Contrato de encargo del tratamiento
Versión 1.0 · 16/10/2026 (actualizado 16/10/2026). Contrato de encargo del tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Partes
- El Cliente, identificado con los datos de su cuenta en el panel de Forma Estudio (nombre o razón social, NIF y domicilio), como responsable del tratamiento («el Responsable» o «tú»).
- Carlos Moreno García, autónomo, con el nombre comercial Forma Estudio, NIF 09220234V, domicilio en Travesía Arturo Barea 24, 06800 Mérida (Badajoz), email contacto@formaestudio.org, como encargado del tratamiento («Forma Estudio», «el Encargado» o «nosotros»).
Este contrato forma parte de las Condiciones del servicio de Forma Estudio (las «Condiciones») y lo aceptas al contratar, junto con ellas (cláusula 15.2 de las Condiciones). En materia de protección de datos, si hay contradicción entre este contrato y las Condiciones, prevalece este contrato.
2. Definiciones
Los términos de este contrato tienen el significado del artículo 4 del RGPD. Además:
- Web: la web de tu negocio que Forma Estudio diseña, aloja, publica y mantiene según las Condiciones.
- Datos de la Web: los datos personales que Forma Estudio trata por tu cuenta para prestar el servicio, descritos en el Anexo I.
- Interesado: la persona física a la que se refieren los Datos de la Web.
- Subencargado: el tercero al que Forma Estudio recurre para tratar Datos de la Web por tu cuenta.
- Violación de seguridad: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos de la Web, o la comunicación o el acceso no autorizados a ellos.
- Panel: el área de cliente de Forma Estudio.
3. Objeto y alcance
3.1. Forma Estudio trata los Datos de la Web solo para prestar el servicio contratado: diseñar, preparar (también con herramientas de inteligencia artificial, a partir de tus respuestas al cuestionario, tus contenidos y tus fotos), alojar, publicar y mantener la Web, y recibir, guardar y hacerte llegar los mensajes que los visitantes envían por sus formularios. La naturaleza, la finalidad, las categorías de datos y de interesados y la conservación se detallan en el Anexo I.
3.2. Quedan fuera de este contrato tus datos como cliente de Forma Estudio (cuenta, facturación, pagos y comunicaciones). Forma Estudio los trata como responsable, según su Política de privacidad (https://formaestudio.org/privacidad).
4. Duración
Este contrato dura lo mismo que tu suscripción. Después, sigue aplicándose durante el tiempo necesario para devolver y suprimir los Datos de la Web según la cláusula 13.
5. Tus obligaciones como Responsable
Como Responsable:
- decides sobre el tratamiento de los datos de tus visitantes y clientes, y debes contar con una base jurídica para ello;
- informas a los interesados mediante la política de privacidad de tu Web. Forma Estudio te facilita una plantilla genérica, que debes revisar y adaptar a tu caso;
- no incluyes en la Web ni pides en sus formularios categorías especiales de datos (por ejemplo, de salud) ni datos de menores sin avisar antes a Forma Estudio y acordar por escrito medidas adicionales;
- nos das tus instrucciones por el Panel o por escrito a contacto@formaestudio.org.
6. Obligaciones de Forma Estudio como Encargado
Forma Estudio:
- trata los Datos de la Web solo siguiendo tus instrucciones documentadas, también en cuanto a las transferencias internacionales, salvo que una norma de la Unión Europea o de España le obligue a otra cosa. En ese caso te lo dirá antes, salvo que esa norma lo prohíba. Configurar y usar el servicio según las Condiciones cuenta como instrucción documentada;
- te avisa inmediatamente si considera que una instrucción infringe la normativa de protección de datos;
- no usa los Datos de la Web para fines propios: ni para publicidad, ni para venderlos, ni para entrenar modelos de inteligencia artificial;
- garantiza que las personas autorizadas a tratar los Datos de la Web se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad;
- aplica las medidas de seguridad del artículo 32 del RGPD descritas en el Anexo II;
- cumple las reglas sobre subencargados de la cláusula 8;
- te ayuda a atender los derechos de los interesados (cláusula 9) y a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, violaciones de seguridad, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información de que dispone;
- devuelve y suprime los Datos de la Web al terminar el contrato (cláusula 13);
- pone a tu disposición la información necesaria para demostrar que cumple este contrato y permite y facilita auditorías (cláusula 12);
- lleva, cuando la ley lo exija, el registro de actividades de tratamiento como encargado (artículo 30.2 del RGPD).
