Acuerdo de encargo del tratamiento

Artículo 28 del Reglamento (UE) 2016/679 Servicio: LeavePilot Versión del modelo: 4.0 del 18 de agosto de 2026

La versión italiana da fe / La versione italiana fa fede.

---

Partes

El presente Acuerdo se celebra entre:

MAXYMIZE BUSINESS DI GIURASTANTE ROMANO MAXIMILIAN, con domicilio en Via Delle Valli 57, 66010 Canosa Sannita (CH), Italia, código fiscal y NIF/IVA IT02747200695, en adelante el Encargado;

y

la organización que acepta el presente Acuerdo a través de la plataforma LeavePilot, en adelante el Responsable, identificada por la denominación y los datos introducidos en el momento del registro y por los datos de la aceptación registrados por el Encargado conforme al artículo 15.

Considerando que

a) el Responsable utiliza el servicio LeavePilot para la gestión de las solicitudes de vacaciones, permisos por horas y trabajo en remoto de su personal y colaboradores;

b) el Encargado ha desarrollado el servicio, se ocupa de su mantenimiento y gestiona su infraestructura, tratando por cuenta del Responsable los datos personales necesarios para su funcionamiento;

c) las partes desean regular dicho tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679, en adelante el Reglamento;

d) el presente Acuerdo se celebra en formato electrónico conforme al artículo 28, apartado 9, del Reglamento, que admite expresamente esa forma, mediante la aceptación prestada por el Responsable según las modalidades del artículo 15;

las partes acuerdan lo siguiente.

---

Artículo 1 — Objeto y roles

1.1 El Responsable determina los fines y los medios del tratamiento de los datos de su personal y colaboradores y nombra al Encargado para las operaciones descritas en el Anexo A.

1.2 El Encargado trata los datos exclusivamente para la prestación del servicio y no para fines propios. En particular, no utiliza los datos del Responsable para desarrollar o mejorar productos, con fines estadísticos autónomos o comerciales, ni para entrenar modelos de inteligencia artificial.

1.3 Hay una excepción, y es la única: la recogida de eventos técnicos descrita en el Anexo D, es decir, eventos sobre el funcionamiento de la plataforma, sin nombres, sin direcciones de correo electrónico y sin detalles de las ausencias, que el Encargado recoge para fines propios de diagnóstico y seguridad y respecto de los cuales actúa como responsable autónomo, no como encargado del Responsable. No afecta a los datos que el Responsable introduce en la plataforma.

1.4 El Encargado declara ofrecer garantías suficientes para aplicar medidas técnicas y organizativas adecuadas, conforme al artículo 28, apartado 1, del Reglamento.

Artículo 2 — Duración

2.1 El presente acuerdo surte efecto desde la fecha de su celebración y durante toda la vigencia del contrato de servicio, extinguiéndose automáticamente con él.

2.2 Las obligaciones de confidencialidad permanecen en vigor tras la extinción.

Artículo 3 — Instrucciones documentadas

3.1 El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen instrucción documentada el presente acuerdo, el contrato de servicio y las instrucciones de uso entregadas al Responsable.

3.2 Cuando el Encargado esté obligado a un tratamiento en virtud de una obligación legal, informará de ello al Responsable antes de proceder, salvo que la ley lo prohíba por razones importantes de interés público.

3.3 El Encargado informará de inmediato al Responsable si considera que una instrucción recibida infringe el Reglamento u otras disposiciones sobre protección de datos.

Artículo 4 — Confidencialidad

4.1 Las personas autorizadas para el tratamiento están sujetas a un deber de confidencialidad, contractual o legal.

4.2 En la fecha de celebración, el perímetro de personas autorizadas coincide con el titular de la empresa individual que actúa como Encargado. Toda ampliación se comunicará al Responsable, y las nuevas personas serán autorizadas e instruidas antes de acceder a los datos.

Artículo 5 — Medidas de seguridad

5.1 El Encargado aplica las medidas técnicas y organizativas descritas en el Anexo B, adecuadas al riesgo conforme al artículo 32 del Reglamento.

5.2 Las medidas pueden actualizarse siempre que no se reduzca el nivel de seguridad. Los cambios significativos se comunican al Responsable.

