones del Servicio de EticAlert mediante el marcado de la casilla correspondiente en el formulario de registro implica la aceptación plena y sin reservas del presente DPA, que forma parte integrante del contrato entre las partes.

1. Definiciones

A los efectos del presente DPA, se entiende por:

"RGPD": Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
"Datos personales": toda información sobre una persona física identificada o identificable conforme al artículo 4.1 del RGPD.
"Tratamiento": cualquier operación o conjunto de operaciones efectuadas sobre datos personales, conforme al artículo 4.2 del RGPD.
"Responsable del tratamiento" o "Responsable": el Cliente que, en el marco de las Condiciones del Servicio, determina los fines y los medios del tratamiento de los datos personales de su canal de denuncias.
"Encargado del tratamiento" o "Encargado": FONCAD GROUP, S.L. (EticAlert), que trata datos personales por cuenta del Responsable en el marco de la prestación del servicio.
"Subencargado": tercero contratado por el Encargado para realizar actividades específicas de tratamiento en nombre del Responsable.
"Interesado": la persona física cuyos datos personales son objeto de tratamiento.
"Brecha de seguridad": toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, conforme al artículo 4.12 del RGPD.
"Instrucciones documentadas": las instrucciones que el Responsable transmite al Encargado, recogidas en el presente DPA, en las Condiciones del Servicio y en cualquier comunicación escrita posterior.
"Canal de denuncias": el Sistema Interno de Información habilitado por el Cliente a través de la plataforma EticAlert conforme a la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

2. Objeto y naturaleza del tratamiento

El presente DPA regula el tratamiento de datos personales que EticAlert, en calidad de Encargado, realiza por cuenta del Cliente, en calidad de Responsable, en el marco de la prestación del servicio de plataforma de canal de denuncias (SII) descrito en las Condiciones del Servicio.

EticAlert actúa como Encargado del tratamiento respecto de los datos personales contenidos en las comunicaciones (denuncias) recibidas a través del canal habilitado en la plataforma, los datos de los informantes, los datos de los investigados y, en general, cualquier dato personal que el Cliente o los usuarios del canal introduzcan en la plataforma en el ejercicio de sus funciones como responsable del canal de denuncias.

EticAlert actúa como Responsable del tratamiento respecto de los datos personales de los usuarios administradores de la cuenta (datos de registro, facturación y uso del servicio), que se rigen por la Política de Privacidad.

3. Duración

El presente DPA estará en vigor durante toda la vigencia del contrato de prestación del servicio entre las partes. Su resolución se producirá automáticamente al producirse la resolución o extinción del contrato principal, sin perjuicio de las obligaciones de supresión o devolución de datos previstas en la cláusula 11 y de las obligaciones de confidencialidad, que sobrevivirán a la resolución.

4. Categorías de datos personales objeto del tratamiento

En función del uso que el Cliente haga del canal de denuncias, los datos personales tratados por EticAlert por cuenta del Responsable pueden incluir las siguientes categorías:

Datos identificativos del informante (cuando no sea anónimo): nombre y apellidos, dirección de correo electrónico, teléfono, cargo o posición en la organización.
Datos identificativos del denunciado o investigado: nombre y apellidos, cargo o posición en la organización, departamento, datos de contacto.
Datos relativos a los hechos denunciados: descripción de los hechos, fechas, lugares, documentación adjunta, importes económicos, nombres de terceros implicados.
Datos del gestor o RSII que tramita la comunicación: nombre, cargo, acciones realizadas, fechas de actuación.
Datos de seguimiento de la comunicación: estado del expediente, plazos, notas internas, resolución adoptada.
Metadatos técnicos: dirección IP del informante (en comunicaciones no anónimas), fecha y hora de envío, tipo de dispositivo.

Datos de categorías especiales (art. 9 RGPD): el contenido de algunas denuncias puede incluir, de forma incidental, datos de categorías especiales (datos de salud, orientación sexual, convicciones religiosas, afiliación sindical, etc.) relativos al informante, al denunciado o a terceros. El Cliente, en calidad de Responsable, asume la responsabilidad de adoptar las medidas adicionales exigidas por el artículo 9 del RGPD para el tratamiento de esta categoría de datos, en particular la existencia de una base jurídica específica (art. 9.2 RGPD). EticAlert aplica las mismas medidas de seguridad técnica con independencia del tipo de dato.

