Contrato de Encargado de Tratamiento de Datos Personales
Versión 2.0 — borrador · Julio de 2026 Art. 25 de la Ley N° 25.326 de Protección de los Datos Personales
Borrador sujeto a revisión letrada. Ver
LEER-PRIMERO.md.
Entre [NOMBRE / RAZÓN SOCIAL DEL CLIENTE], CUIT [CUIT], con domicilio en [DOMICILIO] (en adelante, el "Responsable"), y [NOMBRE / RAZÓN SOCIAL DE PREVEC], CUIT [CUIT], con domicilio en [DOMICILIO] (en adelante, el "Encargado"), se acuerda:
1. Objeto
El Responsable contrata al Encargado la prestación del servicio de software PreveC, que implica el alojamiento y procesamiento de datos personales por cuenta y orden del Responsable.
Este contrato integra y complementa los Términos y Condiciones de Uso de PreveC. Ante discrepancia en materia de protección de datos personales, prevalece este contrato.
2. Alcance del tratamiento
| Concepto | Detalle |
|---|---|
| Finalidad | Gestión de higiene y seguridad laboral: control de vencimientos, personal, equipamiento, capacitaciones y documentación asociada |
| Duración | Mientras esté vigente la relación contractual, más los plazos de conservación pactados en la cláusula 8 |
| Categorías de titulares | Trabajadores del Responsable; personal de empresas contratistas; usuarios designados por el Responsable |
| Categorías de datos | Nombre y apellido, DNI, legajo, puesto, sector; fechas de vencimiento de documentación; resultado de aptitud laboral |
| Datos sensibles | No se tratan. Ver cláusula 4 |
| Operaciones | Recolección, almacenamiento, consulta, modificación, exportación y supresión |
3. Obligaciones del Encargado
El Encargado se obliga a:
- Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, y no utilizarlos para finalidad propia alguna.
- No ceder ni transferir los datos a terceros, salvo a los subencargados autorizados en la cláusula 6, o por orden de autoridad competente. En este último caso, notificará al Responsable antes de hacerlo, salvo prohibición legal.
- No utilizar los datos para entrenar modelos de inteligencia artificial, propios ni de terceros.
- Mantener la confidencialidad, obligación que subsiste aun después de finalizada la relación contractual, conforme al Art. 10 de la Ley 25.326.
- Garantizar que toda persona con acceso a los datos esté sujeta a deber de confidencialidad.
- Aplicar las medidas de seguridad descriptas en la cláusula 5.
- Asistir al Responsable para atender las solicitudes de ejercicio de derechos de los titulares (acceso, rectificación, actualización, supresión), dentro de los plazos legales.
- Notificar todo incidente de seguridad que afecte datos del Responsable, dentro de las 72 horas de detectado, informando naturaleza del incidente, datos afectados, medidas adoptadas y consecuencias probables.
- Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento de estas obligaciones.
- Devolver o suprimir los datos al finalizar la relación, según la cláusula 8.
4. Datos sensibles — exclusión expresa
El servicio no está habilitado para el tratamiento de datos sensibles en los términos del Art. 2 de la Ley 25.326 (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, e información referente a la salud o a la vida sexual).
En materia de salud laboral, la plataforma admite únicamente:
- la fecha de vencimiento del examen médico correspondiente;
- el resultado de aptitud:
apto,apto con restriccionesono apto.
El Responsable se obliga a no incorporar a la plataforma diagnósticos, patologías, historia clínica ni detalle médico alguno, por ningún medio, incluidos campos de texto libre y archivos adjuntos.
El incumplimiento de esta cláusula es responsabilidad exclusiva del Responsable, quien mantendrá indemne al Encargado frente a cualquier reclamo derivado.
5. Medidas de seguridad
El Encargado aplica las siguientes medidas, verificables:
Control de acceso. Aislamiento a nivel de base de datos mediante Row Level Security activado y forzado en todas las tablas de datos. Cada cuenta accede exclusivamente a sus propios registros.
Autenticación. Credenciales gestionadas por proveedor especializado. Contraseñas almacenadas mediante funciones de hash de un solo sentido, no recuperables por el Encargado.
Cifrado. TLS/HTTPS para todo el tráfico. Cifrado en reposo a nivel de almacenamiento provisto por la infraestructura.
Recuperabilidad. Copias de seguridad gestionadas por la infraestructura. Retención de registros archivados por 30 días corridos antes de su supresión definitiva, como protección ante borrados accidentales.
El Encargado se obliga a comunicar al Responsable toda modificación sustancial de estas medidas.
6. Subencargados
El Responsable autoriza al Encargado a valerse de los siguientes proveedores:
| Proveedor | Función | Ubicación |
|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento | [COMPLETAR] |
| [Hosting] | Alojamiento de la aplicación | [COMPLETAR] |
| [Pasarela de pago] | Procesamiento de cobros | [COMPLETAR] |
El Encargado responde por la actuación de sus subencargados como por la propia. La incorporación de nuevos subencargados que traten datos personales del Responsable será notificada con 30 días corridos de antelación, plazo dentro del cual el Responsable podrá oponerse y, en su caso, rescindir sin penalidad.
Transferencia internacional. Si algún proveedor aloja datos fuera de la República Argentina, corresponde el análisis del Art. 12 de la Ley 25.326. A definir con asesoramiento letrado antes de la firma.
7. Obligaciones del Responsable
El Responsable declara y garantiza que:
- Cuenta con base legal suficiente para el tratamiento de los datos que incorpora a la plataforma.
- Ha informado a los titulares conforme al Art. 6 de la Ley 25.326: la finalidad del tratamiento, la existencia del archivo, la identidad del responsable y sus derechos.
- Ha obtenido los consentimientos exigibles según la naturaleza de los datos.
- No incorporará datos sensibles, conforme a la cláusula 4.
- Gestiona adecuadamente los accesos de sus propios usuarios, dándolos de baja cuando corresponda.
- Atenderá en primer término las solicitudes de los titulares de los datos, en su carácter de Responsable del Tratamiento.
8. Finalización
Al finalizar la relación contractual, a elección del Responsable:
- Exportación: el Encargado pondrá a disposición la totalidad de los datos en formato estructurado, dentro de los 90 días corridos.
- Supresión: transcurrido ese plazo, o antes si el Responsable lo solicita expresamente, el Encargado suprimirá los datos de sus sistemas de producción.
Se exceptúan los datos cuya conservación resulte exigida por normativa fiscal o por orden de autoridad competente, que se conservarán bloqueados por el plazo legal correspondiente.
9. Responsabilidad
Cada parte responde por el incumplimiento de las obligaciones que este contrato pone a su cargo.
El Responsable mantendrá indemne al Encargado frente a reclamos de titulares de datos o de autoridades que tengan origen en:
- la falta de base legal o de información a los titulares (cláusula 7);
- la incorporación de datos sensibles en infracción a la cláusula 4;
- instrucciones del Responsable contrarias a la normativa vigente.
El Encargado mantendrá indemne al Responsable frente a reclamos originados en el incumplimiento de las obligaciones de la cláusula 3.
10. Ley aplicable y jurisdicción
Este contrato se rige por las leyes de la República Argentina. Para toda controversia serán competentes los tribunales ordinarios de [JURISDICCIÓN].
Lugar y fecha: __________________, ____ de ______________ de 20
POR EL RESPONSABLE Firma: ______________________ Aclaración: __________________ Carácter: ____________________ |
POR EL ENCARGADO Firma: ______________________ Aclaración: __________________ Carácter: ____________________ |
¿Dudas sobre este documento? Escribinos y te respondemos.