Contrato de encargado del tratamiento

En Madrid, a 12/09/2026.

Partes

1 · Objeto

El CLIENTE encarga a IMAGESS el tratamiento de los datos personales necesarios para prestar el servicio de vigilancia de correo electrónico, consistente en analizar de forma automatizada los mensajes que llegan a los buzones indicados, con la única finalidad de detectar correo fraudulento o suplantación de identidad y avisar al CLIENTE.

Buzones incluidos:

2 · Naturaleza del tratamiento y datos tratados

El tratamiento es exclusivamente automatizado. IMAGESS no lee ni revisa manualmente el contenido de las comunicaciones, salvo que el CLIENTE se lo pida expresamente para analizar un caso concreto.

Se tratan: direcciones de correo del remitente y del destinatario, asuntos, cabeceras técnicas, enlaces, nombres de los archivos adjuntos y el contenido del mensaje solo durante el instante del análisis.

Datos conservados: únicamente el remitente, el asunto, la fecha, la puntuación de riesgo y el motivo de la detección. El cuerpo de los mensajes no se almacena en ningún momento. Los registros se conservan mientras dure el servicio y se suprimen a los treinta días de su finalización.

Categorías de interesados: remitentes y destinatarios de los correos que llegan a los buzones vigilados, incluidos empleados, clientes y proveedores del CLIENTE.

3 · Duración

Este contrato estará vigente mientras dure la prestación del servicio y podrá resolverse por cualquiera de las partes con un preaviso de quince días, sin penalización.

4 · Obligaciones de IMAGESS

1. Tratar los datos únicamente siguiendo instrucciones documentadas del CLIENTE, incluidas las relativas a transferencias internacionales.
2. No utilizar los datos para ninguna finalidad distinta de la prevista, y en particular no usarlos para fines comerciales propios ni cederlos a terceros.
3. Garantizar que las personas autorizadas se han comprometido por escrito a respetar la confidencialidad.
4. Aplicar las medidas de seguridad del artículo 32 del RGPD, detalladas en la cláusula 6.
5. No subcontratar sin autorización previa por escrito, salvo los subencargados relacionados en la cláusula 7.
6. Asistir al CLIENTE para que pueda atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de los interesados.
7. Ayudar al CLIENTE a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
8. Notificar cualquier brecha de seguridad sin dilación indebida y, como máximo, en 24 horas desde que tenga constancia, con la información necesaria para que el CLIENTE pueda comunicarla a la autoridad de control.
9. A la finalización del servicio, suprimir todos los datos o devolverlos al CLIENTE, a su elección, y eliminar las copias existentes.
10. Poner a disposición del CLIENTE la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, con preaviso razonable.

5 · Obligaciones del CLIENTE

1. Facilitar únicamente los accesos necesarios y comunicar sin demora cualquier cambio de credenciales.
2. Informar a sus empleados de que los buzones corporativos indicados están sujetos a este análisis automatizado de seguridad, conforme al artículo 20.3 del Estatuto de los Trabajadores y al artículo 87 de la Ley Orgánica 3/2018. IMAGESS facilitará un modelo de comunicación.
3. Velar por que el tratamiento cuente con base jurídica suficiente, que será su interés legítimo en la seguridad de sus sistemas.

6 · Medidas de seguridad

• Conexión cifrada (IMAP sobre TLS) para el acceso a los buzones.
• Credenciales guardadas fuera de la carpeta pública del servidor, con permisos restringidos.
• Acceso al panel protegido por clave, con la indexación por buscadores deshabilitada.
• Minimización: no se almacena el contenido de los mensajes.
• El sistema no modifica el buzón del CLIENTE: no borra, no mueve ni marca mensajes.

7 · Subencargados y ubicación de los datos

El CLIENTE autoriza como subencargado al proveedor de alojamiento WHG Hosting Services Ltd, cuyos servidores están situados en Ciudad de México (México).

Esta transferencia internacional se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea (artículo 46.2.c del RGPD), suscritas con dicho proveedor. IMAGESS informará al CLIENTE de cualquier cambio de subencargado con antelación suficiente para que pueda oponerse.

8 · Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de sus obligaciones. IMAGESS presta un servicio de detección, no de garantía: ninguna herramienta identifica el cien por cien del correo fraudulento, y la decisión final sobre cada mensaje corresponde siempre al CLIENTE.

9 · Legislación y fuero

Este contrato se rige por el RGPD, por la Ley Orgánica 3/2018 y por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Madrid, salvo que la ley imponga otro fuero.