Borrador pendiente de revisión legal. Los datos entre corchetes se completan al constituir la actividad.

Contrato de encargado del tratamiento

Versión 2026-11 · artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la LOPDGDD.

Partes. Responsable: el cliente titular del alojamiento. Encargado: Jon Bergerandi Loidi (NIF 44333908M), titular de Registrosolo.
Objeto. Recoger, conservar y comunicar a las autoridades los datos de los viajeros que exige el Real Decreto 933/2021, por cuenta del responsable.
Datos y personas. Datos identificativos, de contacto, documento de identidad, nacionalidad, fecha de nacimiento, domicilio, parentesco y datos de la estancia y del pago, de los viajeros alojados (incluidos menores). No se tratan categorías especiales.
Duración. La del contrato del servicio. Al terminar, el encargado conservará los datos bloqueados hasta que venza el plazo legal de 3 años y los suprimirá, o los devolverá al responsable si este lo pide.
Obligaciones del encargado. Tratar los datos solo según las instrucciones documentadas del responsable (estas condiciones y la configuración del panel); garantizar la confidencialidad de las personas autorizadas; aplicar las medidas del art. 32 (ver anexo); no subcontratar sin autorización (se autorizan los subencargados de la lista); ayudar al responsable a atender los derechos de los interesados y en las evaluaciones de impacto; notificarle las violaciones de seguridad sin dilación y en todo caso en 48 horas; poner a su disposición la información para demostrar el cumplimiento y permitir auditorías.
Obligaciones del responsable. Facilitar los datos y credenciales necesarios, informar a los viajeros (el formulario incluye la información del art. 13) y velar por el cumplimiento del RGPD.
Subencargados autorizados. Hetzner Online GmbH (Alemania): servidores y copias, en su centro de datos de Finlandia · Sendinblue SAS (Brevo, Francia): envío de los correos. El correo de soporte que el responsable escriba al encargado pasa además por ImprovMX Inc. (Estados Unidos; lo recibe en Francia y lo borra al entregarlo) y por Google Ireland Ltd. (buzón), que pueden tratar datos fuera del EEE con cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU.; no reciben datos de los viajeros salvo que el responsable los incluya en su mensaje, cosa que debe evitar. Se avisará con 30 días de cualquier cambio; el responsable podrá oponerse y resolver el contrato.

Anexo: medidas de seguridad

Cifrado de los datos personales en la base de datos (AES con claves fuera de la base) y en tránsito (TLS 1.2+).
La imagen del documento no se transmite: la lectura se hace en el dispositivo del viajero.
Aislamiento entre clientes en todas las consultas; registro de accesos (auditoría) visible para el responsable.
Contraseñas con hash scrypt; sesiones solo por HTTPS.
Copias de seguridad cifradas diarias, dentro de la UE; prueba de restauración periódica.
Borrado automático al vencer el plazo de conservación.
Actualizaciones de seguridad del sistema y dependencias.