7. Confidencialidad
Forma Estudio guarda secreto sobre los Datos de la Web a los que accede, también después de terminado el contrato.
8. Subencargados
8.1. Autorización general. Nos autorizas de forma general a recurrir a subencargados. Los subencargados actuales, con su función, los datos que reciben, su ubicación y la garantía de transferencia aplicable, figuran en el Anexo III. Los servicios que no están activos no se incluyen; si se activan, se aplica la cláusula 8.2.
8.2. Aviso de cambios y derecho de oposición. Te avisamos por email y en el Panel de cualquier alta o sustitución de un subencargado antes de que sea efectiva, con antelación suficiente para que puedas oponerte. Puedes oponerte por motivos razonables relacionados con la protección de datos, escribiendo a contacto@formaestudio.org antes de que el cambio sea efectivo. Si no llegamos a una solución, puedes darte de baja antes de que el cambio sea efectivo, sin aplicar el aviso de 30 días de la cláusula 13.1 de las Condiciones.
8.3. Mismas obligaciones. Forma Estudio impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que establece este contrato, en particular garantías suficientes de que aplicará medidas técnicas y organizativas apropiadas. Si un subencargado incumple sus obligaciones, Forma Estudio sigue respondiendo ante ti de su cumplimiento (artículo 28.4 del RGPD).
9. Derechos de los interesados
9.1. Si un interesado se dirige a Forma Estudio para ejercer sus derechos sobre los Datos de la Web (acceso, rectificación, supresión, oposición, limitación del tratamiento o portabilidad), Forma Estudio no le responde por su cuenta, salvo que tú se lo indiques. Te reenvía la solicitud sin dilación indebida.
9.2. Forma Estudio te ayuda, con medidas técnicas y organizativas apropiadas, a atender esas solicitudes dentro de los plazos que fija el RGPD; por ejemplo, localizando, exportando, corrigiendo o suprimiendo mensajes y contenidos de la Web.
10. Violaciones de seguridad
10.1. Forma Estudio te notifica sin dilación indebida cualquier violación de seguridad que afecte a los Datos de la Web desde que tenga constancia de ella (artículo 33.2 del RGPD), para que puedas cumplir tus obligaciones de notificación ante la autoridad de control.
10.2. La notificación incluye, en la medida en que se conozca, y se irá completando de forma gradual:
- la naturaleza de la violación y, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;
- sus consecuencias probables;
- las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos;
- una persona de contacto.
10.3. Forma Estudio documenta las violaciones de seguridad y colabora contigo en la notificación a la Agencia Española de Protección de Datos y, si procede, a los interesados (artículos 33 y 34 del RGPD). Notificar es decisión y responsabilidad tuya como Responsable, salvo que nos lo encargues por escrito.
11. Transferencias internacionales
11.1. La plataforma y las Webs se alojan en la Unión Europea. Algunos subencargados del Anexo III están establecidos o tratan datos en Estados Unidos o en otros países fuera del Espacio Económico Europeo. Forma Estudio solo transfiere Datos de la Web fuera del Espacio Económico Europeo a subencargados autorizados según la cláusula 8 y con alguna de las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., para los proveedores certificados, o las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914). El Anexo III indica la garantía de cada subencargado.
11.2. Puedes pedirnos una copia de las garantías aplicables.
12. Información y auditorías
12.1. Forma Estudio pone a tu disposición la información necesaria para demostrar que cumple el artículo 28 del RGPD y responde a tus solicitudes razonables de información.
12.2. Si esa información no basta, puedes hacer una auditoría o inspección, tú o un auditor que designes y que esté sujeto a confidencialidad. Debes avisarnos con antelación razonable. La auditoría se hace en horario laboral, sin acceso a datos de otros clientes y procurando no interrumpir el servicio. Cada parte asume sus propios costes.