Artículo 6 — Subencargados

6.1 El Responsable autoriza el recurso a los subencargados enumerados en el Anexo C, que indica para cada uno la denominación, la función que desempeña, el lugar de tratamiento y la base jurídica de la eventual transferencia fuera del Espacio Económico Europeo.

6.2 El Encargado informa al Responsable con al menos treinta días de antelación de toda intención de añadir o sustituir a un subencargado. Dentro de ese plazo el Responsable puede oponerse por motivos razonables y documentados; en caso de oposición las partes buscarán una solución alternativa y, de no ser posible, el Responsable podrá resolver el contrato de servicio sin coste alguno.

6.3 El Encargado impone a cada subencargado, mediante contrato, obligaciones de protección de datos no menos onerosas que las del presente acuerdo, y responde ante el Responsable del incumplimiento de sus subencargados.

6.4 El subencargado que elabora el texto del comentario de los informes es único y está determinado de antemano. El servicio no recurre a intermediarios de enrutamiento ni a cadenas de reserva hacia proveedores alternativos: si el proveedor indicado en el Anexo C no está disponible, el informe se produce sin la sección de comentario.

Artículo 7 — Derechos de las personas interesadas

7.1 El Encargado asiste al Responsable, con medidas técnicas y organizativas adecuadas, para atender las solicitudes de ejercicio de derechos de las personas interesadas.

7.2 El Encargado que reciba directamente una solicitud de una persona interesada no le dará curso por su cuenta y la transmitirá al Responsable en el plazo de cinco días hábiles.

Artículo 8 — Asistencia al Responsable

8.1 El Encargado asiste al Responsable para garantizar el cumplimiento de las obligaciones de los artículos 32 a 36 del Reglamento, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

8.2 Previa solicitud, el Encargado facilita la información técnica necesaria para una evaluación de impacto relativa a la protección de datos y para la valoración de las obligaciones previstas en el artículo 4 de la ley italiana 300/1970 y en el artículo 1 bis del decreto legislativo italiano 152/1997.

Artículo 9 — Violaciones de datos personales

9.1 El Encargado informa al Responsable sin dilación indebida y, en todo caso, en el plazo de veinticuatro horas desde que tiene conocimiento de una violación de datos personales.

9.2 La comunicación describe la naturaleza de la violación, las categorías y el número aproximado de personas interesadas y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

9.3 Las notificaciones a la autoridad de control y a las personas interesadas siguen siendo competencia del Responsable.

Artículo 10 — Supresión o devolución

10.1 A la extinción del servicio, a elección del Responsable, el Encargado suprime los datos o los devuelve en un formato estructurado, de uso común y de lectura mecánica.

10.2 El Responsable expresa su elección en el plazo de treinta días desde la extinción. A falta de indicación, el Encargado procede a la supresión, previo nuevo aviso.

10.3 Las copias de seguridad se suprimen según el ciclo ordinario de rotación descrito en el Anexo B.

Artículo 11 — Demostración del cumplimiento

11.1 El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del presente acuerdo.

11.2 El Responsable puede realizar auditorías, directamente o a través de un tercero sujeto a confidencialidad, con un preaviso de al menos quince días, en horario laboral, no más de una vez al año salvo tras una violación. Las auditorías no deben comprometer la seguridad de los demás clientes del servicio.

Artículo 12 — Transferencias fuera del Espacio Económico Europeo

12.1 Las eventuales transferencias se indican en el Anexo C junto con su base jurídica conforme al Capítulo V del Reglamento.

12.2 El Encargado no realiza transferencias adicionales sin haber informado previamente al Responsable y sin haber identificado una base jurídica adecuada.

12.3 Ninguno de los proveedores indicados en el Anexo C puede recibir los datos objeto del presente Acuerdo sobre la base de la decisión de adecuación EU-U.S. Data Privacy Framework: las certificaciones de esos proveedores cubren únicamente los datos no referidos a la relación laboral. Las transferencias se realizan por tanto sobre la base de las cláusulas contractuales tipo, previstas en todos los acuerdos con los proveedores. La verificación se describe en el Anexo C.

Artículo 13 — Responsabilidad

13.1 Cada parte responde de los daños causados por su propio incumplimiento conforme al artículo 82 del Reglamento.

13.2 Las eventuales limitaciones de responsabilidad previstas en el contrato de servicio no se aplican a las obligaciones del presente acuerdo en la medida en que ello sea inderogable por ley.