5. Categorías de interesados

Los datos personales tratados pueden corresponder a las siguientes categorías de interesados:

Informantes o denunciantes (empleados, proveedores, clientes u otras personas relacionadas con el Cliente).
Personas denunciadas o investigadas.
Testigos o terceros mencionados en las comunicaciones.
Personal del Cliente que gestiona el canal (RSII, gestores, administradores).

6. Finalidad del tratamiento

EticAlert trata los datos personales de los interesados exclusivamente para la siguiente finalidad determinada por el Responsable:

Almacenamiento, organización y gestión de las comunicaciones recibidas a través del canal de denuncias del Cliente.
Habilitación de la comunicación cifrada entre el informante y el RSII.
Mantenimiento del libro-registro electrónico de comunicaciones conforme a la Ley 2/2023.
Aplicación de los plazos legales (acuse de recibo, resolución) y notificación automática al RSII.
Exportación de datos a petición del Responsable.
Backup y recuperación de datos para garantizar la continuidad del servicio.

EticAlert no tratará los datos para ninguna finalidad propia, comercial o distinta de las instrucciones del Responsable.

7. Obligaciones del Encargado (EticAlert)

7.1 Tratamiento conforme a instrucciones documentadas

EticAlert tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, tal como se establecen en el presente DPA, en las Condiciones del Servicio y en cualquier instrucción escrita posterior del Responsable. EticAlert no tratará los datos para fines propios ni los cederá a terceros sin instrucción del Responsable, salvo obligación legal.

Si EticAlert considera que una instrucción del Responsable infringe el RGPD u otras disposiciones aplicables en materia de protección de datos, lo comunicará inmediatamente al Responsable por escrito. EticAlert podrá suspender la ejecución de la instrucción hasta que el Responsable la confirme o la modifique, sin que ello suponga incumplimiento del contrato por parte del Encargado.

7.2 Confidencialidad

EticAlert garantiza que las personas autorizadas para tratar los datos personales del Responsable se encuentran sujetas a un deber de confidencialidad, ya sea por disposición legal o por compromiso contractual. Este deber de confidencialidad persiste tras la extinción de la relación laboral o contractual con dichas personas.

El acceso a los datos del canal de denuncias del Cliente está restringido a los empleados y colaboradores de EticAlert que lo necesiten estrictamente para la prestación del servicio (principio de need-to-know), y únicamente en la medida necesaria.

7.3 Medidas de seguridad (art. 32 RGPD)

EticAlert aplica y mantendrá las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Las medidas de seguridad implementadas incluyen, como mínimo:

Cifrado de los datos en tránsito mediante TLS 1.2 o superior.
Cifrado de datos en reposo mediante AES-256.
Anonimización técnica del canal para garantizar la confidencialidad del informante anónimo.
Control de acceso basado en roles (RBAC) con autenticación multifactor (MFA) para el acceso administrativo a los sistemas.
Separación lógica de los datos de cada cliente (multi-tenancy seguro).
Alojamiento en infraestructura ubicada en la Unión Europea con estándares de seguridad reconocidos.
Copias de seguridad periódicas con verificación de integridad y capacidad de restauración.
Procedimientos formales de gestión de incidentes y brechas de datos.
Auditorías de seguridad periódicas y pruebas de penetración.
Programa de formación regular del personal en materia de seguridad de la información y protección de datos.
Política de gestión de vulnerabilidades y parches de seguridad.

EticAlert revisará y actualizará periódicamente estas medidas para mantenerlas adecuadas al nivel de riesgo. Los detalles técnicos de las medidas de seguridad vigentes en cada momento se recogen en el Anexo II del presente DPA y pueden ser actualizados por EticAlert con notificación previa al Responsable.

7.4 Subencargados del tratamiento

El Responsable otorga a EticAlert una autorización general para contratar subencargados del tratamiento para la realización de actividades específicas, con sujeción a las siguientes condiciones:

EticAlert informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados con una antelación mínima de 30 días naturales, dando al Responsable la oportunidad de oponerse a dichos cambios.
Si el Responsable se opone a un nuevo subencargado por motivos razonables relacionados con la protección de datos, EticAlert evaluará la situación y, si no puede continuar prestando el servicio sin el nuevo subencargado, el Responsable podrá resolver el contrato sin penalización.
EticAlert impondrá a los subencargados, mediante contrato escrito, las mismas obligaciones de protección de datos que las establecidas en el presente DPA, en particular en lo que respecta a las garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas.
EticAlert seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del presente DPA por parte de los subencargados.

La lista actualizada de subencargados autorizados se recoge en el Anexo I del presente DPA y está disponible bajo petición en privacidad@eticalert.com.