13. Fin del contrato: devolución y supresión
13.1. Devolución gratuita. Durante los 30 días siguientes al fin de la suscripción, sea cual sea su causa, puedes descargar gratis desde el Panel tus textos, fotos, logotipo y los mensajes recibidos por los formularios de la Web (cláusula 14.2 de las Condiciones). Si tienes algún problema para descargarlos, escríbenos y te los enviamos. La exportación de la Web completa es un servicio opcional, con el precio que fijan las Condiciones (cláusula 14.4). Nunca retenemos los Datos de la Web como garantía de pago.
13.2. Supresión. Pasados esos 30 días, Forma Estudio suprime la Web y los Datos de la Web, incluidas las copias de cada versión publicada (cláusula 14.5 de las Condiciones). Los datos que contengan las copias de seguridad del servidor se eliminan cuando la rotación de copias las sustituye; mientras tanto permanecen aisladas y no se utilizan. Si quedara alguna copia en sistemas de un subencargado, se borra según sus condiciones de tratamiento.
13.3. Conservación bloqueada. Si una ley obliga a conservar algún dato, Forma Estudio lo conserva bloqueado (artículo 32 de la LOPDGDD), solo para ese fin y durante el plazo legal.
13.4. Si nos lo pides, te certificamos por escrito que hemos suprimido los datos.
13.5. Pausa e impago. Mientras la Web está en pausa o suspendida por impago, los Datos de la Web se conservan, y no se suprimen por ese motivo hasta que termina la suscripción.
14. Responsabilidad
Cada parte responde según el artículo 82 del RGPD. Entre las partes se aplica la cláusula 16 de las Condiciones, en la medida en que la ley lo permita.
15. Ley aplicable y tribunales
Este contrato se rige por la ley española. Las controversias se resuelven ante los tribunales que establece la cláusula 19 de las Condiciones.
Anexo I. Descripción del tratamiento
- Naturaleza: alojar, almacenar, organizar, mostrar en la Web y en el Panel, hacerte llegar y suprimir datos; redactar textos y preparar imágenes de la Web con herramientas de inteligencia artificial a partir de tus respuestas al cuestionario, tus contenidos y tus fotos; enviarte los correos del servicio; y emitir los certificados de seguridad (https) de la Web.
- Finalidad: prestar el servicio de web por suscripción: preparar y publicar la Web y hacerte llegar los mensajes de sus visitantes.
- Interesados: (a) visitantes de la Web que envían un formulario o mensaje; (b) personas que aparecen o se mencionan en tus respuestas al cuestionario y en los contenidos que nos das (por ejemplo, propietarios, empleados o clientes en fotos); (c) visitantes de la Web en general, en los registros técnicos del servidor.
- Categorías de datos: (a) nombre, email, teléfono y contenido del mensaje; (b) nombre, cargo, datos de contacto del negocio (dirección y teléfono), fotografías y otros datos que incluyas en el cuestionario o en los contenidos; (c) dirección IP, agente de usuario, fecha y hora, en los registros técnicos del servidor.
- Categorías especiales de datos: no previstas. Prohibidas salvo acuerdo por escrito (cláusula 5).
- Frecuencia: continua, mientras dure la suscripción.
- Conservación: los mensajes de formularios y los contenidos, mientras dure la suscripción, salvo que nos pidas antes su supresión; los registros técnicos del servidor, el tiempo necesario para la seguridad y el funcionamiento del servicio, y nunca más allá del fin del contrato. Después se aplica la cláusula 13.
Anexo II. Medidas técnicas y organizativas (artículo 32 del RGPD)
Estas son las medidas que se aplican hoy:
- Ubicación: la plataforma, la base de datos, las Webs y las fotos que subes se alojan en un servidor privado virtual de Hostinger situado en un centro de datos de París (Francia), dentro de la Unión Europea.
- Cifrado en tránsito: todo el tráfico va por HTTPS, con HSTS que obliga a los navegadores a usar siempre conexiones cifradas.
- Cabeceras de seguridad: política de seguridad de contenidos (Content-Security-Policy), protección frente a la inserción de la web en marcos ajenos (X-Frame-Options), bloqueo de la interpretación incorrecta de tipos de archivo (X-Content-Type-Options), limitación de la información de origen (Referrer-Policy) y desactivación de cámara, micrófono, geolocalización y pago (Permissions-Policy).