Artículo 14 — Ley aplicable y jurisdicción

14.1 El presente acuerdo se rige por la ley italiana.

14.2 Para cualquier controversia es competente el fuero previsto en las Condiciones del servicio.

Artículo 15 — Celebración y prueba del Acuerdo

15.1 El presente Acuerdo se perfecciona con la aceptación prestada por el Responsable a través de la plataforma, simultáneamente a la aceptación de las Condiciones del servicio, conforme al artículo 28, apartado 9, del Reglamento.

15.2 El Encargado registra y conserva, para cada aceptación: el identificador de la organización, el identificador y la dirección de correo electrónico de la persona que ha aceptado, la fecha y la hora, el identificador de versión y la huella criptográfica del texto aceptado. Dicho registro constituye prueba de la celebración del Acuerdo y de su contenido.

15.3 El Responsable puede descargar en cualquier momento, desde el área de administración, una certificación con el texto del Acuerdo en la versión aceptada y los datos de su propia aceptación.

15.4 El registro al que se refiere el punto 15.2 se conserva durante la vigencia de la relación y durante el posterior plazo de prescripción, incluso en caso de eliminación de la cuenta, limitado a los datos allí enumerados.

15.5 El Responsable que, por sus procedimientos internos, necesite una copia firmada del Acuerdo puede solicitarla al Encargado. La firma no es condición de eficacia del Acuerdo, que queda perfeccionado conforme al punto 15.1.

---

Anexo A — Descripción del tratamiento

Objeto: gestión de las solicitudes de ausencia del personal y colaboradores del Responsable.

Naturaleza y finalidad: recogida, registro, conservación, consulta, tratamiento, extracción y exportación de los datos necesarios para la gestión de vacaciones, permisos por horas y trabajo en remoto, para la producción de los informes y para la exportación destinada a la elaboración de las nóminas.

Duración: durante la vigencia del contrato de servicio.

Categorías de personas interesadas: personal y colaboradores del Responsable; personas designadas como aprobadoras o administradoras.

Categorías de datos personales:

• datos identificativos y de contacto: nombre, apellidos, dirección de correo electrónico;
• datos relativos a la relación laboral: departamento o centro de asignación, cupo de vacaciones y permisos, saldos;
• datos relativos a las ausencias: fechas de inicio y fin, tipo de ausencia, estado de la solicitud, eventual nota introducida por quien solicita;
• datos de acceso y registro de las operaciones.

Categorías especiales de datos, artículo 9 del Reglamento: el servicio permite registrar ausencias por enfermedad. La sola indicación del tipo de ausencia puede constituir un dato relativo a la salud. El Responsable valora si habilitar dicho tipo; cuando esté habilitado, el Encargado aplica las medidas reforzadas indicadas en el Anexo B y la base jurídica del tratamiento la determina el Responsable conforme al artículo 9, apartado 2, letra b, del Reglamento.

Tratamiento mediante inteligencia artificial: el texto del comentario de los informes lo produce un modelo de lenguaje que recibe exclusivamente magnitudes agregadas. No recibe nombres, identificadores, direcciones de correo electrónico, datos referidos a personas concretas ni valores individuales. Los departamentos con menos de tres personas no se transmiten como entrada propia. Su funcionamiento se describe en las instrucciones de uso.

---

Anexo B — Medidas técnicas y organizativas

Separación de los datos entre clientes. La pertenencia a la organización es una condición estructural del acceso a los datos y no un filtro aplicado caso por caso: una solicitud que no identifique correctamente la organización no devuelve datos.

Control de accesos. Autenticación individual; permisos diferenciados por rol; ninguna cuenta compartida.

Cifrado. Datos en tránsito protegidos con TLS; datos en reposo cifrados según lo garantizado por los proveedores de infraestructura indicados en el Anexo C.

Minimización hacia el proveedor del modelo. Los datos enviados al modelo de lenguaje son agregados y carecen de elementos identificativos, con un umbral de confidencialidad de tres personas para los grupos. El texto producido se somete a un control automático que lo descarta si contiene un nombre presente en los datos, una referencia a estados personales o una recomendación: el texto descartado no se corrige ni se vuelve a generar.

