Acord d'Encarregat del Tractament (DPA)

Darrera actualització: 2 d'octubre de 2026

1. Objecte

1.1. Aquest Acord regula el tractament de dades personals que l'Encarregat duu a terme per compte del Responsable com a conseqüència de la prestació del Servei, de conformitat amb l'article 28 del Reglament (UE) 2016/679 (RGPD) i la Llei orgànica 3/2018, de 5 de desembre (LOPDGDD).

1.2. El detall del tractament (finalitat, naturalesa, tipus de dades i categories d'interessats) figura a l'Annex I.

1.3. En allò que no preveu aquest Acord, s'aplicarà el Contracte Principal. En cas de contradicció en matèria de protecció de dades, prevaldrà aquest Acord.

2. Instruccions del Responsable

2.1. L'Encarregat tractarà les dades personals únicament seguint les instruccions documentades del Responsable, incloses les relatives a transferències internacionals, llevat que estigui obligat a una altra cosa pel Dret de la Unió o dels Estats membres, cas en què informarà el Responsable d'aquesta exigència abans del tractament, llevat que la llei ho prohibeixi.

2.2. La contractació del Servei i la configuració que el Responsable dugui a terme a la Plataforma constitueixen instruccions documentades. L'Encarregat informarà el Responsable si, en la seva opinió, una instrucció infringeix la normativa de protecció de dades.

2.3. L'Encarregat no utilitzarà les dades per a finalitats pròpies ni diferents de la prestació del Servei. En particular, no utilitzarà les dades del Responsable per entrenar, reentrenar o ajustar models d'intel·ligència artificial.

3. Obligacions de l'Encarregat

L'Encarregat s'obliga a:

Tractar les dades d'acord amb les instruccions del Responsable i la normativa aplicable.
Garantir que les persones autoritzades per tractar les dades s'han compromès a respectar-ne la confidencialitat i han rebut la formació necessària.
Aplicar les mesures de seguretat tècniques i organitzatives exigides per l'article 32.4 del RGPD i que s'estableixen a la clàusula 4.
Respectar les condicions per recórrer a un altre encarregat (subencarregat) d'acord amb la clàusula 6.
Assistir el Responsable, mitjançant mesures tècniques i organitzatives apropiades, en la resposta a les sol·licituds d'exercici de drets dels interessats d'acord amb la clàusula 7.
Assistir el Responsable en el compliment de les obligacions dels articles 32 a 36 del RGPD (seguretat, notificació de violacions, avaluacions d'impacte i consultes prèvies), tenint en compte la naturalesa del tractament i la informació disponible.
Suprimir o retornar les dades en finalitzar la prestació, d'acord amb la clàusula 8.
Posar a disposició del Responsable la informació necessària per demostrar el compliment de les seves obligacions i permetre auditories i contribuir-hi d'acord amb la clàusula 9.
Portar un registre de les categories d'activitats de tractament efectuades per compte del Responsable.
Designar, quan escaigui, un delegat de protecció de dades i comunicar-ne les dades de contacte al Responsable.

4. Seguretat del tractament

4.1. L'Encarregat aplicarà les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc, d'acord amb l'article 32 del RGPD, incloent-hi, segons escaigui: el xifratge de les dades, la pseudonimització quan sigui adequada, la capacitat de garantir la confidencialitat, la integritat, la disponibilitat i la resiliència permanents dels sistemes, la capacitat de restaurar l'accés a les dades en cas d'incident i processos de verificació periòdica de l'eficàcia de les mesures.

4.2. El detall de les mesures de seguretat implementades es descriu a l'Annex III (o, si escau, a la documentació de seguretat facilitada per l'Encarregat).

5. Notificació de violacions de seguretat

5.1. L'Encarregat notificarà al Responsable, sense dilació indeguda i com a màxim en un termini de 48 hores des que en tingui coneixement, qualsevol violació de la seguretat de les dades personals tractades per compte d'aquell.