7.5 Asistencia al Responsable para el ejercicio de derechos de los interesados

EticAlert asistirá al Responsable, en la medida de lo posible y habida cuenta de la naturaleza del tratamiento, mediante las medidas técnicas y organizativas adecuadas, para que el Responsable pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición) conforme al Capítulo III del RGPD.

Si EticAlert recibe directamente una solicitud de ejercicio de derechos de un interesado en relación con datos del canal de denuncias del Cliente, la remitirá al Responsable sin dilación y, como máximo, en el plazo de 5 días hábiles, sin atenderla directamente salvo instrucción expresa del Responsable.

7.6 Asistencia con las obligaciones de seguridad, notificación de brechas e impacto

EticAlert asistirá al Responsable para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible para EticAlert, incluyendo:

Asistencia para la realización de evaluaciones de impacto relativas a la protección de datos (EIPD), cuando sean preceptivas, aportando la información relevante sobre el tratamiento realizado como Encargado.
Notificación al Responsable de cualquier brecha de seguridad que afecte a los datos del canal de denuncias del Cliente en el plazo más breve posible y, como máximo, en 24 horas desde que EticAlert tenga conocimiento de ella, a fin de que el Responsable pueda cumplir con su obligación de notificación a la AEPD en el plazo de 72 horas previsto en el artículo 33 del RGPD.
La notificación incluirá, en la medida de lo posible: (i) descripción de la naturaleza de la brecha; (ii) categorías y número aproximado de interesados afectados; (iii) categorías y número aproximado de registros afectados; (iv) posibles consecuencias de la brecha; (v) medidas adoptadas o propuestas para remediar la brecha o mitigar sus efectos negativos.

7.7 Supresión o devolución de los datos

A elección del Responsable, expresada por escrito antes o en el momento de la resolución del contrato, EticAlert procederá a:

Devolución: exportar y poner a disposición del Responsable todos los datos personales del canal de denuncias en un formato estructurado y de uso común (CSV, JSON u otro acordado) en el plazo de 30 días desde la resolución del contrato.
Supresión: suprimir de forma segura e irreversible todos los datos personales del canal de denuncias, incluyendo las copias de seguridad que los contengan, en el plazo de 30 días desde la resolución del contrato, salvo que la legislación aplicable exija la conservación de los datos por un plazo determinado.

EticAlert emitirá una certificación escrita al Responsable acreditando la supresión o devolución realizada. Si la legislación obliga a conservar los datos, EticAlert informará al Responsable de dicha circunstancia y de los plazos aplicables antes de proceder a la supresión.

Transcurridos 30 días desde la resolución del contrato sin que el Responsable haya indicado su preferencia, EticAlert procederá a la supresión de los datos.

7.8 Auditorías e inspecciones

EticAlert pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente DPA y en el artículo 28 del RGPD, y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por este, con sujeción a las siguientes condiciones:

El Responsable notificará a EticAlert la intención de realizar una auditoría con una antelación mínima de 30 días naturales.
Las auditorías se realizarán durante el horario laboral habitual, de forma que no perturben el normal funcionamiento del servicio ni afecten a los datos de otros clientes.
Los costes de la auditoría correrán a cargo del Responsable. EticAlert podrá repercutir al Responsable los costes razonables en que incurra por su participación en la auditoría.
El auditor designado por el Responsable deberá suscribir un acuerdo de confidencialidad con EticAlert antes del inicio de la auditoría.
Como alternativa a una auditoría in situ, EticAlert podrá proporcionar al Responsable los resultados de auditorías de terceros independientes (certificaciones ISO 27001, SOC 2, informes de pentesting, etc.) que acrediten el cumplimiento de las medidas de seguridad.

8. Obligaciones del Responsable (Cliente)

El Responsable declara y garantiza que:

Tiene una base jurídica válida y suficiente para el tratamiento de los datos personales del canal de denuncias, en particular la prevista en la normativa aplicable al canal de denuncias (Ley 2/2023, RGPD) o en el interés legítimo derivado de las obligaciones legales de cumplimiento normativo.
Ha informado a los interesados (empleados, informantes, denunciados) del tratamiento de sus datos personales en el marco del canal de denuncias, conforme a los artículos 13 y 14 del RGPD, mediante el correspondiente Registro de Actividades de Tratamiento y las cláusulas informativas pertinentes.
Instruirá a EticAlert sobre el tratamiento de los datos personales del canal de denuncias mediante las instrucciones documentadas recogidas en el presente DPA y en cualquier comunicación escrita adicional.
Se compromete a mantener actualizado el Registro de Actividades de Tratamiento (RAT) en relación con el tratamiento del canal de denuncias, conforme al artículo 30 del RGPD.
Evaluará la necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) para el canal de denuncias, de acuerdo con el artículo 35 del RGPD, y la llevará a cabo cuando sea preceptiva.
Es el único responsable de garantizar que el uso de la plataforma EticAlert cumple con la normativa aplicable, incluyendo la Ley 2/2023, el RGPD y la LOPDGDD.