Trazabilidad. Cada generación de comentario se registra con fecha y hora, organización, período solicitado, modelo empleado, versión de las instrucciones y resultado. El registro no contiene el contenido del informe. Todo informe que contenga un comentario generado recoge en sus metadatos el modelo y la versión de las instrucciones.

Copias de seguridad. Copias gestionadas por el proveedor de la infraestructura de base de datos según el ciclo indicado en el Anexo C, con rotación automática.

Registro de operaciones. Las operaciones sobre los datos quedan registradas. Los registros no contienen nombres de personas empleadas.

Conservación. Los datos se conservan durante la vigencia del contrato. [POR DEFINIR: plazo de conservación de los informes generados y de los registros operativos, con el correspondiente mecanismo de supresión.]

Gestión de los cambios. Las instrucciones empleadas por el modelo están versionadas en el código fuente. Todo cambio se trata como una publicación y se comunica al Responsable.

---

Anexo C — Subencargados autorizados

Denominación	Función	Lugar de tratamiento	Base de la transferencia
Databricks, Inc., a través de Neon, LLC	alojamiento y gestión de la base de datos: todos los datos introducidos en la plataforma, incluidos los del personal del Responsable	Unión Europea, región eu-central-1 (Fráncfort). Cada organización dispone de una base de datos separada	Cláusulas contractuales tipo de la Unión Europea, incorporadas al acuerdo del proveedor, que en su artículo 8.1 las señala como base de toda transferencia sujeta a restricción. El proveedor se adhiere al EU-U.S. Data Privacy Framework, pero su certificación cubre únicamente los datos no referidos a la relación laboral: no es por tanto una base utilizable para los datos objeto del presente Acuerdo. Fuentes: acuerdo de tratamiento del proveedor y perfil público en la lista del programa, consultados el 18 de agosto de 2026
Netlify, Inc.	alojamiento de la aplicación y de las funciones que procesan las solicitudes; distribución de los contenidos estáticos; depósito de los partes médicos subidos por el personal del Responsable, conservados cifrados con algoritmo AES de 256 bits	Estados Unidos, región predeterminada del proveedor para la ejecución de las funciones; red de distribución con presencia global	Cláusulas contractuales tipo de la Unión Europea (módulos 2 y 3), aplicables por previsión expresa del artículo 14.3 del acuerdo del proveedor cuando la transferencia no está cubierta por el Framework. La certificación del proveedor cubre únicamente los datos no referidos a la relación laboral, por lo que no cubre esta transferencia. Fuentes: acuerdo de tratamiento del proveedor de 9 de junio de 2026 y perfil público en la lista del programa, consultados el 18 de agosto de 2026
Plus Five Five, Inc., que opera como Resend	envío de las comunicaciones de servicio al personal del Responsable: nombre y dirección de correo electrónico de la persona destinataria y contenido de la comunicación. No se emplea cuando el Responsable configura su propio proveedor de correo	Estados Unidos	Cláusulas contractuales tipo de la Unión Europea, que el acuerdo del proveedor señala como base de las transferencias fuera del Espacio Económico Europeo y que se entienden celebradas con la aceptación de las condiciones. La certificación del proveedor en el Framework cubre únicamente los datos no referidos a la relación laboral, por lo que no cubre esta transferencia. Fuentes: acuerdo de tratamiento del proveedor de 31 de diciembre de 2025 y perfil público en la lista del programa, consultados el 18 de agosto de 2026
Anthropic PBC	elaboración del texto del comentario de los informes, sobre datos agregados y carentes de elementos identificativos	Estados Unidos, llamada directa al proveedor sin intermediarios	Cláusulas contractuales tipo de la Unión Europea (módulos 2 y 3), incorporadas automáticamente a las condiciones comerciales del proveedor. El proveedor no se adhiere al Framework: las cláusulas son la única base y no hay verificación de cobertura que realizar. Fuente: acuerdo de tratamiento del proveedor en vigor desde el 24 de febrero de 2025, consultado el 18 de agosto de 2026

Nota sobre la base de las transferencias. Tres de los cuatro proveedores se adhieren al EU-U.S. Data Privacy Framework, y ninguno de los tres puede recibir estos datos sobre esa base. El motivo es que su certificación se limita a los datos no referidos a la relación laboral, mientras que los datos tratados por este servicio se recogen íntegramente en ese contexto. El Comité Europeo de Protección de Datos exige a quien exporta acreditarlo antes de la transferencia, y no presumirlo: la comprobación se realizó el 18 de agosto de 2026 en la lista pública del programa, con resultado negativo para los tres. Ello no reduce la tutela, porque cada acuerdo prevé las cláusulas contractuales tipo precisamente para este caso, y es la razón por la que el presente Anexo las señala como base efectiva y no como remedio subsidiario.