5.2. La notificació inclourà, en la mesura que se'n disposi: la naturalesa de la violació i, quan sigui possible, les categories i el nombre aproximat d'interessats i de registres afectats; les dades de contacte del punt d'informació; les conseqüències probables; i les mesures adoptades o proposades. Si la informació no es pot facilitar simultàniament, s'aportarà de manera gradual sense dilació indeguda.

6. Subencarregats

6.1. El Responsable autoritza amb caràcter general l'Encarregat a recórrer als subencarregats relacionats a la Llista de Subencarregats publicada a www.arcilla.ai/legal, que forma part d'aquest Acord.

6.2. L'Encarregat podrà incorporar o substituir subencarregats, informant-ne prèviament el Responsable mitjançant l'actualització de la Llista amb notificació amb una antelació raonable, de manera que el Responsable s'hi pugui oposar per motius justificats relacionats amb la protecció de dades. En cas d'oposició fonamentada no resolta, el Responsable podrà resoldre el contracte.

6.3. L'Encarregat imposarà a tot subencarregat, mitjançant contracte, les mateixes obligacions de protecció de dades previstes en aquest Acord, i continuarà sent plenament responsable davant del Responsable del compliment per part d'aquell.

7. Drets dels interessats

L'Encarregat assistirà el Responsable en l'atenció de les sol·licituds d'exercici dels drets d'accés, rectificació, supressió, oposició, limitació, portabilitat i a no ser objecte de decisions individuals automatitzades. Amb aquesta finalitat, traslladarà al Responsable qualsevol sol·licitud que rebi directament, sense dilació indeguda i com a màxim en tres dies naturals des de la seva recepció, sense respondre-la per si mateix llevat d'instrucció del Responsable.

8. Devolució i supressió de les dades

8.1. Després de la terminació del Contracte Principal, el Responsable disposarà d'un termini de trenta (30) dies naturals per exportar o sol·licitar una còpia del Contingut del Client en un format estructurat i d'ús comú.

8.2. Un cop transcorregut aquest termini, l'Encarregat procedirà a la supressió segura del Contingut del Client en els seus sistemes de producció. Amb independència de l'anterior, l'Encarregat suprimirà les dades en qualsevol moment quan el Responsable ho sol·liciti de manera expressa, inclòs l'exercici del dret previst a l'article 17 del RGPD.

8.3. El Contracte Principal s'entendrà acabat quan hagi transcorregut 1 any d'inactivitat ininterrompuda en tots els comptes de l'organització.

8.4. No obstant això, l'Encarregat podrà conservar una còpia bloquejada de les dades durant els terminis de prescripció legalment aplicables, amb l'única finalitat d'atendre possibles responsabilitats, de conformitat amb l'article 32 de la LOPDGDD.

9. Auditoria

L'Encarregat posarà a disposició del Responsable la informació necessària per demostrar el compliment d'aquest Acord. El Responsable podrà dur a terme una auditoria l'any, amb un preavís de dos mesos, dins d'un abast raonable i respectant la confidencialitat i els secrets empresarials d'acord amb la Llei 1/2019, de 20 de febrer, de secrets empresarials.

10. Transferències internacionals

Quan el tractament impliqui transferències de dades fora de l'Espai Econòmic Europeu, aquestes es faran emparades en un mecanisme vàlid d'acord amb el capítol V del RGPD (decisió d'adequació, Clàusules Contractuals Tipus o altres garanties adequades), segons s'indica a la Llista de Subencarregats.

11. Cessió i successió

Aquest Acord es cedirà conjuntament amb el Contracte Principal. En cas de fusió, adquisició, reorganització societària o venda d'actius o de la línia de negoci de l'Encarregat, el cessionari assumirà per escrit les mateixes obligacions de l'Encarregat del Tractament d'acord amb l'article 28 del RGPD. El Responsable serà informat de la cessió amb una antelació raonable i s'hi podrà oposar únicament per motius justificats relacionats amb la protecció de dades; en cas d'oposició fonamentada no resolta, el Responsable podrà resoldre el contracte.