- Cortafuegos: el servidor está protegido por un cortafuegos de red gestionado en el proveedor de alojamiento.
- Acceso al Panel: sin contraseñas, mediante un enlace de acceso enviado al email de la cuenta. Las cookies de sesión son solo técnicas.
- Versiones y copias: se guarda una copia de cada versión publicada de la Web, que permite volver a una versión anterior desde el Panel, y se hacen copias de seguridad automáticas en el propio servidor. No se guardan copias fuera del servidor.
- Minimización hacia los proveedores de inteligencia artificial: lo que se les envía para preparar la Web no incluye tu email ni tus datos de pago.
- Retención cero y sin entrenamiento en OpenRouter: la configuración de proveedores de OpenRouter tiene activadas la retención cero de datos (ZDR) y la exclusión de proveedores que recogen datos o entrenan con ellos. Las solicitudes solo se encaminan a los proveedores de modelos autorizados en el Anexo III, sin desvío a otros proveedores.
- Sin terceros en el navegador de los visitantes: las Webs sirven sus fuentes desde el propio servidor y no cargan herramientas de analítica ni de publicidad de terceros.
- Acceso a los datos: limitado a las personas autorizadas por Forma Estudio, sujetas a confidencialidad (cláusula 6) y solo en la medida necesaria para prestar el servicio.
- Gestión de incidencias: las violaciones de seguridad se documentan y se gestionan según la cláusula 10.
Forma Estudio puede actualizar estas medidas siempre que no reduzca el nivel de seguridad. Si añadimos medidas nuevas, actualizaremos este anexo.
Anexo III. Subencargados autorizados
- Hostinger International Ltd. (Chipre, Unión Europea). Servicio: servidor privado virtual donde funcionan la plataforma, la base de datos y las Webs, con sus fotos, copias de seguridad y registros técnicos; y correo electrónico del dominio formaestudio.org. Datos afectados: todos los Datos de la Web del Anexo I. Ubicación: Unión Europea (centro de datos de París, Francia). Transferencia internacional: no hay.
- OpenRouter, Inc. (Estados Unidos). Servicio: pasarela de acceso a modelos de inteligencia artificial para redactar los textos de la Web, analizar las fotos y preparar imágenes. Datos afectados: tus respuestas al cuestionario, los contenidos de la Web y tus fotos, con los datos personales que contengan (por ejemplo, nombres de personas del negocio, dirección o teléfono). Configuración: retención cero de datos (ZDR) y sin entrenamiento con los datos, según la configuración de proveedores de la cuenta, y encaminamiento limitado a los proveedores de modelos de este anexo, sin desvío a otros. Ubicación: Estados Unidos. Garantía: cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incorporadas en el acuerdo de tratamiento de datos de OpenRouter.
- Google LLC (Google Cloud Vertex AI y Google AI Studio), a través de OpenRouter (Estados Unidos). Servicio: ejecución de los modelos de inteligencia artificial. Los modelos Claude (textos y análisis de fotos) se sirven a través de Google Cloud Vertex AI, y los modelos Gemini (imágenes), a través de Google (Google Cloud Vertex AI o Google AI Studio). Datos afectados: los indicados para OpenRouter. Ubicación: Estados Unidos. Garantía: certificación de Google LLC en el Marco de Privacidad de Datos UE-EE. UU.
- Resend (Plus Five Five, Inc.) (Estados Unidos). Servicio: envío de los correos transaccionales del servicio (acceso, alta, confirmaciones y recordatorios). Datos afectados: el email y el nombre de destino y el contenido de esos correos. Ubicación: Estados Unidos. Garantía: certificación en el Marco de Privacidad de Datos UE-EE. UU. y, además, cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) en su acuerdo de tratamiento de datos.
- IONOS. Servicio: gestión del DNS del dominio formaestudio.org. Datos afectados: no trata el contenido de los Datos de la Web; solo la resolución técnica de nombres de dominio.
Cualquier alta o sustitución de subencargados se comunica según la cláusula 8.2.