Nota sobre los eventos de diagnóstico. El proveedor que recoge los eventos técnicos no figura en esta lista porque no trata datos por cuenta del Responsable: los trata por cuenta del Encargado, que respecto de ese tratamiento es responsable autónomo. Se describe en el Anexo D, donde la diferencia de rol se explica por extenso.

Nota sobre la separación de los datos. La base de datos de cada organización es distinta de la de las demás. La eliminación de una organización conlleva la eliminación de su base de datos.

Nota sobre el proveedor del modelo de lenguaje. Hasta la versión 2.29.8 del servicio, la llamada al modelo pasaba por un intermediario de enrutamiento que podía atenderla con proveedores distintos. Desde la versión 2.29.9 la llamada es directa a un proveedor único, determinado de antemano y sin alternativas de reserva: es la condición que hace que esta lista sea veraz y verificable, tal como exige el artículo 28, apartado 2, del Reglamento.

---

Anexo D — Eventos técnicos recogidos por el Encargado

Este anexo no forma parte del encargo. Describe un tratamiento distinto, en el que el Encargado actúa como responsable autónomo, y está aquí por transparencia: el Responsable debe saber qué sale de la plataforma incluso cuando no sale por su cuenta.

Por qué el rol es distinto

Ningún Responsable pide a LeavePilot que recoja eventos de diagnóstico. Los fines y los medios de esa recogida los determina el Encargado, para entender dónde se rompe el servicio y para reconocer accesos anómalos. Quien determina fines y medios es responsable: llamar «subencargado» al proveedor que los recibe sería una descripción cómoda y falsa.

Qué se recoge

Eventos sobre el funcionamiento de la plataforma: páginas abiertas, acciones realizadas, errores, tiempos de respuesta. Un módulo elimina nombres, direcciones de correo electrónico y detalles de las ausencias antes del envío.

Permanecen los identificadores técnicos de persona usuaria, de organización y de sesión. Son datos seudonimizados, no anónimos: el considerando 26 del Reglamento es explícito al señalar que la seudonimización no saca un dato del ámbito de aplicación, y es la razón por la que este anexo existe en lugar de limitarse a declarar que no se recogen datos personales.

No se recogen: contenido de las solicitudes de ausencia, partes médicos, notas, direcciones, datos de contacto.

Base jurídica e información

El tratamiento se fundamenta en el interés legítimo del Encargado en mantener el servicio funcionando y seguro, conforme al artículo 6, apartado 1, letra f, del Reglamento. Las personas interesadas son informadas de ello mediante la política de privacidad del servicio, donde se indican también los derechos ejercitables y el modo de oponerse.

Proveedor

Denominación	Función	Lugar de tratamiento	Base de la transferencia
PostHog Inc.	recogida y conservación de los eventos técnicos, como encargado del tratamiento del Encargado	instancia europea del proveedor	cláusulas contractuales tipo de la Unión Europea, módulo 2, suscritas entre las partes el 18 de agosto de 2026. El proveedor se adhiere además al EU-U.S. Data Privacy Framework con una certificación que se extiende también a los datos referidos a la relación laboral

Es el único de los proveedores del servicio cuya certificación en el Framework cubre ambas categorías de datos, y el único con el que el acuerdo se ha suscrito y refrendado en lugar de celebrarse por adhesión a las condiciones.

Consecuencia para el Responsable

Ninguna, en el plano de las obligaciones: el Responsable no responde de este tratamiento, que no se realiza por su cuenta. Si aun así desea que su personal no quede incluido en la recogida de eventos técnicos, puede solicitar su desactivación para su propia organización escribiendo al Encargado.