Contrato de encargo del tratamiento

Última actualización: 2 de noviembre de 2026

Este contrato forma parte de las Condiciones de contratación y cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se celebra entre el cliente, como responsable del tratamiento (o como encargado, si a su vez presta servicio a terceros, por ejemplo un distribuidor), y Alojahosting (NIF —, Los cantos 7, 28922, Alcorcon, Madrid, España), como encargado del tratamiento (o subencargado) en adelante, «el encargado». Se acepta al crear la cuenta y se aplica a todos los servicios que el cliente contrate.

1. Objeto

El encargado tratará, por cuenta del cliente, los datos personales que el cliente o sus usuarios guarden en las aplicaciones alojadas, únicamente para prestar los servicios contratados: alojamiento en un servidor dedicado, puesta en marcha y mantenimiento de la aplicación, copias de seguridad, restauraciones, descargas de copias, monitorización y soporte técnico.

2. Duración

Mientras el cliente tenga algún servicio contratado. Al terminar, se aplica la cláusula 10.

3. Naturaleza y finalidad

Alojamiento, conservación, copia, recuperación y, cuando lo pida el cliente en el soporte, consulta o modificación puntual de los datos para resolver una incidencia. El encargado no accede al contenido salvo cuando es necesario para el servicio o a petición del cliente, y no lo usa para fines propios.

4. Tipo de datos y categorías de interesados

Los que el cliente decida guardar en sus aplicaciones, que el encargado no determina: habitualmente datos identificativos y de contacto, datos de clientes, usuarios, empleados, proveedores o suscriptores del cliente y, según la aplicación, documentos, mensajes, datos de reservas o de actividad. Si el cliente va a tratar categorías especiales de datos (salud, por ejemplo en una clínica) o datos de menores, debe indicarlo para valorar medidas adicionales; el encargado aplica en todo caso las medidas del anexo.

5. Obligaciones del encargado

El encargado se compromete a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del cliente, que son estas condiciones, la configuración que el cliente elige en el panel y lo que solicite por los tickets de soporte. Si una instrucción infringiera la normativa, lo comunicará inmediatamente al cliente.
2. No comunicar los datos a terceros salvo a los subencargados autorizados (cláusula 7) o cuando lo exija la ley.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
4. Aplicar las medidas de seguridad del anexo, adecuadas al riesgo (art. 32 RGPD), y revisarlas periódicamente.
5. Ayudar al cliente a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige al encargado, le dará traslado al cliente sin demora.
6. Notificar al cliente las violaciones de seguridad que afecten a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información disponible para que el cliente pueda, si procede, notificarlas a la autoridad de control y a los interesados.
7. Ayudar al cliente, con la información de que disponga, en las evaluaciones de impacto y consultas previas que le correspondan.
8. Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, con un preaviso razonable, en horario laboral, sin acceso a datos de otros clientes y a cargo del cliente, salvo que se detecte un incumplimiento.
9. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD) cuando sea obligatorio.

6. Obligaciones del cliente

El cliente garantiza que trata los datos de forma lícita (con una base legal válida y habiendo informado a los interesados), que la elección de la aplicación y de su configuración es adecuada para sus datos, y que custodia sus contraseñas y las de sus usuarios. Es responsable del contenido que guarda y de contratar las copias de seguridad si las necesita.

7. Subencargados

El cliente da su autorización general para que el encargado recurra a los subencargados indicados en la Política de privacidad: el proveedor de servidores que el cliente elige al contratar (siempre en una región europea), el proveedor de red y DNS, el almacenamiento de las copias de seguridad (región de la UE) y el proveedor de correo electrónico del servicio. El encargado les impone por contrato las mismas obligaciones de protección de datos. Avisará al cliente por correo de cualquier cambio de subencargados con al menos 15 días de antelación; si el cliente se opone por motivos razonables y no se encuentra una alternativa, podrá darse de baja sin penalización.

8. Transferencias internacionales

Los servidores y las copias de seguridad están en el Espacio Económico Europeo. Si algún subencargado pertenece a un grupo de fuera del EEE, la transferencia se ampara en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo de la Comisión Europea.

9. Responsabilidad

Cada parte responde de sus propios incumplimientos de la normativa de protección de datos y de este contrato, en los términos del artículo 82 del RGPD y con los límites de las Condiciones de contratación en lo que la ley permita.

10. Fin del encargo: devolución y supresión

Antes de la baja, el cliente puede descargar sus datos y copias desde el panel. Al terminar el servicio, el encargado suprime el servidor con todos sus datos en la fecha de la baja y las copias de seguridad en un máximo de 30 días, salvo que una ley obligue a conservarlos; en ese caso los mantendrá bloqueados y solo para ese fin.

Anexo: medidas de seguridad

El encargado aplica, entre otras, estas medidas, que revisa y mejora periódicamente:

• Cada servicio en su propio servidor, separado de los de otros clientes.
• Acceso a los servidores restringido al personal autorizado, con verificación en dos pasos y registro de accesos.
• Protección frente a accesos no autorizados y ataques y exposición a Internet limitada a lo imprescindible para publicar el servicio (con un dominio propio del cliente, los puertos web estándar 80 y 443).
• Conexiones cifradas (HTTPS) con certificados que se renuevan solos.
• Actualizaciones de seguridad automáticas del sistema.
• Copias de seguridad cifradas con la regla 3-2-1 (tres copias, dos soportes distintos, una fuera), cada servicio con su propia clave, verificadas automáticamente y con restauración probada. En un servidor del cliente no se deja ninguna clave de las copias.
• Contraseñas guardadas con cifrado irreversible; credenciales de las aplicaciones visibles para el cliente durante un tiempo limitado y después borradas del portal.
• Vigilancia continua del funcionamiento y procedimiento de gestión y notificación de incidentes de seguridad.

Por seguridad, la web y este contrato no detallan las herramientas ni la configuración concretas: así no se facilita información a posibles atacantes. La descripción técnica detallada está a disposición del cliente que la solicite (por ejemplo, para su análisis de riesgos o una auditoría), con compromiso de confidencialidad.