9. Transferencias internacionales de datos

EticAlert tratará los datos del canal de denuncias del Responsable en servidores ubicados dentro del Espacio Económico Europeo (EEE) o en países que cuenten con una decisión de adecuación de la Comisión Europea.

En el supuesto en que algún subencargado realice un tratamiento fuera del EEE sin contar con una decisión de adecuación, EticAlert garantizará que la transferencia esté amparada en garantías adecuadas conforme al Capítulo V del RGPD, preferentemente mediante las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914), y lo comunicará al Responsable con la antelación suficiente conforme al procedimiento de cambio de subencargados previsto en la cláusula 7.4.

10. Responsabilidad

Si como consecuencia del tratamiento realizado por EticAlert se ocasionara un daño a un interesado por incumplimiento del presente DPA o del RGPD, el Responsable responderá frente al interesado por el importe total del daño. EticAlert solo será responsable de la parte del daño que le sea imputable por su incumplimiento de las obligaciones del presente DPA o del RGPD específicamente aplicables a los Encargados, o cuando haya actuado al margen de las instrucciones lícitas del Responsable.

La responsabilidad de EticAlert derivada del presente DPA queda sujeta a las limitaciones previstas en las Condiciones del Servicio.

11. Conservación de datos tras la resolución del contrato y obligaciones específicas Ley 2/2023

EticAlert conservará los datos del canal de denuncias del Responsable durante el tiempo necesario para la tramitación de cada comunicación y, en todo caso, por el plazo que el Responsable, en calidad de responsable del tratamiento, determine conforme a la Ley 2/2023. Dicha ley establece un plazo máximo de conservación de 10 años desde la recepción de la comunicación; el plazo concreto de cada expediente puede ser inferior en función de su resultado y de las obligaciones legales aplicables. Una vez que el Responsable instruya la supresión de un expediente concreto o al término del contrato, EticAlert actuará conforme a lo previsto en la cláusula 7.7.

Una vez extinguido el contrato, EticAlert actuará conforme a lo previsto en la cláusula 7.7 respecto a la devolución o supresión de los datos. Si existe obligación legal de conservación, EticAlert conservará los datos durante el plazo legalmente exigido y los suprimirá una vez transcurrido, notificándolo al Responsable.

El Responsable es el único obligado a comunicar a la AIPI los datos del canal y a gestionar las obligaciones derivadas de la Ley 2/2023 en cuanto a la instrucción y resolución de las comunicaciones. EticAlert únicamente proporciona la infraestructura tecnológica.

12. Vigencia, modificación y resolución del DPA

El presente DPA está vinculado a las Condiciones del Servicio y su vigencia es idéntica a la de estas. Se extingue automáticamente con la resolución o extinción del contrato principal.

EticAlert podrá modificar el presente DPA para adaptarlo a cambios normativos, nuevas directrices de las autoridades de control o nuevas medidas de seguridad, comunicándolo al Responsable con una antelación mínima de 30 días naturales. Si el Responsable no acepta la modificación, podrá resolver el contrato sin penalización conforme al procedimiento previsto en las Condiciones del Servicio.

En caso de conflicto entre las Condiciones del Servicio y el presente DPA en materia de protección de datos, prevalecerá el DPA.

13. Ley aplicable y jurisdicción

El presente DPA se rige por la legislación española y por el RGPD. Para la resolución de cualquier controversia derivada de su interpretación o cumplimiento, las partes se someten a la jurisdicción de los Juzgados y Tribunales de Madrid, conforme a lo previsto en las Condiciones del Servicio.

Anexo I — Subencargados del tratamiento autorizados

Los siguientes subencargados están autorizados por el Responsable para tratar datos personales del canal de denuncias en el marco del presente DPA:

Subencargado	País sede	Actividad de tratamiento	Garantías de transferencia
Proveedor de infraestructura cloud (hosting)	UE	Alojamiento y almacenamiento de datos de la plataforma	Datos en la UE — no aplica transferencia internacional
Proveedor de email transaccional	UE / EEE	Envío de notificaciones y comunicaciones del sistema	CCT o adecuación según proveedor
Stripe, Inc.	Irlanda / EE.UU.	Procesamiento de pagos (datos de facturación únicamente, no datos del canal)	CCT — Decisión 2021/914 + Data Privacy Framework

La lista actualizada puede solicitarse en cualquier momento a privacidad@eticalert.com.