12. Responsabilitat i durada

12.1. La responsabilitat derivada de l'incompliment d'aquest Acord es regirà pels límits i exclusions previstos a la clàusula de responsabilitat del Contracte Principal, sens perjudici de les responsabilitats imperatives en matèria de protecció de dades.

12.2. Aquest Acord entra en vigor amb l'acceptació del Contracte Principal i romandrà vigent mentre duri el tractament per compte del Responsable.

13. Llei aplicable i jurisdicció

Aquest Acord es regeix per la legislació espanyola. Les parts se sotmeten als Jutjats i Tribunals de la ciutat de Barcelona.

ANNEX I — Descripció del tractament

Responsable del tractament: Client
Encarregat del tractament: ARCILLA AI S.L.
Finalitat: prestació d'un servei d'assistent jurídic mitjançant intel·ligència artificial per compte del Responsable i sota les seves instruccions, que comprèn: l'anàlisi, el processament, el resum i la classificació de documents i continguts aportats pel Responsable; la interacció conversacional per a la formulació de consultes i la generació de respostes i esborranys; i, si escau, la recepció de text generat mitjançant funcionalitats de transcripció.
Naturalesa i operacions de tractament: recepció i emmagatzematge, processament i anàlisi mitjançant algoritmes d'intel·ligència artificial, generació de resultats (Output) i supressió segura.

Categories de dades personals:

Dades identificatives (nom, cognoms, DNI/NIE, adreça, signatura).
Dades de contacte (correu electrònic, telèfon).
Dades professionals i econòmiques (càrrec, empresa, dades bancàries, informació tributària, historial laboral).
Informació judicial o administrativa (detalls de litigis, número d'expedient, fets i arguments).
Metadades tècniques associades a les interaccions.
Categories especials (article 9 RGPD) i dades relatives a condemnes i infraccions (article 10 RGPD): es podran incorporar de manera incidental per la naturalesa dels expedients jurídics. El Responsable garanteix que disposa de la base jurídica reforçada exigible.

Categories d'interessats: clients del Responsable, els seus empleats, les parts contràries i els seus representants, testimonis, perits, autoritats i qualsevol tercer la informació del qual consti en els documents o consultes tractats.

Durada del tractament: la vigència del Contracte Principal, amb les regles de conservació i supressió de la clàusula 8.

ANNEX II — Subencarregats

La relació actualitzada de subencarregats autoritzats, amb indicació de la seva denominació, finalitat, ubicació del tractament i mecanisme de transferència internacional, figura a la Llista de Subencarregats publicada a www.arcilla.ai/legal, que forma part integrant d'aquest Acord.

ANNEX III — Mesures de seguretat (resum)

Xifratge en trànsit. Totes les comunicacions es fan sobre TLS/HTTPS.
Xifratge en repòs amb gestió de claus (KMS) i segregació per client. Només el titular de les dades les pot desxifrar (segregació de claus per client).
Control d'accessos i autenticació reforçada. Autenticació gestionada mitjançant Clerk (amb suport de MFA/2FA), tokens JWT i control d'accés basat en rols.
Residència de dades a la UE/EEE. Tota la infraestructura de tractament s'allotja a AWS, en regions europees.
Aïllament de xarxa i control de trànsit. Serveis desplegats en una xarxa privada aïllada. CORS.
Registre i monitoratge. Registre estructurat d'esdeveniments i de l'execució de treballs, amb separació de registres (logs) interns i d'usuari.
Còpies de seguretat i recuperació. Recuperació gestionada dels serveis administrats d'AWS.
Supressió segura de dades. Esborrament en cascada del Contingut del Client a través de tots els sistemes (metadades, índexs de cerca i objectes), així com neteja periòdica de fitxers temporals.
No-entrenament de models. El Contingut del Client i l'Output no s'utilitzen per entrenar, reentrenar ni ajustar models d'IA, ni propis ni de tercers.
Revisió periòdica. Avaluació i revisió periòdica de l'eficàcia de les mesures tècniques i organitzatives, amb polítiques internes de seguretat i de confidencialitat del personal.