Anexo II — Medidas técnicas y organizativas de seguridad

EticAlert aplica, como mínimo, las siguientes medidas de seguridad para proteger los datos del canal de denuncias del Responsable:

Medidas técnicas

Cifrado en tránsito: TLS 1.2 o superior en todas las comunicaciones entre el cliente (navegador) y la plataforma.
Cifrado en reposo: AES-256 para los datos almacenados en base de datos y almacenamiento de ficheros.
Anonimización del canal: el sistema no registra la dirección IP del informante cuando este opta por el canal anónimo; el identificador de seguimiento es un token aleatorio no vinculado a datos identificativos.
Autenticación multifactor (MFA): obligatoria para el acceso de los empleados de EticAlert a los sistemas de producción.
Control de acceso basado en roles (RBAC): acceso a los datos del Responsable únicamente para el personal de EticAlert con necesidad operativa justificada.
Separación de entornos: entornos de producción, staging y desarrollo separados lógica y físicamente.
Multi-tenancy seguro: separación lógica de los datos de cada cliente mediante identificadores de tenant en todas las consultas a base de datos.
Copias de seguridad: backups diarios cifrados con verificación de integridad y retención mínima de 30 días. Pruebas periódicas de restauración.
Registro de auditoría (logs): registro de todos los accesos a los datos del canal, con integridad garantizada y retención mínima de 12 meses.
Gestión de vulnerabilidades: aplicación de parches de seguridad en un plazo máximo de 72 horas para vulnerabilidades críticas. Pruebas de penetración al menos anuales.
Firewall de aplicaciones web (WAF) y protección DDoS.

Medidas organizativas

Política interna de protección de datos y seguridad de la información documentada y revisada anualmente.
Formación obligatoria anual de todo el personal en protección de datos y seguridad de la información.
Acuerdos de confidencialidad con todo el personal y colaboradores con acceso a datos de clientes.
Procedimiento formal de gestión de brechas de seguridad y notificación al Responsable y a la AEPD.
Procedimiento de control de acceso de terceros y proveedores a los sistemas de producción.
Proceso de selección y evaluación de subencargados que incluye la verificación de sus medidas de seguridad.
Punto de contacto específico en materia de protección de datos accesible en privacidad@eticalert.com.

Anexo III — Instrucciones específicas para el tratamiento del canal de denuncias

El Responsable instruye a EticAlert para que trate los datos personales del canal de denuncias conforme a las siguientes instrucciones específicas:

Almacenar las comunicaciones recibidas a través del canal en la base de datos de la plataforma, manteniendo la separación lógica entre el identificador del informante (o token anónimo) y el contenido de la denuncia, para garantizar la confidencialidad del informante.
No revelar el contenido de las comunicaciones ni la identidad del informante a ninguna persona distinta del RSII y de los gestores autorizados designados por el Responsable en la plataforma.
Aplicar los plazos de tramitación previstos en la Ley 2/2023 (acuse de recibo en 7 días hábiles; resolución en 3 meses, prorrogables por otros 3 meses) y notificar automáticamente al RSII cuando se aproxime el vencimiento de cada plazo.
Permitir la comunicación cifrada bidireccional entre el informante y el RSII, incluso cuando el informante haya optado por el anonimato, mediante el token de seguimiento.
Registrar en el libro-registro electrónico todos los datos requeridos por la Ley 2/2023: fecha de recepción, resumen del objeto, estado de tramitación, fecha de resolución y resultado.
Restringir el acceso a cada expediente del canal de denuncias a los gestores que el RSII haya autorizado expresamente, aplicando la funcionalidad de exclusión preventiva de gestores implicados cuando así lo indique el RSII.
No utilizar los datos del canal de denuncias del Responsable para ninguna finalidad de análisis, mejora del producto, benchmarking, inteligencia artificial o cualquier otra distinta de la prestación del servicio al Responsable.
Mantener los datos del canal de denuncias en servidores ubicados en la Unión Europea durante toda la vigencia del contrato.

Documentos relacionados: Aviso Legal · Política de Privacidad · Condiciones del Servicio · Política de Cookies